Aplicaciones Moviles Gratis, Seguridad, Tecnologia, Android, Apple: SSL/TLS

Millones de sitios web y miles de millones de personas dependen de 
SSL/TLS para proteger la transmisión de información confidencial, como 
contraseñas, detalles de tarjetas de crédito e información personal con 
la expectativa de que el cifrado garantice privacidad. Sin embargo, <a href="http://www.forbes.com/sites/andygreenberg/2013/06/20/leaked-nsa-doc-says-it-can-collect-and-keep-your-encrypted-data-as-long-as-it-takes-to-crack-it/" rel="nofollow" target="_blank">documentos recientemente filtrados</a> parecen revelar que la NSA , la Agencia Nacional de Seguridad de Estados Unidos, <a href="http://www.wired.com/threatlevel/2012/03/ff_nsadatacenter/all/" rel="nofollow" target="_blank">registra un gran volumen de tráfico de Internet</a> y retiene comunicaciones cifradas para un posterior criptoanálisis. 
 
<div class="separator" style="clear: both; text-align: center;">
<a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhxkfVjMnupe4fSJINhONfPN-vFsGQkz9BM_EvBLGWTyCK5Qv05W8GJcg6qWeDtfHNiEWb4oIw-GG14lItMHHAAlrdTH9QYcZo9kwEHNFATm7wwTjmLjFFOGse4kNEbSxMrkSIbWSjVTp0m/s1600/GlobalSign-Customers-Protected-Against-Phishing-Attacks-with-Netcraft-Technology-2.png" imageanchor="1" style="margin-left: 1em; margin-right: 1em;"><img border="0" height="304" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhxkfVjMnupe4fSJINhONfPN-vFsGQkz9BM_EvBLGWTyCK5Qv05W8GJcg6qWeDtfHNiEWb4oIw-GG14lItMHHAAlrdTH9QYcZo9kwEHNFATm7wwTjmLjFFOGse4kNEbSxMrkSIbWSjVTp0m/s320/GlobalSign-Customers-Protected-Against-Phishing-Attacks-with-Netcraft-Technology-2.png" width="320" /></a></div>
 
 
Estados Unidos no es el único gobierno que desea controlar el tráfico cifrado de Internet: <a href="http://www.thoughtcrime.org/blog/saudi-surveillance/" rel="nofollow" target="_blank">Arabia Saudita ha pedido ayuda para descifrar tráfico SSL</a>, <a href="http://www.techinasia.com/github-blocked-china/" rel="nofollow" target="_blank">China ha sido acusado de llevar a cabo un ataque MITM contra GitHub</a> solo SSL e Irán ha sido informado que se dedique a la <a href="http://online.wsj.com/article/SB124562668777335653.html" rel="nofollow" target="_blank">inspección en profundidad de paquetes</a> y <a href="http://cryptome.org/2013/06/mossad-mitm-ssl-attack.htm" rel="nofollow" target="_blank">más</a>, por <a href="http://wikileaks.org/spyfiles/" rel="nofollow" target="_blank">nombrar sólo algunos</a>. 
 
La razón por la que los gobiernos podrían considerar avanzar con el 
registro y almacenamiento de grandes volúmenes de tráfico cifrado es que
 si la clave privada está disponible en algún momento, (quizás a través 
de una orden judicial, ingeniería social, un ataque con éxito contra el 
sitio web o a través de criptoanálisis) todo el tráfico histórico del 
sitio afectado podría ser descifrado. Esto realmente abriría la caja de 
Pandora, ya que en un sitio ocupado una simple tecla descifraría todo el
 tráfico cifrado enviado a millones de personas. 
 
Hay una defensa en contra de esto, conocido como el <a href="http://en.wikipedia.org/wiki/Perfect_forward_secrecy" rel="nofollow" target="_blank">confidencialidad/secreto perfecto directo (PFS)</a>.
 Cuando se utiliza PFS, el compromiso de la clave privada de un sitio 
con SSL no necesariamente revela los secretos de la comunicación privada
 enviada, las conexiones a sitios SSL que utilizan PFS tienen una clave 
por sesión que no se revela si se ve comprometida la clave privada a 
largo plazo. La seguridad de PFS depende de que ambas partes descartan 
el "secreto" compartido, luego de que la transacción se haya completado 
(o después de un período de tiempo razonable para permitir reanudar la 
sesión). 
 
Fisgones que desean descifrar la comunicación más allá de que ha 
utilizado PFS se enfrentan a una tarea de enormes proporciones: cada 
sesión debe ser atacada de forma independiente. Cuando las conexiones 
SSL no utilizan PFS , la clave secreta utilizada para cifrar el resto de
 la sesión es generada por el sitio y enviada cifrada junto al par de 
claves privada-pública. Si alguna vez la clave privada es comprometida, 
todas las sesiones cifradas anteriores son fáciles de descifrar. 
 
<a href="http://citeseerx.ist.psu.edu/viewdoc/summary?doi=10.1.1.59.6682" rel="nofollow" target="_blank">PFS fue inventado en 1992</a>,
 dos años antes que el protocolo SSL y, por lo tanto sería razonable 
esperar que SSL hiciera uso de PFS desde el principio. Sin embargo, casi
 veinte años más tarde, el uso de PFS no es utilizado por la mayoría de 
los sitios SSL. 
 
El uso de PFS depende de la negociación entre el navegador y el sitio web y del conjunto de cifrado utilizados (cipher suite). PFS confiere ventajas en cuestiones de confidencialidad pero tiene algunos <a href="http://vincent.bernat.im/en/blog/2011-ssl-perfect-forward-secrecy.html" rel="nofollow" target="_blank">inconvenientes de rendimiento</a>.
 Por otro lado, hay un número pequeño de navegadores y si un gobierno 
deseara maximizar su influencia en la restricción de la utilización de 
PFS, sólo debería comenzar con esos navegadores. 
 
Las suites de cifrado que proporcionan secreto perfecto son aquellas que utilizan intercambio de claves <a href="http://es.wikipedia.org/wiki/Diffie-Hellman" target="_blank">Diffie-Hellman</a>, firmados por el servidor, auque la clave del servidor puede ser de tipo RSA. 
<a href="http://tools.ietf.org/html/rfc5246#page-75" rel="nofollow" target="_blank">Considerando TLS</a>: hay dos suites de cifrado que utiliza AES con una llave de 256 bits y SHA-1 para la verificación de la integridad: 
 
<ul>
<li>TLS_RSA_WITH_AES_256_CBC_SHA</li>
<li>TLS_DHE_RSA_WITH_AES_256_CBC_SHA</li>
</ul>
Sólo el último proporciona un secreto perfecto. En el primero, el 
intercambio de claves se realiza mediante el cifrado de un valor 
aleatorio con las llaves del servidor RSA, algo que puede ser atacado 
posteriormente al robar una copia de la clave privada del servidor. 
 
<a href="http://news.netcraft.com/wp-content/uploads/2013/06/PFS.png" style="clear: right; float: right; margin-bottom: 1em; margin-left: 1em;"><img border="0" height="272" src="http://news.netcraft.com/wp-content/uploads/2013/06/PFS.png" style="display: inline;" width="320" /></a> 
<a href="http://news.netcraft.com/archives/2013/06/25/ssl-intercepted-today-decrypted-tomorrow.html" rel="nofollow" target="_blank">Netcraft ha probado</a>
 la suite de cifrado de los cinco navegadores más importantes (Internet 
Explorer, Google Chrome, Firefox, Safari y Opera ) contra 2.4 millones 
de sitios SSL obtenidos de la <a href="http://www.netcraft.com/internet-data-mining/ssl-survey/" rel="nofollow" target="_blank">encuesta SSL de Netcraft realizada en Junio</a>.
 El soporte para PFS varió significativamente entre los distintos 
navegadores: sólo una pequeña fracción de las conexiones SSL de Internet
 Explorer trabajaron con PFS; mientras que Google Chrome, Opera y 
Firefox estuvieron protegidos en aproximadamente un tercio de las 
conexiones. Safari se desempeñó solo un poco mejor que Internet 
Explorer. 
 
<div style="text-align: right;">
Continuará...</div>
Traducción: Mauro Gioino de la Redacción de <a href="http://www.segu-info.com.ar/" target="_blank">Segu-Info</a> 
Fuente: <a href="http://news.netcraft.com/archives/2013/06/25/ssl-intercepted-today-decrypted-tomorrow.html">Netcraft</a><div style="background-color: white; border: medium none; color: black; overflow: hidden; text-align: left; text-decoration: none;">
 </div>

SSL: Interceptado hoy, descifrado mañana 1

Millones de sitios web y miles de millones de personas dependen de SSL/TLS para proteger la transmisión de información confidencial, como ...

SSL: Interceptado hoy, descifrado mañana 1