Nel corso della giornata di ieri alcuni ricercatori di sicurezza avrebbero confermato l'esistenza di una nuova vulnerabilità a carico dei protocolli crittografici SSL/TLS; questa problematica, denominata FREAK attack, potrebbe permettere ad utenti malintenzionati di intercettare connessioni (teoricamente sicure) tramite HTTPS fra client vulnerabili e server, fatto questo il processo di cifratura potrebbe essere alterato e decriptato.
Nello specifico, una connessione potrebbe essere considerata vulnerabile nel caso in cui il server accetti l'algoritmo di cifratura (CipherSuite) RSA_EXPORT e questo venga offerto a sua volta dal client, nello stesso modo sussisterebbe una condizione di pericolo nel caso in cui venga utilizzata una versione di OpenSSL esposta ad attacchi di tipo RSA-to-EXPORT_RSA downgrade e Brute-force decryption (CVE-2015-0204). Tra i dispositivi vulnerabili ve ne sarebbero alcuni equipaggiati con sistemi di Apple e Google, un buon numero di piattaforme embedded e svariate applicazioni.
Sostanzialmente sarebbe individuata una nuova falla che potrebbe semplificare l'esecuzione di attacchi di tipo Man In the Middle dove il cliente effettua una richiesta per un CipherSuite RSA standard, l'attaccante modifica tale messaggio richiedendo invece un export RSA, il server risponde fornendo una chiave RSA firmata a 512 bit, il client la accetta e l'utente malintenzionato ne sfrutta la debolezza per ottenere la chiave di decriptazione corrispondente. Acquisito l'accesso "in chiaro" alle comunicazioni, l'attaccante potrà anche modificarle tramite azioni di injection.
I siti Internet che attualmente supportano CipherSuites di tipo RSA_EXPORT, come per esempio TLS_RSA_EXPORT_WITH_DES40_CBC_SHA, sarebbero da ritenere a rischio; approssimativamente dovrebbe essere coinvolto poco meno del 10% delle risorse elencate nell'Alexa Top 1 Million Domains. A chi gestisce un Web server viene quindi consigliato di disabilitare il supporto per le export suites; per scoprire se un un sito Web è vulnerabile al FREAK Attack è possibile effettuare l'SSL Server Test fornito dagli SSL Labs, metre Mozilla offre un SSL Configuration Generator con cui ottenere un esempio di impostazione ideale.
Via FREAK Attack
