Aggiornato il: 20-02-2020 22:59
Alcuni ricercatori informatici hanno presentato due nuove tecniche per sfruttare una falla su HTTPS, in modo da decriptare il contenuto del cookie di autenticazione dell’utente. Si tratta di due tecniche che permettono mediante campionamento di leggere i dati riservati contenuti nei famosi “biscottini” (per la cronaca di natura tecnica, in questo caso); lo standard SSL si sta quindi rivelando quasi obsoleto, e dovrà per forza di cose limitare questo genere di attacchi fornendo nuovo supporto software ed aggiornamenti.
L’attacco più rischioso per gli utenti comuni, di fatto, riguarda una falla in RC4, l’algoritmo di cifratura tra i più utilizzato in ambito di implementazioni di HTTPS, largamente utilizzato (secondo alcune stime) nel 50% dei casi pratici. Il team di ricercatori della University of London, con l’ausilio di quella dell’Illinois-Chicago, ha scoperto la possibilità di manipolare parte del flusso informatico di RC4, in modo da svelare come testo in chiaro (plaintext) parte del contenuto del messaggio.
Campionando un buon numero di dati criptati, è possibile quindi operare il reverse engineering del sistema. Nello specifico, la generazione pseudo-casuale dei numeri utilizzati per rendere sicura la comunicazione sembrerebbe essere prevedibile dall’esterno, e la scoperta riguarda proprio questa possibilità : finora solo teorica, adesso purtroppo anche pratica.
Viene infatti riportato l’esempio di Gmail, che utilizza attivamente questo algoritmo e che (come probabilmente avviene in molti altri casi) riutilizza lo stesso cookie più volte, ogni volta che ci connettiamo alla webmail, ad esempio. Proprio questo meccanismo di rinegoziazione sarebbe alla base di una potenziale raccolta dati da parte di un attaccante, che può quindi sfruttare a proprio vantaggio il flusso informativo per sottrarre trasparentemente informazioni riservate dalla mail della vittima.
In questi termini, conviene quantomeno utilizzare sempre l’autenticazione a due fattori per proteggere il proprio account da eventuali furti di password, e rigenerare periodicamente il cookie svuotando la cache e la cronologia del browser. (fonte: cryptographyengineering.com)
