Cada vez son más las webs que utilizan algoritmos de cifrado HTTPS para proteger las conexiones de red. Aunque ver el candado de color verde en una web suele darnos cierta confianza es posible que a nivel interno existan vulnerabilidades que podrían comprometer tanto nuestros datos como la información propia del servidor. Un investigador de seguridad de Red Hat advierte en un fallo de programación que afecta a varias piezas de hardware de red que hace que el estándar de cifrado no se aplique correctamente, dando lugar a una fuga de datos privados entre los que cabe destacar las claves privadas de un sitio HTTPS.
El fallo de seguridad se encuentra en la capa de transporte. Este investigador de seguridad ha sido capaz de conseguir 272 claves durante los 9 meses de su investigación. Entre todo el hardware de red vulnerable caben destacar los balanceadores de carga fabricados por la empresa Citrix, así como otro tipo de dispositivos de varias marcas como Alteon, Viprinet, QNO, ZyXEL, BEJY y Fortinet, entre otros.
El fallo de seguridad se produce gracias a lo que se conoce como el «teorema chino del resto«, en el que al calcular una firma RSA pueden ocurrir errores aleatorios. Uno de estos errores puede llevar a un malentendido entre el cliente y el servidor aplicando así el «protocolo de confidencialidad directa perfecta» que se utiliza para recuperar la clave privada mediante un ataque de canal lateral.
Cuando un atacante consigue la clave privada de un sitio HTTPS vulnerable puede utilizarla posteriormente para hacerse pasar por él suplantando su firma. De esta manera una página web maliciosa, por ejemplo, podría hacerse pasar por una legítima para llevar a cabo diferentes tipos de ataques informáticos contra los usuarios e incluso para distribuir software malicioso mientras que los visitantes piensan que se encuentran en una web fiable.
Esta vulnerabilidad ha sido catalogada como CVE-2015-5738 y, aunque explotarla es casi cosa del azar, ya ha empezado a ser solucionada por muchos fabricantes.
No se puede explotar este fallo de seguridad ni conseguir claves privadas HTTPS a voluntad
Los investigadores de seguridad aseguran que aunque se trata de un fallo grave no puede explotarse a voluntad. Es decir, un pirata informático no puede robar las claves privadas de un sitio web concreto para suplantar su identidad, sino que se deben cumplir varias condiciones para permitir el ataque.
Las probabilidades de encontrarse con un sitio web vulnerable son realmente bajas, llegando a ser comparadas por el investigador de seguridad como las probabilidades de resultar ganador del premio gordo de la lotería. Como ya hemos dicho, para poder engañar al servidor y conseguir las claves privadas es necesario que el software lo permita, que se utilice hardware vulnerable y que no existen contramedidas que frenen estas fugas de datos.
El investigador de seguridad ha podido comprobar como algunos fabricantes ya han empezado a actualizar el firmware de sus equipos para evitar que esta vulnerabilidad siga afectando a sus equipos, por lo que los administradores de redes deben actualizarlos lo antes posible, e incluso plantearse la posibilidad de cambiar sus equipos de red, para evitar que la fuga de datos siga siendo posible.
¿Crees que los culpables de la mayoría de los fallos de seguridad de hoy en día son los fabricantes?
Quizá te interese: