Alexander Sotirov
Mehr Infos
- Bekannt für
- Heap Feng Shui, die aus einer MD5-Kollision gebaute Rogue-CA
Der Exploit-Forscher hinter Heap Feng Shui und der Rogue-Zertifizierungsstelle, die aus einer MD5-Kollision herbeigezaubert wurde.
2007 präsentierte Sotirov Heap Feng Shui: eine Methode, per JavaScript den Heap des Internet Explorer so präzise anzuordnen, dass sich ein ansonsten launischer Speicherfehler jedes Mal zuverlässig ausnutzen ließ. Im Jahr darauf zeigte er mit Mark Dowd, wie sich die Exploit-Schutzmechanismen des Browsers einen nach dem anderen umgehen lassen.
Im Dezember 2008 stand er auf dem Chaos Communication Congress neben Marc Stevens, Arjen Lenstra und anderen. Das Team hatte rund 200 PlayStation 3 eingesetzt, um eine MD5-Kollision zu berechnen und damit ein Zwischenzertifikat einer CA, dem jeder Browser vertraut. Die Zertifizierungsstellen ließen MD5 fast über Nacht fallen – die Demo erreichte, was ein Jahrzehnt der Warnungen nicht geschafft hatte.