Honderden top-apps nog steeds niet gepatcht voor FREAK

Ruim 650 van de kwetsbare Android-apps gebruiken de gebundelde OpenSSL-library van Android en ruim 550 hebben hun eigen gecompileerde OpenSSL-library. Deze versies zijn allemaal kwetsbaar voor FREAK.

FireEye scande tevens ruim 14.000 populaire iOS-apps. Daarvan zijn er 771 nog kwetsbaar voor FREAK. De meeste daarvan werken nog met iOS-versies die ouder zijn dan 8.2.

Afluisteren

FREAK, dat staat voor Factoring attack on RSA-EXPORT Keys, stak eerder deze maand de kop weer op. Het FREAK-lek zit in SSL/TLS en zorgt ervoor dat de beveiligde communicatie van apparatuur onder Android en onder iOS en OS X in combinatie met bepaalde websites makkelijk afgeluisterd kan worden.

Het kon ontstaan doordat de regering Clinton in de jaren 90 bepaalde dat de sleutels voor alle Amerikaanse encryptieproducten die voor het buitenland bestemd waren, niet langer mochten zijn dan 512 K. Die versleuteling is tegenwoordig eenvoudig te kraken, maar veel apparatuur werkt nog steeds met deze sleutels.

Aanvallers kunnen met behulp van het lek het niveau van de encryptie van een versleutelde verbinding verlagen tot een zwakke versleuteling. Die kan veel makkelijker gekraakt worden.