Adobe, la tormenta después de la tormenta


Tras reconocer el robo del código fuente de varios de sus productos y la información personal de casi tres millones de usuarios y clientes, se han ido haciendo públicos varios análisis que ponen en cuestión el procedimiento usado por Adobe para almacenar las credenciales.





Los datos extraídos alcanzan casi los 10Gb. Unos 130 millones de credenciales que Adobe ha ido almacenando a lo largo de varios años. Entre las cuentas robadas pueden observarse algunas que pertenecen a agencias del gobierno norteamericano tales como el FBI.

El problema hubiera sido "menor" si estas credenciales hubieran estado almacenadas en forma de hash usando una función sólida (sin problemas conocidos de seguridad) y aplicando buenas prácticas. Este tipo de funciones son teóricamente irreversibles, es decir, una vez almacenado el hash debería ser imposible conocer qué cadena (la contraseña) lo originó. Es lo que se conoce como criptografía asimétrica.

Adobe, sin embargo, no optó por almacenar los hashes de las credenciales. En vez de ello las contraseñas eran cifradas con un algoritmo denominado TripleDES. Este algoritmo simétrico surgió debido a un problema de seguridad en el algoritmo DES relacionado con la longitud de clave (56 bits).

TripleDES es el resultado de encadenar tres veces el algoritmo DES en cada bloque de datos. Un método simple de prolongar la longitud de clave (168 bits) para reusar el DES y no invertir en el diseño de un nuevo algoritmo. Pero como suele ser habitual en seguridad, era cuestión de tiempo para que surgieran ataques sobre TripleDES, como "Meet-in-the-middle" o a través del cifrado aislado de porciones conocidas de texto claro que se sospechen estén incluidas dentro del texto cifrado. Todos estos ataques tienden a reducir la efectividad de la longitud de clave.

Además, en el caso de Adobe se usó TripleDES con el método ECB (Electronic CodeBook). Esto quiere decir que el texto claro se separa el bloques de idéntico tamaño y es cifrado de manera independiente. El resultado final es que dos porciones o bloques que tengan el mismo texto claro tendrán la misma apariencia cuando sean cifrados. No es necesario decir que esto representa una ventaja enorme para el atacante.

Una mala práctica el escoger un cifrado simétrico para almacenar las contraseñas cifradas y otra peor al escoger un algoritmo con problemas conocidos y para terminar de empeorarlo la selección de una configuración débil en la aplicación de la función de cifrado.

En el lado ético de la cuestión nos queda preguntarnos: ¿Por qué Adobe cifró las credenciales con un cifrado simétrico en vez del hash? Esto, significa que Adobe tenía la llave para conocer las credenciales de sus usuarios y clientes. Algo que por hacer una correspondencia mundana es como si cuando compras una casa el que te la vendió se queda una copia de la llave, por si acaso...

Más información:
http://unaaldia.hispasec.com/2013/11/adobe-la-tormenta-despues-de-la-tormenta.html

Por:
David García
Twitter: @dgn1729



Otras noticias de interés:

IBM eleva seguridad con chip codificador
Con la intención de elevar el nivel de seguridad de la información en las computadoras portátiles, teléfonos celulares y otros artefactos, IBM presentará un método para insertar funciones codificadoras en los circuitos de las máquinas....
Alerta: Mensajes con actualizaciones falsas
En esperas de que Microsoft publique este martes algunas actualizaciones de seguridad como ya acostumbra, los spammers y delincuentes informáticos han aprovechado para distribuir correos electrónicos que intentan engañar a los usuarios con falsas ...
Nueva versión de PHP corrige algunos Bugs
El pasado 16 septiembre PHP.net actualizó su versión estable a la 5.2.11. En esta versión ha solucionado varios fallos de seguridad....
Facebook + WOT : excelente!
Al fin Facebook ha tomado una decisión seria con respecto a la seguridad de enlaces, al aliarse con Web of Trust (WOT). Como hemos indicado en muchas oportunidades el plugin de WOT es una de las mejoras alternativas para avisar si un sitio es recome...
Firewalls: La primera línea de defensa
Otro articulo muy interesante de Kriptopolis, recomendamos su lectura: Firewalls o cortafuegos, palabra que aparece con mucha frecuencia cuando se trata de seguridad, comunicaciones, vulnerabilidades, etc., pero para mucha gente que navega en ...
Malware navideño a través de Twitter
Como no podía ser de otra forma, los ciberdelincuentes están aprovechando la época prenavideña para distribuir el malware y principalmente lo están haciendo a través de Twitter, aprovechando trend topics como Advent Calendar o Grinch....
Arranque cautivo de Mircosoft viola Derecho de Consumidores
Si bien pocas personas han podido decidir libremente comprar un sistema operativo Windows, la realidad del mercado tecnológico, donde los sistemas operativos de Microsoft vienen instalados de fábrica, hace que la empresa Microsoft haya decidido por...
Concurso para hackers con un servidor basado en Windows 2000
La gente de Infohacking.com ha abierto un concurso de Hacking. Y Regalan una Pc al Vencedor del torneo....
Botnets: pasado, presente y futuro
Desde hace ya un tiempo atrás las botnet son las principales protagonistas en el mundo del malware. Las mismas se ven reflejadas como uno de los factores más importantes del crimeware. Es por ello que en las siguiente líneas comentaremos con usted...
Servidores basados en tecnología Intel con nuevo sistema operativo de Microsoft
Servidores basados en la tecnología Intel con el nuevo sistema operativo de Microsoft ofrecen capacidades y desempeño líderes en la industria. Intel, HP y Microsoft alcanzan el resultado Nro. 1 en la prueba de desempeño TPC-C con el proces...

Brindanos
un o una


Redes Sociales

Publicidad


Gana Bitcoins desde tu casa

Categorías


Planeta Vaslibre

Blog Roll




Nube de tags

  • adobe
  • anonimato
  • anonimo
  • antivirus
  • apache
  • blog
  • bsd
  • bug
  • centos
  • chrome
  • cifrado
  • computer
  • debian
  • despues
  • exploits
  • fedora
  • fice
  • firefox
  • forense
  • freebsd
  • gentoo
  • github
  • gnome
  • gnu
  • gpl
  • gtk
  • hack
  • hacking
  • hosting
  • informatica
  • internet
  • isos
  • libre
  • licencias
  • linux
  • linuxmint
  • lxde
  • micros
  • mint
  • mit
  • mozilla
  • mysql
  • noticia
  • opensource
  • pgp
  • php
  • sabayon
  • seguridad
  • system
  • tecnologia
  • thunar
  • thunderbird
  • tor
  • tormenta
  • troyanos
  • tware
  • ubuntu
  • underground
  • vaslibre
  • virus
  • viserproject
  • vivaldi
  • vulnerabilidades
  • web
  • website
  • windows
  • xanadu
  • xfce
  • xombra