A internet está em alerta máximo após a descoberta de oito certificados TLS comprometidos ligados a uma vulnerabilidade crítica na biblioteca de criptografia OpenSSL. Conhecida como Heartbleed, a falha permitiu que hackers descriptografassem trocas protegidas e roubassem chaves privadas, cookies de sessão e senhas.
Os ataques afetaram milhares de servidores, incluindo os de grandes corporações e agências governamentais. A recuperação foi um processo de anos, envolvendo a correção do OpenSSL, a reemissão de milhões de chaves TLS, a revogação de certificados, a troca de senhas e a atualização de sistemas embarcados.
As chaves comprometidas da eMudhra eram defeituosas em nível extremo. Enquanto uma chave privada padrão NIST P-384 contém 384 bits de entropia, estas tinham entre 3 e 8 bits. Engenheiros encontraram chaves com valores de entropia de 4, 56, 66, 115, 155, 156, 230 e 237 bits, muito abaixo dos limites aceitáveis de segurança.
"Isso não deveria ser possível", disse Valsorda, sugerindo que uma interface perigosa de geração de chaves pode ter tido seu parâmetro de tamanho definido por engano como 1. Ben Cartwright-Cox, do BGP.tools, especulou que código de exemplo pode ter vazado acidentalmente para produção, chamando a falha de "absurda". O incidente destaca os riscos contínuos na implementação criptográfica e na supervisão de sistemas.
Fonte: Ars Technica · Resumido por HeadlinesBriefing