Pericolo FREAK su Windows, ecco come proteggersi
Microsoft conferma, purtroppo, che gli utenti di tutte le versioni esistenti di Windows sono vulnerabili al recente problema di sicurezza FREAK, che presentammo pochi giorni fa qui su Migliori Antivirus.
del 10/03/15 - di Alessandro Elia
Quando presentammo la vulnerabilità Freak, appariva chiaro che questa falla dello standard SSL/TLS si limitava esclusivamente ai navigatori Safati della Apple e quello di Google pre-installato nel sistema operativo.
Ciò nonostante, Microsoft ha dovuto lanciare un Security Advisory per avvisare della scoperta di tale problema che colpisce Windows:
"Microsoft è a conoscenza delle caratteristiche di sicurezza dello Schannel interessate da questa anomalia su Windows. Le nostre analisi rivelano che un hacker potrebbe sfruttare l'SSL/TLS per realizzare attacchi sul sistema operativo. Si tratta del nuovo FREAK da poco scoperto che ha colpito non solo Windows ma l'intero settore".
Buone e cattive notizie
La buona novella arriva dal fatto che per il momento la vulnerabilità non è stata sfruttata per lanciare attacchi contro utenti determinati. Non è poco.
La cattiva notizia sta nel fatto che non esistono prove sul come gli attacchi possano essere condotti: speriamo di no, però potrebbe darsi che le vittime siano al momento sotto attacco senza rendersene conto.
Questa vulnerabilità è presente da circa una decina d'anni però solo da poche settimane si ha la consapevolezza che potrebbe servire per forzare pagine web usando i nostri broswes per la capacità di Freak di rinegoziare gli standard di cifratura dei PC.
Versioni di Windows colpite
- Windows Server 2003
- Windows Vista (tutte le versioni)
- Windows Server 2008
- Tutti i Windows di consummo tra cui RT.
Navigatori web colpiti
- Internet Explorer 11
Difendersi da FREAK su Windows
Dovremo mettere mano all'Editor criteri di gruppo di Windows (presente su Vista o successivi), per poter disabilitare lo scambio di chiavi di cifratura RSA. Per farlo dovremo indicare a Windows quali tipi disabilitare, modificando la Suite di cifratura SSL nel seguente modo:
- Apri il Prompt dei comandi
- Digita gpedit.msc e premi 'Invio' per accedere all'Editor criteri di gruppo locali
Pericolo FREAK su Windows, ecco come proteggersi
- Entrare in Configurazione Computer > Modelli amministrativi > Rete
eppoi fare click su Impostazioni di configurazione SSL.
Pericolo FREAK su Windows, ecco come proteggersi
- Clicca col tasto destro su Ordine dei pacchetti di crittografia SSL poi attiva e modifica il valore, introducendo queste chiavi:
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P256,
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P384,
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P256,
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P384,
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA_P256,
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA_P384,
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA_P256,
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA_P384,
TLS_DHE_RSA_WITH_AES_256_GCM_SHA384,
TLS_DHE_RSA_WITH_AES_128_GCM_SHA256,
TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384_P384,
TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256_P256,
TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256_P384,
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384_P384,
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256_P256,
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256_P384,
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA_P256,
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA_P384,
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA_P256,
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA_P384,
TLS_DHE_DSS_WITH_AES_256_CBC_SHA256,
TLS_DHE_DSS_WITH_AES_128_CBC_SHA256,
TLS_DHE_DSS_WITH_AES_256_CBC_SHA,
TLS_DHE_DSS_WITH_AES_128_CBC_SHA,
TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA
- Esci e riavvia il PC.
NOTA: Per annullare i cambi, basta effettuare i passi al contrario e impostare il comando generale su 'Disabilitato'.
Conclusioni
In conclusione, dobbiamo menzionare che Microsoft già sta lavorando per una soluzione definitiva del problema, in modo che la vulnerabilità FREAK smetta di farci paura. Ad ogni modo tranquilli, siamo lontani dai tempi di minacce estreme come Heartbleed o ShellShock.
Comunicazione Web
Responsabile account:
Alessandro Elia (Redattore)
Contatti e maggiori informazioni
Vedi altre pubblicazioni di questo utente
Responsabile account:
Alessandro Elia (Redattore)
Contatti e maggiori informazioniVedi altre pubblicazioni di questo utente