De juiste aandacht voor uw informatiebeveiliging™

I ROBOT

I ROBOT

Bijna 20 en “still going strong”

The ROBOT Attack

Al in 1998 werd een kwetsbaarheid ontdekt bij het gebruik van een RSA-encryptie key die er toe kon leiden dat versleutelde gegevens door ongeautoriseerde gebruikers kunnen worden gelezen. En ondanks dat indertijd al werd gewezen op de gevaren hiervan en er sindsdien actie op is ondernomen, zet deze kwetsbaarheid ook vandaag de dag nog deuren open die eigenlijk dicht moeten blijven.

De Return Of Bleichenbacher’s Oracle Threat (of kortweg: ROBOT) betreft een kwetsbaarheid in de RSA decryptie en ondertekening waarbij gebruik wordt gemaakt van de private key van een TLS-server. Sinds in 1998 de werkwijze werd beschreven hoe deze bescherming kan worden omzeild door gebruik te maken van bepaalde acties op foutmeldingen, zijn er vele aanpassingen doorgevoerd tegen ROBOT. Maar deze aanpassingen zijn altijd dusdanig complex geweest dat deze veelal niet volledig zijn geïmplementeerd door fabrikanten. Een nieuwe variatie op ROBOT legt dus oude wonden weer open.

Moet ik me zorgen maken?

De ROBOT-dreiging treft vele leveranciers en aanbieders; van bekende merken als F5, Cisco, Citrix en Radware tot grote online namen als Facebook en Whatsapp. De meeste systemen zijn al eerder aangepast op ROBOT-dreigingen, maar zijn (nog) niet helemaal up-to-date, voor andere geldt dat vaak niet de directe websites of hosts kwetsbaar zijn, maar andere gekoppelde systemen die nog wel gebruik maken van kwetsbare beveiliging.

De oplossing? Schakel alle TLS-versleuteling die gebruik maakt van RSA-encyptie in zijn geheel uit.Moderne TLS-verbindingen maken grotendeels toch al gebruik van Elliptic-curve Diffie Hellman sleutels en gebruiken RSA alleen voor signatures. De impact van het uitschakelen is dan ook beperkt en weegt zeker niet op tegen de risico’s.

Wilt u meer weten over ROBOT? Lees dan verder op https://robotattack.org/

Wilt u weten hoe kwetsbaar uw organisatie mogelijk is voor ROBOT? Neemt u dan contact met ons op en wij vertellen u hoe wij u en uw organisatie kunnen helpen beschermen tegen de 19-jarige ROBOT.

“Door het SECWATCH-klantenrapport kan men nu aan de klanten laten zien dat het bedrijf vertrouwelijk en integer met de klantgegevens omgaat.”

- Directeur aanbieder Cloud-dienst met meer dan 250 klanten