Tidligere denne uken skrev digi.no om en type man-in-the-middle-angrep som i særlig grad rammer Apples Safari-nettlesere og nettleseren som følger med eldre Android-utgaver. Denne utnytter en sårbarhet som narrer klientene til å bruke eldre og usikre chiffersamlinger dersom også webserveren støtter disse. Det samme gjør mange e-postservere. Slike chiffersamlinger er skapt for å kunne dekrypteres og bør ikke brukes lenger. En tilsvarende sårbarhet ble fjernet fra kryptobiblioteket OpenSSL i januar.
Windows også
Nå viser det seg at også Secure Channel-komponenten i alle utgaver av Windows har en slik sårbarhet. Det er Microsoft selv som opplyser om dette. Sårbarheten kan utnyttes på samme måte som i de øvrige systemene, med en type angrep som kalles for FREAK. Det er ikke kjent for Microsoft at slike angrep faktisk har funnet sted.
Bakgrunn: Også NSA må sikre webserveren mot FREAK
Microsoft kommer trolig til å utgi sikkerhetsoppdateringer som fjerner sårbarheten, men selskapet kommer ikke med opplysninger om når dette vil skje. Første ordinære mulighet er førstkommende tirsdag, men det er sjelden Microsoft kommer med sikkerhetsoppdateringer bare noen dager etter at selskapet har blitt klar over en sårbarhet.
En foreløpig løsning er å deaktivere alle de svake RSA-chifferene for nøkkelutveksling. Detaljer om dette er oppgitt på denne siden.
