Internet está en alerta máxima tras el descubrimiento de ocho certificados TLS comprometidos vinculados a una vulnerabilidad crítica en la biblioteca de criptografía OpenSSL. Conocida como Heartbleed, la falla permitió a los hackers descifrar intercambios protegidos y robar claves privadas, cookies de sesión y contraseñas.
Los ataques afectaron a miles de servidores, incluidos los de grandes corporaciones y agencias gubernamentales. La recuperación fue un proceso de años que incluyó parchear OpenSSL, reemitir millones de claves TLS, revocar certificados, rotar contraseñas y actualizar sistemas embebidos.
Las claves comprometidas de eMudhra eran defectuosas en un grado extremo. Mientras que una clave privada estándar NIST P-384 contiene 384 bits de entropía, estas claves iban de solo 3 a 8 bits. Los ingenieros encontraron claves con valores de entropía de 4, 56, 66, 115, 155, 156, 230 y 237 bits, muy por debajo de los umbrales de seguridad aceptables.
«Esto no debería ser posible», afirmó Valsorda, sugiriendo que una interfaz peligrosa de generación de claves pudo haber tenido su parámetro de tamaño configurado por error en 1. Ben Cartwright-Cox, de BGP.tools, especuló que código de ejemplo pudo haberse filtrado accidentalmente a producción, y calificó el descuido de «absurdo». El incidente pone de relieve los riesgos continuos en la implementación criptográfica y la supervisión de sistemas.
Fuente: Ars Technica · Resumido por HeadlinesBriefing