Redactar un hallazgo criptográfico sin exagerar

5 tareas · 35 min · Principiante

Los hallazgos criptográficos son los que más se exageran en un informe. Las palabras ayudan a exagerar: «descifrar», «roto», «inseguro». Un cliente que lee «crítico» en algo que necesita tres condiciones improbables deja de creer el resto del informe, incluido lo que sí era grave. Esta sala pone al evaluador en el papel de revisor: seis borradores que un compañero escribió con la evidencia de las salas anteriores, uno que no es hallazgo, uno sin evidencia y dos que hay que volver a titular, uno de ellos en inglés para el equipo regional del cliente.

0 de 5 · 0%

Objetivo de la sala

Un hallazgo criptográfico bien escrito tiene cuatro piezas, y en este orden. Lo que se vio, con la evidencia que lo respalda: la salida del analizador, la fila del inventario, la estructura del almacén. La condición que tiene que darse para que haga daño: alguien en el camino de la conexión, la clave privada filtrada, lectura de la base de datos. El impacto realista si se da esa condición. Y la corrección concreta, que casi siempre es de configuración y no de compra.

La severidad sale de juntar el impacto con la condición. Una condición difícil baja la severidad aunque el impacto suene terrible; por eso se escribe siempre.

Para clasificar se puede apoyar en el catálogo de debilidades CWE de MITRE: uso de un algoritmo criptográfico roto o arriesgado (CWE-327), resumen de contraseña con esfuerzo de cálculo insuficiente (CWE-916), resumen de un solo sentido sin sal (CWE-759), valores insuficientemente aleatorios (CWE-330) o validación incorrecta de certificados (CWE-295).

Responde para continuar

Un borrador dice «el portal acepta suites sin secreto hacia adelante» y nada más. ¿Qué le falta antes de valorarlo?

Una severidad más alta, porque se trata del portal que usan a diario todos los clientes El nombre del producto de servidor web y su versión exacta La evidencia, la condición necesaria, el impacto realista y la corrección

Ver pista de ayuda

Repasa las cuatro piezas, en orden.

Un hallazgo existe cuando hay algo que proteger y una condición que lo pone en riesgo. Si la propia columna de condición dice que no hay ninguna, el borrador describe un algoritmo, no un riesgo. Sacarlo del informe no es esconderlo: si el cliente pregunta, se le explica por qué no está.

Abre el laboratorio y lee los borradores por su columna de condición.

Responde para continuar

Escribe el id del borrador que debe salir del informe porque no describe ningún riesgo.

Ver pista de ayuda

Ejecuta `SELECT id, condicion_para_el_impacto FROM borradores`.

Deducir una vulnerabilidad de un número de versión es una hipótesis. Los distribuidores corrigen fallos sin cambiar el número visible, y una cabecera puede mentir o estar desactualizada. Un borrador así no se publica como hallazgo: se comprueba con la evidencia que permita la carta o se deja como observación pendiente de confirmar.

Responde para continuar

Escribe el id del borrador que no tiene ninguna evidencia que lo respalde.

Ver pista de ayuda

Ejecuta `SELECT id, evidencia_adjunta FROM borradores`.

El borrador de la puerta de acceso tiene la evidencia correcta y un título que dice más de lo que se vio. La versión retirada se demostró; el descifrado del tráfico no. El título se reescribe con lo que se vio y la severidad baja con él.

Responde para continuar

¿Qué título dejas para el hallazgo de la puerta de acceso?

Tráfico de empleados expuesto a descifrado por TLS 1.0 en la puerta de acceso Configuración de TLS insegura en la infraestructura de acceso remoto La puerta de acceso remoto acepta las versiones retiradas TLS 1.0 y TLS 1.1

Ver pista de ayuda

El título dice lo que se vio, sin el adjetivo y sin el impacto supuesto.

El equipo regional de Logística Simijaca lee el informe en inglés. Los dos errores de la sala tienen versión en inglés: el verbo que promete más de lo que se hizo y el título que no dice nada concreto. Mira el borrador de la intranet en el laboratorio y elige el título que se sostiene con su evidencia.

Responde para continuar

Which English title fits the intranet password finding and its evidence?

Intranet passwords were cracked due to weak hashing Weak cryptography in the intranet authentication system Intranet passwords stored as unsalted SHA-1 hashes

Ver pista de ayuda

The evidence is the table structure and the duplicate count; nothing was cracked.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Las cuatro piezas del hallazgo

2 El borrador que no es hallazgo Lab

3 El borrador que no tiene evidencia Lab

4 Volver a titular la puerta de acceso Lab

5 El mismo cuidado en inglés Lab

Whoami-Labs Pro utiliza cookies