¿Por qué todos los bancos usan suites TLS más débiles? [cerrado]

Question

¿Por qué todos los bancos usan suites TLS más débiles? [cerrado]

#1 de Steffen Ullrich (4 votos)
#2 de user10008 (4 votos)

5

Últimamente he comprobado varios certificados TLS y he notado que la mayoría de los bancos parecen tener los siguientes dos problemas:

1) No ofrecen un perfecto secreto hacia adelante

2) Todavía están usando RC4

Hasta ahora, todos los que he comprobado (TD, JPMorgan, CIBC, Wells Fargo, Bank of America, ING / Tangerine, RBC) utilizan

TLS_RSA_WITH_RC4_128_SHA

Aunque en realidad CitiGroup y Goldman Sachs están usando AES en modo CBC con claves de 256 bits, en lugar de RC4, pero aún así, no hay secreto de avance, y creo que GCM + SHA256 es mejor que CBC + SHA, incluso con claves de 128 bits vs 256.

Por otra parte, los intercambios / sitios de google, facebook, linkedin y bitcoin ofrecen un perfecto secreto hacia adelante (generalmente con ECDHE), y usan AES por unanimidad en modo GCM con SHA256 y teclas de 128 bits.

Entonces, mi pregunta: ¿por qué nuestros bancos no han mejorado su seguridad, especialmente teniendo en cuenta los recientes ataques a RC4 (aunque en su mayoría son teóricos, apuntan a posibles problemas, y RC4 generalmente se considera menos seguro que AES)? Además, ¿por qué no ofrecerían perfecto secreto hacia adelante? ¿Eso es un descuido de su parte, o posiblemente por razones regulatorias?

Hoy casi le envié un correo electrónico a mi banco acerca de esto, pero pensé que primero iba a lanzar la pregunta aquí. Por supuesto, los ataques cibernéticos en los bancos están de moda en estos días: deberían usar el mejor cifrado que puedan.

banks tls forward-secrecy aes rc4

pregunta Ethan 29.08.2014 - 04:06

fuente

2 respuestas

4

Supongo que la respuesta más concisa a esta pregunta es: Están asegurados.

Actualmente, los estándares de la industria no requieren PFS y, por lo tanto, los seguros pagan incluso si el banco no tenía PFS. Hubo una pregunta similar en 30c3 acerca de por qué los bancos están usando Windows XP como su sistema operativo. .

Esos estándares también pueden ser una razón por la que los bancos no pueden implementar nuevos métodos como PFS tan rápido como las empresas como Twitter, cuando se necesita auditar y certificar cada medida de seguridad.

Otro punto sería que la mayoría de los ataques no se basan en romper el cifrado , sino en atacar la computadora del propio usuario.

respondido por el user10008 29.08.2014 - 04:31

fuente

Lea otras preguntas en las etiquetas banks tls forward-secrecy aes rc4

La tienda en línea fue hackeada, reparada pero aún está bajo ataque. ¿Qué hacer? ¿Cifrar y autenticar el tráfico de host local?

score 4 · Accepted Answer

Generalmente no se sabe que los bancos trabajen de forma ágil y sigan rápidamente los últimos desarrollos. Al igual que con muchas otras grandes empresas, hay mucho papeleo involucrado si alguien intenta cambiar algo, lo que cuesta esfuerzos, fuerza humana, tiempo y, por lo tanto, dinero. No creo que un administrador del sistema pueda decidir cambiar los cifrados. En su lugar, debe justificar el cambio en contra de la administración superior, debe ser aprobado, luego probado y luego necesitan encontrar una ventana de mantenimiento para aplicar el cambio.

Además, el aspecto técnico podría no ser tan simple como simplemente cambiar un cifrado en la configuración de los servidores. Puede haber involucrados balanceadores de carga que solo tengan soporte (acelerado por hardware) para un conjunto limitado de cifrados (principalmente RC4 y DES3). También pueden implementar un IDS de inspección profunda desde el principio que puede manejar el intercambio de claves basado en RSA siempre que tengan la clave privada del certificado de servidores. Pero esto ya no funcionará si el servidor utiliza intercambios de claves DH (EC) para proporcionar seguridad de reenvío.

Juntos tienen muchos desafíos administrativos y técnicos. Y, a menos que la ley exija algunos requisitos para utilizar mejores cifrados, solo se asignarán pocos recursos (si los hay) para un proyecto de este tipo, lo que significa que un cambio llevará mucho tiempo.