Android si iOS, vulnerabile la un atac prin care se poate intercepta traficul HTTPS

Un grup de cercetători din domeniul securităţii a anunţat descoperirea unei breşe deosebit de grave care permite interceptarea traficului securizat HTTPS. Această deficienţă are o vechime de aproape douăzeci de ani şi afectează milioane de site-uri şi foarte multe aplicaţii sau sisteme de operare, incluzând aici produsele bazate pe popularul motor de afişare WebKit precum iOS sau Android.

Această problemă s-a născut acum aproape două decenii, atunci când guvernul Statelor Unite a decis că eficienţa algoritmilor de criptare hardware sau software care sunt vânduţi dincolo de graniţele naţionale trebuie limitată la chei RSA pe 512 biţi. Suficient de puternică la acea dată deoarece şi puterea de calcul necesară decriptării nu era la îndemâna oricum, criptarea SSL care foloseşte chei RSA pe 512 biţi a devenit din ce în ce mai puţin sigură, însă guvernul american a înlăturat ulterior restricţiile comerciale în 1999 iar lucrurile părea să se rezolve de la sine. Spre surpriza tuturor, serverele şi platformele software care încă folosesc chei de criptare pe 512 biţi nu au dispărut de la sine, aşa cum s-a crezut, iar păstrarea acestei metode slabe de securizare a permis desfăşurarea unor atacuri care au rămas nedetectate foarte multă vreme.

Denumit FREAK, un acronim pentru Factoring attack on RSA-EXPORT Keys, acest atac poate fi iniţiat de către persoanele care deţin controlul asupra unui nod de reţea prin care trece şi traficul HTTPS vizat. Prin inserarea unor pachete special concepute în cadrul traficului dintre victimă şi un server, atacatorii pot forţa negocierea inferioarei criptări SSL pe 512 biţi, pot salva pachetele interceptate şi le pot decripta ulterior în câteva ore prin utilizarea unor sisteme de calcul puternice sau prin apelarea la serviciile online de procesare precum Amazon EC2.

În decursul ultimelor zile, grupul de cercetători care a anunţat această breşă de securitate a scanat circa 16 milioane de site-uri şi a descoperit că 36 de procente dintre acestea sunt vulnerabile. Printre site-urile afectate se numără instituţii bancare, de cercetare sau chiar agenţii naţionale precum NSA, FBI sau Casa Albă. Pe lista clienţilor afectaţi se numără aplicaţiile care folosesc versiuni mai vechi de OpenSSL şi, mai grav, platformele software Android, iOS şi OS X. Conform unor rapoarte neverificate, pe lista produselor vulnerabile figurează şi alte platforme care folosesc motorul de afişare WebKit, cum ar fi BlackBerry OS, dar şi browsere care folosesc alte motoare de afişare, cum ar fi de pildă Internet Explorer 11 din Windows 10 technical Preview.

Platformele Android, iOS şi OS X sunt însă în mod cert vulnerabile, primele două cumulând o cota de piaţă de 95 de procente şi afectând astfel un număr foarte mare de utilizatori. Apple a anunţat că va lansa actualizări pentru platformele iOS şi OS X în cursul săptămânii viitoare, iar Google a anunţat că a trimis deja către integratori o versiune nouă de cod care repară această breşă. În cazul serviciilor Web, administratorii vor trebui doar să dezactiveze compatibilitatea cu cheile RSA pe 512 biţi şi să actualizeze extensia OpenSSL folosită.

Update: Microsoft a descoperit că şi produsele sale sunt vulnerabile la atacul FREAK, problema afectând implementările SSL/TLS din toate versiunile sistemului de operare Windows.