¿Usas Mozilla o Google Chrome? Si tu respuesta es afirmativa, entonces llegó la hora de actualizar el navegador para hacer frente a una vulnerabilidad crítica descubierta en estos días por el equipo de investigación de amenazas avanzadas de Intel Security descubrió en la biblioteca criptográfica de los Servicios de Seguridad de Red (NSS) de Mozilla.
Lo básico
Probablemente al leer estas líneas haya quienes se pregunten qué exactamente es una biblioteca criptográfica y por qué esta vulnerabilidad en NSS es importante tomarla en cuenta. Básicamente la biblioteca en cuestión es una colección de algoritmos criptográficos que se usan en una variedad de estándares de Internet. Está presente principalmente en el navegador Firefox, pero igualmente se usa en Thunderbird y Seamonkey, así como en Google Chrome.
La vulnerabilidad descubierta, llamada “BERserk”, permite a los agresores fabricar firmas RSA, un método de cifrado que ayuda a garantizar que los datos se transmitan de forma segura en la web. Un sitio web “https://”, por ejemplo, se da por sentado que es seguro. El descubrimiento de BERserk cambia esta dinámica.
© Intel Security
Si un hacker puede saltar la autenticación de sitios web a través de capas de conexión segura (SSL) o seguridad de la capa de transporte (TLS), la criptografía responsable de ese “https://” que estamos acostumbrados a ver, entonces los sitios que vemos como seguros quizá no sean tan seguros después de todo. Bajo estas circunstancias es un riesgo de seguridad realizar compras o ingresar a servicios bancarios online, aún cuando el sitio web en cuestión use SSL (o “https://”). Si el sitio está comprometido, hay una posibilidad muy alta de que los datos introducidos queden expuestos.
¿Qué hacer?
Firefox ha emitido un parche para corregir esta vulnerabilidad: usuarios deben actualizar de inmediato su navegador con los parches más recientes de Mozilla. Ya que Google también utiliza esta misma biblioteca criptográfica, los usuarios de Google Chrome y Chrome OS también deberían instalar las actualizaciones.
Más detalles en el blog de McAfee y en Intel Security.
