|
Controlado desde el
19/10/97 por NedStat
Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro
visitante número desde
el 12 de agosto de 1996
| Ataques a certificación HTTPS en Internet Explorer | ||
|---|---|---|
VSantivirus No. 536 - Año 6 - Miércoles 26 diciembre de 2001 Ataques a certificación HTTPS en Internet Explorer Aviso de seguridad: Ataques a certificación HTTPS en Internet Explorer Nombre original: Internet Explorer HTTPS certificate attack Fecha original: 22/dic/01 Autor/descubridor: Stefan Esser [s.esser@e-matters.de] Aplicación vulnerable: Microsoft Internet Explorer 5.0, 5.5 y 6.0 Severidad: Permite ataques a la autentificación SSL Riesgo: Muy alto Fabricante: Microsoft (avisado) Referencia: http://security.e-matters.de/advisories/012001.html Existe una falla en Internet Explorer que puede permitir un ataque a través del SSL (Secure Socket Layer). SSL es una tecnología que utiliza criptografía para cifrar los datos que se intercambian con un servidor seguro. En una explicación sumamente básica, se trata de un mecanismo para transferir datos en forma segura a través de una red. Esto permite por ejemplo, el manejo de cuentas bancarias a través de Internet, sin el temor de poner en peligro la información confidencial que manejamos. Los sitios que utilizan SSL se identifican como HTTPS://, en lugar del tradicional HTTP://. Los paquetes de datos transmitidos bajo SSL, son encriptados, y además se agregan mecanismos para corroborar en todos los pasos, su autenticidad, advirtiéndose cualquier caso en que pudieran haber sido alterados durante su envío. Sin embargo, desde hace un tiempo, se conoce una técnica que tira por tierra la seguridad del SSL, aunque no es fácil de implementar. Para corroborar la autenticidad de los sitios y los usuarios que acceden a ellos, se utilizan certificados que deben ser instalados en nuestra computadora. Por ejemplo, si manejamos una cuenta bancaria vía Web, en algún momento la institución bancaria nos remitió un certificado que nos permite actuar en nuestra cuenta. La tarea fundamental de esta certificación, es demostrar que quienes se conectan (cliente y servidor), son quienes dicen ser, y además se implementa una codificación única entre ambos. Esto mismo puede hacerse para cualquier otra acción que requiera esta autentificación, como por ejemplo, hacer pagos con tarjeta de crédito, envío de información confidencial, etc. Sin embargo, si se logra falsificar dichos certificados se podría tomar el control de la cuenta. Un método, llamado "el hombre del medio" (SSL MIM attacks, MIM por Man-In-The-Middle), puede permitir "secuestrar" una conexión para remitir el certificado falso sin el conocimiento de la víctima. También logra engañar al cliente para que este crea ver el certificado que está esperando, y que además suponga que proviene del verdadero servidor seguro. Existe una falla en la manera que el Internet Explorer examina los objetos HTTPS embebidos dentro de páginas HTTP normales, en una etiqueta del tipo <img src=XXXXX width=1 height=1>. De este modo, un atacante, o un troyano, podrían agregar una línea como esta a cada página descargada desde un sitio HTTPS://, logrando un certificado legítimo, pero robado.
Según los tests realizados por quienes revelaron la falla, el IE solo comprueba si el certificado correspondiente a ese servidor HTTPS está firmado correctamente, pero ignora detalles como fecha de expiración y si ha sido asignado al nombre correcto. Esto no es un problema, si consideramos que un objeto HTTPS dentro de una página HTTP no es considerado seguro. |
||
