Millones de personas han estado vulnerables a ataques mientras navegaban por webs supuestamente seguras con sus dispositivos Google y Apple, debido a una brecha de seguridad recién descubierta conocida como “FREAK” (Factoring attack on RSA-EXPORT Keys). Una vulnerabilidad que llevaba activa más de diez años.

Esta vulnerabilidad que ha pasado inadvertida durante una década permitiría a un atacante acceder a información sensible como contraseñas guardadas en el navegador o datos de tarjetas de crédito. Este fallo afecta en concreto al navegador Safari de Apple y al explorador integrado en Android.

Según los investigadores que han dado con ella, esta brecha se debe a una antigua política del gobierno de Estados Unidos que prohibía la exportación de cifrado fuerte y requiere que los productos más débiles fueran enviados a clientes de otros países. Estas restricciones se eliminaron a finales de los 90, pero este cifrado débil permaneció en el software que ha proliferado en todo el mundo.

Los investigadores descubrieron que podían obligar a los navegadores a usar el cifrado más débil. Los atacantes pueden usar esa grieta para robar contraseñas, e información y e incluso potencialmente podrían lanzar un ataque más amplio. Las compañías de tecnología están trabajando contrarreloj para solucionar este fallo de seguridad que afecta a millones de usuario y han asegurado que en breve lanzarán actualizaciones para solucionar el problema.

Apple piensa lanzarla la semana que viene, Google todavía no lo ha especificado.

 

Una brecha con diez años de antigüedad

Se ha detectado que los navegadores usan apartados protegidos por encriptación de 512 bits, que es poco segura y que desde hace más de una década que es posible romper su seguridad. Actualmente el cifrado más habitual es el de 2048 bits.

El problema es que en ocasiones todavía  día de hoy se envía información usando el cifrado más débil, con lo que se compromete la seguridad. Si en una dirección web se incluye un código malicioso se podría conseguir forzar la llave de encriptación de 512 bits y se podría acceder a los datos, que es la prueba que realizaron los investigadores que han descubierto este fallo.

Este agujero de seguridad aprovecha por tanto vulnerabilidades conocidas desde hace años, y sorprende que todavía pueda ser efectivo. Lo que muestra que no se han tomado las medidas de seguridad suficientes para proteger a los usuarios.

About Author

Monica Valle

Periodista especializada en tecnología y ciberseguridad. Presentadora del programa sobre seguridad informática y tecnología Mundo Hacker. @monivalle

Deja un comentario