Hace unos días se descubrió la vulnerabilidad #Heatbleed de OpenSS el cual fue publicado aquí en el blog. Este fallo en la implementación de Heartbeat, una funcionalidad añadida a TLS/DTLS para refrescar una sesión segura sin necesidad de renegociar, permite leer partes de la memoria del proceso hasta 64kB. ¿Qué significa ésto? que cualquier persona en cualquier lugar del mundo y sin dejar casi huella puede obtener las sesiones de cualquier usuario autenticado en un servidor que corra OpenSSL 1.0.1 o posterior (hasta 1.0.1g), es decir, millones de servidores a los que accedemos mediante HTTPS son vulnerables.
Por eso la vulnerabilidad CVE-2014-0160 bautizada como Heartbleed (corazón sangrante) es ya considerada como uno de los mayores fallos de seguridad en Internet conocidos hasta la fecha.
El viernes CloudFlare anunció un desafío para robar su clave privada de un servidor nginx con OpenSSL vulnerable a Heartbleed. Pocas horas después, dos personas resolvieron el reto demostrando que efectivamente es probable robar claves privadas de los servidores afectados.
Previamente, CloudFlare en un extenso post, había explicado cómo habian configurado sus servidores y, luego de muchos experimentos prácticos, habían llegado a la conclusión que robar las claves privadas del certificado SSL explotando Heartbleed era extremadamente dificil, pero no imposible. Por eso lanzaron este desafio a la comunidad.
La primera presentación válida fue recibida a las 16:22 por un investigador que envió al menos 2,5 millones de solicitudes en el transcurso del día. El segundo fue presentado en 17:12 que envió alrededor de 100 mil solicitudes en el mismo período de tiempo. Luego del éxito del experimento CloudFlare ha revocado el certificado digital utilizado en el desafio, mostrando también cómo reaccionan los distintos navegadores, ante un certificado revocado.
Previamente, CloudFlare en un extenso post, había explicado cómo habian configurado sus servidores y, luego de muchos experimentos prácticos, habían llegado a la conclusión que robar las claves privadas del certificado SSL explotando Heartbleed era extremadamente dificil, pero no imposible. Por eso lanzaron este desafio a la comunidad.
La primera presentación válida fue recibida a las 16:22 por un investigador que envió al menos 2,5 millones de solicitudes en el transcurso del día. El segundo fue presentado en 17:12 que envió alrededor de 100 mil solicitudes en el mismo período de tiempo. Luego del éxito del experimento CloudFlare ha revocado el certificado digital utilizado en el desafio, mostrando también cómo reaccionan los distintos navegadores, ante un certificado revocado.
Con esto se confirma que se puede utiliza el exploit de Heartbleed para obtener la clave privada. Este resultado nos recuerda que no se debe subestimar el poder de la multitud y hace hincapié en el peligro planteado por esta vulnerabilidad.
+ información: http://luissubiabre.wordpress.com/2014/04/08/openssl-heartbleed-vulenerabilidad/
Leer más: Segu-Info: Confirmado: #HeartBleed puede utilizarse para robar claves privadas (parchea y revoca tus certificados!) http://blog.segu-info.com.ar/2014/04/confirmado-heartbleed-se-puede-utilizar.html#ixzz2yoYN6kY7
0 comentarios:
Publicar un comentario