Buco in IPsec, VPN a rischio

Londra – Il National Infrastructure Security Co-ordination Centre ( NISCC ) inglese ha lanciato un allarme relativo ad una vulnerabilità potenzialmente grave che affligge IP Security (IPsec), un insieme di protocolli di sicurezza utilizzati soprattutto nelle VPN (Virtual Private Network).

In questo advisory , il NISCC sostiene che sono state identificate in certe configurazioni IPsec tre debolezze che “possono consentire ad un aggressore di ottenere, con moderato sforzo, il testo in chiaro di comunicazioni protette con IPsec”.

Le falle, considerate “ad alto rischio”, riguardano in particolare le VPN che utilizzano il protocollo di crittazione Encapsulating Security Payload (ESP) e che sono configurate per funzionare in modalità tunnel senza la funzionalità di controllo dell'integrità dei dati. Risultano per altro vulnerabili anche alcune configurazioni che usano l'Authentication Header (AH).

“È già stato dimostrato come le tre modalità di attacco funzionino in situazioni reali”, ha avvisato il NISCC.

Nel proprio advisory, di cui Zone-h.it ha pubblicato una sintesi in italiano , l'organizzazione governativa inglese ha fornito alcune soluzioni su come aggirare il problema: quella raccomandata è l'attivazione contemporanea delle funzioni di segretezza e integrità.