Un mail de un ejecutivo de Google desvela una importante brecha de seguridad
Google, Yahoo! y Microsoft utilizaban mecanismos de autentificación de correo muy frágiles. En el caso de Google un ejecutivo de Mountain View dio la pista inicial.
Utilizar una clave de menos de 1.024 bits de extensión en el mecanismo de autentificación de correo DKIM puede traer problemas de seguridad. Se considera que las claves RSA que utilizan ese número de bits son fáciles de reventar. Ni hablar de los inferiores a esa longitud.
Zachary Harris es un matemático que un buen día recibió un mail de un miembro del departamento de reclutamiento de Google. Se dio cuenta que la clave DKIM era muy poco segura.
Inmediatamente pensó en que se trataba de una prueba de acceso –ya se sabe que las pruebas para trabajar en Google son algo singulares-. ¿Un gigante como Google con un mecanismo de autenticación de correo electrónico tan débil? Imposible.
Escribió a Larry page y Sergey Brin, alertando de lo hallado. No obtuvo respuesta pero se dio cuenta que inmediatamente después de su aviso, Google había empezado a usar claves de 2.048 bits de extensión, como recoge ZDNet.
Más allá de lo anecdótico de la historia, ésta abre un interesante debate sobre seguridad. Según Harris compañías como eBay o Twitter usan claves de 512 bits. Servicios financieros como PayPal, de 768 bits.
Yahoo y Microsoft, también comprometidas
US-CERT, brazo de la división estadounidense de seguridad cibernética, también ha tomado cartas en el asunto y ha aconsejado a Google, Yahoo y Microsoft que inspeccionen las claves RSA de los servidores y que reemplacen las que tengan una extensión menor de 1.024 bits. De lo contrario un atacante puede utilizar una clave de confianza para llevar a cabo acciones maliciosas.
