Algunas debilidades de HTTPS

Como ya tiene un tiempo y además es algo especulativo (siempre que hablamos de romper métodos de cifra se trata de resultados que teóricamente nos hacen pensar que algo podría ir mal), viene bien traer aquí Has HTTPS finally been cracked? Five researchers deal SSL/TLS a biggish blow….

Se criticaban los algoritmos de generación de números aleatorios (ya hemos hablado del tema en Números aleatorios y seguridad, por ejemplo):

The problem is that although RC4 is a cryptographic PRNG, it’s not a very
high-quality one.

Y también sobre el ataque:

This result, incidentally, was the basis of the attack that broke WEP, the original encryption protocol used in Wi-Fi networking, and forced its replacement with a newer encryption system called WPA.

Los consejos?

If you can, ditch RC4 from the set of symmetric ciphers your web browser is willing to use, and your web servers to accept.

Go for AES-GCM instead.

Anuncios

Contaminación de parámetros Http

Ya habíamos hablado del tema de la contaminación de parámetros Http (polución, decían) en Contaminación de parámetros HTTP (HPP), PAPAS: ¿Somos vulnerables a la polución de parámetros HTTP? y Polución de parámetros del protocolo HTTP.
Esencialmente, se trataba de añadir parámetros extra en las peticiones que, dependiendo del servidor y la aplicación podían utilizarse para obtener algún beneficio.

En [PDF] Http Parameter contamination, vemos cómo se puede llevar el tema por otro camino: aprovechar la forma en que interpretan los servidores web determinados caracteres para saltarse los cortafuegos de aplicaciones. Por ejemplo, algunos servidores y configuraciones cambiarían el caracter “]” por el carácter “_”.

Uno no puede fiarse de nada.

Contaminación de parámetros HTTP (HPP)

Ya hablamos en su día de la Polución de parámetros del protocolo http y de la herramienta que lanzaron para tratar de detecarlos en PAPAS: ¿Somos vulnerables a la polución de parámetros HTTP?.

En HPP: Http Parameter Pollution hay una notita explicando el problema en nuestro idioma de Carmen Torrano que está trabajando en la herramienta y que muchos encontrarán de interés (si es que no la han leido ya, claro).

Cómo pone Facebook el código en producción

Aunque no es un documento oficial de la compañía y en algunos casos se basa sólo en suposiciones o cosas que leyó/escuchó en alguna parte, me ha parecido interesante el documento How Facebook Ships Code. Cita citable:

Most engineers are capable of writing bug-free code. It’s just that they don’t have an incentive to do so at most companies. When there’s a QA department, it’s easy to just throw it over to them to find the errors

Sobre las cookies

En HTTP cookies, or how not to design protocols un repaso histórico de la evolución de las especificaciones relativas a las cookies, ese mecanismo que utilizan los navegadores para que sea posible desarrollar aplicaciones web al añadir al protocolo HTTP la posibilidad de gestionar el estado, y por lo tanto relacionar entre sí varias peticiones consecutivas de páginas web.

Se centra en los problemas que las diferentes versiones de la especificación han podido causar.

Verificado por Visa y MasterCard: cómo no hacer las cosas

No conocía el programa MasterCard SecureCode o Verified by Visa.

Pero me parece interesante la lectura de Verified by Visa and MasterCard SecureCode: or, How Not to Design Authentication (pdf) donde cuenta un buen número de cosas que pueden hacerse (y se han hecho) mal. También el debate eterno de la seguridad y la economía (en el sentido de dónde se ponen los incentivos).