Dan Goodin, para o site The RegisterPesquisadores descobriram uma seria vulnerabilidade em praticamente todos os web sites protegidos pelo protocolo SSL, a qual permite aos invasores decriptar silenciosamente os dados que trafegam entre o servidor web e o navegador de um usuario.A vulnerabilidade esta nas versoes 1.0 e versoes anteriores do TLS, ou seguranca da camada de transporte, o sucessor da tecnologia SSL que serve como fundamento da confiabilidade na Internet. Embora as versoes 1.1 e 1.2 do TLS nao sejam suscetiveis a este tipo de ataque, elas continuam quase totalmente nao suportadas nos navegadores e sites atuais, tornando transacoes criptografadas no PayPal, GMail, e praticamente qualquer outro web site vulneravel ao eavesdropping por hackers capazes de controlar a conexao entre o usuario final e o site que visita.Na conferencia de seguranca Ekoparty em Buenos Aires esta semana, os pesquisadores Thai Duong e Juliano Rizzo planejam demonstrar uma implementacao prova de conceito chamada BEAST (besta, em portugues), que e a sigla para Browser Exploit Against SSL/TLS (Exploit Contra SSL/TLS para Navegadores). O silencioso codigo JavaScript funciona com um sniffer para decriptar cookies criptografados que o site alvo utiliza para conceder acesso a contas de usuario restritas. O exploit funciona mesmo contra sites que utilizam HSTS, ou HTTP Strict Transport Security, o qual impede certas paginas de serem carregadas a nao ser que estejam protegidas por SSL.A demonstracao vai decriptar um cookie de autenticacao utilizado para acessar uma conta PayPal, disse Duong.Como um Cavalo de Troia CriptograficoO ataque e o ultimo a expor serias fraturas no sistema que praticamente todas as entidades online usam para proteger dados de serem interceptados em redes inseguras e para provar que seus websites sao autenticos e nao falsos. Ao longo dos ultimos anos, Moxie Marlinspike e outros pesquisadores documentaram maneiras de obter certificados digitais que enganam o sistema ao validar sites que nao sao confiaveis.No inicio deste mes, invasores obtiveram credenciais digitais para o Google.com e pelo menos uma duzia de outros sites depois de quebrarem a seguranca da infeliz autoridade de certificados DigiNotar. As ferramentas foram entao utilizadas para espionar pessoas no Ira acessando servidores protegidos do GMail.Em contraste, Duong e Rizzo dizem ter descoberto uma forma de derrubar o SSL, quebrando a criptografia utilizada para impedir que dados criticos sejam lidos por "grampos" em um endereco protegido pelo prefixo HTTPs."O BEAST e diferente da maioria dos ataques contra o HTTPS que ja foram publicados", escreveu Duong em um email. "Enquanto outros ataques sao focados na propriedade de autenticidade do SSL, o BEAST ataca a confidencialidade do protocolo. Ate onde sabemos, o BEAST implementa o primeiro ataque que realmente decripta solicitacoes HTTPS."Duong e Rizzo sao os mesmos pesquisadores que liberaram uma ferramenta ano passado que expoe dados criptografados e executa codigo arbitrario em sites construidos em um certo framework de desenvolvimento amplamente utilizado. O "padding oracle criptografico" utilizado naquele ataque nao e um ponto em sua pesquisa atual.Ao inves disso, o BEAST lida com o que e conhecido como ataque de recuperacao de dados em texto, que explora uma vulnerabilidade no TLS que tem sido ha