Seguridad

Trabajadores de Google descubren nueva vulnerabilidad crítica en SSL 3.0

mobile-security
Escrito por Elías Notario

Bodo Moller, Thai Duong y Krzysztof Kotowicz, tres ingenieros de Google, han descubierto un grave fallo de seguridad en el la versión 3.0 del protocolo criptográfico SSL el cual han bautizado como POODLE

Hace más o menos una semana un nuevo rumor comenzó a correr como la pólvora entre la comunidad de expertos en seguridad informática: el protocolo criptográfico SSL en su versión 3.0 tendría grave fallo de seguridad no reportado hasta la fecha. Pues bien, el rumor era cierto, ya que la gente de Google lo ha confirmado al publicar una nota donde han proporcionado todos los detalles sobre la vulnerabilidad, que tres de sus propios ingenieros han descubierto y bautizado con el nombre de POODLE, siglas de Padding Oracle on Downgraded Legacy Encryption.

En esta ocasión, y sin entrar en galimatías técnicos, el problema se encuentra en los sistemas de cifrado utilizados por SSL 3.0 ya que los tres mentados ingenieros, Bodo Moller, Thai Duong y Krzysztof Kotowicz, han dado con una fórmula para comprometerlos (vulnerabilidad POODLE), lo que a su vez, en determinados entornos, permite secuestrar y hacer legibles datos cifrados bajo una sesión SSL (por ejemplo las cookies de sesión de servicios, gracias a lo cual posteriormente sería posible que el atacante tomara el control de esos servicios sin necesidad de contraseña).

“Va, pero a mí me han dicho que ya prácticamente ningún navegador web ni servidor usa SSL 3.0”, quizá esté pensando alguno. Y estaría en lo cierto, pero sólo a medias, porque aunque ciertamente en la actualidad los browsers y servidores tienen activados por defecto otros protocolos criptográficos (alguna de las versiones de TLS), resulta que la mayoría siguen siendo compatibles con SSL 3.0 y muchos incorporan un sistema que, ante fallos de conexión, vuelven a intentar conectar utilizando protocolos criptográficos más antiguos, SSL 3.0 entre ellos (vamos, que el chico malo de turno podría provocar fallos en las conexiones con el objetivo de forzar el uso del protocolo SSL 3.0, el vulnerable).

Que no cunda el pánico

Ahora bien, a pesar de eso último, y de que la vulnerabilidad es crítica, hay que dejar claro que no estamos ante algo tan grave como los recientes fallos de seguridad Heartbleed o Shellshock (según profesionales varios, sobre este último además se exageró bastante en diversos medios).

No lo decimos nosotros, es lo que mantienen los que saben de estos temas. Por ejemplo, Rob Graham, CEO de la empresa de auditorias de seguridad Errata Security, explicó a Wired que para aprovechar POODLE se debe estar ejecutando javascript y el atacante tiene que encontrarse en la misma red que las víctimas (en la wifi pública de una gran superficie mismamente), y por su parte la gente de Security By Default, publicación especializada en seguridad, ha comentado: “Cabe señalar que esto no supone, per se, que alguien pueda acceder directamente al tráfico SSL de un PC contra una web, es necesario un escenario de tipo MitM para poder acceder a los datos”.

Más o menos grave, lo que sí está claro es que POODLE supone un golpe duro a SSL 3.0, que seguramente provocará su desaparición definitiva (Google ha anunciado que en los próximos meses eliminarán por completo el soporte a SSL 3.0, Mozilla lo desactivará por defecto en Firefox 34, compañías como CloudFlare también lo han desactivado ya…). Y está bien, porque hablamos de un protocolo que tiene 15 años de antigüedad, que en términos totales muy pocos usuarios de la red usan, y para el que hay alternativas de más calidad (el TLS que decíamos antes).

Sobre el autor de este artículo

Elías Notario

Redactor especializado en tecnología e Internet, ahora por @eldiarioes y @ticbeat. Cofundador de la tienda online de regalos desdegaiaconamor.com