Confirmado: #HeartBleed puede utilizarse para robar claves privadas (parchea y revoca tus certificados!)
El viernes CloudFlare anunció un desafío para robar su clave privada de un servidor nginx con OpenSSL vulnerable a Heartbleed. Pocas horas después, dos personas resolvieron el reto demostrando que efectivamente es probable robar claves privadas de los servidores afectados.
Previamente, CloudFlare en un extenso post, había explicado cómo habian configurado sus servidores y, luego de muchos experimentos prácticos, habían llegado a la conclusión que robar las claves privadas del certificado SSL explotando Heartbleed era extremadamente dificil, pero no imposible. Por eso lanzaron este desafio a la comunidad.
La primera presentación válida fue recibida a las 16:22 por un investigador que envió al menos 2,5 millones de solicitudes en el transcurso del día. El segundo fue presentado en 17:12 que envió alrededor de 100 mil solicitudes en el mismo período de tiempo. Luego del éxito del experimento CloudFlare ha revocado el certificado digital utilizado en el desafio, mostrando también cómo reaccionan los distintos navegadores, ante un certificado revocado.
Con esto se confirma que se puede utiliza el exploit de Heartbleed para obtener la clave privada. Este resultado nos recuerda que no se debe subestimar el poder de la multitud y hace hincapié en el peligro planteado por esta vulnerabilidad.
Para prevenir #HeartBleed se leer este post.
Cristian de la Redacción de Segu-Info
Previamente, CloudFlare en un extenso post, había explicado cómo habian configurado sus servidores y, luego de muchos experimentos prácticos, habían llegado a la conclusión que robar las claves privadas del certificado SSL explotando Heartbleed era extremadamente dificil, pero no imposible. Por eso lanzaron este desafio a la comunidad.
La primera presentación válida fue recibida a las 16:22 por un investigador que envió al menos 2,5 millones de solicitudes en el transcurso del día. El segundo fue presentado en 17:12 que envió alrededor de 100 mil solicitudes en el mismo período de tiempo. Luego del éxito del experimento CloudFlare ha revocado el certificado digital utilizado en el desafio, mostrando también cómo reaccionan los distintos navegadores, ante un certificado revocado.
Para prevenir #HeartBleed se leer este post.
Cristian de la Redacción de Segu-Info
0 Comments:
Publicar un comentario
Gracias por dejar un comentario en Segu-Info.
Gracias por comentar!