A Agência de Segurança Nacional dos Estados Unidos emitiu um comunicado de segurança [PDF] neste mês instando os administradores de sistema em agências federais e além a pararem de usar protocolos TLS antigos e obsoletos.
“A NSA recomenda que apenas TLS 1.2 ou TLS 1.3 sejam usados; e que SSL 2.0, SSL 3.0, TLS 1.0 e TLS 1.1 não sejam usados”, disse a agência.
“Usar criptografia obsoleta fornece uma falsa sensação de segurança porque parece que dados confidenciais estão protegidos, embora na verdade não estejam”, acrescentou a agência.
Mesmo se o TLS 1.2 e o TLS 1.3 forem implantados, a NSA alerta contra a configuração desses dois protocolos com parâmetros criptográficos e conjuntos de criptografia fracos.
“Os padrões e a maioria dos produtos podem ter sido atualizados, mas as implementações muitas vezes não acompanharam”, disse a NSA em sua orientação esta semana . “As conexões de rede que empregam protocolos obsoletos correm um risco elevado de exploração por adversários. Como resultado, todos os sistemas devem evitar o uso de configurações obsoletas para os protocolos TLS e SSL. ”
“Dispositivos de monitoramento de rede podem ser configurados para alertar analistas sobre servidores e / ou clientes que negociam TLS obsoleto ou podem ser usados para bloquear tráfego TLS fraco”, de acordo com a NSA. “A escolha de alertar e / ou bloquear vai depender da organização.
Para minimizar o impacto da missão, as organizações devem usar uma abordagem em fases para detectar e consertar clientes e servidores até que um número aceitável seja corrigido antes de implementar regras de bloqueio. ”
“Algoritmos de criptografia especialmente fracos no TLS 1.2 são designados como NULL, RC2, RC4, DES, IDEA e TDES / 3DES; conjuntos de criptografia que usam esses algoritmos não devem ser usados”, acrescentou a agência.
“O TLS 1.3 remove esses conjuntos de criptografia, mas as implementações que oferecem suporte a TLS 1.3 e TLS 1.2 devem ser verificadas quanto a conjuntos de criptografia obsoletos.”
A agência de segurança cibernética dos Estados Unidos publicou uma lista de ferramentas em seu perfil GitHub para ajudar os administradores de sistema com a tarefa de identificar sistemas em suas redes internas que ainda usam configurações de protocolo TLS obsoletas.
- Redata: incentivos fiscais para data centers não garantem desenvolvimento da inteligência artificial no Brasil
- Operação Endgame desarticula três redes de malware
- Tesouro e Caixa Vida relataram exposição de dados. No Porto de Santos, sistemas administrativos foram afetados
- Falha global no Microsoft 365 não tem indícios de ciberataque
Acompanhe no Crypto ID a cobertura do cenário mundial de certificados digitais TLS, que protegem as comunicações, autenticam servidores e contribuem para a segurança das transações eletrônicas em todo o mundo.
Com uma cobertura especializada e abrangente, o Crypto ID acompanha a evolução do mercado internacional de certificação digital, as principais autoridades certificadoras, os padrões tecnológicos, as mudanças regulatórias e os desafios que impactam a infraestrutura global de confiança digital. Acesse aqui!
Crypto ID, referência em informação sobre identidade, criptografia e confiança digital.
- Cloudflare prepara autoridade certificadora pública para certificados pós-quânticos
- Let’s Encrypt recebe mais de € 1 milhão para desenvolver certificados TLS pós-quânticos
- Pesquisa da Sectigo revela que 78% dos líderes de TI preveem mudanças profundas na PKI para a era pós-quântica
- DigiCert confirma ao Crypto ID exposição de documentos de identidade e dados corporativos
