Top bancos usando TLS 1.0

Si su banco usa TLS 1.0 con una función de decodificación SSLv3, es vulnerable a un ataque MitM utilizando la vulnerabilidad POODLE.

Si son vulnerables, no es más seguro acceder a la banca en línea desde cualquier ubicación en particular, la vulnerabilidad está en la implementación TLS del banco.

Puede consultar Poodle Scan para ver si su servidor es vulnerable.

Un ataque de hombre en el medio probablemente no sea posible actualmente con una implementación adecuada de TLS 1.0. Podría ser posible que ciertas agencias con grandes poderes de computación puedan capturar el tráfico y descifrarlo más tarde, pero ciertamente no está al alcance de las personas promedio y no es lo suficientemente rápido como para realizar ataques de hombre en el medio.

El hombre en el medio podría ser posible si se utilizan cifrados débiles, pero esto no está relacionado con la versión del protocolo. Consulte logjam attack para obtener más información. También podría ser posible con claves débiles en los certificados, pero muchos navegadores modernos ni siquiera aceptan tales certificados y esto tampoco está relacionado con la versión del protocolo.

Y, por supuesto, los errores en la implementación pueden hacer que la conexión sea insegura, pero estos no están restringidos a TLS 1.0. Se conocen sus malas implementaciones de servidor TLS 1.0+ afectadas por el problema de POODLE , por Heartbleed , WinShock y por supuesto que podría también tienen problemas del lado del cliente como goto fail . Pero estos no son problemas del protocolo en sí, sino de la mala implementación. Estos errores generalmente hacen que sea mucho más fácil secuestrar la conexión que intentar romper el protocolo en sí.

Por lo tanto, incluso si fuera posible organizar un ataque contra el propio protocolo, los recursos necesarios probablemente serían mucho más altos de lo que podría ganar el atacante al organizar un ataque de hombre en el medio al romper el TLS de la línea. conexión bancaria. Por lo tanto, probablemente nadie lo haría porque hay formas mucho más baratas de lograr los mismos resultados, como el uso de troyanos bancarios, sslstrip o uno de los errores en la implementación de TLS.

Esto no significa que el banco deba usar solo TLS 1.0. Al menos debería proporcionar mejores versiones de TLS (todos los navegadores modernos son compatibles con TLS 1.2), ya que el descifrado del tráfico TLS 1.0 capturado puede estar al alcance de ciertas agencias y los ataques solo mejoran. Pero lo más importante es que el banco utiliza una implementación que no se ve afectada por los errores mencionados y también utiliza HSTS para imponer el cifrado. Y, por supuesto, debe tener la seguridad interna necesaria para que los servidores no sean pirateados y los datos del usuario comprometidos. Y no olvide asegurar adecuadamente a su cliente contra los troyanos bancarios, etc.

Como han explicado algunos de los otros carteles, dependiendo de la implementación de TLS 1.0, su conexión con el banco podría ser potencialmente vulnerable.

Puede verificar las vulnerabilidades de TLS / SSL en la utilidad en línea de Qualys: enlace

Por ejemplo, eche un vistazo a bankofamerica.com: hoy hay tres entradas, una con una calificación A y las otras dos con una C. Aunque TLS 1.2 está en uso, hay otras vulnerabilidades potenciales en uso.

¿Esto significa que Bank of America no está seguro? Tal vez sí, quizás no, pero lo que sí sabemos es que, para las direcciones IP escaneadas que recibieron una calificación de C, existen algunos problemas de seguridad potenciales. Si esos sitios están separados físicamente o no están conectados a la información de su cuenta de alguna manera, es probable que no sea vulnerable.

Por otro lado, si una organización está usando un cifrado de capa de transporte fuerte pero no hash y contraseñas con sus contraseñas o si no está cifrando correctamente los datos almacenados en sus bases de datos, solo para mencionar algunas, entonces podría ser extremadamente vulnerable a pesar de que La conexión a la organización es segura.