El 7 de Abril sera el día en que Internet recordara por haberse masificado una nueva vulnerabilidad en OpenSSL, la implementación más popular del estándar TLS. Es importante destacar que el bug no se encuentra en el protocolo en si mismo sino en la implementación, lo cual es uno de los problemas más comunes en lo que a criptografía se refiere.
Su original nombre, Heartbleed, surgió de un juego de palabras de la extensión en la que se encontró el bug, llamada Heartbeat. La funcionalidad Heartbeat de TLS/DTLS, permite mantener viva una sesión sin que sea necesario renegociar parámetros de cifrado y funciona mediante el envío de mensajes entre cliente y servidor.
Pero las vulnerabilidades acechan incluso al más potente de los programas, y el candado de tu navegador no es inmune a los fallos, pues Heartbleed permite que alguien pueda engañar el candado y leer todo lo que transita por él. En otras palabras, cualquiera que sepa cómo engañarlo podría leer tus datos.
Para realizar el ataque, se debe construir un requerimiento de heartbeat malformado de forma tal que provoque la lectura de la memoria remotamente, en base a la falta de verificación de cierta variable. Técnicamente, afecta a la función dtls1_process_heartbeat de ssl/di_both.c, donde no se realiza la validación correcta de la estructura ssl3_record_st, que entonces puede ser manipulada maliciosamente. Si bien sólo es posible leer un máximo de 64 kb, si se renegocia la conexión reiteradamente se pueden obtener nuevos fragmentos. Según esto, se lo puede clasificar como una falla de buffer over-read, que es cuando un programa permite leer más datos de los que debería permitir.
La gravedad del asunto radica especialmente en que realizando pedidos de a 64kb sería posible obtener los datos correspondientes a la clave privada del servidor (o del cliente) y otros datos sensibles. Si a esto le sumamos que OpenSSL masivamente es utilizado y presente en las dos terceras partes de los servidores web de Internet, estamos antes un escenario de un nivel de riesgo dantesco que no se repetirá por mucho tiempo.
Una de las formas en las que puedes saber si la pagina que usas es vulnerable en Heartbleed Test, y haz el test esta y si por al caso te sale vulnerable lo mejor es que la dejes de visitar por algún momento.
Debe estar conectado para enviar un comentario.