Alexander Sotirov
Mais informações
- Conhecido por
- Heap Feng Shui, a CA falsa criada a partir de uma colisão de MD5
O pesquisador de exploits por trás do Heap Feng Shui e da autoridade certificadora falsa tirada da cartola a partir de uma colisão de MD5.
Em 2007, Sotirov apresentou o Heap Feng Shui: uma forma de usar JavaScript para organizar o heap do Internet Explorer com tanta precisão que uma falha de memória instável passava a ser explorável todas as vezes. No ano seguinte, ele e Mark Dowd mostraram como as mitigações de exploits do navegador podiam ser contornadas uma a uma.
Em dezembro de 2008, subiu ao palco do Chaos Communication Congress ao lado de Marc Stevens, Arjen Lenstra e outros. A equipe havia usado cerca de 200 PlayStation 3 para calcular uma colisão de MD5 e, com ela, um certificado intermediário de CA em que todos os navegadores confiavam. As autoridades certificadoras abandonaram o MD5 quase da noite para o dia — a demonstração conseguiu o que uma década de alertas não tinha conseguido.