OpenSSL es un paquete de herramientas y librerías criptográficas utilizado para establecer conexiones seguras entre cliente y servidor. Este paquete, gratuito y de código abierto, es utilizado en un gran número de proyectos y aplicaciones del día a día para garantizar la seguridad de los datos que enviamos a través de Internet y evitar que piratas informáticos puedan hacerse con ellos, sin embargo, para garantizar la máxima seguridad posible debemos asegurarnos de tener la herramienta totalmente actualizada, evitando así que piratas informáticos puedan hacerse con el control de nuestras conexiones y comprometer nuestra seguridad.
Los responsables de la herramienta de cifrado OpenSSL han liberado una nueva versión de la misma donde se solucionan dos fallos de seguridad detectados hace ya varios días.
Una vulnerabilidad importante y una de peligrosidad baja toman el control de OpenSSL
La primera de las vulnerabilidades, denominada como CVE-2016-0701 y que es de peligrosidad alta, afecta exclusivamente a OpenSSL 1.0.2 debida a la generación de parámetros Diffie-Hellman x9.42. Estos parámetros se calculan haciendo uso de números primos seguros para que fueran realmente fiables, sin embargo, según los responsables de OpenSSL es posible que la técnica utilizada no sea la más adecuada, viéndose obligados a actualizarla.
Este fallo de seguridad podría permitir a un atacante interceptar las negociaciones de las conexiones seguras haciendo uso del exponente, supuestamente privado, utilizado en ellas. Para evitar que esto ocurra, debemos cambiar manualmente en la configuración la opción SSL_OP_SINGLE_DH_USE, la cual obliga al algoritmo a utilizar exponentes Diffie Hellman diferentes en cada proceso de negociación, evitando que este pueda ser intercedido.
OpenSSL 1.0.2 ha habilitado dicha opción por defecto de manera que se solucione así el fallo de seguridad y no depende de los usuarios es habilitar la función. La versión 1.0.1 no está afectada por esta vulnerabilidad ya que no admite parámetros x9.42.
La segunda de las vulnerabilidades, CVE-2015-3197, es menos importante y peligrosa que la anterior, y afecta por igual tanto a la versión 1.0.1 como a la 1.0.2 de OpenSSL. Este fallo puede permitir la modificación no autorizada de las negociaciones con cifrados de cara a forzarlos a través de SSLv2 incluso aunque se hayan desactivado este protocolo.
Las nuevas versiones, 1.0.1r y 1.0.2f, también mejoran la seguridad de las conexiones reforzando los sistemas de mitigación frente a las técnicas Logjam que permiten reducir la seguridad de las conexiones TSL. Ahora, las negociaciones Diffie Hellman con TLS pueden ser de hasta 1024 bits, rechazando automáticamente todas aquellas inferiores a 768 bits. De esta manera se evita que la seguridad de estas negociaciones pueda romperse en un servidor vulnerable, algo que solo se ha visto en las conexiones débiles con algoritmos inferiores a 512 bits.
Podemos obtener más información sobre las vulnerabilidades y los cambios introducidos en las versiones anteriores desde el siguiente enlace.
Recordamos que el soporte para la versión 1.0.1 termina el próximo 31 de diciembre de 2016. A partir de dicha fecha no se publicará ningún parche de seguridad ni se corregirá ninguna vulnerabilidad descubierta a partir de entes, por lo que se recomienda actualizar a la versión más reciente, 1.0.2, lo antes posible.
Fuente:https://www.redeszone.net/
Entusiasta de la seguridad cibernética. Especialista en seguridad de la información, actualmente trabajando como especialista en infraestructura de riesgos e investigador.
Experiencia en procesos de riesgo y control, soporte de auditoría de seguridad, diseño y soporte de COB (continuidad del negocio), gestión de grupos de trabajo y estándares de seguridad de la información.
Envía tips de noticias a info@noticiasseguridad.com o www.instagram.com/iicsorg/.
También puedes encontrarnos en Telegram www.t.me/noticiasciberseguridad
