371meneos
Cómo unos hackers rompieron la seguridad del SSL usando 200 PS3
hackaday.com/2008/12/30/25c3-hackers-completely-break-ssl-us... por thombjork el 30-12-2008 19:29 UTC, publicado el 30-12-2008 22:30 UTC
[c&p] Interesante historia sobre uno de los más comunes sistemas de seguridad web. El sistema que rompieron es el SSL (Secure Sockets Layer, Protocolo de Capa de Conexión Segura) más comúnmente conocido como «el candado de las páginas web de Internet» (pues se usa como parte del protocolo HTTPS). Lo que usaron fue una capacidad de análisis impresionante, diversas técnicas ingeniosas y la potencia de 200 PlayStation 3 [...] [Eng] Vía MIcrosiervos
Simplemente han puesto en práctica este paper que he indicado, y decir que el 95% de los certificados usados actualmente tienen como mínimo un cifrado de SHA-1 y a nadie en su sano jucio se le ocurriría usar MD5. Decir que se estima que a medio plazo SHA-1 podría ser vulnerable pero a día de hoy se sigue considerando seguro.
PD: ¡Eso pasa por dejar que escriban noticias de informática los intrusos sin título!
</bait>
www.win.tue.nl/hashclash/rogue-ca/ [Eng]
Lo malo de conseguir crear certificados falsos es que si "okupan" el nombe de dominio de, por ejemplo, un banco, pueden suplantar absolutamente todo, hasta la autenticacion de usuarios sin que nadie note nada raro., eh jodido.
Ah, no, que son 200...XD
Viva las dimensiones de los campos de futbol y peliculas/segundo xD
La noticia noe s que se rompio MD5, lo que se logro fue efectivamente, romper el SSL, mas especificamente el PKI (public key infraestructure) por su link mas debil. Con esto se pueden hacer pasar por un CA (certificate authority) y crear certificados SSL que seran aceptados por todos los navegadores, ya que los navegadores confian por default en los CA. Esto afecta solamente a los certificados creados con MD5, de los cuales hay muchos en el mercado, aunque ciertamente no la mayoria.
El asunto es ahora, o revocan los certificados anteriores, o se reemplazan los certificados actuales emitidos con MD5.
Microsoft ya respondio diciendo que no pasa nada, que no hay que alarmarse.
<shameless plug>
www.masio.com.mx/https-y-ssl-ya-no-pueden-ser-considerados-seguros/
</shameless plug>
La busqueda la organiza una universidad austríaca. Para los que quieran ceder parte de sus ciclos de máquina libres al proyecto:
www.kriptopolis.org/boinc
Si se consigue siempre podrás decir que participaste en la ruptura del SHA1, que eso los viernes por la noche en el bar mola mucho y ligas montón :D
Impresionante trabajo, sobre todo porque se podrían haber forrado con la tecnología desarrollada y pagado las ps3 en medio mañana. Está bien saber que los "cientificos locos" usan sus poderes para el bien.
Lo peor no es que hayan creado un certificado falso que se traga un navegador, lo peor es que la gran mayoría de usuarios no saben para que sirve e ignoran las advertencias del navegador cuando los certificados están caducados. Resultado: Que en vez de entrar en la web www.banco.com entran en www.banc0.com y luego pasa lo que pasa.
Tendria que hackear los móviles y la propia web.
Básicamente han puesto en marcha de toda una colección de procesadores, ya de por sí muy potentes, a trabajar en paralelo, para generar certificados falsos en 1-2 días. Todo esto, basándose en una CA que emite certificados con el serial y el timestamp predecibles.
En resumen, un entorno demasiado controlado como para asegurar que se ha roto SSL.
Bonito juguete el cluster ese de todas formas:D
Aunque pensandolo mejor, ¿Internet ha sido alguna vez seguro?,¿o es todo una ilusión?.
Respecto a la seguridad que te ofrece md5 para comparar las contraseñas de login sigue siendo realmente alta. ¿por que? porque para poder generar una secuencia que al hacerle el md5sum sea equivalente a la que genera el password original necesitas obtener el fichero donde se almacenan estos md5 o tener acceso a la base de datos donde estan almacenados. Solo el administrador del sistema o de la base de datos podria acceder a él (siempre y cuando el sistema este bien configurado).