texto:   A-   A+
eliax

Rompen algoritmo SSL que da seguridad a páginas web
eliax id: 5985 josé elías en dic 30, 2008 a las 09:51 PM (21:51 horas)
Cuando uno visita una página web que requiere de nuestros credenciales o de transacciones seguras, uno espera ver el "candado digital" en el navegador de Internet que nos indica de manera visual que estamos conectados "de manera segura" al otro extremo de la página con la cual estamos interactuando.

Ese candado en realidad lo que quiere decir en términos técnicos es que tu navegador web está utilizando cifrado de datos con un algoritmo llamado SSL (Secure Sockets Layer) para crear un "túnel seguro" entre tu y la entidad del otro lado.

Sin embargo, entre los detalles técnicos que el usuario común nunca nota es que SSL funciona con algo llamado Certificados Digitales, y estos certificados vienen de muchos tipos, uno de ellos siendo del tipo generado por una Certificate Authority (CA) que es una de varias entidad conocidas por todos en Internet y en las cuales todos confían.

Pues sucede que un grupo de hackers acaba de romper el protocolo SSL al poder crear certificados digitales falsos (aprovechando una falla en el conocido algoritmo MD5) que hacen creer que el certificado de ellos pertenece a una CA, lo que significa que ya uno no puede estar seguro de que uno verdaderamente se está conectando a donde debe ser, o que sus datos no los ve nadie mas mientras transitan por Internet.

Lo interesante de esto es que para lograr esta hazaña los hackers utilizaron el poder de 200 PlayStation 3 unidos en red y trabajando en paralelo para "romper" a SSL.

¿Qué significa todo esto? Que obviamente cualquier entidad de crimen organizado por Internet puede muy fácilmente comprarse 200 PS3 y hacer lo mismo, por lo que necesitamos de un algoritmo mucho mas potente que la versión actual de SSL para protegernos un poco mas de hackers malignos. Eso obviamente hasta que lleguen las computadoras cuánticas, en cuyo momento vamos todos a tener que cambiar nuestra seguridad a un modelo cuántico. El viejo juego del gato y el ratón...

Nota: Aunque muchos usuarios del PS3 no lo saben, Sony permite que uno instale de manera legal otros sistemas operativos al PS3, coexistiendo con la consola de juegos. Hoy día hay guías para varias versiones de Linux, inclusive la mas reciente de Ubuntu Linux. Es con estos sistemas operativos, y el poder del chip Cell del PS3 (que está optimizado para el tipo de operaciones necesarias para estos hacks) que se logra esta hazaña.

Fuente de la noticia

autor: josé elías

Comentarios

  • Otra razon mas para seguir haciendo compras o transacciones solo en paginas reconocidas.

    • Je je. Justamente ahí viene la cosa: que romper el SSL permite suplantar las páginas "confiables" sin que el navegador lo detecte y avise que el certificado es falso.

      • Pues hay web que tienen a la vista el enlace real que no puede ser duplicable... tienes que verificar el nombre de la web

  • Antes de P o B va "M"... es ROMPEN Elías!!!

    saludos

  • ^^ en el teclado: "Al lado de M, está N"... es un error comun :P

    • Es verdad, por eso debería existir una versión de QWERTY con la V y la B separados la N y la M también jaja

  • Ya sabemos que poder de procesamiento necesitaron, ahora queremos saber cuanto tiempo les habra tomado hacerlo? :P.

  • Segun el articulo via computerworld mencionan que no es de esperarse un ataque de ese tipo en el mundo real.. por lo que podemos seguir usando ssl, obviamente esto sirve como advertencia que es hora de cambiar de algoritmo hash como los que hoy en dia se pueden ver..

    • pues esto no es del todo cierto, hay un ataque que se puede realizar a traves de redes locales como las que pueden existir en un sai o en nuestra casa (a traves de wireless) en el cual toman la ip de la victima y hacen que pase todos los paquetes de la victima a traves de del computador del atacante y con un programa especializado, cuando la victima se conecte al sitio(banco, correos, compras y demas) realmente le esta entregando los datos al atacante, de esta forma lo mejor es no realizar transacciones en sitios publicos y si lo va a hacer desde su casa desconectar el wireless ya que esta son facilmente hackeables aun teniendo clave

  • Solo son vulnerables los CA que aun utilizan MD5, pero la mayoria utiliza SHA-1 en vez de MD5 asi que no hay mucho de que preocuparse.

    Por cierto, SSL no ha sido roto, ni mucho menos, sino mas bien el uso de MD5 para firmar los certificados.

  • Segun la noticia original (Muy interesante por cierto), Les tomo a los 200 PS3 Juntos 18 horas producir las colisiones. ademas de 3-10 horas para sacar los IHV (Intermediate Hash Values) del Hash Md5.

    Ellos probaron con 3 colisiones, y la hicieron en 72 horas total.

    Por otro lado, como se dice en los comentarios anteriores, si bien es cierto que la mayoria de las CA's utlizan ya algoritmos como SHa-1, Sha-2 para firmar sus certificados, un gran porcentaje de CA, todavia lo hace usando el ya muy vulnerable MD5.

    En el articulo se comenta, que ellos consiguieron en la web en julio 2008, 100,000 Certificados digitales al azar, de los cuales 30,000 de estos eran reconocidos por Firefox como emitidos por Certificates Authority confiables.
    De estos 30,000 , 9,000 estaban firmados con MD5..

    Es decir un 30% de todos los certificados que recolectaron reconocidos por Firefox, eran vulnerables a ser rotos.

    Obviamente que esto no es tan sencillo como conseguir las colisiones de un X o Y hash MD5 (que ya de por si requiere acceso a numerosos recursos de computacion, conocimiento sobre el algoritmo, como producir las colisiones, etc etc, )
    Sino tambien que los Certificados tienen un timestamp cada uno y un periodo de validez X, y esto haria que el hash md5 resultante cambiase a su vez. Pero de que se pudiera predecir de que manera las CA van a ingresar estos cambios en la fecha y tiempo de emision, es totalmente posible. Como lo hicieron estos researchers.

    Ah, y aparte de eso habria que combinarlo con un attack de man in the middle o redireccionamiento hacia una web con fines no loables, para entonces hacer pasar el certificado falso como valido.

    En conclusion: Muy dificil que se aplicase hoy en dia, y que pueda representar un problema real de seguridad por el momento.

    Yo lo unico que pienso es, si estas gentes lo hicieron con 200 ps3, y un par de PC con QuadCores, Que pasaria si X organizacion de hackers, o X Pais, se arma con 2,000 ps3? 20,000? etc... hehe

    Solucion: dejar de usar por completo el MD5, y migrar hacia algunos algoritmos criptograficos mucho mas seguros.

    Sorry por el largo post.! :)

    • No creas que es tan dificil. El ataque de man-in-the-middle no es el único que se podría aprovechar. Una alternativa mucho más sencilla es atacar los servidores de nombres, (que todavía quedan muchos vulnerables). Otra aún más sencilla es distribuir un virus que añada una entrada en el archivo hosts, o que cambie los DNSs. Finalmente una bastante trivial es entrar a los millones de routers que hay en el mundo con su clave por defecto y cambiarles el DNS. De esa forma no hay ningún rastro en el PC del usuario y no hay que confiar en que use el sistema operativo colador (conocido también como windows).

      Cualquiera de estos sistemas permite redirigir una página web, por eso es que los certificados son tan importantes.

  • De esto saco 2 cosas.
    1° que se demuestra que la seguridad se tiene que seguir actualizando por muy segura que se crea que es.
    2° que los hackers de hoy quieren demostrar lo capaces que son, y no lo destructivos que dicen los demas que son.

  • Crakers, no Hackers.... Aunque aun no han robado nada ni han vendido la formula... espero que el romper el algoritmo sea con el objetivo de mejorarlo
    http://es.wikipedia.org/wiki/Hacker
    http://es.wikipedia.org/wiki/Cracker

  • Yo les recomiendo este otro sitio que me funciono mejor en 2 contraseñas que buscaba http://md5.unidadlocal.com
    espero les ayude como a mi

  • si es que hoy en dia nada es seguro ... al menos en informatica

Añadir Comentario

tu nombre
tu email
(opcional)
web personal
(opcional)
en respuesta a...
comentario de caracteres máximo
1 + 3 = requerido (control anti-SPAM)
 

"Palabras impactantes de una gran persona que trasciende a través de los años, educándonos, inspirándonos y haciéndonos mejores personas..."

por "Paul Merkt" en may 3, 2013


en camino a la singularidad...

©2005-2014 josé c. elías
todos los derechos reservados
como compartir los artículos de eliax