La NSA condivide le linee guida e gli strumenti per aggiornare i protocolli TLS e SSL, a rischio l'esposizione sicura dei dati

La National Security Agency (NSA) ha condiviso una guida su come rilevare e sostituire le versioni obsolete del protocollo Transport Layer Security (TLS) con varianti aggiornate e sicure.

L'agenzia di intelligence degli Stati Uniti evidenzia anche i pericoli legati all'uso di TLS deprecato, inclusi i rischi di esposizione dei dati sensibili e la decrittografia del traffico di rete negli attacchi man-in-the-middle. "La riparazione è fondamentale per ridurre il sistema di computer e le superfici di attacco alla rete e prevenire l'accesso non autorizzato ai dati privati", ha affermato l'agenzia .

"La NSA consiglia di utilizzare solo TLS 1.2 o TLS 1.3 e di non utilizzare SSL 2.0, SSL 3.0, TLS 1.0 e TLS1.1." L'implementazione delle misure nella guida della NSA elimina il falso senso di sicurezza fornito dai protocolli di crittografia obsoleti aiutando a bloccare le versioni TLS non sicure, le suite di crittografia e i metodi di scambio delle chiavi per crittografare correttamente il traffico di rete.

L'aggiornamento delle configurazioni TLS fornirà alle organizzazioni governative e aziendali una crittografia e autenticazione più forti per aiutarle a costruire una difesa migliore dagli attacchi di attori malintenzionati e proteggere le informazioni importanti.

La guida della NSA è rivolta ai leader della sicurezza informatica del National Security System (NSS), del Dipartimento della Difesa (DoD) e della Defense Industrial Base (DIB), nonché agli analisti della sicurezza di rete e agli amministratori di sistema.

Gli strumenti, le firme di rete e le configurazioni dei server condivise oggi dalla NSA sono progettati per aiutare i proprietari di reti governative a migliorare la loro posizione di sicurezza informatica consentendo solo configurazioni di protocolli di crittografia forti e autorizzate negli ambienti delle loro organizzazioni.

Tuttavia, poiché i rischi derivanti dalla debole crittografia dei protocolli TLS deprecati interessano tutte le reti, la guida dovrebbe essere seguita da tutti i "proprietari e operatori di rete" che desiderano ridurre la propria esposizione al rischio e rafforzare i propri sistemi contro gli attacchi che utilizzano questi vettori di attacco. "Le configurazioni obsolete forniscono agli avversari l'accesso al traffico operativo sensibile utilizzando una varietà di tecniche, come la decrittazione passiva e la modifica del traffico attraverso attacchi man-in-the-middle", ha detto la NSA. "Gli aggressori possono sfruttare configurazioni del protocollo TLS (Transport Layer Security) obsolete per ottenere l'accesso a dati sensibili con pochissime competenze richieste".

Il foglio informativo sulla sicurezza informatica rilasciato oggi dalla NSA [PDF] fornisce ampie informazioni per tutti gli amministratori di rete su versioni TLS obsolete, suite di crittografia e meccanismi di scambio di chiavi, nonché su configurazioni TLS consigliate, strategia di rilevamento e rimedio.

Microsoft, Google, Apple e Mozilla hanno dichiarato in un annuncio coordinato di ottobre 2018 che ritireranno i protocolli insicuri TLS 1.0 e TLS 1.1 a partire dalla prima metà del 2020. Microsoft ha abilitato TLS 1.3 per impostazione predefinita nelle ultime build di Windows 10 Insider a partire da agosto 2020.