skip to main | skip to sidebar
3 commenti

Falla DROWN, cosa c’è da sapere (niente panico)

Si sta facendo un gran parlare di DROWN, una vulnerabilità dei siti Web che viene spesso presentata con toni catastrofici. Ma se non siete gestori di un sito Web c’è poco da preoccuparsi.

Il nome della falla è un acronimo (sta per Decrypting RSA with Obsolete and Weakened eNcryption, ossia “decifrazione RSA tramite cifratura obsoleta e indebolita”): descrive un problema del protocollo di sicurezza TLS/SSL, che per intenderci è quello che fa comparire il lucchetto nei browser e protegge le comunicazioni della maggior parte dei servizi di webmail.

Il problema è che esiste una versione vecchia e indebolita di questo protocollo, la cosiddetta Export grade, imposta molti anni fa dal governo statunitense per consentire una protezione ragionevole delle comunicazioni che al tempo stesso consentisse alle agenzie di sicurezza di intercettare e decifrare il traffico di dati in caso di necessità. Ormai questa versione è obsoleta e decifrarla è abbastanza banale, ma molti siti non l’hanno mai disattivata, per cui è ancora sfruttabile per attacchi alle singole connessioni TLS.

Tuttavia la tecnica di attacco è talmente complessa da renderla poco praticabile, come spiegato in dettaglio da questo articolo tecnico, per cui non c’è molto da preoccuparsi: esistono altre forme d’intrusione molto più efficienti. Di fatto, però, questo problema è una dimostrazione perfetta della pericolosità delle richieste governative di creare passepartout o di indebolire i sistemi di protezione, come sta facendo per esempio l’FBI con Apple in questi giorni. Non si crea maggiore sicurezza indebolendo la sicurezza di tutti: un concetto ovvio che purtroppo sembra sfuggire a molti governanti.

Presso Test.drownattack.com potete verificare se un sito è vulnerabile a DROWN, ma attenzione: i risultati sono tratti da una lista precompilata che potrebbe non rispecchiare la situazione corrente del sito, che magari nel frattempo è stato aggiornato e corretto.
Invia un commento
I commenti non appaiono subito, devono essere tutti approvati da un moderatore. Lo so, è scomodo, ma è necessario per tenere lontani scocciatori, spammer, troll e stupidi: siate civili e verrete pubblicati qualunque sia la vostra opinione; gli incivili di qualsiasi orientamento non verranno pubblicati, se non per mostrare il loro squallore.
Inviando un commento date il vostro consenso alla sua pubblicazione, qui o altrove.
Maggiori informazioni riguardanti regole e utilizzo dei commenti sono reperibili nella sezione apposita.
NOTA BENE. L'area sottostante per l'invio dei commenti non è contenuta in questa pagina ma è un iframe, cioè una finestra su una pagina di Blogger esterna a questo blog. Ciò significa che dovete assicurarvi che non venga bloccata da estensioni del vostro browser (tipo quelle che eliminano le pubblicità) e/o da altri programmi di protezione antimalware (tipo Kaspersky). Inoltre è necessario che sia permesso accettare i cookie da terze parti (informativa sulla privacy a riguardo).
Commenti
Commenti (3)
Su github è disponibile uno script in python per fare una scansione vera ed in tempo reale dei socket ssl/tls potenzialmente vulnerabili: https://github.com/nimia/public_drown_scanner

È sufficiente lanciarlo con due argomenti: ip/host e porta

Ne suggerisco l'uso a tutti i sysadmin
@Paolo, di solito i tuoi articoli sono abbastanza accurati, ma questa volta .... :)
"Tuttavia la tecnica di attacco è talmente complessa da renderla poco praticabile,"quando il 25% dei top site ne ara affetto, in piu' dici " esistono altre forme d’intrusione molto più efficienti" . E quali sarebbero queste forme nel contesto HTTPS ?
Antonio,

è un articolo breve perché è a supporto di un intervento radiofonico (quello del Disinformatico di Retetre) e quindi non posso dilungarmi sui dettagli, specialmente se molto tecnici.

Ma in estrema sintesi: usare DROWN consente accesso a un _singolo_ flusso a fronte di un impegno di risorse tecniche molto notevole. Per contro, se uso social engineering o corrompo/seduco/minaccio un admin o gli frego le password, ho accesso a tutto in modo molto più semplice.

Esempio pratico: Hacking Team.