Expertos cuestionan el cifrado y la seguridad de Mega

Han pasado casi dos días desde el lanzamiento de Mega, el servicio de almacenamiento en la nube de Kim Dotcom y, la verdad, la acogida del servicio entre los usuarios es bastante prometedora puesto que la avalancha de altas, visitas y peticiones ha provocado inestabilidades en el servicio. Uno de los aspectos en los que más énfasis se ha hecho, durante la campaña previa al lanzamiento, ha sido la seguridad y el cifrado de la información; un aspecto que hoy ha puesto en tela de juicio un experto en seguridad que está desarrollando MegaCracker, una herramienta con la que sería averiguar la contraseña de los usuarios de Mega.

Mega seguridad

Los usuarios que se hayan registrado en Mega habrán observado lo simple que es el proceso de alta; solamente debemos introducir nuestro nombre, una dirección de correo electrónico, una contraseña y esperar a que recibamos un correo de confirmación con un enlace que debemos visitar para cerrar el proceso de alta. ¿El problema? Según Steve Thomas, un experto en seguridad y criptografía, el enlace que nos envían por correo electrónico contiene un hash de nuestra contraseña.

@Sc00bzT

#mega confirmation code contains "hashed" password aes(pwKey,[rand(0x100000000),0,0,rand(0x100000000)]) false positives 1 in 2^64

12:09 AM - 21 ene 13

31 Retweets 4 favorites

Responder

Dicho de otra forma, el enlace que tenemos que visitar encierra nuestra propia password aunque, claro está, el escenario en el que nuestra contraseña puede ser interceptada por un tercero es bastante complejo puesto que tendrían que interceptar nuestros mensajes o revisar el historial de nuestro navegador o alguna artimaña de esta índole aunque Steve Thomas no ha querido profundizar más en el asunto y, por lo que parece, aún no ha terminado de desarrollar esta herramienta.

Antes del lanzamiento de Mega, Dotcom siempre ha hecho mucho énfasis en el cifrado de los archivos que guardamos en el servicio, de hecho, el cifrado se realiza en el origen para que cuando nuestros archivos lleguen a los servidores de Mega estén ya cifrados (una interesante manera de descargar la responsabilidad legal). Aún así, durante estos días de arranque y beta del servicoo, algunos expertos en materia de seguridad han descubierto problemas en el servicio y están siendo bastante críticos con las promesas de cifrado y seguridad que se han estado anunciando durante los meses previos al lanzamiento.

Mientras tanto, Kim Dotcom sigue informando a través de su perfil en Twitter que trabajan en la mejora del servicio y que, entre otras cosas, la acogida de Mega por parte de los usuarios está siendo muy buena. Aunque creo que es un dato que hay que tomarse con cuarentena, según los datos de Alexa que Dotcom está compartiendo en su perfil, el tráfico de Mega está subiendo a la vez que baja el de Dropbox y que, en media, cada segundo se completan alrededor de 60 subidas de archivos.

Kim Dotcom @KimDotcom

Alexa stats: Unbelievable growth. #Mega rises and Dropbox drops. pic.twitter.com/ryVoc898

1:33 PM - 22 ene 13

Fuente: alt1040.com

por [BkN]XeNoMoRPH
22 Ene 2013, 22:55

Kazeta

23 Ene 2013, 00:57

Pero aun esta en fase beta no? ya haran cambios…

Blitzkrieg

23 Ene 2013, 08:01

si sigue asi la pagina es posible que se revierta el cambio , porque vamos eso de no poder cambiar la pass, por muy seguro que digan que es…

[BkN]XeNoMoRPH

23 Ene 2013, 11:47

MEGA responde a las críticas de seguridad y permitirá cambio y recuperación de contraseña

MEGA ha contestado desde una publicación oficial a las críticas de seguridad de su servicio, y ya tenemos respuesta sobre el cambio de contraseña y la recuperación de esta. Empezamos con el tema del cambio:
Se añadirá una función para cambiar la contraseña que volverá a encriptar la llave maestra con tu nueva contraseña y se actualizará en nuestros servidores.
Buenas noticias en este caso, ya que parece ser que en un futuro próximo, sin confirmar cuándo, MEGA dará la posibilidad desde los ajustes de nuestra cuenta de cambiar la contraseña personal a otra que elijamos. Esto es una buena noticia, pero al fin y al cabo es el problema menor, y en cuanto a recuperar contraseñas olvidadas no hay tan buenas noticias:
Un reseteo de tu contraseña te permitirá volver a acceder a tu cuenta, pero con todos los archivos inaccesibles. Si tenías un archivo exportado con las llaves de acceso a tus archivos, podrás importarlo para volver a tener acceso a esos archivos. En todo caso podrás volver a pedir a la gente que había compartido contigo que vuelvan a hacerlo con determinadas llaves, pero eso es todo. El recordatorio de tus datos aparece como basura binaria hasta que recuerdes tu contraseña.

Es decir, que más te vale no olvidar nunca tu contraseña, porque en ese caso sólo tendrás acceso a los archivos cuyas llaves generadas por MEGA a partir de tu contraseña personal hayas exportado previamente a olvidar esta. Resumiendo, que tu cuenta de MEGA pasa a ser inservible en cuanto a los archivos que habías subido previamente se refiere si no recuerdas cuál era tu contraseña.