- As evidências
- O que os especialistas têm a dizer?
- O que você pode fazer?
Se você acha que seus dados estão seguros, pense novamente. Porque, de acordo com estudos acadêmicos, descobriu-se que, devido à vulnerabilidade do TLS 1.3, os hackers agora podem acessar um canal seguro e coletar dados para fins mal-intencionados.
O trabalho de pesquisa foi publicado pela Universidade de Tel Aviv, Universidade de Adelaide e Universidade de Michigan, bem como pelo Instituto Weizmann. Além disso, o NCC Group e o Data61 também concluíram descobertas semelhantes.
As evidências
O ataque é uma versão modificada do verdadeiro ataque oracle Bleichenbacher, que no passado foi capaz de decodificar uma mensagem criptografada RSA usando Criptografia de chave pública.
Esta nova onda, no entanto, procura trabalhar contra o TLS 1.3, que é a versão mais recente entre os protocolos TLS. As autoridades acreditavam que era seguro, mas aparentemente não é e isso é alarmante!
Como o TLS 1.3 não suporta troca de chaves RSA, os pesquisadores acharam melhor prosseguir com a versão de downgrade, ou seja, o TLS 1.2 para avaliar o ataque.
Como resultado, reduza as atenuações, como um lado do servidor e do lado de dois clientes, que ignora o ataque de downgrade. Assim, concluindo que, se houvesse chaves RSA maiores, esses ataques poderiam ter sido evitados e também, o tempo limite de handshake teria sido reduzido.
Nove diferentes implementações de TLS foram estudadas; OpenSSL, Amazon s2n, MbedTLS, Apple CoreTLS, Mozilla NSS, WolfSSL e GnuTLS, dos quais a BearSSL e o BoringSSL do Google eram seguros. Todos os outros continuaram vulneráveis.
O que os especialistas têm a dizer?
No que diz respeito ao número de ataques, Broderick Perelli-Harris, diretor sênior da Venafi, acredita que eles vêm surgindo desde 1988 sob as variações de Bleichenbacher. Portanto, não é surpreendente que o TLS 1.3 seja vulnerável também.
Jake Moore, especialista em segurança cibernética da ESET UK, é da opinião de que o ataque de natureza criptográfica não é o primeiro e não será o último de seu tipo. Ele também é da opinião de que é semelhante ao jogo Whac-A-Mole - toda vez que uma correção de segurança é aplicada, outra aparece.
O que você pode fazer?
Tudo somado, a falha está na composição original do protocolo de criptografia TLS. Mas, por enquanto, devido ao próprio design do protocolo, o patch é o único caminho a seguir.
O que você pode fazer para se proteger nesse meio tempo? Empregue autenticação de dois fatores (2FA), mantenha seu software atualizado, como anti-malware / antivírus, definindo senhas mais fortes e um serviço de VPN decente, como a Ivacy.
