* A támadás a [TLS(http://en.wikipedia.org/wiki/Transport_Layer_Security) protokoll 1.0-s változatának egy hibáját használja ki. (A TLS az SSL újabb elnevezése, így én időnként felváltva használom ezeket az elnevezéseket.) Csak a protokoll 1.0-s változat ellen működik a támadás, bár vannak már frissebb, 1.1-es és 1.2-es változatai is.

(Kérdés, hogy a protokoll tervezői tudtak-e a hibáról, és tudatosan javították-e ki a hibát az 1.1-es és 1.2-es változatban, vagy csak véletlenül oldódott meg a probléma.)

* A böngészők szinte kivétel nélkül csak a protokoll 1.0-s változatát támogatják. Van olyan böngésző, ami támogatja ugyan a magasabb (pl. 1.2-es verziót), de alapértelmezetten nem.

* A támadás segítségével a TLS-en forgalmazott információt lehet _visszafejteni_, azaz a támadás a bizalmasságot érinti, a hitelességet nem. Eszerint nem lehet észrevétlenül beszúrni információt az adatforgalomba, és nem tudja kiadni magát a támadó egy másik weboldalnak.

* A támadás "plaintext attack(http://en.wikipedia.org/wiki/Chosen-plaintext_attack)", azaz akkor működik, ha az áldozat a támadó által meghatározott csomagokat küldi el a hálózaton. A támadó ezek titkosított változatát lehallgatva jut hozzá olyan információhoz, amely segíti a további üzenetek visszafejtésében.

* A TLS kommunikáció visszafejtése néhány perc alatt történik, azaz majdnem online.

A támadás ennyi alapján elég nagy durranásnak tűnik, de lehet, hogy az derül majd ki róla, hogy csak spec. körülmények között működik. Ha mégsem, akkor sem várom, hogy ettől dől össze az internetes kommunikáció biztonsága. Egy adott protokoll egy adott változatában (és nem is a legfrissebben) találtak hibát, valószínűleg nem a fő alapelveit kezdték ki. Igaz, a hiba javítása okoz majd némi felfordulást. Schneier azt szokta mondani, hogy szerinte az SSL/TLS a leggyengébb pontja az internetes biztonságnak(http://www.schneier.com/crypto-gram-0303.html#3), a támadók többnyire nem a hálózaton utazó hitelkártyaszámokat kapják el (mert az macerás), hanem sokkal egyszerűbb nekik feltörni a szervereket, ahol a hitelkártyaszámok (gyakran) ott figyelnek egy csomagban. (Igaz, a lehallgatásra is vannak már egyszerűen használható [eszközök](http://codebutler.github.com/firesheep/).)

Lényeges, hogy a fentiek az eddig megjelent hírekre alapuló spekulációk, biztosat akkor fogunk tudni, ha a támadás részleteit is publikálják. Ha lesz több információ, írni fogok róla. :)

Itt egy arról, hogy hogyan működhet a támadás(http://practicalcrypto.blogspot.com/2011/09/brief-diversion-beast-attack-on-tlsssl.html).