Seu website está resguardado contra o Ataque FREAK?
A segurança na internet é um tema constante. Sempre há novas ameaças que demandam atenção dos especialistas em segurança, e os nomes das vulnerabilidades são frequentemente curiosos, como Heartbleed, Poodle e, agora, o Ataque FREAK.
Neste artigo, explicarei como verificar se o seu site foi afetado e os procedimentos para corrigir essa falha de segurança.
O que é o Ataque FREAK?
Caso você não esteja familiarizado com o Ataque FREAK, aqui está uma breve introdução. Karthikeyan Bhargavan, do INRIA em Paris, foi quem descobriu esta vulnerabilidade.
Anunciado em 3 de março de 2015, o ataque explora uma falha de segurança nos protocolos SSL/TLS, permitindo que um invasor intercepte conexões HTTPS entre um cliente e um servidor vulneráveis, forçando-os a utilizar criptografia fraca. Isso facilita o roubo ou a manipulação de dados confidenciais.
Como verificar a vulnerabilidade do seu servidor
Se o seu servidor web aceitar conjuntos de cifras RSA_EXPORT, ele está em risco. Você pode verificar a segurança do seu site inserindo o seu URL HTTPS no seguinte link.
Solução para a vulnerabilidade do Ataque FREAK
Para servidores Apache HTTP, você pode desabilitar os conjuntos de cifras EXPORT adicionando a linha abaixo no seu arquivo de configuração httpd.conf ou SSL.
SSLCipherSuite !EXPORT
É possível que você já tenha uma linha SSLCipherSuite no seu arquivo de configuração. Nesse caso, basta adicionar !EXPORT ao final da linha existente.
Se você está começando a configurar, sugiro consultar meu Guia de Segurança e Reforço do Servidor Web Apache.
Para Nginx, adicione o seguinte no seu arquivo de configuração:
ssl_ciphers '!EXPORT';
Adicionalmente, você pode utilizar o Gerador de Configuração SSL ou seguir as Configurações recomendadas pela Mozilla para se proteger contra vulnerabilidades SSL/TLS.
Como proprietário de um site ou engenheiro de segurança, é crucial realizar verificações de segurança regulares para identificar e mitigar novas vulnerabilidades.
Você também pode ter interesse em saber como corrigir o ataque Logjam.
Gostou deste conteúdo? Compartilhe-o com outras pessoas!