Антивирусы могут перехватывать защищённый трафик?

Эксперты доказали, что антивирусы и межсетевые экраны вмешиваются в "безопасное" соединение HTTPS.

По данным, опубликованным в открытом доступе, защитные механизмы антивирусов и межсетевых экранов имеют доступ ко всем соединениям без исключения, в том числе защищённым. Такое вмешательство может быть опасным для конфиденциальных данных.

Группа американских экспертов и исследователей, включающая представителей ведущих университетов, а также таких IT-гигантов, как Google и Mozilla, представила доклад "Влияние перехвата данных на безопасность протокола HTTPS" (The Security Impact of HTTPS Interception).

Для эксперимента учёные специально разработали продукты перехвата, которые мониторили соединения множества электронных коммерческих площадок, CDN-сервиса CloudFlare и сервера обновлений Mozilla Firefox.

— Продукты перехвата мониторят соединения HTTPS. Их поведение подобно прозрачным прокси, которые завершают соединение TLS в браузере, проверяют контент и устанавливают новые подключения к конечному серверу. Прокси используют иные TLS-библиотеки, нежели популярные браузеры, и это позволяет нам обнаружить несоответствия между поведением юзера протокола HTTPS и клиента TLS, — объясняют суть технологии контроля исследователи.

Перехватить данные и расшифровать их потенциально мог злоумышленник, действующий по технологии "атаки посредника" (технологии Man in the middle). Во многом виновата поддержка сервисами давно скомпрометированных шифров и расширений: на них было основано более 85% перехваченных связей.

Также анализу подверглись различные антивирусные продукты, такие как

Avast, Bullguard, CYBERsitter, Kaspersky, PC Pandora и другие. Большинство из них не удовлетворили запросам безопасности исследователей.

Сотрудники "Лаборатории Касперского", в свою очередь, рассказали Лайфу, что их эксперты перепроверили факты, приведённые в статье, но "не нашли им подтверждения". Продукция "Лаборатории", предназначенная для Windows, не поддерживает компрессию данных, а для Mac, по их словам, — на самом деле проверяет достоверность сертификата шифрования.

Само по себе шифрование трафика призвано защитить данные от перехвата и изменения по пути, но вовсе не свидетельствует о безопасности самих данных. По словам специалистов, злоумышленники уже многие годы используют шифрование для доставки пользователю вредоносного программного обеспечения, фишинга и других атак.