A hackerek előszeretettel használják a DDoS, azaz az elosztott szolgáltatásmegtagadással járó támadást akkor, ha a céljuk nem a szolgáltatás tönkretétele, csupán az, hogy azt ne lehessen elérni. A Las Vegasban zajló Black Hat kiberbiztonsági konferencián egy újfajta DDoS-sebezhetőséget mutattak be a szakemberek, akik szerint az újfajta támadás lényegében a világháló összes weboldalát érintheti.

A Wired beszámolója szerint a Two Six Labs nevű cég kutatói, Nathan Hauke és David Renardy úgy vélik, az újfajta módszer ahelyett, hogy a szervereket venné célba, az algoritmusokat támadja meg. Számos weboldal és szolgáltatás ugyanis algoritmusokat használ arra, hogy a beérkező adatokat feldolgozzák, és konkrét utasítássá vagy eredménnyé konvertálják azokat. Ugyanakkor egy kicsi, látszólag ártalmatlan bemeneti adat rendkívül nagy problémát tud okozni az algoritmusok működésében – így pedig a kiszolgálásban is.

Pixabay / markusspiske

Hauke és Renardy három olyan szoftvernél is megtalálta azt a sebezhetőséget, amin keresztül nagy mennyiségű információ ömleszthető az algoritmusra, amely megpróbálja azt feldolgozni, de mivel nem bír vele, összeomlik.

A támadás működik például a PDF-ek kezelését segítő szoftveren úgy, hogy egy nagy méretű PDF-fájlt töltünk fel, vagy a virtuális számítógépek hálózatával (VCN-ekkel) is, amit nagy mennyiségű felesleges adattal lehet feltölteni addig, amíg a szerverek össze nem omlanak. De sikerült ugyanilyen hatást elérni a Dropbox által kifejlesztett, az erős jelszavak kezeléséhez használt szoftvernél is, ha a felhasználó egy több ezer karakterből álló jelszót ad meg.

A kutatók a konferencián szeretnék felhívni a fejlesztők figyelmét, hogy erre a problémára is fel tudjanak készülni. A megoldáshoz még egy ACsploit nevű eszközt is készítettek, ami segíthet kivédeni a hasonló próbálkozásokat.

Ha máskor is tudni szeretne hasonló dolgokról, lájkolja a HVG Tech rovatának Facebook-oldalát.