Quizás uno de los mayores inconvenientes de Internet es fruto de su propio origen. "Internet no se creó para ser una gran red a nivel mundial, no se diseñó para ser segura, sino como un patio de recreo para nosotros, los frikis. Entonces llegásteis todos los demás y tuvimos que pensar en una manera de hacerla más fiable". Esto es lo que nos cuenta Dan Kaminsky, CEO de la empresa White Ops especializada en detectar actividad de malware usando JavaScript.
Kaminsky se hizo muy famoso al detectar un bug que afectaba al sistema DNS en 2008. Estuvo trabajando con las compañías para crear un parche que hiciese mucho más complicado explotar esta vulnerabilidad del servicio DNS que permitía realizar ataques por envenenamiento de Cache DNS. La cuestión es que esta vulnerabilidad no está resuelta del todo ya que es un problema de diseño del propio sistema, tal y como nos explica en el siguiente vídeo.
Las siete llaves de seguridad de Internet
Kaminsky hace una analogía entre los servidores DNS y nuestras agendas de teléfono móvil. Relacionan unos números de teléfono con nuestros contactos. En este caso relaciona las direcciones IP de los servidores con sus nombres de dominio, pero van cambiando de forma dinámica a lo largo del tiempo. El servicio DNS nos ayuda a saber dónde se encuentra el servidor de Google, en lugar de tener que utilizar la dirección IP, mucho más complicada de recordar para nosotros.
Tal y como nos cuenta, cuando se diseñó Internet existía una relación de confianza y podíamos estar seguros que una dirección IP correspondía con un nombre de dominio. A medida que creció el invento los chicos malos aparecieron y se podía engañar a nuestros navegadores para que se dirigieran a direcciones IP que no eran legítimas a la hora de acceder al dominio, por ejemplo, de tu banco.
Para evitar esto se desarrolló el estándar DNSSEC. Introducía el concepto de firmar digitalmente los registros de DNS para asegurarte así que no habían sido modificados por el camino. El protocolo modificado DNSSEC bis hizo que desde la ICCAN se creara un sistema de firmas dependientes donde, simplificando, se legitimaba a los servidores de dominio que dependían del principal.
La raíz de confianza está depositada en unas tarjetas criptográficas que se guardan en siete cajas fuertes bajo llave. Cada representante es portador de una llave, que permiten el acceso a la tarjeta, así como las descripción detallada para su manipulación. Se comprueba que nadie ha accedido a ellas desde la última manipulación, se genera una nueva SKR (Signed Key Response), que contiene las nuevas claves que habrá que distribuir por Internet para asegurar los sistemas DNS y se vuelven a guardar.
Los contenidos de la firma se trasmiten de la ICAAN a VeriSing a través de unas conexión segura y, a partir de aquí, se distribuyen al resto de servidores DNS dependientes y asegurar todo el sistema. De esta forma se busca que cada servidor DNS ofrezca información legítima, sin que nadie pueda montar un servidor DNS que conduzca el navegador a páginas fraudulentas, para acabar en una página que parece la de nuestro banco pero no lo es, por ejemplo, y robar información financiera, datos, etc.
Kaminsky nos cuenta que recibió una de estas llaves como persona de confianza por parte de la comunidad por su contribución a la mejora de la seguridad de Internet y la solución del Bug DNS que evitaba que los atacantes pudieran suplantar la identidad de los servidores DNS sin que los navegadores fueran conscientes de este engaño.
Kaminsky y el bug DNS
Algo en lo que nuestro protagonista hace mucho hincapié a lo largo del vídeo es que Internet no se diseñó para ser seguro, se diseñó para funcionar. Después, cuando todo el mundo comenzó a utilizar la red se empezaron a pensar en formas de hacer que la navegación fuera más segura. Esto no evita que los problemas de diseño de determinados servicios como el caso de DNS provocaran determinados problemas.
Yo no descubrí el bug. Llevaba ahí 25 años. Alguien lo descubrió. Yo quería ser el último en verlo
Kaminsky nos explica que en realidad el bug llevaba 25 años activo, él no lo descubrió, pero sí quería ser el último en verlo y lograr solucionarlo. Cuando hacemos una petición para acceder a una nueva página, el navegador de tu ordenador consulta con el servidor DNS de tu ISP, tu proveedor de Internet o cualquier otro que puedas tener configurado, como el de Google o OpenDNS, que a su vez consultan al DNS de dominio, *.com, *.es, *.org, etc.
Normalmente, una petición de resolución DNS se realiza utilizando el protocolo UDP, es decir, se envía la solicitud y se espera a que cualquiera les responda. Como pueden existir múltiples peticiones de DNS, éstas son enviadas con un ID de Consulta (QID), que va entre 1 y 65535, de esta forma "cliente" y "servidor" hablan de la misma consulta.
El QID es un número suficientemente pequeño para ser adivinado si se tienen suficientes oportunidades. Un atacante podría enviar muchas respuestas conteniendo un QID diferente en cada una de ellas hasta dar con la buena. Claro que existía una restricción TTL para limitar el tiempo de vida de dichos intentos.
El bug que detectó Kaminsky permitía saltarse la restricción TTL del servidor DNS a la hora de responder a una petición, por lo que el atacante podría seguir respondiendo peticiones con múltiples intentos hasta dar con la respuesta adecuada y, a partir de aquí, suplantar la identidad para llevarnos a páginas fraudulentas. En lugar de hacer público el bug en 2008, Kaminsky trabajó para solucionarlo con los principales agentes y compañías de Internet, y así crear un parche de seguridad que hiciera mucho más complicado este ataque y mantener Internet seguro.
Lo mejor es apuntar las contraseñas en un papel
Pero no es el único incidente que hemos visto en Internet. Kaminsky nos cuenta algo que nos da que pensar. Si no queremos utilizar un gestor de contraseñas, o incluso si lo utilizamos pero no lo hacemos bien, es más seguro llevar tus contraseñas anotadas en un papel que almacenarlos en un ordenador. Un ejemplo es el robo de las imágenes de Jennifer Lawrence y el Celegate, donde la revelación de la contraseña facilitó el acceso a los datos en la red.
Para nuestro protagonista es una locura el sistema de recuperación de contraseñas de muchos servicios que te envían un correo a tu cuenta autorizada para realizar el cambio de contraseña. Un ejemplo es el reciente hackeo del gestor de contraseñas Lastpass, que a partir de entonces empieza a utilizar medidas de seguridad adicionales para evitar el acceso no autorizado.
Quizás el principal inconveniente de estos servicios está en su propia concepción, como caja fuerte de las contraseñas, donde una vulnerabilidad o un fallo de seguridad deja al descubierto todas las contraseñas de sus usuarios. Lo mismo que ocurre con todos aquellos que utilizan la misma contraseña para acceder a todos los servicios.
Según comenta en el vídeo se puede ganar mucho dinero de forma fácil con el robo de contraseñas, datos de tarjetas de crédito, etc. Se puede ganar muchos millones de dólares atacando vulnerabilidades de forma simple, ya que la seguridad no es un aspecto prioritario para muchos usuarios o empresas, que no se preocupan excesivamente por ella. Para muestra puede servir el reciente ejemplo del servicio Ashley Madison, cuyo hackeo ha dado al traste con su salida a bolsa.
lo único que podemos hacer es utilizar sólo un ordenador para acceder a nuestro banco u otras transacciones sensibles y no utilizarlo para nada más
Según Kaminsky, lo único que podemos hacer es utilizar sólo un ordenador para acceder a nuestro banco u otras transacciones sensibles y no utilizarlo para nada más. Para Kaminsky "el iPad es uno de los dispositivos destacados por su seguridad", que utilizan en su empresa después de descartar diferentes opciones.
Quizás parte del problema sea del diseño de la seguridad en Internet, en aplicaciones y servicios que utilizamos cada día. En muchas ocasiones las medidas de seguridad parecen diseñadas para expertos informáticos, cuando tendrían que serlo para que los usuarios más básicos estuviesen protegidos y comprendiesen los riesgos a los que pueden estar expuestos en un momento dado.
Imágenes | bournedead | Wikipedia
Ver 27 comentarios