Barrapunto

Estos ataques existen desde hace bastante, no se por que OpenSSL no tiene contramedidas. Es una cagada casi-casi al nivel de la de Debian.

http://en.wikipedia.org/wiki/Power_analysis [wikipedia.org]

http://www.cryptography.com/resources/whitepapers/ DPA.html [cryptography.com]

Y no se trata de tener acceso a un servidor, aunque por si acaso pensad en entornos tipo hosting... mas bien pensad en la enorme cantidad de dispositivos móviles que internamente pueden usar OpenSSL , o sistemas críticos como sensores, actuadores, SCADA, etc, y que obtener el componente privado de la clave RSA puede servir para romper los sistemas de autenticación, actualizaciones, y un largo etc.

Aquí tienen otro ejemplo: Grave vulnerabilidad en el CPD de google. Sólo se requiere que yo tenga acceso físico al teclado... (o a un hacha, depende del ataque)

¿Ataques por fluctuación de energia a un servidor?¿de esos que tienen cientos de threads corriendo, pesan 5 kilos y estan conectados a la red electrica a 220V? ¿o esque hay servidores que funcionan con chips criptograficos? que no lo sé.

Cualquier "aparato" que sometas a fluctuaciones electricas se puede petar totalmente, pero de ahi a considerarlo un bug va un rato.

Ahora resultara que el desarrollador tambien tiene que hacer pruebas con el enchufe de su casa xD

Es una vulnerabilidad grave porque los usuarios normales pueden estar sometidos a ella. Es una vulnerabilidad grave porque EL ALGORITMO PERMITE ALGO QUE NO DEBE. El hecho de que "se pueda teóricamente" conseguir la clave privada sin saltarse las reglas del juego (es decir, sin "robar" la clave, claro), por la implementación del algoritmo es un tipo específico de vulnerabilidad. Es decir, el algoritmo (la implementación) TRANSMITE INFORMACIÓN y no debería hacerlo. Sorry, pero es serio, aunque sea poco factible.

El elefante se la metió a la hormiga. A ver quién es el guapo que se tira 100 horas para sacar una clave privada sin que le descubran antes de conseguirla.

Y aún teniendo acceso físico, ¿Donde habría que crear esas fluctuaciones? En la toma de alimentación de las fuentes no creo que sirva de nada ya que soportan ese tipo de fallos. En la salida de la fuente, en un servidor medianamente "caro" tampoco ya que las placas tienen reguladores que soportarían hasta cierto margen estas fluctuaciones. No sé, me parece que han conseguido eso en unas condiciones muy específicas con un hardware y provocando el fallo en un sitio en concreto de ese hardware. Para reproducir ese mismo error fuera de esas conciciones, igual no bastan 100 horas solamente para averiguar donde se debe hacer "eso" que han hecho en el experimento.
T
--
De lo que oigo no creo nada, de lo que veo solo la mitad

Mr Norris subiendo un parche???? Da una patada giratoria y el bug se va cagando leches. Chuck Norris NO SUBE PARCHES