- Los resultados
- ¿Qué tienen que decir los expertos?
- ¿Qué puedes hacer?
Si pensabas que tus datos estaban seguros, piénsalo de nuevo. Debido a que, según estudios académicos, se descubrió que debido a la vulnerabilidad TLS 1.3, los piratas informáticos ahora pueden acceder a un canal seguro y pueden recolectar datos con fines maliciosos.
El trabajo de investigación fue publicado por la Universidad de Tel Aviv, la Universidad de Adelaida y la Universidad de Michigan, así como por el Instituto Weizmann. Además, NCC Group y Data61 también han concluido hallazgos similares.
Los resultados
El ataque es una versión modificada del ataque real del oráculo de Bleichenbacher que en el pasado fue capaz de decodificar un mensaje cifrado RSA utilizando la criptografía de clave pública.
Sin embargo, esta nueva ola busca trabajar contra el TLS 1.3, que es la última versión entre los protocolos TLS. Las autoridades creían que era seguro, pero aparentemente no lo es, ¡y eso es alarmante!
Dado que TLS 1.3 no admite el intercambio de claves RSA, los investigadores pensaron que era mejor proceder con la versión anterior, es decir, TLS 1.2 para evaluar el ataque.
Como resultado, las mitigaciones de degradación, como un lado del servidor y el lado de dos clientes que evita el ataque de degradación. Concluyendo así, que si hubiera claves RSA más grandes, estos ataques podrían haberse evitado y también, el tiempo de espera del apretón de manos se habría acortado.
Se estudiaron nueve implementaciones de TLS diferentes; OpenSSL, Amazon s2n, MbedTLS, Apple CoreTLS, Mozilla NSS, WolfSSL y GnuTLS, de los cuales BearSSL y BoringSSL de Google estaban a salvo. Todos los demás permanecieron vulnerables.
¿Qué tienen que decir los expertos?
En cuanto a la cantidad de ataques, Broderick Perelli-Harris, director sénior de Venafi, cree que han estado apareciendo desde 1988 bajo variaciones de Bleichenbacher. Por lo tanto, no es sorprendente que TLS 1.3 también sea vulnerable.
Jake Moore, especialista en ciberseguridad de ESET UK, opina que el ataque de naturaleza criptográfica no es el primero y no será el último de su tipo. También es de la opinión de que es similar al juego de Whac-A-Mole: cada vez que se aplica una solución de seguridad, aparece otra.
¿Qué puedes hacer?
En general, la falla está en la composición original del protocolo de cifrado TLS. Pero por el momento, debido al diseño del protocolo, el parcheo es el único camino a seguir.
¿Qué puedes hacer para protegerte mientras tanto? Emplee la autenticación de dos factores (2FA), mantenga actualizado su software, como antimalware / antivirus, establezca contraseñas más seguras y un servicio VPN decente como Ivacy.
