Tres investigadores de seguridad han descubierto una variante de un antiguo ataque criptográfico que puede aprovecharse para obtener la clave de cifrado privada necesaria para descifrar el tráfico HTTPS sensible bajo ciertas condiciones. Se denomina ROBOT, que viene de Return Of Bleichenbacher’s Oracle Threat. Este nuevo ataque es una variante del ataque Bleichenbacher sobre el algoritmo RSA descubierto hace casi dos décadas.

Ataque de 19 años

En 1998, Daniel Bleichenbacher de Bell Laboratories descubrió un error en la forma en que operan los servidores TLS cuando los propietarios de los servidores elegían cifrar los intercambios de clave entre el cliente y el servidor con el algoritmo RSA.

De forma predeterminada, antes de que un cliente (navegador) y un servidor comiencen a comunicarse a través de HTTPS, el cliente elegirá una clave de sesión aleatoria que cifrará con la clave pública del servidor. Esta clave de sesión cifrada se envía al servidor, que utiliza su clave privada para descifrar el mensaje y guardar una copia de la clave de sesión que luego usará para identificar a cada cliente.

Como RSA no es un algoritmo seguro, también utiliza un sistema de relleno para agregar una capa adicional de bits aleatorios sobre la clave de sesión cifrada.

Bleichenbacher descubrió que si la clave de sesión se cifraba con el algoritmo RSA y el sistema de relleno era PKCS # 1 1.5, un atacante podría simplemente enviar una clave de sesión aleatoria al servidor TLS y preguntar si era válida. El servidor respondería con un simple “sí” o “no”.

Fuerza bruta

Esto, como podemos imaginar, significa que mediante un simple ataque de fuerza bruta, un atacante podría adivinar la clave de sesión y descifrar todos los mensajes HTTPS intercambiados entre el servidor TLS (HTTPS) y el cliente (navegador).

En lugar de reemplazar el inseguro algoritmo RSA, los diseñadores del estándar TLS decidieron agregar medidas para dificultar el proceso de adivinación de fuerza bruta. Hacer que fuera más difícil lograr el objetivo.

Esta fue una solución incompleta e insuficiente para el ataque original de Bleichenbacher, y desde entonces, los investigadores han publicado nuevas variantes del ataque original de Bleichenbacher en 2003, 2012, 2014 y 2015.

La investigación más reciente sobre este tema fue el ataque DROWN, que afectó a un tercio de todos los sitios HTTPS, publicado en marzo de 2016.

ROBOT

Hoy ha salido a la luz una nueva variante de Bleichenbacher llamada ROBOT. Se basa también en eludir las medidas implementadas por los creadores de TLS en 1998 y posteriores.

El problema, según los investigadores, es que el estándar TLS es muy complejo y muchos vendedores de equipos de servidores no implementan correctamente la Sección 7.4.7.1 del estándar TLS (RFC 5246), que define las medidas de ataque originales de Bleichenbacher.

El equipo de investigación que encontró e informó sobre el ataque ROBOT dice que compañías como Cisco, Citrix, F5 y Radware ofrecen productos que son vulnerables a los ataques ROBOT en ciertas configuraciones.

Esa configuración es si el propietario del servidor decide cifrar la clave de sesión TLS con el algoritmo RSA y usar el sistema de relleno PKCS # 1 1.5.

Hasta que lleguen los parches para los productos vulnerables, el equipo de investigación ROBOT y el CERT-US recomiendan que los propietarios de dispositivos vulnerables deshabiliten la clave de sesión TLS de cifrado RSA en sus dispositivos. Esto no será un problema, ya que la mayoría de los dispositivos también son compatibles con el cifrado de clave de sesión Elliptic Curve Diffie Hellman (ECDH) como una mejor solución para RSA.

El equipo de investigación de ROBOT dice que a pesar de ser una variante de un ataque de 19 años, 27 de los sitios web Alexa Top 100 son vulnerables al ataque ROBOT. Estos sitios incluyen Facebook y PayPal. El documento científico sobre el ataque ROBOT incluye un estudio de caso sobre cómo el equipo de investigación descifró el tráfico de Facebook.

Estamos hablando de algunas de las páginas más importantes y con más usuarios.