Gogo - uno de los mayores proveedores de servicios de Internet en vuelo - ha sido sorprendido emitiendo certificados SSL falsos, lo que permite que el proveedor de banda ancha en vuelo pudiera lanzar ataques man-in-the-middle (MITM) hacia sus propios usuarios, ver contraseñas, así como otra información sensible.
La noticia salió a la luz cuando la ingeniero de seguridad Adrienne Porter Felt, quien trabaja en el equipo de seguridad de Google Chrome identificó el certificado SSL falso al intentar conectarse al servicio de video YouTube de Google. Se dio cuenta de que el certificado SSL fue firmado por un emisor que no es confiable y no fué emitió por Google, sino más bien por el mismo Gogo.
Felt publicó detalles sobre el certificado falso en Twitter y también proporcionó una captura de pantalla del certificado HTTPS que GoGo le emitió en su visita a YouTube. Felt publicó, "Hey Gogo, ¿por qué estás emitiendo certificados * .google.com en tus aviones?"
Al igual que otros certificados no validados, el certificado GoGo falso generarían advertencias sobre prácticamente todos los navegadores modernos. Pero, si los usuarios hacen clic en el botón Aceptar sin dar una mirada, como la mayoría de los usuarios de Internet hacen, la credencial falsa permitiría a GoGo descifrar todo el tráfico que pasa entre los usuarios finales y YouTube.
Certificados Spoofing, también conocido como ataque man-in-the-middle (MITM), es una técnica utilizada por los cibercriminales para interceptar datos confidenciales que se envían entre dos sistemas.
En respuesta al incidente, el Jefe de Tecnología de GoGo, Anand Chari emitió un comunicado diciendo que el incidente se había reducido al servicio de streaming de vídeo de la compañía.
"Gogo takes our customer’s privacy very seriously and we are committed to bringing the best internet experience to the sky," the statement reads. "We have stated that we don't support various streaming video sites and utilize several techniques to limit/block video streaming. One of the recent off-the-shelf solutions that we use proxies secure video traffic to block it."
"We can assure customers that no user information is being collected when any of these techniques are being used. They are simply ways of making sure all passengers who want to access the Internet in flight have a good experience."Gogo Inflight Internet ofrece servicio Wi-Fi y entretenimiento digital para muchas aerolíneas, incluidas Delta, American Airlines, US Airways, Aeroméxico, Virgin Atlantic y Air Canada mediante una red de aire a tierra propia. Sin embargo, firmar los certificados de Google como propios aparentemente daña la navegación segura de sus usuarios ya que los certificados son básicamente diseñados para asegurar que los usuarios en línea que se conectan a un sitio genuino y no un impostor.
Cualquiera fueran las razones de la compañía, la falsificados de certificados de ninguna manera debería ser aceptado dado que el tráfico de los usuarios es algo muy sensible. Bueno, Google está en contacto con Gogo y está investigando el asunto.
Fuente: THN
