Una nueva investigaci\u00f3n de acad\u00e9micos de ETH Zurich ha identificado una serie de problemas de seguridad cr\u00edticos en el servicio de almacenamiento en la nube de MEGA que podr\u00edan aprovecharse para romper la confidencialidad e integridad de los datos del usuario.<\/p>\n
En un art\u00edculo titulado “MEGA: el cifrado maleable sale mal<\/a>“, los investigadores se\u00f1alan c\u00f3mo el sistema de MEGA no protege a sus usuarios contra un servidor malicioso, lo que permite que un actor deshonesto comprometa por completo la privacidad de los archivos cargados.<\/p>\n “Adem\u00e1s, la integridad de los datos del usuario se da\u00f1a en la medida en que un atacante puede insertar archivos maliciosos de su elecci\u00f3n que pasan todas las verificaciones de autenticidad del cliente”, dijeron en un an\u00e1lisis Matilda Backendal, Miro Haller y Kenneth G. Paterson de ETH Zurich. de la arquitectura criptogr\u00e1fica del servicio.<\/p>\n MEGA, que anuncia<\/a> a s\u00ed misma como la “compa\u00f1\u00eda de privacidad” y afirma proporcionar almacenamiento en la nube encriptado de extremo a extremo controlado por el usuario, tiene m\u00e1s de 10 millones de usuarios activos diarios, con m\u00e1s de 122 mil millones de archivos cargados en la plataforma hasta la fecha.<\/p>\n La principal de las debilidades es una RSA<\/a> Ataque de recuperaci\u00f3n de clave que hace posible que MEGA (que act\u00faa de manera maliciosa) o un adversario ingenioso del estado-naci\u00f3n que controla su infraestructura API recupere la clave privada RSA de un usuario manipulando 512 intentos de inicio de sesi\u00f3n y descifrando el contenido almacenado.<\/p>\n “Una vez que una cuenta objetivo hab\u00eda realizado suficientes inicios de sesi\u00f3n exitosos, las carpetas compartidas entrantes, los archivos de MEGAdrop y los chats podr\u00edan haber sido descifrados”, Mathias Ortmann, arquitecto jefe de MEGA, dijo<\/a> en respuesta a los hallazgos. “Los archivos en la unidad de la nube podr\u00edan haberse descifrado sucesivamente durante los inicios de sesi\u00f3n posteriores”.<\/p>\n La clave RSA recuperada se puede ampliar para dar paso a otros cuatro ataques:<\/p>\n “Cada usuario tiene una clave RSA p\u00fablica utilizada por otros usuarios o MEGA para cifrar datos para el propietario, y una clave privada utilizada por el propio usuario para descifrar datos compartidos con ellos”, explicaron los investigadores. “Con este [GaP Bleichenbacher attack]MEGA puede descifrar estos textos cifrados RSA, aunque requiere una cantidad poco pr\u00e1ctica de intentos de inicio de sesi\u00f3n”.<\/p>\n En pocas palabras, los ataques podr\u00edan ser armados por MEGA o cualquier entidad que controle su infraestructura central para cargar archivos similares y descifrar todos los archivos y carpetas que pertenecen o se comparten con la v\u00edctima, as\u00ed como los mensajes de chat intercambiados.<\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2022\/05\/Microsoft-advierte-sobre-los-skimmers-web-que-imitan-Google-Analytics.png\")
<\/a><\/div>\n![\"Servicio](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2022\/06\/1655919500_59_Investigadores-descubren-formas-de-descifrar-el-cifrado-del-servicio-de.jpg\" "\\"Servicio")
<\/div>\n\n
\n
\n
![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2022\/04\/1650020196_834_Haskers-Gang-regala-malware-ZingoStealer-a-otros-ciberdelincuentes-de-forma.jpg\")
<\/a><\/div>\n