Logran crackear el código de seguridad SSL

Publicado en Ciencia y Tecnología, Noticias,


Tweet about this on TwitterShare on Google+3Share on Facebook0Share on LinkedIn0

¿Tienes correo electrónico de Gmail? ¿Cuenta en Facebook? ¿Compras en Amazon? Todos estos sitios y muchos más emplean un código de seguridad denominado SSL para cifrar los datos que otorgan seguridad a las cuentas de sus usuarios. Un código que se creía inviolable hasta que ha sido recientemente crackeado provocando el consiguiente riesgo en la invulnerabilidad de la gran cantidad de webs que utilizan dicho código. Y aún hay más.

Thai Duong y Juliano Rizzo son los responsables de haber vencido las resistencias del código SSL (Secure Socket Layer, capa de conexiones seguras), demostrando en primer lugar cómo podían superar la seguridad de PayPal.

De este modo el secreto de los datos que intercambiamos en Internet los usuarios con los proveedores que nos facilita correo electrónico, acceso a redes sociales o transacciones comerciales queda en entredicho. Al parecer el problema tiene que ver con la nueva generación de SSL, denominada TLS 1.0 (Transport Layer Security) y que tendría una vulnerabilidad que permite este acceso no autorizado a los datos protegidos.

El problema se complica porque TLS 1.1 y 1.2 no son compatibles con ningún navegador actualmente y los sitios web no quieren actualizar desde 1.0 para no perder a sus visitantes. Duong y Rizzo han logrado colarse por esa brecha merced a un código que han bautizado como BEAST (bestia), acrónimo de Browser Exploit Against SSL/TLS. Su código al principio era capaz de superar la seguridad HTTPS en una media hora para cookies de autenticación como los que emplea PayPal, aunque actualmente han logrado reducir ese tiempo a 10 minutos. Los autores presentarán el ataque y la herramienta en Ekoparty 2011.

El tema central es: TLS 1.0 se ha dicho que era vulnerable por mucho tiempo, pero recién ahora lo prueban de forma práctica. Ya existen TLS 1.1 y TLS 1.2 que no adolecen de esos problemas. De modo que la tecnología para solucionar el problema ya existe. Pero hay que implementarla. Ver más en: http://en.wikipedia.org/wiki/Transport_Layer_Security

Parece que habrá que esperar para conocer los detalles, las (posibles?) mitigaciones y las soluciones que deberán surgir. El tema pasa no por solucionar el problema en TLS 1.0, sino que los sitios web y navegadores deben abandonar el TLS 1.0 vulnerable y migrar a 1.1 o 1.2.

Fuente

Califica esta entrada

Etiquetas: , , ,


Deja un comentario

Cuanto es 21 + 5 ?
Please leave these two fields as-is:
IMPORTANTE! Necesitas resolver la operación matemática para poder continuar.

Newsletter

Redes sociales

Centro de soporte

Centro de recursos