| El
año de las "grandes catástrofes" en
Internet
Si por algo se ha caracterizado (y se recordará) 2008
es por convertirse en el año de las grandes catástrofes
en Internet, con el descubrimiento de hasta cinco graves vulnerabilidades
que hacían tambalearse los cimientos de la Red. En
contraste, durante el año, la mayoría de los
atacantes han seguido valiéndose sobre todo de fallos
"tradicionales".
El "despiste" de Debian
En mayo se descubre que el generador de números aleatorios
del paquete OpenSSL de Debian es predecible. Esto hace que
las claves generadas con él ya no sean realmente fiables
o verdaderamente seguras. Alguien (por error) del equipo de
Debian eliminó en 2006 una línea de código
en el paquete OpenSSL de Debian que ayudaba a generar la entropía
al calcular el par de claves pública y privada.
Kaminsky y los DNS
El 8 de julio de 2008 se publica una actualización
coordinada para la mayoría de los dispositivos en Internet
que utilizan DNS. Ha sido descubierta una vulnerabilidad inherente
al protocolo que permite falsificar las respuestas DNS y,
por tanto, redireccionar el tráfico. Cisco, Microsoft,
BIND... todos publican una nueva versión o actualizan
sus sistemas para solucionar un misterioso fallo. Dan Kaminsky
es el responsable de orquestar la macroactualización.
Thomas Dullien se aventura semanas después a publicar
en su blog su particular visión de lo que podía
ser el problema descubierto por Kaminsky, sin tener conocimiento
previo de los detalles. Y no se equivoca en su teoría:
es posible falsificar (a través del envío continuo
de cierto tráfico) los servidores autorizados de un
dominio.
Espionaje a "gran escala" con BGP
En agosto se habla de nuevo de la mayor vulnerabilidad conocida
al demostrar Tony Kapela y Alex Pilosov una nueva técnica
(que se creía teórica) que permite interceptar
el tráfico de Internet a una escala global. Se trata
de nuevo de un fallo de diseño en el protocolo BGP
(Border Gateway Protocol) que permitiría interceptar
e incluso modificar todo el tráfico de Internet no
cifrado. BGP es un protocolo que se utiliza para intercambiar
tablas de enrutamiento entre sistemas autónomos (AS).
El problema es que nunca se ha llegado a idear un sistema
que realmente autentique a ambas partes, y los routers estén
así seguros de que la información recibida desde
un AS es legítima y viene del sitio adecuado.
La denegación de servicio "perfecta"
Por cuarta vez en el año, se habla de la mayor vulnerabilidad
encontrada en la Red. La compañía sueca Outpost24
dice que descubrió en el 2005 (aunque lo saca a la
luz 3 años después, posiblemente animada por
los otros acontecimiento) varias vulnerabilidades de base
en el mismísimo protocolo TCP/IP que podrían
permitir la caída de cualquier aparato con comunicación
TC en la Red. Es la llamada "denegación de servicio
de bajo ancho de banda". Aunque todavía no se
conocen los detalles, todo son conjeturas. Dicen no conocer
una implementación de la pila que no sea vulnerable.
La información sobre lo que se da en llamar Sockstress
se estanca. Finalmente no ofrecen los detalles prometidos
aunque pueden demostrar su eficacia.
¿El fin del WiFi?
A principios de octubre se publica que la compañía
rusa ElcomSoft había conseguido reducir sustancialmente
el tiempo necesario para recuperar una clave de WPA, ayudándose
de tarjetas gráficas NVIDIA y fuerza bruta. Se trata
más de una maniobra de publicidad que una vulnerabilidad
real. Sin embargo poco después Tews y Beck encuentran
un problema inherente a una parte de WPA con el cifrado TKIP.
Aunque la noticia es exagerada en medios, realmente se trata
de una prueba de concepto que no permite recuperar la contraseña
ni influye al método de autenticación. La técnica
está limitada a descifrar paquetes concretos o inyectar
nuevos (y sólo una pequeña cantidad) de tamaño
reducido. Aun así parece el principio del fin para
WPA y un acicate para pasar a WPA2.
Problemas en IPv6
En julio también se descubrió un problema en
todas las implementaciones del protocolo Neighbor Discovery
Protocol (NDP) para detectar nodos IPv6. Un atacante podría
interceptar tráfico privado. Todos los grandes fabricantes
deben actualizar.
Los ataques más usados
Aunque se han detectado ataques a servidores SSH que se sospecha
estaban relacionados con el problema de Debian y desde China
se han observado ataques contra la vulnerabilidad DNS descubierta
por Kaminsky, del resto de graves vulnerabilidades no se tiene
constancia de que estén siendo aprovechadas al menos
de forma masiva.
En realidad, los ataques masivos del "día a día"
que se han sufrido este año han tenido su origen una
vez más en vulnerabilidades "tradicionales"
que permiten ejecución de código en software
popular. Las vulnerabilidades que más han sido aprovechadas
de forma masiva en 2008 (aunque no las únicas, sí
las de mayor impacto) han sido:
* En enero, los atacantes aprovechan de forma masiva una
vulnerabilidad en RealPlayer.
* En febrero se descubre que un fallo en Adobe Acrobat/Reader
8 está siendo aprovechado para infectar sistemas. También
aprovecharían otra vulnerabilidad para infectar a través
de archivos PDF en noviembre .
* En abril, una vulnerabilidad de ejecución de código
en el motor GDI de Windows.
* En mayo, un problema en el reproductor Flash de Adobe.
* El día 23 de octubre Microsoft publica un parche
fuera de su ciclo habitual en el que se soluciona un fallo
de seguridad en el servicio Server. Es problema es muy parecido
al que aprovechó Blaster en 2003. No se convierte en
epidemia pero es muy aprovechado en redes internas.
* La vulnerabilidad en el manejo de etiquetas XML de Internet
Explorer. El 17 de diciembre Microsoft publica otro parche
fuera de su ciclo porque la vulnerabilidad está siendo
masivamente explotada.
Casi siempre, todas estas vulnerabilidades se aprovechan
con el fin de instalar malware y obtener así un lucro
directo de los sistemas atacados.
© Hispasec www.hispasec.com/copyright |
