[LACNIC/Seguridad] Consulta cripto asimétrica

JORDI PALET MARTINEZ jordi.palet en consulintel.es
Mie Mayo 29 14:27:49 -03 2019


Los emails no llegan porque creo que esta lista aún no tiene resuelto el tema del DMARC?

 

A mi me llegan muchos correos de LACNOG como SPAM por fallo de DMARC …


Saludos,

Jordi

 

 

 

El 29/5/19 18:58, "Seguridad en nombre de Carlos Pantelides" <seguridad-bounces en lacnic.net en nombre de carlos_pantelides en yahoo.com> escribió:

 

Hola Carlos MM

 

No me ha llegado tu mail completo, pero 

> Dicen por ahí que inventar usos propios y particulares de criptografía
> es en general de mala suerte.

 

 

Es el motivo rector de mi consulta.

 

 

Carlos MM

>>> Sobre las Rogue CAs , estoy muy de acuerdo en que es un problema serio,
>>> pero uno puede usar SSL con certificados propios 

Fernando G
>>Asi es. No vi cual era el escenario de despliegue. Si es algo privado,
>>es posible establecer uno su (unica(s)) CA. DE acuerdo a la escala, mas
>>o menos esfuerzo.

 

Aunque no haya ningún problema con las CA, TLS, lo que sea, el hecho es que pueden haber sistemas intermedios que reciban la información sensible sin necesidad, muestro el escenario de despligue en fixed font:

 

 

+-------+             +------------+             +-----------+               +--------------------+

|Cliente|---TLS(1)--->|WAF en Cloud|---TLS(2)--->|Backend WEB|----TLS(3)---->|Sistema Autenticador|

+-------+             +------------+             +-----------+               +--------------------+

 

(1) el certificado del dominio público, por ejemplo "www.servidor.com"

(2) otro certificado pero B2B, por ejemplo "api.midominio.com"

(3) certificado interno de la organización, por ejemplo "sa.interno"

 

Fíjense que salvo el cliente y el Sistema Autenticador no necesitan conocer las credenciales del usuario y sin embargo las tienen disponibles. La protección frente al compromiso de cualquiera de los tres certificados es un efecto colateral, mis adversarios son el WAF y el Backend.

 

En realidad el Cliente no necesita conocerlas, pero no puede evitarlo.

 

La implementación que pienso es que el Sistema Autenticador genera un par público/privado y se guarda obviamente el privado, le pasa al Backend la clave pública que se la pasa junto a la librería al Cliente, este cifra los datos sensibles con la clave pública y este cyphertext que nadie entiende pero todos transmiten llega al Sistema Autenticador que lo abre y usa.

 

 

Y de paso corrijo una frase que me quedó inconclusa en el mail original:

 

"Pero, si yo quisiera transmitir mensajes con una longitud muy reducida, tal que los mensajes son apenas más largos que esa clave asimétrica, no tendría sentido desde ese punto de vista introducir" el cifrado simétrico.

 

Lo que andaría buscando es alguna falla evidente en lo anterior, RFC o protocolo existente que lo implemente o cualquier reflexión.

 

Saludos y gracias

 

--
Carlos Pantelides
@dev4sec
https://github.com/cpantel

https://seguridad-agile.blogspot.com/

 

 

On Wednesday, May 29, 2019, 1:34:44 PM GMT-3, Fernando Gont <fgont en si6networks.com> wrote: 

 

 

On 29/5/19 07:56, Carlos Marcelo Martinez Cagnazzo wrote:


Mas que mala suerte es meterse en problemas. :-)







-- 
Fernando Gont
SI6 Networks
e-mail: fgont en si6networks.com
PGP Fingerprint: 6666 31C6 D484 63B2 8FB1 E3C4 AE25 0D55 1D4E 7492






_______________________________________________
Seguridad mailing list
Seguridad en lacnic.net
https://mail.lacnic.net/mailman/listinfo/seguridad

_______________________________________________ Seguridad mailing list Seguridad en lacnic.net https://mail.lacnic.net/mailman/listinfo/seguridad 



**********************************************
IPv4 is over
Are you ready for the new Internet ?
http://www.theipv6company.com
The IPv6 Company

This electronic message contains information which may be privileged or confidential. The information is intended to be for the exclusive use of the individual(s) named above and further non-explicilty authorized disclosure, copying, distribution or use of the contents of this information, even if partially, including attached files, is strictly prohibited and will be considered a criminal offense. If you are not the intended recipient be aware that any disclosure, copying, distribution or use of the contents of this information, even if partially, including attached files, is strictly prohibited, will be considered a criminal offense, so you must reply to the original sender to inform about this communication and delete it.

------------ próxima parte ------------
Se ha borrado un adjunto en formato HTML...
URL: <https://mail.lacnic.net/pipermail/seguridad/attachments/20190529/fd8a9c4d/attachment-0001.html>


Más información sobre la lista de distribución Seguridad