ADPT

พบช่องโหว่บน Symantec API เสี่ยงถูกขโมย Private Key

Chris Byrne ที่ปรึกษาด้านความมั่นคงปลอดภัยจาก Cloud Harmonics ออกมาเปิดเผยถึงปัญหาสำคัญในการออกใบรับรอง SSL ของ Symantec จากตัวแทนจำหน่ายและช่องโหว่บน API ในการส่งมอบและบริหารจัดการใบรับรอง SSL ซึ่งช่วยให้แฮ็คเกอร์สามารถขโมยข้อมูล Certificate ออกไปได้ ไม่ว่าจะเป็น Private Key หรือ Public Key รวมไปถึงสามารถออกใบรับรองใหม่และเพิกถอนใบรับรองเหล่านั้นได้

Credit: The Cute Design Studio/ShutterStock

Byrne อธิบายถึงปัญหาที่ค้นพบว่า API ในการร้องขอและส่งมอบใบรับรองของ Symantec ที่ให้ตัวแทนจำหน่ายใช้นั้น เป็นแบบ URI-based UID ซึ่งมีการพิสูจน์ตัวตนที่ไม่ดีเพียงพอ ส่งผลให้แฮ็คเกอร์หรือลูกค้าที่เก่งคอมพิวเตอร์สามารถดักจับอีเมลที่มีลิงค์ที่ API สร้างขึ้น หรือเปลี่ยนพารามิเตอร์บน UID ของตนเพื่อเข้าถึงข้อมูลใบรับรอง SSL ของลูกค้าคนอื่นได้ ผลลัพธ์คือแฮ็คเกอร์สามารถขโมย Private Key, Public Key, เพิกถอนใบรับรอง หรือออกใบรับรองใหม่ได้

Byrne ค้นพบช่องโหว่นี้และรายงานไปยัง Symantec ตั้งแต่ปี 2015 ซึ่งทาง Symantec ก็รับทราบและขอร้องให้ยังไม่เปิดเผยข้อมูลดังกล่าว พร้อมทั้งสัญญาว่าจะแก้ไขปัญหาทั้งหมดภายใน 2 ปี อย่างไรก็ตาม หลังจากที่ Google ออกมาประกาศลดความน่าเชื่อถือของใบรับรอง SSL จาก Symantec บน Google Chrome ลงเมื่อสัปดาห์ที่ผ่านมา เนื่องจากพบปัญหาหลายประการระหว่างบริษัทกับตัวแทนจำหน่าย ทำให้ Byrne ตัดสินใจออกมาเปิดเผยปัญหาดังกล่าว

“จากประสบการณ์และการกระทำของ Google จนถึงตอนนี้ แสดงให้เห็นว่า Symantec ไม่ได้แก้ไขปัญหาอย่างจริงจังตามที่สัญญาไว้” — Byrne ระบุ

อย่างไรก็ตาม Byrne ไม่สามารถยืนยันได้ว่าช่องโหว่ที่เขาค้นพบกับช่องโหว่ที่ Google เจอนั้นเป็นช่องโหว่เดียวกันหรือไม่ และยังไม่มีหลักฐานหรือการ PoC ที่ชัดเจนว่าสามารถโจมตีช่องโหว่ได้จริง

ล่าสุด Symantec ออกมาชี้แจงถึงประเด็นดังกล่าวว่า ช่องโหว่ที่ Byrne กล่าวมาไม่น่าจะสร้างปัญหาหรือเป็นอันตรายต่อการใช้งานจริงแต่อย่างใด แต่ทาง Symantec ยินดีที่จะจัดการปัญหาในกรณีที่มีงานวิจัยหรือมีการ PoC ออกมา และ Symantec ยืนยันว่ายังไม่พบการเข้าถึง Private Key โดยไม่ได้รับอนุญาตแต่อย่างใด

ที่มา: http://thehackernews.com/2017/03/symantec-ssl-certificates.html


About techtalkthai

ทีมงาน TechTalkThai เป็นกลุ่มบุคคลที่ทำงานในสาย Enterprise IT ที่มีความเชี่ยวชาญทางด้าน Network, Security, Server, Storage, Operating System และ Virtualization มารวมตัวกันเพื่ออัพเดตข่าวสารทางด้าน Enterprise IT ให้แก่ชาว IT ในไทยโดยเฉพาะ

Check Also

[Guest Post] เพิ่มความคล่องตัว สร้างความมั่นคง และเปลี่ยนให้ธุรกิจมีความยืดหยุ่น ผ่านบริการ Fujitsu Work Life Shift

ธุรกิจในปัจจุบันต้องเผชิญกับสถานการณ์ที่ทำให้รูปแบบการทำงานจะไม่เหมือนเดิมอีกต่อไป องค์กรแต่ละแห่งต้องสามารถดำเนินการ อยู่รอด และเติบโตได้ ไม่ว่าโลกรอบตัวจะเปลี่ยนแปลงไปอย่างไร การนำเทคโนโลยีมาประยุกต์ใช้เพื่อเพิ่มประสิทธิภาพการทำงาน และสร้างรูปแบบเรียนรู้อย่างรวดเร็ว สร้างกลยุทธ์ ที่สามารถปรับเปลี่ยนทันท่วงที ถือเป็นกุญแจสำคัญในการปลดล็อกความสำเร็จ ซึ่งคุณพรชัย พงศ์เอนกกุล หัวหน้ากลุ่ม DX Modernization บริษัท ฟูจิตสึ (ประเทศไทย) จำกัด ได้ให้ข้อมูลเกี่ยวกับ Fujitsu Work Life Shift หนึ่งในบริการสำคัญที่ช่วยให้ฟูจิตสึสามารถปรับตัว รับมือกับความท้าทาย พลิกโฉมการทำงาน ขับเคลื่อนธุรกิจในยุค New Normal และเติบโตได้อย่างยั่งยืน ที่สำคัญ วันนี้ฟูจิตสึพร้อมแล้วที่จะถ่ายทอดองค์ความรู้ และนำ Fujitsu Work Life Shift มาสู่องค์กรในประเทศไทย เพื่อร่วมนำพาธุรกิจไปข้างหน้าร่วมกัน บทความนี้จึงขอสรุปรูปแบบการให้บริการ Fujitsu Work Life Shift เพื่อให้องค์กรต่าง ๆ มองเห็นภาพ และนำไปประยุกต์ใช้ในองค์กร

[Guest Post] ชูธงเทคโนโลยี HPE GreenLake ติดปีก EHR ให้วงการสาธารณสุข

แม้ความท้าทายในแวดวงสาธารณสุขจะเกิดขึ้นมาอย่างยาวนานก่อนไวรัสโควิด-19 เห็นได้จากแนวโน้มด้านประชากรศาสตร์ เช่น โครงสร้างสังคมผู้สูงอายุทั่วโลก การเพิ่มขึ้นอย่างมากของโรคเรื้อรังต่างๆ เช่น โรคอ้วน และเบาหวาน การขาดแคลนบุคลากรด้านสาธารณสุข ซึ่งองค์กรอนามัยโลก คาดการณ์ว่า โลกจะขาดแคลนบุคลากรด้านสาธารณสุขราว 13 ล้านคนภายในปี 2035 หรือค่าเวชภัณฑ์ที่เพิ่มขึ้นต่อเนื่องทำให้ความมั่นคงด้านการเงินของระบบสาธารณสุขเป็นเรื่องที่น่ากังวลเช่นเดียวกัน