Атаката принуждава клиентите да използват слабо криптиране; засегнати са и сайтове на американски институции
В клиентските и сървърните реализации на TLS/SSL бе разкрита нова критична уязвимост, наречена FREAK. Тя позволява прихващане на защитена връзка и принудително използване на по-слабо криптиране чрез „експортния“ комплект шифри RSA EXPORT.
Уязвими към атаката са всички популярни OpenSSL-клиенти – браузърът Safari на Apple, всички Android-устройства и много други. Според появила се информация голям брой държавни сайтове също са засегнати, включително сайтовете на АНС, Белия дом и Данъчната агенция на САЩ.
Проверка за уязвимост
Създаден е специален сайт (ssllabs.com/ssltest), чрез който собствениците на уебсайтове могат да проверят дали техният сайт е уязвим.
Произход на уязвимостта
Оказа се, че уязвимостта съществува от много години. Тя е резултат от ограниченията, наложени върху експортирането на устойчива криптография от САЩ към други държави, които са в сила още от миналия век. На практика самата SSL технология е разработена с вградена възможност за тази атака. Благодарение на нея създателите на SSL – Netscape Corporation – са избегнали ограниченията в експорта и са получили възможност да разпространяват своя браузър извън територията на САЩ.
Предполагаше се, че към днешен ден съвременните браузъри не използват този протокол, но сега стана ясно, че е възможно осъществяването на класическа MiTM атака, чрез която TLS клиентът се принуждава да използва друг вид шифроване.