Tutte le news

Come spiegato dai due esperti di sicurezza in questo articolo, la vulnerabilità riguarda il meccanismo di autenticazione di SSL e può essere sfruttata da un aggressore per inserirsi all'interno di una comunicazione protetta - un attacco noto come man-in-the-middle - e inserire nel flusso delle informazioni cifrate dei comandi a sua scelta: ciò potrebbero renderlo in grado di alterare i dati trasmessi, iniettarvi del codice maligno e, ancor peggio, ottenere il certificato digitale del client, assumendone così l'identità. In altre parole, nella mani di un abile cracker la falla potrebbe essere utilizzata per manipolare ed eventualmente dirottare una comunicazione SSL/TLS.

"Dal momento che si tratta di una vulnerabilità del protocollo, e non semplicemente di un difetto di implementazione, l'impatto è di vasta portata", si legge nel succitato articolo di Ray e Dispensa. "Tutte le librerie SSL dovranno essere patchate, e le nuove copie dovranno essere distribuite insieme a molte applicazioni client e server. Una larga fetta di utenti sarà poi probabilmente costretta ad aggiornare ogni software che usa SSL".

Ma se la situazione appare molto seria, c'è chi sostiene che per gli utenti finali non c'è ragione di allarmarsi. Il noto hacker Moxie Marlinspike, che all'inizio dell'anno aveva dimostrato alcune gravi debolezze nel protocollo SSL, ha spiegato che il corrente bug riguarda una specifica forma di autenticazione SSL, chiamata client certificate authentication, raramente utilizzata nelle comuni transazioni online. "Per quanto ne so, la maggior parte delle persone che utilizzano SSL per collegarsi ad una webmail o al proprio conto bancario non sono interessati dal problema", ha dichiarato l'hacker, che ha poi aggiunto di non aver trovato questi attacchi "granché utili".

In un advirosy, Ray e Dispensa smentiscono però Marlinspike sostenendo che la vulnerabilità da loro scoperta non è ristretta alla client certificate authentication. Nello stesso advisory i due esperti hanno anche pubblicato il link a un documento PDF dove analizzano la falla e i suoi possibili scenari d'impiego.

A tranquillizzare gli utenti finali è tuttavia intervenuta anche VeriSign, che per bocca del suo vice presidente al marketing Tim Callan ha fatto sapere che il problema non rappresenta una grande minaccia per i navigatori del Web. "Sebbene la vulnerabilità possa essere sfruttata per aggiungere del codice maligno all'interno di un flusso dati SSL, questa non può essere in alcun modo utilizzata per decifrare la comunicazione e sottrarre dati sensibili", ha dichiarato Callan. "Ciò non toglie che per i grandi siti web e per un buon numero di corporation la vulnerabilità sia molto seria e urgente"

PhoneFactor ha fatto sapere che il gruppo di aziende e organizzazioni che sta affrontando l'emergenza - gruppo comprendente, fra gli altri, Microsoft, Intel, Nokia, IBM, Cisco, Open SSL, Apache, NSS, Red Hat e IETF - ha già raggiunto un accordo sui metodi da seguire per risolvere il problema e ha stilato delle linee guida per mitigare da subito i rischi derivanti dalla falla. IETF ha anche aperto un thread dove si sta discutendo la bozza di una correzione al protocollo TLS: nel momento in cui si scrive, però, il sito risulta irraggiungibile (si veda in tal caso la cache di Google).