{"id":1298,"date":"2015-03-10T13:54:07","date_gmt":"2015-03-10T19:54:07","guid":{"rendered":"https:\/\/www.lastdragon.net\/?p=1298"},"modified":"2015-03-10T13:56:51","modified_gmt":"2015-03-10T19:56:51","slug":"calificacion-del-cifrado-de-la-cueva-del-dragon-en-el-ano-2015-y-vulnerabilidad-freak","status":"publish","type":"post","link":"https:\/\/www.lastdragon.net\/?p=1298","title":{"rendered":"Calificaci\u00f3n del cifrado de la cueva del drag\u00f3n en el a\u00f1o 2015 y vulnerabilidad FREAK"},"content":{"rendered":"<p><strong>FREAK<\/strong><\/p>\n<p>En otros momentos he hablado sobre las limitantes que exist\u00edan en los 90\u2019s para exportar cifrado a otros pa\u00edses por restricciones impuestas en USA, estas restricciones se le han regresado, el problema de FREAK es algo similar a Poodle donde se obligaba al servidor a usar protocolos ahora inseguros como SSLv3, de la misma forma FREAK aunque use TLS es obligado a que el m\u00e9todo de cifrado sea d\u00e9bil por el bloque de protocolos d\u00e9biles aprobados por USA que ir\u00f3nicamente al ser parte del repositorio de los programas hechos en USA se vuelven contra ellos mismos. Pues un atacante puede obligar al servidor y al cliente que usen cifrados d\u00e9biles.<\/p>\n<p>La soluci\u00f3n sigue siendo sencilla, es mas esto ni siquiera es una vulnerabilidad como tal, como en <a href=\"https:\/\/www.lastdragon.net\/?p=1139\">Poodle<\/a>, simplemente se le indica al servidor que no use cifrados de bajo nivel incluso que simplemente los niegue si los solicitan, dejando disponible solo conexiones en cifrados razonablemente seguros en el 2015.<\/p>\n<p><strong>En Apache la configuraci\u00f3n es:<\/strong><\/p>\n<blockquote><p>SSLProtocol All -SSLv2 -SSLv3<br \/>\nSSLHonorCipherOrder on<br \/>\nSSLCipherSuite HIGH:MEDIUM:!RC4!aNULL:!eNULL:!LOW:!3DES:!MD5:!EXP:!PSK:!SRP:!DSS\n<\/p><\/blockquote>\n<p>Esta configuraci\u00f3n le da la siguiente calificaci\u00f3n a la cueva del drag\u00f3n en cuanto a seguridad de transmisi\u00f3n de datos.<\/p>\n<p><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/www.lastdragon.net\/misarchivos\/califissl2015.jpg\" alt=\"Calificaci\u00f3n SSL Last Dragon\" width=\"425\" height=\"350\" \/><br \/>\n<a href=\"https:\/\/www.lastdragon.net\/misarchivos\/califissl2015.jpg\">Ver mas grande<\/a><\/p>\n<p>La calificaci\u00f3n podr\u00eda ser m\u00e1s alta, pero me niego a modificar valores que considero innecesarios y muy paranoicos y que finalmente terminaran siendo mala idea en <a href=\"https:\/\/www.lastdragon.net\">la cueva del drag\u00f3n<\/a> como el <a href=\"https:\/\/www.lastdragon.net\/?p=1074\">Strict Transport Security (HSTS)<br \/>\n<\/a><br \/>\n<strong>Sitio para probar FREAK<\/strong><\/p>\n<p><a href=\"https:\/\/tools.keycdn.com\/freak\">https:\/\/tools.keycdn.com\/freak<\/a><\/p>\n<p>Sitio para probar la calidad del cifrado<\/p>\n<p><a href=\"https:\/\/www.ssllabs.com\/ssltest\/analyze.html\">https:\/\/www.ssllabs.com\/ssltest\/analyze.html<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>FREAK En otros momentos he hablado sobre las limitantes que exist\u00edan en los 90\u2019s para exportar cifrado a otros pa\u00edses por restricciones impuestas en USA, estas restricciones se le han regresado, el problema de FREAK es algo similar a Poodle donde se obligaba al servidor a usar protocolos ahora inseguros como SSLv3, de la misma&#8230;<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[4],"tags":[],"class_list":["post-1298","post","type-post","status-publish","format-standard","hentry","category-hackers-and-tools"],"_links":{"self":[{"href":"https:\/\/www.lastdragon.net\/index.php?rest_route=\/wp\/v2\/posts\/1298","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.lastdragon.net\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.lastdragon.net\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.lastdragon.net\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.lastdragon.net\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=1298"}],"version-history":[{"count":3,"href":"https:\/\/www.lastdragon.net\/index.php?rest_route=\/wp\/v2\/posts\/1298\/revisions"}],"predecessor-version":[{"id":1301,"href":"https:\/\/www.lastdragon.net\/index.php?rest_route=\/wp\/v2\/posts\/1298\/revisions\/1301"}],"wp:attachment":[{"href":"https:\/\/www.lastdragon.net\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=1298"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.lastdragon.net\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=1298"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.lastdragon.net\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=1298"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}