Han sido publicadas las presentaciones de la conferencia Zero Nights realizada en Rusia esta semana pasada. Entre la lista de todas las presentaciones queremos destacar una de ellas que nos ha gustado mucho, impartida por el investigador Trosichev, en la que se explica cómo se pueden realizar ataques man in the middle utilizando un certificado digital de una CA con un mensaje muy sutil para conseguir que el usuario lo instale.
 |
| Figura 1: Fake CA que simula ser de Apple Inc. |
La idea es similar a la que se plantea con el ataque dirigido con el troyano para iOS, pero haciendo uso de un certificado CA emitido por una entidad como Comodo, que viene en la lista de certificados de confianza en iOS, y consigue hacerse con el usuario - que debe hacer dos "taps" para instalarlo -mediante un ataque de ingeniería social muy sutil, como puede verse en la imagen superior.
Desde Seguridad Apple os recordamos que de debéis tener mucho cuidado con los certificados digitales que aceptáis ya que pueden ser utilizados para instalar malware o hacer ataques de hombre en medio totalmente indetectables. No aceptes ningún programa o certificado digital que te venga por correo electrónico si no lo estás esperando por algún motivo.
No hay comentarios:
Publicar un comentario