IE, Chrome ve Safari'nin Paypal SSL Açığı

[velociraptor]

Eger Paypal ödemelerinizi bu üc tarayıcıyı kullanarak yapıyorsanız acilen daha güvenli bir tarayıcıya değişmenizi tavsiye ederim (alternatif FireFox). Yaklaşık 9 hafta önce çıkan bu açık halen Microsoft tarafından düzeltilmeyi bekliyor.

Olay şu, genelde paypal ödemeleri yaparken, iletilen ile alınan veriyi güvende tutmak için SSL sertifikaları kullanılır. Microsoftun APIsinde açık bulan ve suistimal etmek isteyen bir kişide fake SSL oluşturup bunu gerçek SSL sertifikasıymış gibi tarayıcılara ve kullanıcılara yedirmeyi başardı.

Fake SSL Örneği
http://seclists.org/fulldisclosure/2009/Oct/87

Böylece siz ödemenizi yaparken verilerin kriptolandığını zannediyorsunuz fakat öyle olmuyor. Microsoftun CryptoAPI
http://msdn.microsoft.com/en-us/library/ms867086.aspx
sinde çıkan bu açık SSLSniff diye bir programla kullanıldığı taktirde kullanıcıya tamamen kandırmaca bir sayfa gösterilebiliyor ve bu 3 tarayıcının hiç biri uyarı vermiyor ve anlama şansınız neredeyse sıfır.

Örnek SSL Adresi:
http://www.paypal.com\0ssl.secureconnection.cc

Eğer Windows kullanıcı iseniz şu anda korunmanın tek yolu FireFox sürümlerinin 3.5 yada 3.0.13 yada daha sonraki versiyonlarını kullanmanızdır.

ALINTIDIR