A vulnerabilidade nos protocolos SSL/TLS consegue forçar o recurso a níveis mínimos de segurança quando é estabelecida uma comunicação entre um browser e um servidor de suporte a um serviço web afetados pelo problema. Num primeiro momento os investigadores identificaram que o problema afetava o browser Safari e os browsers para Android (que usam o OpenSSL). A Microsoft vem entretanto admitir que os protocolos de segurança que utiliza em todas as versões do Windows também são afetados pela mesma vulnerabilidade, assegurando que em breve vai disponibilizar correções.



Entretanto, os investigadores têm vindo a realizar testes para perceber a abrangência do ataque nos servidores HTTPS com endereços IP públicos e já conseguiram descobrir que há milhares sites vulneráveis a um possível ataque, embora até à data não tenha sido identificado nenhum exploit para a falha. Um terço dos servidores que aceitam certificados de segurança via browser estão em risco e na lista estão as moradas eletrónicas da NSA ou do FBI.



David Sopas do site Websegura, analisou os dados e identificou na lista publicada 87 sites portugueses: Priberam, CTT, Universidade Coimbra, SportTv, INPI, Parlamento e Ordem dos Advogados são alguns dos endereços listados.



"Os sites vulneráveis ao FREAK, que permitem o RSA_EXPORT, podem representar um risco porque esta falha permite aos utilizadores maliciosos forçarem ligações seguras por outras cifras que podem ser quebradas", sublinha o especialista em segurança.



Para o utilizador comum, o passo a seguir para eliminar a ameaça passa por atualizar o browser para a última versão - a maior parte dos browsers já corrigiram a situação. Os administradores dos servidores web com sites alegadamente vulneráveis devem desativar o suporte de cifra de grau de exportação e verificarem se existem outras cifras também inseguras. Quem utiliza o OpenSSL deve atualizar para a versão 1.0.2 que já inclui um patch para ataques MITM [Man-In-The-Middle], recomenda ainda David Sopas.

Escrito ao abrigo do novo Acordo Ortográfico

Cristina A. Ferreira