|
Consideran
que representan una amenaza muy a tener en cuenta para mantener
la confidencialidad. Incluso recomiendan modificaciones en el estandar OpenPGP para reducir la efectividad de este tipo de
ataques.
Pretty Good Privacy (PGP), es el programa de encriptación de
clave pública escrito originariamente por Phil Zimmermann en
1991. Tiene multitud de adeptos alrededor del mundo que han
hecho del mismo una marca estandar para la encriptación de
emails en Internet. Tanto es así que entre otras compañías de
la misma rama en seguridad informática es citada con alta
frecuencia. PGP está disponible en distintas plataformas, de
las que mencionamos Windows, Unix, MS-DOS, OS/2, Macistosh,
Amiga and Atari. Existen versiones en diferentes lenguas, entre
ellas el español.
GNU Privacy Guard (GnuPG)
es un criptosistema también bastante extendido que reemplaza
según ellos mismos, totalmente a PGP. “Debido a que no utiliza
IDEA ni RSA, se puede usar sin ningún tipo de restricciones.
GnuPG es una aplicación conforme a las normativas del RFC2440
(OpenPGP).”
Investigadores de la
universidad de Columbia y Counterpane Internet Security, Inc.
descubrieron que si alguien interceptase un correo encriptado lo
podría desencriptar simplemente repaquetando el mensaje y
enviandolo al destinatario. Este mensaje le aparecería como un
auténtico galimatías con lo que el receptor podría solicitar
un reenvio del mismo. Si tenemos en cuenta que muchas veces se
suele enviar el mensaje original (muchos usuarios lo tienen
predeterminado así) con la solicitud del mismo, entonces el
interceptor podría conseguir la clave para determinar el
mensaje original.
Esto implica que se debe
evitar incluir los mensajes enteros recibidos en los responsos o
respuestas de los mismos.
Los dos programas PGP y
GnuPG elegidos por ser dos de los programas de software de uso
generalizado fueron los objetos de este estudio.
Conclusiones del estudio:
-
Exitoso ataque contra
GnuPG y PGP cuando los los ficheros o mensajes han sido
enviados sin comprimir.
-
En caso de envio de
ficheros comprimidos (por ejemplo, un fichero .zip
utilizando PGP), el ataque sigue teniendo éxito y puede ser
utilizado para recuperar el mensaje original.
-
Si la compresión ha
sido realizada por el software de encriptación (cuando un
fichero no comprimido ha sido enviado) provoca el fallo del
ataque. En el caso de GnuPG cuando la compresión se utiliza
el ataque falla debido solo a la presencia del chequeo de
integridad del mensaje que no se requiere especificamente.
Sin este chequeo los ataques tienen éxito en un 100% de las
veces.
-
Las herramientas que
siguen estrictamente la especificación OpenPGP son
vulnerables al ataque aún cuando el mensaje haya sido
comprimido durante la encriptación.
Al parecer fue
identificada esta posibilidad hace un año creando una gran
preocupación que ha derivado en las investigaciones mencionadas
donde se ha visto demostrada recientemente. Parte de la
preocupación ha sido y es debida a la facilidad de
interceptación de los correos electrónicos. Tecnología que
utiliza desde el gobierno de los EE.UU. hasta un simple
empresario para el monitoreo de sus empleados.
|
