Tag Archive for openssl

Ataque de inyección CCS con MITM en OpenSSL (CVE-2014-0224)

Todavía no nos hemos recuperado del susto del Heartbleed cuando aparece una nueva vulnerabilidad crítica en OpenSSL (CVE-2014-0224). Parece que se está poniendo de moda las vulnerabilidades en las librerías de cifrado. En este caso se trata de combinar un ataque de Man-in-the-Middle (MITM) con una inyección de paquetes CCS para renegociar los atributos de seguridad de la conexión segura.

openssl-logo

Bien es cierto que para que el ataque tenga éxito, tanto el cliente como el servidor han de ser vulnerables. Parece ser que todos los clientes OpenSSL son vulnerables, y los servidores los de la versión 1.0.1, además el atacante tiene que estar en disposición de poder hacer un MITM. Hoy en día con las redes WiFi disponibles en bares, restaurantes, hoteles o aeropuertos esto es más probable que hace 10 años.

¿Cómo se realizaría el ataque?

Las sesiones SSL/TLS se inician con los mensajes de ClientHello y ServerHello desde ambos lados de la conexión, similar al handsake en las conexiones TCP/IP. Durante esta parte del protocolo se negocian los atributos de la sesión como por ejemplo las claves de cifrado o protocolo de cifrado.

Read more

Fallo de seguridad muy grave en OpenSSL

Tras mucho tiempo sin aparecer por aquí debido a temas ajenos a la Seguridad Informática, sentía la obligación de postear esta noticia que sin duda es muy transcendental en el mundo de Internet.

Si no conocéis qué es OpenSSL, es una especie de almacen criptográfico que se utiliza en la mayoría de tráfico que se envía a través de Internet. Es usado para asegurar la información. Y es de código abierto.

Ayer mismo se descubrió este grave bug, y lo más sorprendente es que lleva dos años existiendo, sin ser conocido, claro está.

Lo denonimanos grave porque cualquier internauta del mundo se ha podido ver afectado, a nivel de credenciales y privacidad.

Los descubridores denoniman a este grave fallo como Heartbleed. Este fallo en resumidas cuentas lo que permite hacer es, burlar a un sistema que utilice OpenSSL para que muestre información que está alojada en el sistema. Y sistemas que tengan OpenSSL de hace dos años.

¿Y qué peligro tiene esto?

Pues se puede usar para recuperar claves privadas con las que son cifrados los datos teniendo por tanto acceso a información supuestamente cifrada.

Lo más sorprendente de esta vulnerabilidad es que lleva “oculta” desde Diciembre de 2011. Desde la versión 1.0.1 hasta la actual 1.0.1f publicada en enero de este mismo año. Y por supuesto la implantación a nivel mundial de OpenSSL muy usado como ya hemos dicho anteriormente.

heartbleed_openssl

Para los más “novatos” en el tema podemos tomar un claro ejemplo citado en otras redes como redeszone.net, es el siguiente:

Un ejemplo de la envergadura de esta vulnerabilidad es, por ejemplo, que el servidor web Apache, utilizado por aproximadamente el 50% de las páginas web a nivel mundial, utiliza OpenSSL, por lo que todo el tráfico que se genere en ellos quedará vulnerable.

Pronto habrá más noticias.

Un saludo a todos.