Yakın zamanda Harry Sintonen isimli Fin'li XSS açığını keşfetti ve bahsettiği durum da kullanıcıların PayPal'a giriş yaptıktan sonra bilgileri bilinmeyen bir sunucuya yönlendirildi.
Saldırı sayfaya Extended Validation SSL Certificate (süresi uzatılmış onaylı sertifika) kullanarak (kısaca EV-SSL) kullanıcıların farkına varmadan başarılı bir şekilde yönlendirilmesini sağlıyordu.
PayPal XSS açığını doğruladı ve üstünde çalışmalara başladı.Ayrıca şirketden gelen açıklamaya göre bu saldırı yöntemini şu ana kadar kimsenin kullanmadığını da belirtti.
Bizim size iki önerimiz var;
1) PayPal'dan ve onun bir büyüğü eBay'dan gelen maillerdeki adresleri direk olarak tıklamayın.Kendi parmaklarınızla gönderilen adresi yazmanız ve böylece EV-SSL sertifikasına maruz kalmayıp şifrelerinizi,kredi kartı numaralarınızı çaldırmamanız.
2) EV-SSL sertifikasını içeren bir web sayfasına yönlendirildiğiniz zaman Internet Explorer 7 ve Firefox 3 tarayıcılarının adres çubukları yeşil bir renk almaktadır.Bu yeşil rengin anlamı size bu sayfada bu sertifikanın olduğunu söyleyip uyarmakta ve "Dikkat! Zararlı bir sayfaya yönlendirebilirsiniz!" mahiyetinde adres çubuğu yeşil ışık yakarak sizi uyarmaktadır.Mutlaka tarayıcıların bu versiyonlarından birini indirin.
Internet Explorer 7'yi indirmek için burayı tıklayın
Mozilla Firefox 3.0 indirmek için de burayı tıklayın
Bu kadar güvenliği olan bir sitede böyle bir açık çıkabiliyorsa, internet aleminde güvenliğimiz sizce hangi durumda?
Yazan: Göksel Atakan
SDN - http://shiftdelete.net