Der er hul i værnet omkring nogle af internettes - efter sigende - mest sikre websider.
En gruppe forskere har opdaget, at cyberkriminelle og andre computerhackere kan angribe websider, som benytter 'https' sikkerhedskrypteringen, med et hackerangreb der hedder 'LogJam'.
Hackerangrebet, som menes at virke på 8 procent af de 1 million top-websider, gør hackerne i stand til at læse vigtige oplysninger, som burde være beskyttede - blandt andet følsomme data som kortnumre og privat kommunikation.
Jo større nøgle, jo stærkere kryptering
Kryptering forhindrer andre i at smugkigge på din internetaktivitet ved at forvandle oplysningerne til en hemmelig kode. Når du ser en hængelås eller bogstaverne 'https' i adresselinjen på din webbrowser, bliver alt, hvad der sendes mellem din computer og den webserver, hvor hjemmesiden, du ser på, lagret, krypteret og holdt hemmelig.
Opdagelsen af LogJam-angrebet betyder, at det ikke altid er tilfældet. Det er en fejl eller sårbarhed i sikkerhedskrypteringens software, der gør et LogJam-angreb muligt.
LogJam angriber den del af sikkerhedsprocessen, som kaldes 'Diffie-Helman key exchange' (nøgleudveksling, red.), som er en måde at danne og sikkert sende en nøgle, der kan afkode krypteringen og give adgang til oplysningerne.
Nøglen er dannet af to meget store, næsten uforudsigelige, komplekse og tilfældige primtal (et primtal er et tal, som kun 1, og tallet selv går op i). Jo større nøglen er, jo stærkere er krypteringen.
Eksperter råder til at bruge længere koder
Ældre nøgler er lagret med 1024 bits computerhukommelse. Det betyder, at de hver især indeholder 21024 mulige kombinationer. Men i dag er computerne stærke nok til at regne den rigtige kombination ud.
Et LogJam-angreb opsnapper nøglens data og bruger computerkræfterne til at løse koden. Som følge af LogJam råder computereksperterne nu de forskellige websites, der stadig bruger nøglerne, til at gå over til meget længere versioner, som er vanskeligere at forudsige.
Hackerne kan også bruge en 'rainbow table', som er en tabel over de koder, der allerede er knækkede og så matche dem med nøglen. Jo stærkere en computer er, jo hurtigere kan den arbejde sig igennem databasen af knækkede koder.
Det er stadig rigtig mange forskellige kombinationer, men arbejdet er allerede delvist gjort.
Vi må håbe, at problemerne kan lappes i tide
Som computerne bliver stærkere, er mange eksisterende sikkerhedsforanstaltninger ved at blive forældede og klar til udskiftning. Men internetbrugere er ikke kun sårbare, fordi virksomhederne ikke holder trit med de seneste fremskridt.
De fleste teknologiske virksomheder prøver at sikre deres produkter så meget som muligt, fordi vi (deres kunder) forlanger det. Men de skal være bevidste om, at det er en afvejning mellem national sikkerhed og personlig sikkerhed.
For eksempel har det amerikanske forbundspoliti FBI udtalt, at nogle krypteringssystemer er for svære at trænge igennem - hvilket betyder, at de gerne vil smugkigge i folks kommunikationer. De vil have, at krypteringen er stærk, men ikke uigennemtrængelig.
Det er et frustrerende dilemma, og som LogJam nu beviser, ved at drive rovdrift på svagere Diffe-Hellman-nøgler, er der svagere webserverere, som vil have problemer med at balancere deres organisations sikkerhedsbehov med statsorganisationernes overvågningskrav.
Der er allerede hektisk aktivitet på hele nettet, og serveradministratorerne forsøger at lappe problemerne forårsaget af LogJam og forøge sikkerhedsniveauet af nøgleudvekslingen.
Vi må bare håbe, at de kan nå det, før nogen bringer deres servere i fare. Selvom det kun er en forholdsmæssig lille del af alle websider, der er berørte af LogJam, skal du også tjekke din web browser for at se, om den skal opdateres.
Andrew Smith hverken arbejder for, rådfører sig med, ejer aktier i eller modtager fondsmidler fra nogen virksomheder, der vil kunne drage nytte af denne artikel, og har ingen relevante tilknytninger. Denne artikel er oprindeligt publiceret hos The Conversation.
Oversat af Stephanie Lammers-Clark
