Ataque DROWN deixa vulneráveis 33% dos websites

DROWN é a mais recente vulnerabilidade no OpenSSL que afecta servidores que usam o protocolo de segurança SSLv2, tendo sido revelado no dia de ontem que o ataque poderá desencriptar as comunicações via HTTPS, como por exemplo passwords ou número de cartão de crédito. Mais de 33% dos servidores web estão vulneráveis, no entanto é uma percentagem significativamente mais baixa, comparativamente com a o Heartbleed.

No momento em que escrevemos este artigo, encontramos alguns sites importantes que estavam vulneráveis, tais como o YAhoo, Alibaba, Samsung, Speedtest entre outros.

Neste caso do DROWN, os atacantes têm a possibilidade interceptar, desencriptar e modificar pacotes enviados pelo utilizador para o servidor via HTTPS e enviá-los para o servidor, utilizando o método de ataque Man-in-the-Middle.

DROWN diagrama

A versão 2 do protocolo SSL foi lançada nos anos 90 e é frequentemente activada por acidente ou automaticamente quando se configura um novo servidor, fazendo com que a incidência do ataque DROWN seja bastante elevada.

Segundo a página oficial para o DROWN, investigadores de segurança informática conseguiram tomar partido desta vulnerabilidade em menos de um minuto.

Para se defender deste ataque, deve certificar-se que o SSLv2 está desactivado e que a chave privada não seja partilhada com outros servidores.

Encontre os sites vulneráveis aqui!

[Fonte: The New Web, DROWN]

Já tinha ouvido falar do DROWN?

Fonte das imagens