Sicurezza a rischio per le reti IPsec

Helsinki – Destano grande attenzione nella comunità di esperti di sicurezza alcune vulnerabilità recentemente scoperte in un protocollo di sicurezza molto utilizzato da aziende e pubbliche amministrazioni. La tecnologia in questione è l' Internet Security Association and Key Management Protocol ( ISAKMP ), ed è usata principalmente nelle extranet e nelle reti private virtuali (VPN) basate sul noto protocollo di sicurezza IPsec .

Scoperte dal Secure Programming Group dell' Università di Oulu , in Finlandia, le debolezze di ISAKMP potrebbero essere utilizzate da un aggressore per lanciare attacchi di denial of service (DoS), innescare errori di buffer overflow e, in certi casi, eseguire del codice da remoto.

Tra i prodotti vulnerabili vi sono firewall e altri dispositivi di rete venduti da colossi del settore come Cisco e Juniper Networks. Gli esperti sostengono che la gravità del problema varia da prodotto a prodotto ma, in generale, i rischi sembrano elevati: lo dimostra il fatto che l' advisory con cui è stata resa nota la vulnerabilità porta la firma del CERT finlandese e del National Infrastructure Security Co-ordination Centre ( NISCC ) britannico.

Tra i prodotti di Cisco, quelli vulnerabili comprendono varie versioni di IOS, Firewall Services Module, PIX Firewall e VPN 3000 Series Concentrators. Il colosso ha spiegato che le falle potrebbero essere sfruttate da un aggressore per forzare il continuo riavvio di un dispositivo. L'azienda non ha fatto cenno all'eventualità che un cracker possa compromettere l'appliance di rete.

Tra i prodotti vulnerabili di Juniper vi sono invece tutti i router delle serie M, T, J ed E. La società ha tuttavia detto di essere al corrente della falla fin dallo scorso giugno: ciò le ha permesso di distribuire versioni corrette dei propri software e firmware fin dal 28 luglio.

Tra le altre aziende che ad oggi si sono dette interessate dal problema vi sono anche Sun, Secgo, StoneGate e Openswan.

Di recente IPsec era già finito sotto i riflettori per alcune serie falle di sicurezza nel protocollo di cifratura dei dati.