Durante la reciente Black Hat Asia, se han publicado detalles de una nueva vulnerabilidad en el algoritmo de cifrado RC4. A través de esta vulnerabilidad se ha demostrado la efectividad de un nuevo tipo de ataque llamado "Bar-Mitzvah" que permitiría a un atacante descifrar los primeros 100 bytes de una conexión SSL/TLS, permitiendo a partir de esos datos subsecuentes ataques.
Un investigador de la firma de seguridad Imperva ha sido quien a través de su investigación "Attacking SSL when using RC4" ha detallado tanto la vulnerabilidad presente en RC4 como el ataque posible a partir de ello. Rivest Cipher 4 (RC4) es un algoritmo de cifrado que lleva años siendo desaconsejado por toda una serie de debilidades que presenta, pese a ello aún representa aproximadamente el 30% del tráfico TLS y de ahí la importancia de esta nueva vulnerabilidad.
La vulnerabilidad se basa en el concepto de Invariance Weakness. Esto se trata de un fallo en el sistema de generación de claves de RC4 que produce claves inseguras ya conocido desde hace tiempo. Este problema puede permitir a un atacante descifrar estos 100 primeros bytes de la conexión SSL/TLS que comentábamos antes y a partir de ahí conseguir datos de por ejemplo una cookie de sesión que permitiría proseguir con otros ataques.
Dicho esto la manera de protegerse sería básicamente deshabilitar RC4 tanto en los servidores como los clientes en sus navegadores. Lo ideal sería que todos los servidores lo deshabilitaran así como clientes no nos tendríamos que preocupar de modifcar nada en nuestro ordenador. Como este escenario es bastante improbable que se produzca a corto plazo no estaría de más deshabilitar el soporte a RC4 en nuestra máquina. Esto se puede llevar a cabo de dos maneras (Esto puede provocar problemas con determinadas páginas web o incluso en vuestra máquina si no se hace correctamente por lo que, cuidado):
Deshabilitar completamente el uso de RC4 a nivel de ordenador. Para este caso deberíamos editar las siguientes lineas en el registro
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC4 128/128]
"Enabled"=dword:00000000
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC4 40/128]
"Enabled"=dword:00000000
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC4 56/128]
"Enabled"=dword:00000000
Deshabilitar el uso de RC4 a nivel de navegador:
Deshabilitar RC4 en Firefox: Entrad en about:config y buscad RC4 y poned el valor de las siguientes entradas en Falso:
security.ssl3.ecdh_ecdsa_rc4_128_sha
security.ssl3.ecdh_rsa_rc4_128_sha
security.ssl3.ecdhe_ecdsa_rc4_128_sha
security.ssl3.ecdhe_rsa_rc4_128_sha
security.ssl3.rsa_rc4_128_md5
security.ssl3.rsa_rc4_128_sha
Deshabilidar RC4 en Chrome: Ejecutad Chrome con el siguiente comando para deshabilitar
--cipher-suite-blacklist=0x0004,0x0005,0xc011,0xc007
Fuente DarkReading
Fuente Microsoft
Fuente IJL.im
