Se avete letto dello scandalo DigiNotar, sappiate che non è finita: il mondo dell’HTTPS trema di nuovo, dopo le ultime rivelazioni di Juliano Rizzo e Thai Duong, due ricercatori che spiegano come sia in atto un attacco, chiamato BEAST, ai danni del protocollo per la cifratura delle comunicazioni più utilizzato in rete.
Secondo quanto rilevato dai due studiosi, la vulnerabilità va a colpire il TLS (Transport Layer Security) 1.0, ovvero il successore dell’SSL (Secure Sockets Layer), utilizzato in larga misura su siti finanziari come quelli delle banche, oltre che su quelli di aziende come Google, Facebook, Twitter e così via.
“Spiegheremo un’applicazione dell’attacco che permette di decifrare con piena efficienza i messaggi e ottenere i token di autenticazione, nonché i cookie di richieste svolte sotto HTTPS – sostengono Rizzo e Duong – Il nostro exploit fa abuso di una vulnerabilità presente nell’implementazione SSL/TLS della maggior parte dei browser al momento in cui scriviamo”.
BEAST agisce sostanzialmente in questo modo: sul browser dell’utente viene fatto girare un codice Javascript che coopera con un apposito sniffer progettato per monitorare le comunicazioni dello stesso navigatore.
In questo modo diventa semplice rubare un cookie di autenticazione all’utente. Il tutto nel tempo (stimato) di dieci minuti.
L’attacco è stato monitorato e descritto più da vicino da Karsten Nohl, ricercatore di sicurezza dell’Università della Virginia, il quale ha individuato due livelli su cui BLEAST agisce e colpisce l’utente:
- Il TLS viene attaccato su due fronti: la crittoanalisi e l’attacco lato client. Quest’ultimo viene portato avanti nei confronti dell’utente, di fatto andando a spezzare un assunto: il computer non si auto-attacca da solo.
- L’utente è in qualche modo costretto a fidarsi del suo browser per navigare, nonostante questo abbia inevitabilmente delle vulnerabilità.
I grandi gruppi della rete si sono già espressi in queste ore sull’argomento, a cominciare da Mozilla, dove spiegano: “Stiamo lavorando per individuare l’effettiva severità della minaccia e sviluppare una fix per i nostri utenti”.
“Riiteniamo che questa minaccia presenti rischi moderati per i nostri clienti e la Rete Internet stessa”, sostiene Microsoft. “Il supporto per il Transport Layer Security (TLS) esiste nel sistema operativo e viene chiamato da Internet Explorer. Windows 7 e WIndows Server 2008-R2 – quindi tutte le versioni di IE su tali piattaforme – supportano il TLS v1.1 e 1.2, benché questi non siano abilitati per default”.
I nomi più attesi, Google e Apple, per ora non hanno rilasciato dichiarazioni ufficiali.
