Los investigadores han desarrollado una solución a un problema de larga data en el campo del cifrado de extremo a extremo, una técnica que garantiza que solo el remitente y el destinatario puedan leer un mensaje.
Con el cifrado actual de extremo a extremo, si un atacante compromete el dispositivo de un destinatario, puede ponerse en posición de interceptar, leer y alterar todas las comunicaciones futuras sin que el remitente o el receptor lo sepan.
El nuevo protocolo, publicado en Transacciones IEEE sobre información forense y seguridad , obliga a los atacantes a dejar evidencia de dicha actividad y alerta a los usuarios para que tomen medidas.
El Dr. Jiangshan Yu en la Universidad de Luxemburgo, el Profesor Mark Ryan en la Universidad de Birmingham y el Profesor Cas Cremers en la Universidad de Oxford, fueron motivados por el descubrimiento de vulnerabilidades masivas de software, como el error Heartbleed, que hacen que la mayoríade dispositivos vulnerables al compromiso.
El Dr. Yu explicó: "Existen excelentes servicios de cifrado de extremo a extremo, pero por definición dependen de que su dispositivo permanezca seguro; una vez que un dispositivo se ha visto comprometido, hay poco que podamos hacer. Ese es el problema que queríamosresolver."
Siguiendo las revelaciones de Edward Snowden sobre la vigilancia masiva del gobierno, el cifrado de extremo a extremo ahora está ampliamente disponible a través de servicios como WhatsApp de Facebook. El enfoque utiliza pares de 'claves' criptográficas para que el remitente encripte y el destinatario para desencriptar mensajes; cualquierapara querer leer sus mensajes primero tiene que hackear su teléfono para robar sus últimas claves. El atacante luego realiza un ataque 'Man-in-the-middle' MITM, por ejemplo tomando el control de su enrutador WIFI para interceptar sus mensajes, y usa las llaves robadas para hacerte pasar por ti.
Los protocolos de cifrado actuales, como la señal utilizada por WhatsApp, aprovechan al máximo el hecho de que un atacante MITM solo puede interceptar mensajes enviados a través de la red comprometida. Por ejemplo, tan pronto como envíe un mensaje a través de 3G en lugar del WiFi comprometido el atacanteya no podrá actuar como intermediario. Perderán el rastro de las teclas y quedarán bloqueados de la conversación.
La solución, llamada DECIM Detección de compromiso de punto final en mensajería, aborda la pregunta de qué hacer cuando el atacante está en condiciones de interceptar todos sus mensajes a largo plazo. Tanto su proveedor de servicios de Internet como su servicio de mensajeríael operador está en tales posiciones, todos sus mensajes pasan a través de sus servidores, de modo que si obtuvieran sus claves, nunca quedarían bloqueados de una conversación y usted nunca lo sabría.
Con DECIM, el dispositivo del destinatario certifica automáticamente nuevos pares de claves, almacenando los certificados en un libro público resistente a la manipulación.
El equipo realizó un análisis de seguridad formal utilizando una herramienta de verificación de protocolo simbólico, el 'Probador de Tamarin', que ejecuta millones de posibles situaciones de ataque, verificando las capacidades de DECIM. Este es un paso raro para un protocolo de mensajería, y el mismo análisis para otroslos protocolos revelaron varias fallas de seguridad.
"No hay una bala de plata en el campo del cifrado de extremo a extremo", dijo el Dr. Yu, "pero esperamos que nuestra contribución pueda agregar una capa adicional de seguridad y ayudar a nivelar el campo de juego entre usuarios y atacantes"."
El profesor Mark Ryan, de la Facultad de Ciencias de la Computación de la Universidad de Birmingham, dijo: "Nuestro grupo de Seguridad y Privacidad trata de resolver problemas que son importantes para la sociedad. Dada la prevalencia de ataques cibernéticos en teléfonos y computadoras portátiles, estamosorgullosos de este trabajo para detectar cuándo las claves de cifrado se han visto comprometidas. A continuación, tenemos la intención de solicitar este trabajo para detectar el compromiso de la clave de cifrado para aplicaciones, por ejemplo, en blockchain o en la votación basada en Internet ".
Fuente de la historia :
Materiales proporcionados por Universidad de Birmingham . Nota: El contenido puede ser editado por estilo y longitud.
Referencia del diario :
Cita esta página :