Un nou bug, numit Freak, ameninta securitatea online

Cercetatorii au descoperit zilele aceastea o noua bresa de securitate ce afecteaza, in general, utilizatorii de dispozitive Apple si Google, care, in mod normal, ar trebui sa le fie securizata conexiunea atunci cand acceseaza site-uri ce se presupun a fi sigure.

Vulnerabilitatea, cunoscuta sub numele de Freak ( Factoring attack on RSA-EXPORT Keys), dateaza de mai bine de un deceniu insa a fost descoperita doar in data de 3 martie 2015.

Ce este Freak?

Freak este cea mai recenta vulnerabilitate descoperita in protocoalele de criptare, folosite in mod normal pentru a cripta conexiunile online, cunoscute sub denumirea de SSL si TLS.

Vulnerabilitatea a fost gasita in mod special in OpenSSL, acelasi protocol care a fost in centrul controversei Heartbleed, anul trecut. Exploatat, bug-ul poate oferi acces hackerilor la informatii cu caracter personal, date de logare pe anumite conturi, inclusiv date bancare.

Cine l-a descoperit?

Freak, desi exista inca de prin anii ’90, a fost descoperit doar in 3 martie 2015, de cercetatorii de la institutul Francez de cercetare in calculatoare si automatica, Microsoft research si IMDEA.

De ce bug-ul a fost prezent atat de mult timp si nimeni nu a actionat?

Problema dateaza inca de la inceputul anilor ’90 cand guvernul Statelor Unite ale Americii  interzicea producatorilor de software sa exporte produse cu criptare puternica.

Concret, acest lucru insemna ca unele companii de software americane au exportat versiuni ale produselor lor cu criptare mai slaba, pentru utilizare externa. Insa, cand legea a fost schimbata si a devenit legal exportul de produse software cu criptare puternica, “vechile chei de criptare nu au fost eliminate din protocoalele de securitate SSL/TLS deoarece unele software-uri inca depindeau de acestea”, a declarat Ed Felten, profesor de informatica la Universitatea Princeton.

Cine este vulnerabil la bug-ul Freak?

Conform cercetatorilor, din punctul de vedere al utilizatorului, browserul Safari – atat web cat si pe dispozitivele mobile precum Iphone, Ipad si Mac – precum si toate versiunile Android. De asemenea, aplicatiile care utilizeaza o versiune de OpenSSL mai veche de 1.0.1k sunt si ele vulnerabile.

Chrome-ul pentru desktop, Internet Explorer Microsoft si Mozilla Firefox nu prezinta vulnerabilitati.

In ceea ce priveste partea de servere, potrivit cercetatorilor, s-ar parea ca doar 10% din site-uri, la nivel mondial, sunt vulnerabile. Acest procent este in continua scadere, demonstrand faptul ca proprietarii de site-uri isi remediaza problema.

Totusi, inca sunt multe site-uri vulnerabile bug-ului Freak, din domeniul bancar, media, guvernamental, printre care se numara website-ul American Express, hotelul Marriot, Business Insider, whitehouse.gov si lista continua.

Cum pot hackerii exploata bug-ul Freak?

Un hacker s-ar putea folosi de aceasta vulnerabilitate doar daca este conectat la aceeasi retea. Acesta i-ar permite sa intercepteze comunicara criptata dintre un dispozitiv vulnerabil si un site vulnerabil, sa vada continutul intr-un text simplu. Concret, acest lucru s-ar putea realiza prin accesarea site-urilor vulnerabile de pe un dispozitiv cu un browser vulnerabil la bug-ul Freak, conform celor enumerate. Ulterior, hackerii ar putea forta website-ul sa utilizeze vechea criptare, care nu mai este recunoscuta de dispozitivele si browserele moderne.

Ce spune Apple si Google despre Freak?

Compania Apple a raspuns imediat ce s-a aflat de bug-ul Freak, mentionand ca sunt constienti de aceasta problema si deja lucreaza intens pentru a o rezolva: ” Avem deja solutionarea, care va fi implementata in iOS si OS X in update-urile de soft saptamana viitoare“. Google a dezvoltat deja un patch si l-a trimis utilizatorilor pentru update pentru dispozitive si retele wireless.

Ar trebui sa nu mai folosesc dispozitivele de la Apple sau sistemul de operare Android?

Nu este necesara incetarea utilizarii dispozitivelor vulnerabile. Asa cum bug-ul a fost prezent timp de ani de zile, acum descoperit, ar trebui un efort destul de mare din partea hackerilor sa il exploateze. Pana atunci, cel mai probabil, problema va fi solutionata.

Totusi, cea mai simpla metoda de a te proteja este sa nu accesezi retele wireless publice, de unde sa intrii pe site-uri in care sa iti introduci date cu caracter personal si sa iti faci update de soft sau browser atunci cand Google si Apple vor trimite notificarile.

Lasa un mesaj