[HACK] ¿Problema de seguridad en MSNMessenger?

[Sergio Pozo Hidalgo]

> 	Estamos hablando de un cliente cuyo codigo reside y se ejecuta
> 	en la maquina local. Por mucho SSL o lo que quiera que use,
> 	el cliente tal cual tendra que tener la posibilidad de cifrar
> 	y descifrar todo el trafico; asi que bastara con cambiar el
> 	punto de entrada: en lugar de analizar el trafico que circula
> 	por la red habra que analizar los mensajes desde dentro del
> 	propio cliente usando las tecnicas habituales... (supongo que
> 	lo mas sencillo cambiar las librerias de SSL dinamicas por otras
> 	que registren todo el trafico antes de llamar a las funciones
> 	reales).

Efectivamente, coincido contigo (no lo había tenido en cuenta). Sin
embargo, tampoco debemos olvidarnos que la biblioteca de cifrado que use
(si es que estas funciones no van incrustadas en el propio programa
principal) MSN6 probablemente sea propietaria. Por lo tanto, estamos
hablando o bien de hacer ingeniería inversa a TODAS estas funciones de
SSL o bien a parchear como bien dices, puntos de entrada a ella.

De paso, aprovecho para comentar un error en mi anterior mensaje de este 
hilo, donde comentaba que una de las diferencias de TLS frente a SSL3 
era que TLS no permitía autenticación cliente. Eso no es cierto. Las 
diferencias de TLS frente a SSL3 son, básicamente:
1. Mensajes Certificate Request y Certificate Verify. Cuando se solicita 
un certificado a un cliente, este puede responder que no lo tiene (SSL), 
no responder (TLS), o responder con él (SSL y TLS).
2. Cálculo de las claves de sesión. El mecanismo para calcular dichas 
claves es ligeramente diferente en TLS.
3. TLS no soporta el algoritmo de cifrado FORTEZZA (propietario).
4. TLS utiliza un mecanismo más seguro que SSL3 para el cálculo del MAC.
5. TLS introduce nuevos códigos de alerta no contemplados por SSL3.
6. TLS tiene un nuevo mecanismo para el relleno de bloques.
7. TLS es incompatible con SSL3, aunque parece ser (sin contrastar) que 
posee un mecanismo de "vuelta atrás" para poder interoperar. No se muy 
bien cómo será esto ni si es cierto.


Saludos.