Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es

22/05/2015

Logjam, un nuevo golpe a la seguridad en las comunicaciones cifradas

Toda comunicación que se realiza por Internet y requiere ciertas condiciones de privacidad (desde leer nuestro correo a realizar transacciones bancarias) se debe realizar mediante un canal cifrado que garantice la seguridad de la información en tránsito. Para realizar este cifrado se utilizan ciertas tecnologías como OpenSSL.

Esta vulnerabilidad afecta tanto a los servidores como a los clientes por lo que se deben actualizar todos los navegadores Web (incluidos los de los dispositivos móviles), y los servidores deben actualizar la versión de la librería instalada.

Un grupo de investigadores han logrado un nuevo ataque, denominado Ataque Logjam, que degrada las conexiones TLS al uso de Diffie-Hellman en su versión "exportable"  y obtenido una "base de datos" de cálculos ya efectuados de los dos números primos más usados de 512 bits para esa versión de Diffie-Hellman. Lo que se traduce en la posibilidad de descifrar las conexiones cifradas con relativa comodidad.

Desde CSIRT-CV recomendamos las siguientes acciones:

• Si mantiene un servidor web o de correo, lo recomendable es deshabilitar el soporte para la exportación de suites de cifrado y generar un único grupo Diffie-Hellman de 2048 bits. Los investigadores de Logjam han publicado una guia con las instrucciones paso a paso a seguir para este caso Guide to Deploying Diffie-Hellman for TLS. Si utiliza SSH, deberá actualizar tanto sus instalaciones de cliente y servidor a la versión más reciente de OpenSSH, que prefiera un intercambio de claves Elliptic-Curve Diffie-Hellman.
• En el caso de los navegadores Web, Microsoft, Google, Mozilla o Apple, ya están trabajando para ofrecer nuevas versiones de sus navegadores web que corrijan la vulnerabilidad. Se recomienda aplicar las actualizaciones tan pronto como estén disponibles.
• Asegúrese también que cualquier librería TLS que use está actualizada, que los servidores usen primos mayores o iguales a 2014 bits , y que los clientes rechacen primos Diffie-Hellman más pequeños que 1024 bit.
• Puede testear si es vulnerable en la siguiente página.

CSIRT-CV