Este ano, foi descoberta uma falha no protocolo que deveria deixar seguro o tráfego de internet. Adivinhe só: um estudo encontrou outra brecha semelhante, chamada Logjam – e desconfiam que ela foi usada pela NSA.
Com essa falha, é possível reduzir o nível de segurança de uma conexão, para depois atacá-la com relativa facilidade. A Logjam afeta 8,4% de um milhão dos sites mais visitados, além de servidores de e-mail.
Confira se seu navegador é afetado pela falha indo em weakdh.org. Caso apareça o aviso “Warning!”, ele está vulnerável.
Até o momento, só o Internet Explorer foi atualizado para proteger usuários contra ataques Logjam. (O estudo contou com a participação de pesquisadores da Microsoft Research.) Chrome, Firefox e Safari serão atualizados em breve.
NSA
Os cientistas da computação que descobriram a Logjam alertam que a vulnerabilidade pode ser usada para atacar domínios HTTPS – bastante usado por bancos, sites do governo, entre outros – e também VPNs que deveriam ser seguras.
Uma VPN (rede privada virtual) usa tunelamento e criptografia para manter seguros os dados que passam entre seu computador e servidores na internet. Mas os pesquisadores dizem: “uma leitura atenta de vazamentos da NSA mostra que os ataques da agência sobre VPNs são consistentes com esta falha”.
Um documento vazado por Edward Snowden mostra que, já em 2012, as VPNs eram um alvo fácil para a NSA: ela planejava ficar de olho em 20.000 conexões desse tipo por hora.
De propósito
Como funciona a Logjam? Ela aproveita uma falha no processo chamado “troca de chaves de Diffie-Hellman”: ele permite que dois computadores troquem uma chave secreta mesmo ao se comunicar por um canal público.
Essa falha foi colocada lá de propósito, devido a uma política dos EUA nos anos 1990. Na época, empresas que exportavam tecnologia eram obrigadas a “enfraquecer” chaves de criptografia, para que o FBI e outras agências pudessem fazer espionagem. Dessa forma, é possível injetar um código que faz o servidor aceitar criptografia fraca (512 bits).
Por isso, Chrome, Firefox e Safari só aceitarão conexões criptografadas de pelo menos 1024 bits, mais seguras, quando forem atualizados.
No ano passado, uma fonte disse à Bloomberg que “a NSA tem uma coleção com milhares de vulnerabilidades que podem ser usadas para invadir alguns dos computadores mais confidenciais do mundo”. Era o caso do Heartbleed, por exemplo. Qual será a próxima falha que encontraremos? [Ars Technica – The Next Web – The Register]
fique por dentro das novidades giz
Inscreva-se agora para receber em primeira mão todas as notícias sobre tecnologia, ciência e cultura, reviews e comparativos exclusivos de produtos, além de descontos imperdíveis em ofertas exclusivas
