Thai Duong y Juliano Rizzo, el famoso dúo que publico anteriormente el crypto-ataque padding oracle que afectaba a millones de aplicaciones ASP.NET, vuelven ahora a la carga con una vulnerabilidad en TLS 1.0 que podría permitir a un atacante capturar y descifrar los datos transmitidos por HTTPS entre un servidor web y la víctima. Este viernes, durante la séptima edición de la Ekoparty en Buenos Aires, ambos investigadores presentarán BEAST (Browser Exploit Against SSL / TLS), un exploit formado por código Javascript y un sniffer de red que captura y desencripta los tokens de autenticación o las cookies de un usuario que accede a un sitio web seguro. Concretamente y según Duong, la PoC consistirá en descifrar una cookie de autenticación usada para acceder a una cuenta de Paypal.
Por lo tanto, la única manera de estar totalmente seguro, será desactivar TLS 1.0, SSL 2.0 e incluso SSL 3, y usar las versiones 1.1. y 1.2 de TLS. El problema es que muchos navegadores y sitios web todavía no los soportan y tendremos entonces ¡una vulnerabilidad que afectará a millones de sitios web!
Habrá que estar atentos a la presentación de estos dos cracks y a su nuevo fast block-
Comentarios
Publicar un comentario