Vulnerabilità in OpenSSL – Raccomandazioni

Primo piano su un piccolo lucchetto posato su un foglio riempito di codice binario. Il codice binario è interrotto dalle parole scritte in rosso "media" e "security".

Una falla in una delle principali librerie crittografiche (OpenSSL) interessa direttamente o indirettamente innumerevoli utenti di Internet. La falla in questione può consentire a un ag-gressore di leggere una parte della memoria di un server sulla quale si trovano per una breve durata i dati trasferiti dall’utente e quindi di derubare le password, i dati delle transazioni, ma anche i dati del server (ad es. le chiavi private). Ne sono colpiti non soltanto i provider di posta elettronica o gli istituti finanziari, ma anche altri portali web (webshop, portali di casse malati ecc.) che mettono a disposizione un login criptato e si avvalgono di software vulnerabili. Ne possono altresì essere colpiti servizi criptati non basati su browser, ovvero app di smartphone, servizi di chat (ad es. Jabber), spazio su cloud, servizi di streaming, servizi di posta elettronica, accessi VPN ecc.

MELANI è in contatto con le imprese di telecomunicazione, gli istituti finanziari e altre imprese che gestiscono infrastrutture critiche. Numerose imprese hanno già provveduto a installare fix di sicurezza sui loro sistemi o li stanno installando.

Qui di seguito MELANI fornisce raccomandazioni per i service provider e gli utenti finali.

Raccomandazioni per i service provider

Vi rinviamo alle corrispondenti pubblicazioni, in particolare a:

Ne sono colpiti gli utenti di OpenSSL 1.0.1 e 1.0.2 beta. Non sembra che ne siano colpite versioni anteriori. Sono vulnerabili tutti i servizi che utilizzano queste librerie (e non soltanto i server web). Non vanno soprattutto dimenticati i server per app di smartphone, servizi di chat (ad es. Jabber), spazio su cloud, servizi di streaming (ad es. Plex), servizi di posta elettronica (ad es. SMPT, POP, IMAP over SSL) e accessi OpenVPN nella misura in cui utilizzano librerie OpenSSL. Occorre altresì tenere conto degli apparecchi di rete come router e switch che mettono a disposizione WebGUIs. OpenSSL 1.0.1g è la prima versione nella quale la falla è stata eliminata.

Raccomandazione di MELANI

MELANI raccomanda di effettuare urgentemente - entro le prossime 24-48 ore - un aggiorna­mento e di sostituire i certificati e i dati di accesso nel caso di servizi delicati. Per i servizi per i quali le esigenze di confidenzialità o di integrità sono più elevate dell'esigenza di disponibilità può essere giustificata una disattivazione temporanea del servizio. Un danno causato da un attacco può compromettere i dati di accesso.

Una possibile soluzione del problema consiste nel dirigere una grande parte della rete colpita su access system centrali già aggiornati e di effettuare gradualmente il patch degli altri sistemi e di collocare durevolmente i sistemi non aggiornabili dietro questi access system.

Nel caso dell'installazione di nuove versioni di software occorre utilizzare soltanto algoritmi sicuri. Bisogna in particolare provvedere anche al supporto della Perfect Forward Secrecy.

Nella misura del possibile si devono inoltre utilizzare le firme IDS corrispondenti e bloccare gli indirizzi IP che lanciano attacchi.

Raccomandazioni per gli utenti finali

Per l'utente finale è molto difficile proteggersi, a meno che egli rinunci ad effettuare certe transazioni delicate su Internet finché i fornitori di servizi avranno eliminato la falla. Non si sa da quando la falla viene sfruttata. Poiché non si può escludere che i dati utilizzati nelle ultime settimane abbiano potuto essere dirottati, MELANI raccomanda agli utenti finali:

  • non appena i provider hanno eliminato la falla nel sistema di sicurezza, di modificare le password utilizzate per i diversi servizi (navigazione, posta elettronica, servizi cloud, VPN. ...). Usare una password diversa per ogni servizio.

Inoltre:

  • Installazione di eventuali aggiornamenti di sicurezza sulle apparecchi domestici, come NAS e router, non appena sono disponibili.

Possibili ripercussioni

L'aggressore deve poter accedere a un numero sufficiente di blocchi di memoria di 64K per poter disporre del materiale dati per un attacco. Mentre è piuttosto difficile rintracciare la totalità delle transazioni e dei dati, è tuttavia possibile che il materiale per la crittografia e i dati di accesso finiscano nella mani degli aggressori e che questi li utilizzino successivamente per i loro scopi. Senza perfect forward secrecy l'aggressore può decifrare anche in un secondo momento il traffico registrato.

Ultima modifica 07.10.2015

Inizio pagina

https://www.kmu.admin.ch/content/kmu/it/home/attualita/news/2014/vulnerabilita-openssl-raccomandazioni.html