La tecnologia digital ha obert un món de solucions per a petites empreses aportant nivells creixents d'eficiència a tot el món. Però també ha introduït amenaces a les quals mai no s'havien exposat prèviament.
Un estudi recentment publicat per SEC Consult, un proveïdor internacional de serveis de seguretat d'aplicacions i consultoria en seguretat de la informació, ha revelat almenys una nova amenaça. La secció SEC ha informat recentment que una pràctica de compartir els mateixos certificats de servidor HTTPS i les claus de l'amfitrió de Shell segur (Secure Shell Host) ha posat en risc a una sèrie de petites empreses. Després d'això, molts han dit que canviar d'HTTP a HTTPS proporcionarien una millor seguretat als seus llocs web.
$config[code] not foundUna breu explicació de
Hyper Text Transfer Protocol (HTTPS) xifra i desxifra les sol·licituds de la pàgina d'usuari per protegir contra l'escolta i atacs man-in-the-middle. Com que les comunicacions enviades per les connexions HTTP habituals es troben en "text sense format", els hackers poden llegir-los mentre els missatges viatgen entre el vostre navegador i el lloc web. Amb HTTPS, la comunicació està xifrada i el pirata informàtic no pot entrar en la connexió.
Així és com se suposa que ha de funcionar, però si el certificat HTTPS i les claus SSH es comparteixen utilitzant les mateixes una i altra vegada, eventualment algú podia trobar-lo i llegir-ne les comunicacions.
SEC Consult va analitzar el firmware de més de 4.000 dispositius incrustats de 70 venedors examinant les claus criptogràfiques, que inclouen enrutadores, mòdems, càmeres IP, telèfons VoIP, dispositius d'emmagatzematge de xarxa, portals d'Internet i molt més. Hi havia claus públiques i privades, així com certificats a les imatges del microprogramari.
L'empresa va exposar més de 580 claus privades exclusives dels dispositius que van ser assenyalats. Els investigadors van correlacionar les claus dels escanejats que estaven disponibles públicament a Internet, que els va portar a descobrir 150 certificats per a 3,2 milions d'amfitrions d'HTTPS. Això es tradueix al nou per cent de tots els hosts d'HTTPS a la web. Els investigadors van descobrir més de 80 tecles d'acollida de SSH, o més del sis per cent de tots els hosts de shell segurs a la web que totalitzen 0.9 milions d'ordinadors.
Això surt a almenys 230 tecles que són utilitzades activament per més de 4 milions de dispositius. Amb tants dispositius, no hauria de sorprendre que alguns dels principals fabricants de maquinari del món estiguin afectats per aquest problema.
Algunes de les companyies identificades inclouen Alcatel-Lucent, Cisco, General Electric (GE), Huawei, Motorola, Netgear, Seagate, Vodafone, Western Digital i molts altres, segons l'informe.
Com que això és en el costat del maquinari dels productes, els venedors han d'implementar les correccions. Segons Forbes, sis proveïdors - Cisco, ZTE, ZyXEL, Technicolor, TrendNet i Unify - han confirmat que venen solucions. Però això deixa molt poques opcions per a petites empreses que utilitzen els dispositius afectats. Tot el que poden fer és esperar un pegat de la companyia que va fabricar el producte.
Alguns dispositius no permeten canviar les claus i els certificats, cosa que complica encara més les coses.La SEC Consult diu que deixarà en breu tots els certificats i claus privades identificades. Mentrestant, podeu anar al lloc de l'empresa i llegir l'informe i descobrir si la vostra empresa petita està utilitzant un producte de la llista d'empreses.
Foto https a través de Shutterstock
1
