Nuova falla di sicurezza (già risolta) in OpenSSL

Nuova falla di sicurezza (già risolta) in OpenSSL

Una grave falla di sicurezza, sebbene a bassa incidenza, è stata risolta in OpenSSL: permetteva di recuperare la chiave di cifratura di comunicazioni sicure

di Andrea Bai pubblicata il , alle 11:31 nel canale Sicurezza
 

Il team di supporto della libreria OpenSSL ha risolto una vulnerabilità particolarmente grave che può consentire ad un attaccante di ottenere la chiave di cifratura per decriptare le comunicazioni sicure in HTTPS o in altri canali TLS.

Sebbene la falla di per sé sia piuttosto grave, è opportuno sottolineare che essa può essere sfruttata solamente quando una serie di condizioni concorrenti sono soddisfatte contemporaneamente. Anzitutto la vulnerabilità interessa solo la versione 1.0.2 di OpenSSL, in secondo luogo le applicazioni che si affidano ad essa devono usare algoritmi di firma digitale basate sul sistema Diffie-Hellman.

Accade infatti che di default i server che fanno uso di questa tecnica vanno ad usare il medesimo esponente Diffe-Hellman privato per la durata del processo sul server stesso, rendendoli vulnerabili ad un attatto key-recovery. Fortunatamente non sono molte le applicazioni che si affidano a OpenSSL e usano la tecnica Diffie-Hellman.

Quando però le condizioni vengono soddisfatte, gli attaccanti possono inviare un gran numero di richieste handshake ad un sistema vulnerabile: quando un numero sufficiente di calcoli sono stati completati, l'attaccante può ottenere valori segreti parziali che possono essere ricombinati tramite il metodo del teorema cinese del resto per riuscire a dedurre la chiave di cifratura.

Antonio Sanso, ricercatore di sicurezza per Adobe Systems, ha scoperto la vulnerabilità lo scorso 12 gennaio e ha notificato immediatamente la cosa al team di supporto di OpenSSL. Maggiori dettagli sono disponibili in questo post di Sanso e una serie di dettagli sono stati inoltre precisati dal team di OpenSSL, che avverte inoltre che il fix può compromettere le prestazioni.

Nei mesi passati un'altra vulnerabilità aveva colpito OpenSSL e, nello specifico, proprio la tecnica Diffie-Hellman: si trattava Logjam, della quale abbiamo parlato in questa notizia.

0 Commenti
Gli autori dei commenti, e non la redazione, sono responsabili dei contenuti da loro inseriti - info

Devi effettuare il login per poter commentare
Se non sei ancora registrato, puoi farlo attraverso questo form.
Se sei già registrato e loggato nel sito, puoi inserire il tuo commento.
Si tenga presente quanto letto nel regolamento, nel rispetto del "quieto vivere".

La discussione è consultabile anche qui, sul forum.
 
^