Ataque Freak: agujero de seguridad en Android y Apple

Millones de personas de todo el mundo podrían haber sido vulnerables a los hackers mientras se navega por la web en dispositivos Google Android y Apple, en este segundo caso tanto en iOS como en Mac OS X, debido a un grave fallo de seguridad descubierto recientemente conocido como "ataque FREAK", según informa el periódico The Guardian.

FREAK ("Factoring en RSA-exportación Keys") afecta tanto al protocolo Secure Sockets Layer (SSL), como a su sucesor Transport Layer Security (TTL), y puede permitir a un atacante interceptar el tráfico “supuestamente” cifrado, mientras se mueve entre clientes y servidores.

Este fallo de seguridad afecta tanto a sitios web ­–incluyendo algunos de los más populares del mundo, así como agencias de gobierno e incluso sites operadorados por American Express o Visa- así como los iPhone, iPad y ordenadores Mac que incluyen el navegador Safari de Apple, y el navegador web incluido por defecto en todas las versiones de Android, además de todas las aplicaciones que utilicen una versión de OpenSSL antes de la 1.0.1. La notificación de este grave fallo de seguridad se realizó de forma privada hace ya algunas semanas.

No existen evidencia hasta ahora de que los hackers han explotado la debilidad, aunque es muy probable.

De momento, parece que las empresas implicadas se están moviendo rápidamente para este "ataque Freak" lo antes posible. Portavoces de Apple indicaron que las actualizaciones de software para iOS y OS X estarán listas la próxima semana, y Google parece haber distribuido ya un parche para que sus socios protegerán sus conexiones con dispositivos Android.

Los investigadores atribuyen el problema a las políticas del gobierno americano a principios de 1990, que prohibían a los fabricantes de software de EE.UU. el envío de productos con cifrado de alta seguridad al extranjero para preservar la seguridad nacional.

Las claves de cifrada pueden ser reveladas mediante la realización de un ataque ‘man-in-the-middle’ que interfiere los paquetes de la conexión cifrada.

Si ésta es una clave débil con cifrado de 512 bits puede ser revelada ‘fácilmente’ utilizando los potentes ordenadores de hoy en día, algo que se consideraba imposible con la tecnología de hace 25 años.

Fuente: The Guardian