Los usuarios de las últimas versiones macOS 10.12 y iOS 10 están en peligro cuando navegan por Internet a través del protocolo HTTPS. Un investigador de seguridad ha descubierto que las últimas versiones de estos sistemas operativos de Apple no realizan adecuadamente el proceso de validación de OCSP, por lo que un atacante podría hacerles un Man In The Middle y robar toda la información que supuestamente va cifrada.
¿Qué es la validación OSCP?
Online Certificate Status Protocol, o más conocido como OCSP, es un método para determinar el estado de un certificado digital X.509 que se usa habitualmente en Internet. Gracias a este protocolo OCSP, se puede verificar si un certificado está vigente y si es válido, sin necesidad de usar las CRL (Lista de Revocación de Certificados). OCSP es una parte fundamental del protocolo TLS y HTTPS, ya que si un cliente no es capaz de verificar un certificado, un posible atacante podría interceptar las comunicaciones utilizando un certificado digital auto-firmado por él mismo.
Cuando se despliega una PKI (Infraestructura de Clave Pública) es fundamental la validación de los certificados mediante OCSP, porque este protocolo nos proporciona una información más adecuada y actualizada que las CRL. OCSP elimina la necesidad de que los clientes tengan que obtener y procesar las CRL, ahorrando recursos, pero también permite realizar peticiones encadenadas a las diferentes PKI para comprobar un determinado certificado.
El grave fallo de seguridad en los sistemas de Apple
Las últimas versiones de sus sistemas operativos podrían permitir a un atacante enviar OCSP Requests de hasta 200KB en nombre de la víctima, todo ello durante un ataque Man In The Middle realizado por el cibercriminal. La implementación del SecureTransport de Apple confía y comprueba las URL OCSP sin verificar la CA (Autoridad de Certificación), ni tampoco el CN (Common Name). De esta forma, si un atacante auto-firma un certificado digital podría crear una enorme lista de URL’s para «comprobar» creando un gran tráfico en la red antes de que el usuario se dé cuenta de que ese certificado no es válido.
Otro ataque que un cibercriminal podría realizar es una denegación de servicio, cada handshake podría hacer que se enviaran cientos de OCSP Request de hasta 200KB cada una, el sistema operativo de la víctima intentaría comprobar y gestionar miles de respuestas e incluso podría afectar a un tercero sin saberlo, además de consumir un gran ancho de banda en la red.
Apple aún no ha solucionado este fallo, podéis ver toda la información en 0day.today donde está una prueba de concepto de este exploit.
