Falsa sensación de seguridad con Opera 8 beta 3

Falsa sensación de seguridad con Opera 8 beta 3
	VSantivirus No. 1743 Año 9, viernes 15 de abril de 2005 Falsa sensación de seguridad con Opera 8 beta 3 http://www.vsantivirus.com/vul-bugtraq-13176.htm Por Angela Ruiz angela@videosoft.net.uy Se ha reportado que Opera 8 posee un error de diseño que puede ocasionar una falsa sensación de seguridad. El problema se produce en una nueva característica de seguridad disponible en Opera versión 8 beta 3. La misma despliega el nombre de la organización derivado de un certificado SSL, cuando se navega por un sitio seguro. Opera y otros navegadores, han comenzado a agregar a sus productos ciertas características que permiten a un usuario medio reconocer más fácilmente cuando está navegando por un sitio seguro, y evitar caer en la trampa de un pirata informático que utilice técnicas de phishing (hacer creer que se está en un sitio verdadero, cuando en realidad el sitio es falso). Sin embargo, existen errores en esta implementación, como por ejemplo, mostrar el nombre de la organización contenido en un certificado SSL. Como este nombre no ha sido pensado para ser único y puede ser fácilmente obtenido y tergiversado, características de seguridad que se basen en ello (como lo hace Opera en este caso), en lugar de evitar los ataques de phishing, aumenta las posibilidades de engaño, cimentadas por el hecho de que el usuario cree estar seguro al visitar un determinado sitio. Existe una prueba de concepto en el siguiente enlace: http://www.geotrust.com/resources/advisory/sslorg/index.htm SSL (Secure Socket Layer) - Es una tecnología que utiliza criptografía para cifrar los datos que se intercambian con un servidor seguro. Software vulnerable: - Opera Software Opera Web Browser 8 Beta 3 Solución: No existe una solución para este problema. Se recomienda no confiar en enlaces no solicitados, aún cuando los mismos parezcan llevarlo a un sitio seguro. Referencias: Identificado en BugTraq como ID 13176 Opera SSL Security Feature Design Error Vulnerability http://www.securityfocus.com/bid/13176/ VULNERABILITY OF FIRST-GENERATION DIGITAL CERTIFICATES Rev 1.1 http://www.geotrust.com/resources/advisory/sslorg/sslorg-advisory.htm Créditos: GeoTrust, http://www.geotrust.com (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com