El investigador de seguridad informática Ahamed Nafeez ha descubierto un ataque llamado VORACLE, que puede recuperar el tráfico HTTP enviado mediante conexiones VPN cifradas bajo determinadas condiciones.
En concreto, VORACLE no representa un nuevo ataque en sí, sino una variación y combinación de otros ataques de cifrado que tuvieron éxito en el pasado como Crime, Breach y Time, donde los investigadores detectaron que podían recuperar datos de conexiones encriptadas con el protocolo TLS (Transport Layer Security) en caso de que los datos estuviesen comprimidos antes de ser encriptados.
Los parches de seguridad para estos ataques fueron lanzados entre 2012 y 2013, por lo que las conexiones HTTPS se han mantenido seguras hasta este momento. Sin embargo, Nafeez afirma que los servicios o clientes VPN que comprimen el tráfico web HTTPS antes de encriptarlo como parte de la conexión VPN, continúan expuestos a estos ataques antiguos.
Según el investigador, el objetivo de este tipo de ataques es filtrar datos privados, como las cookies de navegación, sitios web con información confidencial, etc. En este sentido, asegura que VORACLE sólo funciona contra servicios/clientes VPN que estén construidos bajo el protocolo OpenVPN.
La razón de esto es que el protocolo de código abierto OpenVPN utiliza una configuración por defecto que comprime los datos antes de encriptarlos con TLS y luego enviarlos mediante el túnel VPN, lo que le confiere las condiciones para cumplir con los ataques anteriores Breach, Time y Crime.
El investigador reveló que todo lo que necesita un hacker es atraer a un usuario a un sitio HTTPS, que bien puede estar bajo su control o simplemente puede ser un sitio web legítimo sobre el cual puede ejecutar código malicioso, como por ejemplo, adware. De esta forma, el hacker puede robar datos del sitio, como las cookies de cada sesión, lo que a su vez le permitiría iniciar sesión en dicho sitio como usuario.
Nafeez aseguró que este ataque no funciona en navegadores basados en Chromium, donde las solicitudes HTTPS se dividen en ‘encabezado y cuerpo’. Por su parte, otros navegadores que no usan Chromium, como Firefox, son vulnerables debido a que envían datos de solicitudes HTTPS a través de un gran paquete.
