Microsoft se apresura a corregir brecha de seguridad en Windows Server

22 Sep 2010 en Seguridad

El software de Microsoft está en todas partes y por eso los atacantes siempre lo eligen como blanco. Pero también los investigadores hacen lo propio y en esta oportunidad, encontraron en Windows Server una fisura que permite violar el encriptado del software.
En Microsoft informaron que se trabaja intensamente para corregir esta falla existente en su implementación de AES (Advanced Encription Standard). La brecha abre a Windows Server frente a los atacantes que pueden descubrir caminos para violar el encriptado del sistema.
Esta brecha fue presentada por dos investigadores en el evento Ekoparty Conference, realizado en Buenos Aires la semana pasada.
El viernes pasado, Microsoft liberó un parte de seguridad reconociendo que se trabaja en un patch para ASP.Net que es parte de .NET Framework.
ASP.Net utiliza encriptado para esconder datos importantes y evitar que sean accedidos desde el dispositivo cliente. Una vulnerabilidad en el encriptado de ASP.Net puede permitir el descifrado y acceso a esos datos. Así lo informó Kevin Brown del Microsoft Security Response Center (MSRC).
El atacante puede enviar un mensaje cifrado a la aplicación ASP.Net. Si el descifrado falla, una función denominada “oráculo criptográfico,” la cual envía sugerencias a la fuente del mensaje. Al examinar esas sugerencias, el atacante puede llegar a tener suficiente información como para descifrar el resto.
Un atacante que explota esta vulnerabilidad puede requerir y descargar archivos dentro de una aplicación ASP.NET. Uno de ellos puede ser el web.config, que suele contener datos importantes. El atacante también puede descifrar datos enviados al cliente y manipular contenidos. Al enviar contenidos alterados al servidor, puede observar los códigos de errror que responde dicho servidor.
En su sitio de soporte, Microsoft ha posteado varias maniobras (workarounds) para solucionar el tema y por ahora no se dijo cuándo estará el patch. Por el momento, no se registraron ataques explotando esta brecha.
Microsoft ha insistido ante los investigadores para que no hagan públicos sus descubrimientos hasta que no se desarrollen los patches necesarios, pero la respuesta de los investigadores, en general, ha sido que Microsoft es de otra manera demasiado lenta para arreglar los agujeros que se detectan y reportan a esta compañía.