Según un estudio, cinco de las 17 autoridades de certificación son vulnerables a ataques de fragmentación de IP
Durante un reciente evento de ciberseguridad en Europa, el estado de la criptografía en la web fue un tema recurrente. Acorde a expertos en forense digital del Instituto Internacional de Seguridad Cibernética, es muy complicado para los hackers romper la criptografía de curva elíptica, aunque nuevos estudios afirman que sí serían capaces de alterar la percepción de confianza en las autoridades de certificación más utilizadas comercialmente.
Según Elias Heftrig, experto en forense digital del Instituto Fraunhofer para la Seguridad en Tecnologías de la Información, cinco de diecisiete autoridades de certificación son vulnerables a ataques de fragmentación de IP. Las autoridades de certificación que usan la Validación de Dominio (DV) para autenticar la propiedad del dominio fueron seleccionadas y analizadas para detectar esta clase de vulnerabilidades.
“Este ataque explota el envenenamiento de caché de DNS y engaña a la autoridad certificadora para que emita certificados fraudulentos para dominios que no pertenecen de forma legítima al atacante”, explicaron los investigadores.
Otro grupo de especialistas descubrió algunas deficiencias en las implementaciones de criptografía de curva elíptica en escenarios reales. Sin embargo, esta investigación no reveló nada lo suficientemente grave como para forzar a los usuarios a recurrir a criptografía más débil.
El hallazgo de estos expertos en forense digital provino de exploraciones pasivas de Internet para TLS en un gran número de puertos, así como Secure Shell (SSH) e IPsec, en una serie de pruebas diseñadas para medir el soporte de la curva elíptica y la conducta de la implementación.
Los investigadores Luke Valenta y Nick Sullivan también realizaron “mediciones activas para estimar la vulnerabilidad del servidor a ataques conocidos contra implementaciones de curvas elípticas, incluido el soporte para curvas débiles, ataques de curva inválida, y ataques de giro de curva”, mencionan sus reportes.
“Alrededor del 0.77% de los hosts HTTPS, el 0.04% de los hosts SSH y el 4.04% de los hosts IKEv2 que admiten curvas elípticas no realizan comprobaciones de validez de la curva como se especifica en los estándares de curva elíptica”, afirmaron los expertos. Estas vulnerabilidades cuentan con el potencial para ser utilizadas en ataques de degradación de parámetro de curva elíptica, conocido como CurveSwap. Aún así, al ponerse en práctica esta variante de ataque, los investigadores fueron incapaces de ejecutar las acciones maliciosas tal como se planteaban en teoría.
Valenta mencionó que existen otros métodos más fáciles en los que un Estado nación podría atacar un sistema que intentar degradar las conexiones de curvas elípticas. Además, el experto agregó que aún podría haber servidores mal configurados disponibles, por lo que la posibilidad de este ataque no debe quedar completamente descartada.
Después del escaneo, los investigadores procedieron a examinar el código fuente para las implementaciones de curvas elípticas, encontrando instancias en las que las bibliotecas no pueden realizar la validación de puntos para el cifrado web JSON, así como algunas deficiencias de codificación en los algoritmos de multiplicación.
No comments:
Post a Comment