Barrapunto

No tengo tiempo para leerme el paper así que a lo mejor me equivoco pero de entrada pienso que, si no ha salido nada en bugtraq, ni en cryptography@metzdowd.com, ni en el daily-dave, ni en ninguna otra lista de correo importante sobre seguridad, estamos ante una cosa sin demasiada importancia de alguien que quiere sus 15 minutos de fama.

Como se puede ver aqui [ietf.org], la cosa no es tan grave. Siento que la realidad estropee el titular, pero hay que mirar estas cosas bien antes de ponerse a publicar noticias en barrapunto, y darle la importancia que tiene (ni más ni menos).

Aprovechando la noticia, ¿alguna web o documento que explique claramente como funcionan este tipo de tecnologías (SSL/TSL y VPN ?
Estaría muuy agradecido. Lo que he encontrado por google no me deja muy claro el funcionamiento.

Tate, tradicionalmente los parches eran trozos de plástico, goma o tela que ponías sobre algún tipo de cámara de aire (léase neumático de bicicleta o balón, por ejemplo) para tapar un agujero; de ahí pasamos a una pequeña corrección que permitía continuar utilizando el elemento o servicio.

Lo que han presentado no es un parche, no arregla nada, simplemente es una anulación y vuelta atrás. Que está claro que anular el servicio es mejor que utilizarlo con riesgos, y más cuando se trata de un módulo de seguridad, pero me llama la atención cómo ha evolucionado el significado de la palabra.

No se tratará de una vulnerabilidad tan leve y tan fácil de corregir, cuando lo primero que han hecho los chicos de http://www.openssl.org/ [openssl.org] es publicar una iteración de OpenSSL 0.9.8 con un único cambio:

Major changes between OpenSSL 0.9.8k and OpenSSL 0.9.8l:

o Ban renegotiation.

Deshabilitar la renegociación, nada más y nada menos....