El viernes
CloudFlare anunció un desafío para robar su clave privada de un servidor nginx con
OpenSSL vulnerable a Heartbleed.
Pocas horas después, dos personas resolvieron el reto demostrando que
efectivamente es probable robar claves
privadas de los servidores
afectados.
Previamente,
CloudFlare en un extenso post,
había explicado cómo habian configurado sus servidores y, luego de
muchos experimentos prácticos, habían llegado a la conclusión que
robar las claves privadas del certificado SSL explotando Heartbleed era extremadamente dificil, pero no imposible. Por eso lanzaron
este desafio a la comunidad.
La primera presentación válida fue recibida a las 16:22 por un
investigador que envió al menos 2,5 millones de solicitudes en el
transcurso del día. El segundo fue presentado en 17:12 que envió
alrededor de 100 mil solicitudes en el mismo período de tiempo. Luego
del éxito del experimento
CloudFlare ha revocado el certificado digital utilizado en el desafio, mostrando también cómo reaccionan los distintos navegadores, ante un certificado revocado.
Con esto se confirma que se puede utiliza el exploit de Heartbleed para obtener la clave privada.
Este resultado nos recuerda que no se debe subestimar el poder de la
multitud y hace hincapié en el peligro planteado por esta
vulnerabilidad.
Para prevenir #HeartBleed se leer este post.
