Vulnerabilidades en certificados gratuitos de StartEncrypt
Thijs Alkemade (@xnyhps), un investigador de seguridad de la empresa holandesa CompuTest, ha descubierto múltiples defectos de diseño e implementación de StartEncrypt, una herramienta creada en junio pasado por la empresa israelí StartCom para emitir certificados SSL gratis. Esta oferta es la competencia de Let's Encrypt.
Los usuarios que desean implementar certificados libres de StartSSL aprovechando esta oferta de StartEncrypt, sólo tienen que descargar un cliente de Linux y desplegarlo en los servidores. Este cliente realiza un proceso de validación de dominio, emite e instala un certificado SSL de "Validación Extendida" (EV) para el dominio que ha encontrado en el servidor.
Según CompuTest, este proceso de validación es defectuoso, y a través de "algunos trucos", se puede recibir certificados SSL expedidos para otros dominios, (tales como Facebook, Google, Dropbox, etc.) y que podrían ser vendidos en el mercado negro o ser utilizados en ataques Man-in-the-Middle.
El segundo problema es mucho más grave, ya que permitiría a un atacante obtener certificados SSL para cualquier dominio. Según el investigador, una de las llamadas de verificación de la API contiene un parámetro llamado "verifyRes", que proviene desde una URL. Esto significa que el cliente está expuesto a vulnerabilidades Open Redirect. En otras palabras, un atacante podría manipular una petición y controlar un servidor que no le pertenece.
Además, CompuTest también encontró que StartEncrypt no comprueba la validez del certificado del propio servidor cuando se conecta a la API, lo que significa que se podría recibir solicitudes para emitir certificados falsos. La API tampoco comprueba el tipo de contenido del archivo que descarga para la verificación y, la clave privada del certificado, que debe ser privada, se almacena con permisos 0666 en una carpeta pública, lo cual significa que todo el mundo puede leerlo.
"En nuestra opinión, StartCom cometió un error en la publicación de StartEncrypt. Aunque se apreciaba la velocidad para solucionar el problema, es evidente la poca atención que prestaron a la seguridad y el diseño del sistema", dijo Christiaan Ottow de CompuTest.
StartCom ha lanzado una nueva versión 1.0.0.1 del cliente de StartEncrypt para Linux. Mientras, CompuTest denunció otros problemas en el servicio, que todavía se están corrigiendo.
Fuente: Softpedia
Los usuarios que desean implementar certificados libres de StartSSL aprovechando esta oferta de StartEncrypt, sólo tienen que descargar un cliente de Linux y desplegarlo en los servidores. Este cliente realiza un proceso de validación de dominio, emite e instala un certificado SSL de "Validación Extendida" (EV) para el dominio que ha encontrado en el servidor.
Según CompuTest, este proceso de validación es defectuoso, y a través de "algunos trucos", se puede recibir certificados SSL expedidos para otros dominios, (tales como Facebook, Google, Dropbox, etc.) y que podrían ser vendidos en el mercado negro o ser utilizados en ataques Man-in-the-Middle.
Además, CompuTest también encontró que StartEncrypt no comprueba la validez del certificado del propio servidor cuando se conecta a la API, lo que significa que se podría recibir solicitudes para emitir certificados falsos. La API tampoco comprueba el tipo de contenido del archivo que descarga para la verificación y, la clave privada del certificado, que debe ser privada, se almacena con permisos 0666 en una carpeta pública, lo cual significa que todo el mundo puede leerlo.
"En nuestra opinión, StartCom cometió un error en la publicación de StartEncrypt. Aunque se apreciaba la velocidad para solucionar el problema, es evidente la poca atención que prestaron a la seguridad y el diseño del sistema", dijo Christiaan Ottow de CompuTest.
StartCom ha lanzado una nueva versión 1.0.0.1 del cliente de StartEncrypt para Linux. Mientras, CompuTest denunció otros problemas en el servicio, que todavía se están corrigiendo.
Fuente: Softpedia
0 Comments:
Publicar un comentario
Gracias por dejar un comentario en Segu-Info.
Gracias por comentar!