Acesso a bancos portugueses e estrangeiros em risco
A segurança perfeita é um mito…já dizia o ditado! Nos dias de hoje, a segurança de muitos sites (especialmente de homebanking, ou compras online) passa pelo uso do protocolo SSL (Secure Sockets Layer), que permite (permitia) a integridade e confidencialidade dos dados que são passados entre o cliente e o servidor.
Segundo informações disponíveis no site The Register, os investigadores tailandeses Thai Duong e Juliano Rizzo conseguiram pela primeira vez, quebrar o, até agora inquebrável, protocolo SSL e assim decifrar a informação que é passada ponto a ponto (entre o cliente e o servidor).
A noticia é preocupante e alarmante mas a descoberta levada a cabo pelo grupo de investigadores apenas põe em causa a segurança as versões 1.0 e anteriores do TLS (Transport Layer Security) – o sucessor do SSL. Até ao momento não há qualquer informação sobre vulnerabilidades que afectem a versão 1.1 ou 1.2 do TLS.
A demonstração de tal feito ocorrerá na conferência Ekoparty , que se realizará em Buenos Aires no final desta semana. Thai Duong e Juliano Rizzo irão apresentar o exploit que usaram para conseguir derrubar o SSL e ao qual deram o nome de BEAST. O exploit foi programado em JavaScript e funciona como um snifer, tendo a capacidade de decifrar a informação. Segundo os autores, o exploit funciona também em sites que usam HSTS (HTTP Strict Transport Security – ver aqui).
Duong referiu que a demo que irão apresentar na conferência Ekoparty, consistirá na decifragem de um cookie de autenticação, utilizado no serviço Paypal.
Mas o que é o SSL?
SSL é um protocolo criptográfico baseado em cifras assimétricas que providencia segurança e integridade dos dados transmitidos em redes como a Internet. Este protocolo ajuda a prevenir que entre as duas extremidades da comunicação não exista nenhum acesso indevido ou falsifiquem os dados transmitidos, ou seja, apenas o emissor e o receptor podem ver a informação da mensagem transmitida. Existem várias aplicações para este protocolo, como por exemplo o comércio electrónico, servidores Web, servidores FTP, etc.Para identificar facilmente se estão a visualizar um site seguro basta verificar no URL que em vez de estar o normal http:// se encontra https://. Saber mais aqui