Pesquisadores usam PS 3 para 'quebrar cadeados' de sites segur

[hargon 64]

Um grupo de pesquisadores de segurança divulgou na terça-feira (30), durante a conferência 25C3, em Berlim, os resultados de um experimento que provou a possibilidade de realização de um ataque em Autoridades Certificadoras (ACs) que ainda utilizam o algoritmo conhecido como MD5 (Message-Digest, algoritmo 5). Liderado por Alex Sotirov e Jacob Appelbaum, o grupo utilizou para isso o poder de processamento de nada menos que 200 consoles Playstation 3.

 

Por ter uma grande capacidade de processamento, esse videogame vem sendo utilizado para realizar pesquisas robustas -- uma iniciativa desse tipo está em andamento na Unicamp, por exemplo.

 

O ataque divulgado nesta semana não é simples, mas como resultado os pesquisadores conseguiram criar uma AC falsa para assinar seus certificados, gerando facilmente um desses documentos para qualquer site que quisessem. Mesmo para páginas fraudulentas.

 

O trabalho de uma AC é assinar certificados -- documentos digitais que garantem a autenticidade de um website. Como dados digitais são facilmente copiados, a “assinatura” não pode ser sempre igual, como acontece nos documentos “físicos” (cheques e contratos, por exemplo, em que uma mesma pessoa sempre assina da mesma forma). Para evitar fraudes, a assinatura digital precisa ser diferente e ao mesmo tempo verificável. Porém, como a possibilidade de criar novas assinaturas é limitada em relação ao número de possíveis certificados a serem criados, alguns desses documentos terão de receber assinaturas iguais.

 

O que os pesquisadores conseguiram foi gerar (usando o poder dos 200 PS3) um certificado e uma “procuração” cujas assinaturas (em MD5) seriam iguais. Assim, eles enviaram para a AC o certificado, que foi assinado sem problemas. Depois, copiaram a assinatura do certificado para a “procuração”. Com isso, eles poderiam assinar outros certificados eles mesmos, pois tinham um documento “autorizado” por uma Autoridade Certificadora.

 

Em outras palavras, o “cadeado de segurança” poderia aparecer em páginas falsas sem que qualquer aviso ou erro fosse apresentado pelo navegador, visto que o certificado estaria assinado por alguém “confiado” por uma AC.

 

Especialistas em segurança estão debatendo o impacto real do experimento. Depois de um susto inicial e do pânico, um consenso está se materializando. E ele é positivo: não há motivo de preocupação para os internautas.

 

Há motivos para o otimismo. A tecnologia MD5 é considerada vulnerável há muito tempo e pouquíssimas ACs ainda a utilizam. Quando essas poucas empresas passarem a utilizar uma tecnologia mais segura, como a SHA-512, realizar esse tipo de fraude será muito mais difícil. A quantidade de possíveis assinaturas SHA-512 é maior, complicando a criação de um certificado e uma procuração cujas assinaturas coincidam.

 

Sotirov disse à imprensa que o ataque poderia levar mais de seis meses para ser realizado por outro grupo -- tempo suficiente para que as Autoridades Certificadoras que ainda usam MD5 abandonem a tecnologia. O RapidSSL da VeriSign, usado pelos pesquisadores para demonstrar o ataque, deixará de realizar assinaturas com MD5 ainda este mês.

 

 

Fonte: G1

[Progress 2]

Muito interessante.

 

Vejamos que mesmo assim o PS3 está sofrendo bastante devido a sua decadência.

 

[]'s

[Mário Monteiro 179]

esses caras conseguem fraudar cada coisa

[hgb7 3]

Já tem algum tempo que é usado... mas tem que manjar os kras bicho!

[Motta 645]

Algoritmos baseados em fatoração de primos estão com os dias contados na minha modesta opinião, algo novo tem de surgir, boa oportunidade para a galera da matemática pura.