"Este servidor é vulnerável a um ataque FREAK. Desabilite suporte para quaisquer pacotes de exportação no seu servidor e desabilite todas as codificações sem proteção."
Durante os anos 1990, o governo dos EUA definiram regras para a exportação de sistemas de criptografia. Tais regras limitaram a força das chaves de criptografia RSA para um máximo de 512 bits em quaisquer implementações Secure Socket Layer (SSL) direcionadas para exportação. Eventualmente, as regras mudaram. Os pacotes de codificação da "exportação" pararam de ser usados, e no ano 2000, os navegadores eram capazes de usar um SSL com maior segurança.
Uma equipe de pesquisadores revelou que pacotes criptográficos antigos de exportação ainda são usados hoje em dia. Servidores que suportam pacotes de codificação de exportação RSA poderiam permitir um man-in-the-middle (MITM) para enganar clientes, que suportam os pacotes de codificação fracos, para usarem esses pacotes de codificação de exportação fracos de 40 e/ou 56 bits para reduzirem as suas conexões. Então, o MITM pode usar o poder computacional de hoje para revelar estas chaves em apenas alguns segundos.
O ataque FREAK é possível porque alguns servidores, navegadores e outras implementações SSL ainda suportam e usam pacotes criptográficos mais fracos de exportação, permitindo que um MITM force esses clientes a usarem chaves de exportação mesmo se não pediram criptografia de exportação. Depois que uma criptografia da sessão for invadida, o MITM pode roubar quaisquer informações pessoais “protegidas” da sessão.
Uma conexão é vulnerável se as seguintes condições forem cumpridas:
Pacotes criptográficos de exportação foram descobertos em OpenSSL e Secure Transport da Apple (usados no Chrome, Safari, Opera e navegadores Android e BlackBerry), bem como Windows Secure Channel/Schannel (uma biblioteca criptográfica incluída em todas as versões suportadas do Windows e usada no Internet Explorer).
Desabilite suporte para todos os pacotes de codificação de exportação nos seus servidores. Também recomendamos desabilitar o suporte para todas as codificações conhecidas não protegidas (não só codificações de exportação RSA) e codificações com criptografia de 40 e 56 bits, e habilitar perfect forward secrecy (Consulte Habilitando Perfect Forward Secrecy).
Recursos adicionais:
Clientes vulneráveis incluem software que dependem da OpenSSL ou Secure Transport da Apple (Chrome, Safari, Opera, os navegadores do Android e BlackBerry) ou Windows Secure Channel/Schannel (Internet Explorer).
Recursos adicionais:
DigiCert is the world's leading provider of scalable TLS/SSL, IoT and PKI solutions for identity and encryption. The most innovative companies, including 89% of the Fortune 500 and 97 of the 100 top global banks, choose DigiCert for its expertise in identity and encryption for web servers and Internet of Things devices. DigiCert supports TLS and other digital certificates for PKI deployments at any scale through its certificate lifecycle management solution, CertCentral®. The company is recognized for its enterprise-grade certificate management platform, fast and knowledgeable customer support, and market-leading security solutions. For the latest DigiCert news and updates, visit digicert.com or follow @digicert.
©2020 DigiCert, Inc. All rights reserved. DigiCert, its logo and CertCentral are registered trademarks of DigiCert, Inc. Norton and the Checkmark Logo are trademarks of NortonLifeLock Inc. used under license. Other names may be trademarks of their respective owners.
Este site usa cookies e outras tecnologias de rastreamento para auxiliar na navegação e na sua capacidade de fornecer feedback, analisar seu uso dos nossos produtos e serviços, auxiliar em nossos esforços promocionais e de marketing, e fornecer conteúdo de terceiros. Leia a nossa Política de Cookies e Política de Privacidade para saber mais.