OpenSSL, la crittografia è vulnerabile

Ci sono due ricercatori italiani dietro la scoperta di una grave vulnerabilità in OpenSSL. Trattasi di una scoperta di grande importanza: sebbene l’attacco sia estremamente difficile da realizzare, infatti, OpenSSL è utilizzato in moltissimi software e servizi e la sua centralità nella protezione delle comunicazioni rende il bug un elemento cruciale meritevole di immediata attenzione.

La scoperta (pdf) è firmata da Andrea Pellegrini, Valeria Bertacco e Todd Austin della University of Michigan ed è stata presentata alla conferenza Design Automation and Test in Europe. «In questo lavoro abbiamo descritto un attacco ad uno schema di autenticazione RSA […]. Nel fare ciò abbiamo scoperto e spiegato una grave vulnerabilità nella versione corrente delle librerie e dimostrato come questo attacco possa essere perpetrato con limitate risorse computazionali».

Immediatamente OpenSSL avrebbe fatto informalmente sapere di essere al lavoro per distribuire una patch correttiva sulla base delle scoperte emerse in queste ore. Secondo quanto spiegato dai ricercatori, infatti, è possibile in circa 100 ore di lavoro ottenere l’intera chiave da 1024 bit alla base della crittografia dei dati: nulla che sia possibile ottenere con un semplice worm o un semplice codice, ma qualcosa che incrina comunque la totale sicurezza delle informazioni crittografate.

«Gli schemi crittografici a chiave pubblica sono ampiamente usati ovunque ci sia la necessità di assicurare o autenticare dati sensibili su reti di comunicazione pubblica. Quando sviluppati con chiavi sufficientemente lunga, questi algoritmi sono considerati inviolabili. […] Oggi i passi avanti nelle tecnologie dei semiconduttori ha reso possibile eseguire questi algoritmi in tempi ragionevoli […]. Di conseguenza questa transizione ha permesso il proliferare di una varietà di servizi sicuri come online banking e shopping. […] La nostra ricerca è focalizzata sullo sviluppo di un attacco sui crypto-chip. Specificatamente, abbiamo dimostrato un modo con cui perpetrare attacchi su microprocessori al fine di estrarre chiavi private dalle routine crittografiche che eseguono».

Trattasi però, come evidenziato nello schema soprastante, di un attacco da perpetrare a livello hardware, alterando il voltaggio e riuscendo così ad estrarre la chiave accedendo fisicamente alla macchina. Questo aspetto offre agli sviluppatori OpenSSL il tempo di rimediare, ripristinando l’inviolabilità dell’algoritmo e la sicurezza delle operazioni.