En una conferencia denominada Chaos Communication Congress, que se realiza en Alemania, un grupo de hackers (liderados por Alexander Sotirov y Jacob Appelbaum) han demostrado que es posible crear certificados de autorización (CA) falsos, haciéndolos pasar como confiables en los navegadores actuales.

Para lograr su objetivo, se valieron de un cluster de 200 consolas PlayStation 3 en las que realizaron una serie de experimentos con una avanzada técnica de colisión MD5.

La falla resulta ser tan grave que cualquier sitio al que nos conectemos vía HTTPS (con el conocido candadito cerrado), podría ser un sitio que no ofrezca ningún tipo de seguridad.

Para resolver el problema de fondo, los navegadores y los CA deberían dejar de utilizar MD5, reemplazándolo por SHA-2 o el próximo SHA-3.

Links:

• MD5 considered harmful today (vía CGISecurity)
• Descarga de la Presentación (PPT)
• Hackers rompen SSL (CHW)