Nieuwe veiligheidsstandaard maakt websites kwetsbaar voor cyberaanval

Onderzoekers hebben een kwetsbaarheid ontdekt in het internet die ervoor kan zorgen dat aanvallers de connectie tussen twee partijen kan verbreken. Indien deze verbinding niet is geëncrypteerd, kan er bovendien kwaadaardige code worden geïnjecteerd in de communicatie tussen de twee partijen.

RFC 5961

De vrij nieuwe internetstandaard RFC 5961 moet ervoor zorgen dat bepaalde types van cyberaanvallen worden voorkomen, maar zorgt in dit geval net voor een lek waardoor hackers naar binnen kunnen glippen. Via het lek kunnen hackers detecteren wanneer twee partijen met elkaar in verbinding staan via een transmission control protocol (TCP)-connectie, kan de connectie worden verbroken en kwaadaardige code worden geïnjecteerd.

Om de hack te doen slagen, moet de connectie tussen twee partijen minstens 60 seconden open blijven. Dit geeft aanvallers voldoende tijd om met JavaScript-code hun ding te doen.

Handshake

TCP maakt gebruik van een zogenaamde three-way handshake, waarbij een synchronisatiepakketje wordt uitgestuurd van de client naar de server. De server zal hierop reageren met een SYN-ACK (synchronisatie acknowledgement). Nadat de client hierop heeft gereageerd met een ACK-pakketje zal de connectie worden gemaakt.

Het verbindingsproces via TCP duurt hierdoor enige tijd. Om te voorkomen dat gebruikers te lang moeten wachten, houden websites en browsers de verbinding daarom vaak voor een bepaalde tijd open. Indien er nog extra content geladen moet worden, kan dit snel gebeuren. Dankzij de kwetsbaarheid in RFC 5961 kunnen binnen deze tijdspanne eveneens hackers naar binnen glippen.

Linux

Momenteel is RFC 5961 enkel volledig geïmplementeerd in Linux. Bij Windows en Mac OS X is dit slechts voor een gedeelte gebeurt. De onderzoekers denken daarom dat deze laatste besturingssystemen niet kwetsbaar zijn voor de hack.

Om een aanval te doen slagen, hoeft echter slechts één van de partijen kwetsbaar te zijn. Dit zorgt ervoor dat de meeste grote websites gehackt kunnen worden. Er hoeft immers slechts één advertentieserver kwetsbaar te zijn voor het hack om de bal aan het rollen te krijgen.