FREAK, da dieci anni c'è una falla nella sicurezza HTTPS

Coinvolti Windows, Android, Apple: aggiornatevi appena possibile.



[ZEUS News - www.zeusnews.it - 08-03-2015]

freaks

Aggiornamenti obbligatori per tutti: pochi giorni fa è stata annunciata una falla di sicurezza importante su un aspetto essenziale come la protezione HTTPS del traffico di Internet. Il bello (si fa per dire) è che la falla è aperta da circa dieci anni.

La falla, denominata FREAK (acronimo un po' forzato di Factoring Attack on RSA-EXPORT Keys), sta nel fatto che un aggressore può forzare un dispositivo o software vulnerabile ad abbassare il proprio livello di cifratura, riducendolo a una chiave di 512 bit.

Il traffico cifrato con questa chiave debole viene poi analizzato usando servizi online di calcolo, come quelli di Amazon, e rivela la chiave privata di cifratura del sito visitato: a questo punto l'aggressore può spacciarsi perfettamente per il sito vero, imitandone anche la protezione HTTPS (il famoso lucchetto chiuso), e può rubare o modificare i dati riservati scambiati da tutti i visitatori con il sito in questione: password, transazioni bancarie, messaggi, tutto. La decifrazione della chiave di un singolo sito costa soltanto un centinaio di dollari su servizi di calcolo distribuito come quelli offerti da Amazon.

Inizialmente sembrava che la falla riguardasse soltanto i dispositivi Android, gli iPhone, i computer della Apple e gli smartphone di Blackberry, ma poi Microsoft ha annunciato che anche tutte le versioni correnti di Windows sono vulnerabili.

Gli esperti hanno inoltre rilevato che al momento circa il 36% dei siti Web è affetto da questa falla. Fra i nomi di spicco ci sono AmericanExpress.com, Groupon.com e Bloomberg.com. Google e Facebook non sono vulnerabili.

Sondaggio
Ogni quanto tempo il tuo Pc affetto da malware?
Una o due volte l'anno.
Tre o pi volte l'anno.
E' successo una volta e mai pi.
Mai.

Mostra i risultati (2267 voti)
Leggi i commenti (34)

Per correggere questa falla è indispensabile aggiornarsi: Google ha già reso disponibile la versione aggiornata di Chrome per Mac e Firefox non è vulnerabile; gli aggiornamenti per OS X e iOS e per Windows verranno distribuiti prossimamente.

Per sapere se i vostri browser sono vulnerabili, usateli per visitare il sito Freakattack.com (se compare un avviso su sfondo rosso, siete vunerabili); per sapere se un sito è attaccabile, basta immetterne il nome in questa pagina di Keycdn.com. Un elenco aggiornato dei principali siti che risultano affetti da questa falla è presso https://freakattack.com/#alexa; l'elenco completo include centinaia di siti svizzeri e italiani.

Ironicamente, questa falla è stata resa possibile dalle richieste governative (in questo caso statunitensi) di indebolire volutamente la cifratura vendibile all'estero, allo scopo di impedire ai paesi rivali, ai terroristi e ai malviventi di comunicare in modo non intercettabile.

Visto che richieste analoghe vengono fatte tuttora da alcuni governi, come quello britannico, si spera che questa notizia serva da lezione per non ripetere gli errori del passato.

Se questo articolo ti è piaciuto e vuoi rimanere sempre informato con Zeus News ti consigliamo di iscriverti alla Newsletter gratuita. Inoltre puoi consigliare l'articolo utilizzando uno dei pulsanti qui sotto, inserire un commento (anche anonimo) o segnalare un refuso.
 

Paolo Attivissimo

(C) by Paolo Attivissimo - www.attivissimo.net.
Distribuzione libera, purché sia inclusa la presente dicitura.

Approfondimenti
Nuova falla mette a rischio le connessioni HTTPS
La falla in iOS che rende inutilizzabili iPhone e iPad

Commenti all'articolo (5)

{utente anonimo}
Scoperta questa vulnerabilità..Alla prossima!..Mondo di guardie e ladri...in continua rotazione.
9-3-2015 22:42

{ictuscano}
Ah si, chiedo scusa: l'articolo non diceva che non era vulnerabile, avevo frainteso col Mac
8-3-2015 20:55

{ictuscano}
A me la verifica di Chrome per Android 4.2 dà il browser vulnerabile
8-3-2015 20:50

{utente anonimo}
Nell'elenco non mi sarei certo aspettato di trovare: 658067, sicurezzanazionale.gov.it , 151.13.11.188 :-/
7-3-2015 23:03

Sar pessimista ma temo che niente serva di lezione ai governanti per limitare il pi possibile situazioni come questa: l'unica cosa che capiscono la falsa sensazione di sicurezza e di forza che gli da esercitare il loro potere a vanvera. :twisted:
7-3-2015 19:02

La liberta' di parola e' un diritto inviolabile, ma nei forum di Zeus News vige un regolamento che impone delle restrizioni e che l'utente e' tenuto a rispettare. I moderatori si riservano il diritto di cancellare o modificare i commenti inseriti dagli utenti, senza dover fornire giustificazione alcuna. Gli utenti non registrati al forum inoltre sono sottoposti a moderazione preventiva. La responsabilita' dei commenti ricade esclusivamente sui rispettivi autori. I principali consigli: rimani sempre in argomento; evita commenti offensivi, volgari, violenti o che inneggiano all'illegalita'; non inserire dati personali, link inutili o spam in generale.
E' VIETATA la riproduzione dei testi e delle immagini senza l'espressa autorizzazione scritta di Zeus News. Tutti i marchi e i marchi registrati citati sono di proprietà delle rispettive società. Informativa sulla privacy. I tuoi suggerimenti sono di vitale importanza per Zeus News. Contatta la redazione e contribuisci anche tu a migliorare il sito: pubblicheremo sui forum le lettere piu' interessanti.
Sondaggio
Hai mai incontrato persone conosciute online?
Non mai capitato, ma vorrei.
Non mai capitato e non ne ho intenzione.
E' capitato, ma continuiamo a tenerci in contatto prevalentemente attraverso Internet.
E' capitato e ora la relazione prevalentemente telefonica o dal vivo.
E' capitato, ma la delusione stata tale che non ci sentiamo pi.

Mostra i risultati (2533 voti)
Dicembre 2018
Italia, carta d'identità obbligatoria per iscriversi ai social network
Mail di porno-estorsione, versione italiana: siamo ai saldi
L'open Internet rischia di chiudersi
Robot di Amazon manda all'ospedale 24 dipendenti
Le aziende si preparano a sostituire il Wi-Fi con reti 5G private
Lo smartphone con Linux e KDE che non è un telefono cellulare
Hacker viola 50.000 stampanti per invitare tutti su un canale Youtube
Novembre 2018
Facebook e il caso dei messaggi zombie
Malware nei portatili Lenovo, utenti risarciti con 7,3 milioni di dollari
Gioca dal vivo a PUBG e uccide l'amico
Amazon, nomi e indirizzi email degli utenti rivelati per errore
Bethesda e la patch da quasi 50 gigabyte per Fallout 76
Sai che cos'è il phishing? Allora hai più probabilità di cascarci
Il Garante privacy boccia la fattura elettronica
Windows 10, ritorna l'October Update
Tutti gli Arretrati


web metrics