[LUG.ro] Compression Ratio Info-leak Made Easy

[Ramiro Caire]

On 09/25/2012 07:55 PM, karurosuros wrote:
> Amigos libres:
>
> Consultores informáticos detectan un agujero de seguridad en la
> encriptación de los navegadores que los convierte en verdaderos
> coladores. Firefox y Chrome reaccionaron rápido. Repercusión mundial.
>
> http://www.pagina12.com.ar/diario/cdigital/31-204128-2012-09-25.html
>
> Saludos
> Karu
>


Hola,

tuve la suerte de ver en vivo la presentacion de esta metodología de
ataque al protocolo SSL en la Ekoparty de este año. En realidad es
prácticamente el mismo ataque que el que presentaron el año pasado,
llamado BEAST, solo que ahora cambiaron la metodología atacando los
algoritmos de compresion.
En la presentacion mostraron como hacerse de una sesion de Twitter por
ejemplo, aunque en la demo final al Thai, el vietnamita, no le funciono
ya que habia estado tocando el codigo fuente la noche anterior jeje
(moraleja: una vez que esta todo listo para la demo/charla/workshop, no
toques nada!).
Cabe aclarar que para llevar a cabo el ataque de hombre en el medio
(MitM), victima y atacante deben estar en la misma subred (de ahi el
ejemplo con el que comienza la nota de estar en un cafe) y lograr que la
victima "visite" un link malicioso (nada dificil con buenas técnicas de
phishing).

Es algo realmente preocupante que vulnera lo "mas seguro" que tenemos
por estos dias en conexiones comunes en muchos sitios.

A proposito de la Eko, les paso un link con fotos de tal evento que
reflejan todo lo que fue, hubo muchas cosas copadas, no solo esta
divulgacion:

https://plus.google.com/photos/110144499837743846786/albums/5792093309034797633

Saludos
Ramiro

-- 
Ramiro J. Caire

E-mail: ramiro.caire en gmail.com
Skype: ramiro.caire 
Twitter: @rcaire
PGP: 0xA657B4362D357BEC
Blog: seguridadetica.wordpress.com