Un estudio realizado por FireEye revela que cientos
de aplicaciones iOS y Android siguen siendo vulnerables ante la vulnerabilidad
FREAK.
El
ataque FREAK puede permitir a un atacante interceptar las comunicaciones https
entre cliente y servidor y obligarlos a renegociar la conexión segura y hacer
que ambos usen un cifrado débil, y de esa forma capturar dicho tráfico y
descifrarlo. Para que un ataque FREAK tenga éxito, tanto cliente como servidor
han de aceptar y ofrecer respectivamente un conjunto de cifrados RSA_EXPORT.
Para llevar a cabo el estudio,
FireEye ha analizado aplicaciones populares para iOS y Android con más de un
millón de descargas: 10.985 para el sistema operativo de Google y 14.079 para
la de Apple. Las aplicaciones analizadas incluyen tiendas online, de foto y
video, redes sociales, productividad, finanzas o médicas.
Para la plataforma del robot
verde el estudio desvela que 1.228 aplicaciones de las analizadas (un 11,2%)
son vulnerables a ataques FREAK porque usan una librería OpenSSL vulnerable al
conectar a servidores HTTPS vulnerables. También distingue que 664 de ellas
usan la librería OpenSSL incluida en Android mientras que las otras 564
incluyen su propia compilación de la librería OpenSSL. Estas 1.228 aplicaciones
se han descargado 6.300 millones de veces.
Por la otra parte, para la
plataforma de la manzana 771 de las aplicaciones analizadas (un 5,5%) se
conectan a servidores HTTPS vulnerables. Estas aplicaciones resultan vulnerables
a ataques FREAK en versiones de iOS inferiores a la 8.2, sin embargo señalan
que 7 de las 771 apps incluyen su propia versión vulnerable de OpenSSL y aun
con iOS 8.2 seguirían siendo vulnerables.
Un atacante podría lanzar un
ataque FREAK mediante técnicas de hombre en el medio ("man-in-the-middle") para
interceptar y modificar el tráfico entre la aplicación móvil y el servidor.
Para ello, el atacante puede emplear técnicas bien conocidas, como suplantación
ARP ("ARP spoofing") o
secuestro DNS ("DNS hijacking").
Tampoco es necesario romper el cifrado en tiempo real, el atacante podrá grabar
el tráfico de red con cifrado débil, para descifrarlo posteriormente con
tranquilidad. El atacante podría acceder a cualquier información enviada entre
la aplicación y el servidor, como credenciales de acceso, datos de tarjetas de
crédito o información sensible de cualquier tipo.
Más información:
FREAK Out on Mobile
una-al-dia (03/03/2015) FREAK, un
nuevo ataque a SSL/TLS
Antonio Ropero
No hay comentarios:
Publicar un comentario