Un algoritmo de cifrado con un backdoor sospechoso ha sido declarado inseguro por el promotor después de años de uso extensivo por sus clientes en todo el mundo, incluyendo las agencias federales de Estados Unidos y entidades gubernamentales.
La compañía de seguridad informática RSA Security, una división de EMC, ha advertido en privado a miles de sus clientes el jueves suspender inmediatamente el uso de todas las versiones hechas por la empresa BSAFE toolkit y Data Protection Manager ( DPM ), ambas con el algoritmo de cifrado Dual_EC_DRNG para proteger los datos sensibles.
“Para garantizar un alto nivel de seguridad en su aplicación, RSA recomienda encarecidamente que los clientes descontinuen el uso de Dual_EC_DRNG y que pasen a otro diferente como PRNG” advirtió la carta de RSA, citada por The Wall street Journal.
En la carta el RSA proporciona kits de herramientas y clientes DPM con un enlace a la orientación técnica para cambiar la configuración PRNG en sus productos y se comprometió a actualizar la biblioteca de algoritmos.
La carta no menciona el buque insignia de RSA: SecurID tokens, utilizado por millones de empleados en todo el mundo para conseguir un acceso seguro a las redes corporativas.
En 2006, el Instituto Nacional de EE.UU. de Estándares y Tecnología ( NIST ), seguido por la Organización Internacional de Normalización aprobo oficialmente Dual_EC_DRNG, por su cifrado que se utilizó durante años tanto por el sector privado y las agencias del gobierno de Estados Unidos.
La semana pasada, el New York Times publicó nuevas revelaciones del ex contratista Edward Snowden, exponiendo que el algoritmo de cifrado de clave se basa en una débil fórmula matemática intencionalmente modificada para facilitar el acceso de la NSA al flujo de datos encriptados.
El miércoles, el medio de comunicación ArsTechnica envió una consulta a RSA de si se va a alertar a sus clientes que el producto BSAFE de la compañía opera como un “generador deliberadamente mutilado de seudo números aleatorio ( PRNG ), que es tan débil que vulnera la seguridad de la mayoría o la totalidad sistemas de criptografía que lo utilizan”.
Apenas 24 horas después de la notificación, el RSA publicó un aviso para detener el uso de software comprometido.
La carta de la RSA nunca menciona la NSA, aunque “por el debate en torno a la norma Dual_EC_DRNG “, la compañía invita a los expertos a participar en la experiencia pública recientemente reabierta de la norma de seguridad SP 800-90 por el Instituto Nacional de Estándares y Tecnología ( NIST) .
AFP Photo/Paul J. Richards
De acuerdo con NIST la herramienta Dual_EC_DRNG del RSA se utiliza en decenas de productos de terceros que implementan funciones criptográficas, como McAfee Firewall Enterprise Control Center. Lo que significa que todos ellos también están usando un generador de números aleatorios con puerta trasera implantado, ArsTechnica – no sólo la NSA según ArsTechnica un “número indeterminado” de los productos de otros fabricantes “puede ser evitada no sólo por las agencias de inteligencia, pero, posiblemente, por otros adversarios que tienen los recursos para llevar a cabo los ataques.”
Lo que es más significativo, ArsTechnica advierte, es que la herramienta BSAFE esta en un “gran número de sistemas de cifrado que son altamente susceptibles de ser rotos.”
Expertos en criptografía no aprobaban la decisión del NIST para elegir Dual_EC_DRNG como importante herramienta de cifrado desde el principio y durante años especularon sobre su pobre rendimiento y la base matemática del logaritmo.
Pero una fuente cercana al proceso dijo a Reuters que el NIST aceptó Dual_EC_DRNG en primer lugar, porque muchas agencias del gobierno de Estados Unidos ya lo estaban usando.
Como señala el profesor Mathew Green, un criptógrafo de la Universidad Johns Hopkins, afirma en su última publicación, al NIST abrazó Dual_EC_DRNG, pero la herramienta no tenía ninguna prueba de seguridad.
La semana pasada, el Professor Green dijo a RT que “la NSA tiene dificultades para romper cifrados, por lo que lo que han hecho es que en realidad trató de tomar los productos que realizan cifrados y hacerlas rendur mal, para que sea más débil por lo que es más fácil que se rompan que el cifrado “.
“[El] NSA está dispuesto a hacer la seguridad de los EE.UU. un poco más débil”, dijo Green.
Vladimir Kremlev para RT
Esta misma semana los expertos en seguridad informática Symantec mantienen que han identificado un grupo de élite de los hackers chinos que han atacado a los sistemas de las principales empresas tecnológicas de Estados Unidos, como Adobe, Dow Chemical, Google, Northrup Grumman, Yahoo e incluso la propia Symantec desde al menos 2009.
A principios de 2013, la NSA fue expuesta como una agencia que disfrutó del control de flujo de datos de la Internet mundial desde hace años, con su programa de vigilancia PRISM junto con otros proyectos costosos. Pero a pesar de las capacidades de control web prácticamente ilimitadas, la agencia no pudo evitar que los expertos en TI extranjeros, en particular de China, realizará trucos de alto perfil a las empresas estadounidenses y otras entidades.
Reuters/Michael Caronna
Un algoritmo de cifrado con un backdoor sospechoso ha sido declarado inseguro por el promotor después de años de uso extensivo por sus clientes en todo el mundo, incluyendo las agencias federales de Estados Unidos y entidades gubernamentales.
La compañía de seguridad informática RSA Security, una división de EMC, ha advertido en privado a miles de sus clientes el jueves suspender inmediatamente el uso de todas las versiones hechas por la empresa BSAFE toolkit y Data Protection Manager ( DPM ), ambas con el algoritmo de cifrado Dual_EC_DRNG para proteger los datos sensibles.
“Para garantizar un alto nivel de seguridad en su aplicación, RSA recomienda encarecidamente que los clientes descontinuen el uso de Dual_EC_DRNG y que pasen a otro diferente como PRNG” advirtió la carta de RSA, citada por The Wall street Journal.
En la carta el RSA proporciona kits de herramientas y clientes DPM con un enlace a la orientación técnica para cambiar la configuración PRNG en sus productos y se comprometió a actualizar la biblioteca de algoritmos.
La carta no menciona el buque insignia de RSA: SecurID tokens, utilizado por millones de empleados en todo el mundo para conseguir un acceso seguro a las redes corporativas.
En 2006, el Instituto Nacional de EE.UU. de Estándares y Tecnología ( NIST ), seguido por la Organización Internacional de Normalización aprobo oficialmente Dual_EC_DRNG, por su cifrado que se utilizó durante años tanto por el sector privado y las agencias del gobierno de Estados Unidos.
La semana pasada, el New York Times publicó nuevas revelaciones del ex contratista Edward Snowden, exponiendo que el algoritmo de cifrado de clave se basa en una débil fórmula matemática intencionalmente modificada para facilitar el acceso de la NSA al flujo de datos encriptados.
El miércoles, el medio de comunicación ArsTechnica envió una consulta a RSA de si se va a alertar a sus clientes que el producto BSAFE de la compañía opera como un “generador deliberadamente mutilado de seudo números aleatorio ( PRNG ), que es tan débil que vulnera la seguridad de la mayoría o la totalidad sistemas de criptografía que lo utilizan”.
Apenas 24 horas después de la notificación, el RSA publicó un aviso para detener el uso de software comprometido.
La carta de la RSA nunca menciona la NSA, aunque “por el debate en torno a la norma Dual_EC_DRNG “, la compañía invita a los expertos a participar en la experiencia pública recientemente reabierta de la norma de seguridad SP 800-90 por el Instituto Nacional de Estándares y Tecnología ( NIST) .
De acuerdo con NIST la herramienta Dual_EC_DRNG del RSA se utiliza en decenas de productos de terceros que implementan funciones criptográficas, como McAfee Firewall Enterprise Control Center. Lo que significa que todos ellos también están usando un generador de números aleatorios con puerta trasera implantado, ArsTechnica – no sólo la NSA según ArsTechnica un “número indeterminado” de los productos de otros fabricantes “puede ser evitada no sólo por las agencias de inteligencia, pero, posiblemente, por otros adversarios que tienen los recursos para llevar a cabo los ataques.”
Lo que es más significativo, ArsTechnica advierte, es que la herramienta BSAFE esta en un “gran número de sistemas de cifrado que son altamente susceptibles de ser rotos.”
Expertos en criptografía no aprobaban la decisión del NIST para elegir Dual_EC_DRNG como importante herramienta de cifrado desde el principio y durante años especularon sobre su pobre rendimiento y la base matemática del logaritmo.
Pero una fuente cercana al proceso dijo a Reuters que el NIST aceptó Dual_EC_DRNG en primer lugar, porque muchas agencias del gobierno de Estados Unidos ya lo estaban usando.
Como señala el profesor Mathew Green, un criptógrafo de la Universidad Johns Hopkins, afirma en su última publicación, al NIST abrazó Dual_EC_DRNG, pero la herramienta no tenía ninguna prueba de seguridad.
La semana pasada, el Professor Green dijo a RT que “la NSA tiene dificultades para romper cifrados, por lo que lo que han hecho es que en realidad trató de tomar los productos que realizan cifrados y hacerlas rendur mal, para que sea más débil por lo que es más fácil que se rompan que el cifrado “.
“[El] NSA está dispuesto a hacer la seguridad de los EE.UU. un poco más débil”, dijo Green.
Esta misma semana los expertos en seguridad informática Symantec mantienen que han identificado un grupo de élite de los hackers chinos que han atacado a los sistemas de las principales empresas tecnológicas de Estados Unidos, como Adobe, Dow Chemical, Google, Northrup Grumman, Yahoo e incluso la propia Symantec desde al menos 2009.
A principios de 2013, la NSA fue expuesta como una agencia que disfrutó del control de flujo de datos de la Internet mundial desde hace años, con su programa de vigilancia PRISM junto con otros proyectos costosos. Pero a pesar de las capacidades de control web prácticamente ilimitadas, la agencia no pudo evitar que los expertos en TI extranjeros, en particular de China, realizará trucos de alto perfil a las empresas estadounidenses y otras entidades.
Compartir esto: