FREAK, una vulnerabilidad en las conexiones TLS/SSL de más de 10 años

Escrito por Rubén Velasco

Hace algunas horas, un grupo de investigadores de seguridad ha podido mostrar cómo era posible forzar a los navegadores web a utilizar el anterior cifrado vulnerable, convirtiéndose los usuarios en víctimas potenciales de posibles piratas informáticos que podrían llegar a robar todo tipo de información de los sistemas de sus víctimas tales como contraseñas o datos personales así como llevar a cabo otro tipo de ataques informáticos de mayor magnitud.

Esta vulnerabilidad, que lleva presente en los ordenadores más de 10 años, ha sido denominada como FREAK y permite a los usuarios de dispositivos de Google y de Apple ser víctimas de ataques informáticos cuando acceden a algunas webs determinadas que utilizan servidores y clientes TLS/SSL vulnerables para gestionar el cifrado de los certificados.

Estas páginas web contienen una vulnerabilidad en la gestión de los certificados que puede ser explotada para obligar a utilizar el certificado en modo “RSA_EXPORT“, técnica utilizada en 1990 para establecer las conexiones seguras, exponiendo la seguridad y la privacidad de los usuarios que se conecten a estas páginas web, incluso las que muestren el candado de seguridad HTTPS. Estas vulnerabilidades han sido detectadas en el cliente OpenSSL (en el caso de Android) y en el cliente TLS/SSL de Apple (que afecta en concreto a Safari) y permiten cambiar el tipo de cifrado por defecto de las conexiones, pudiendo ser utilizado con diferentes fines como por ejemplo tomar el control de los sistemas de las víctimas.

Este tipo de ataques similares al que permite FREAK, comúnmente conocidos como “man in the middle“, pueden ser lanzados por cualquier usuario con una conexión activa a Internet, incluidos piratas informáticos, gobiernos y usuarios sencillos conectados a una red pública como la de un aeropuerto.

vulnerabilidad cifrado freak foto

 

Cómo funciona la vulnerabilidad FREAK

El funcionamiento de esta vulnerabilidad puede resumirse en unos sencillos pasos:

  1. Un usuario envía un mensaje “hello” a una página web y solicita una conexión segura RSA convencional.
  2. El atacante modifica dicha petición para que la web devuelva una solicitud RSA_EXPORT.
  3. El servidor devuelve una clave RSA_EXPORT de 512 bits.
  4. El atacante acepta dicha clave y utiliza la vulnerabilidad para descifrar la clave privada del certificado.
  5. Cuando el cliente cifra los mensajes, el atacante los descifra y tiene acceso a ellos en texto plano pudiendo inyectar todo el tráfico que se desee.

Miles de páginas web que utilizan esta misma técnica de gestión de certificados digitales (un 36% del total de webs publicadas en Internet) son vulnerables a estos ataques, estando en peligro todos los usuarios que accedan a ellas. Una vez conocida la vulnerabilidad las empresas responsables están desarrollando parches para solucionar este fallo en su software (tanto para los navegadores como para los clientes TLS/SSL) que debería llegar pronto a todos los usuarios.

En la web principal de Freak Attack podemos ver una lista con los sitios web vulnerables detectados hasta ahora. La vulnerabilidad principal responsable de esto ha sido denominada como CVE-2.015-0204.

¿Qué opinas sobre esta vulnerabilidad? ¿Crees que se esconden más vulnerabilidades similares a FREAK por culpa de los estándares de la década pasada?

Fuente: Washington Post

Continúa leyendo
  • DeltaSolaris

    Acabo de comprobar mis navegadores y todos tienen esa vulnerabilidad y eso que tengo las últimas versiones de Explorer (11.0.9600.17633), Chrome (41.0.2272.76 m), Opera (27.0.1689.76) y Firefox (36.0). En todos me sale la ventana roja de la web de prueba.Tengo Windows 7 Ultimate x64. ¿Cómo es posible esto? ¿No debería estar solucionado en alguno?

    • Hola,

      A mí me dice esto: Good News! Your browser appears to be safe from the FREAK Attack! Uso Firefox 36 también.

    • Nova6K0

      En teoría ninguno debería ser vulnerable. no en vano Firefox 36 haciendo el test de navegador, te debe aparecer:

      Good News! Your browser appears to be safe from the FREAK Attack! y después abajo

      If you’re curious, your client currently offers the following cipher suites:

      Cipher suites:

      TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
      TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
      TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA
      TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA
      TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
      TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
      TLS_DHE_RSA_WITH_AES_128_CBC_SHA
      TLS_DHE_DSS_WITH_AES_128_CBC_SHA
      TLS_DHE_RSA_WITH_AES_256_CBC_SHA
      TLS_RSA_WITH_AES_128_CBC_SHA
      TLS_RSA_WITH_AES_256_CBC_SHA
      TLS_RSA_WITH_3DES_EDE_CBC_SHA

      Por cierto hay que aceptar Javascript para que funcione correctamente el test.

      Salu2

Últimos análisis

Valoración RZ
10
Valoración RZ
8
Valoración RZ
9
Valoración RZ
9
Valoración RZ
10
Valoración RZ
9
Valoración RZ
10
Valoración RZ
7