Explicamos el otro día que las conexiones HTTPS aportan un extra de seguridad a las conexiones, pero ojo, no son infalibles.
Los grandes de internet: atacados
Hace un par de días, Jacob Appelbaum, creador del interesante proyecto de anonimato online TOR e investigador de seguridad, denunciaba que había descubierto un ataque MAN-IN-THE-MIDDLE que había afectado afectaba a grandes compañias como Google o Yahoo. Mediante un falso certificado, un servidor iraní estaba recibiendo las claves privadas que encriptan las contraseñas, así como el resto de paquetes por lo que podría extraerlas.
El ataque fue solventado sin ser hecho público, mediante actualizaciones en los principales navegadores para que no aceptaran esos certificados.
Luz y taquígrafos
COMODO, empresa dedicada a servicios de seguridad informática (antivirus, firewalls) y proveedor de certificaciones SSL, el certificador suplantado, al parecer desde un servidor iraní, publicó información sobre el ataque sufrido el día 15 de marzo mediante un post en su blog (accesible aquí). 8 días después del ataque.
El HTTPS no es infalible
El hecho de que los navegadores tengan listas de certificados no autorizados es evidencia de que estos ataques se producen continuamente.
Sin embargo el modo de atajarlos es ciertamente preocupante, ya que dependen de una actualización del navegador por parte del usuario, actualización que no es forzada en ningún caso sino meramente recomendable. Es decir, los usuarios pueden quedar expuestos durante mucho tiempo.
Parece que el método de listas de certificados revocados, que en todo caso deberán haber sido incluidas en una actualización del software, como si fuera un error del mismo en lugar de un ataque, no convence a los expertos en seguridad. De hecho, si el cracker esta capturando los paquetes del usuario, en todos los navegadores recibe las claves privadas.Es decir, los ataque dirigidos (al contrario de los aleatorios y en cualquier caso los más peligrosos) no se evitan con estas técnicas.
La proliferación de Certificadores no ayuda, The EFF SSL Observatory ha denunciado la existencia de 650 certificadores sospechosos autorizados por Microsoft y Mozilla.
El principal problema y puede que la solución es que los certificados tienen largas vigencias (1 año o más). Si esta fuera de unos pocos días se minimizarían los riesgos a cambio de una pequeña molestia al usuario (aceptación de certificados). Así que el panorama esta avocado al cambio, o eso espero.
Para saber más:
No hay comentarios:
Publicar un comentario