Nate Lawson e Taylor Nelson, pesquisadores e especialistas de segurança, prometem revelar detalhes de uma falha básica de segurança que coloca em risco dezenas de sites e softwares, além de usuários de bibliotecas que implementam os padrões de autenticação OAuth e OpenID.

Os pesquisadores afirmam que algumas versões desses sistemas de login são vulneráveis ao que se conhece por ataque temporal (timing attack). Embora a maioria dos especialistas em criptografia acredite ser muito difícil um ataque desses através de uma rede, Nate e Taylor garantem terem conseguido acesso a senhas apenas medindo o tempo que o computador levou para responder às solicitações de login.

Segundo eles, em alguns sistemas de login, o computador verifica os caracteres de uma senha, um de cada vez, mostrando uma mensagem de "erro de login" assim que encontra um dado incorreto na senha. Isso significa que um computador retorna uma tentativa incorreta de login antes de validá-lo. Ao tentar entrar outras vezes, alternando entre logins e medindo o tempo que leva para o computador responder, os hackers podem descobrir as senhas corretas.

Isso tudo soa muito teórico, mas os ataques temporais podem realmente ter sucesso no mundo real. Três anos atrás, um deles foi usado para hackear o sistema de jogo do Microsoft Xbox 360.

Lawson, fundador da consultoria de segurança Root Labs, e Nelson testaram ataques através da Internet, em redes de locais e em ambientes de computação em nuvem e descobriram que eram capazes de quebrar as senhas em todos os ambientes. Eles pretendem discutir os ataques na conferência Black Hat, este mês, em Las Vegas.

"Eu realmente acho que as pessoas precisam explorar essa possibilidade para acordarem para a necessidade de correção", declarou Lawson, que disse ter focado sobre aplicações que usem OpenID e OAuth, justamente porque elas são pensadas para serem invulneráveis a ataques temporais. "Eu queria alcançar as pessoas que estavam menos conscientes disso", disse ele.

Os pesquisadores também descobriram que as consultas feitas para programas escritos em linguagens interpretadas como Python ou Ruby - ambos muito populares na internet - tem as respostas geradas de maneira mais lenta do que outros tipos de linguagens como C ou Assembly, tornando os ataques temporais mais viáveis.

Ainda assim, as pessoas não deveriam se preocupar com estes ataques, disse Eran Hammer-Lahav, diretor de normas da Yahoo, um contribuinte dos projetos e OAuth OpenID.

"Não estou preocupado com isso. Eu não acho que qualquer grande provedor está usando qualquer uma das bibliotecas de fonte aberta para a sua implementação no lado do servidor, e mesmo que o façam, este não é um ataque simples de se executar", escreveu ele em uma mensagem de e-mail.

Lawson e Nelson notificaram os desenvolvedores de software afetados pelo problema, mas não divulgarão os nomes dos produtos sensíveis, até que estes deixem de estar vulneráveis. Para a maioria das bibliotecas afetadas, a correção é simples: programar o sistema para ter a mesma quantidade de tempo de resposta para as senhas corretas e incorretas. Isso pode ser feito com cerca de seis linhas de código, disse Lawson.

Curiosamente, os pesquisadores descobriram que os aplicativos baseados em nuvem poderiam ser mais vulneráveis a estes tipos de ataques, porque serviços como o Amazon EC2 e Slicehost permitem aos crackers uma maneira de chegar mais perto de seus alvos, reduzindo assim a instabilidade da rede.

Na opinião de Scott Morrison, CTO do Layer 7 Technologies, provedor de segurança de computação em nuvem, realmente existem motivos para se preocupar com a possibilidade de realização desse tipo de ataque na nuvem.

"Esse tipo de pesquisa é importante porque mostra como um ataque, que parece quase impossível para alguns, realmente pode funcionar", disse Morrison.

(Robert McMillan)