Un equipo de investigadores europeos descubrió que fueron capaces de secuestrar las sugerencias personalizadas de búsqueda de Google para reconstruir los historiales de búsqueda de los usuarios en inte et.
Google ha resuelto la mayoría de los agujeros identificados en la investigación, aunque los investigadores afirman que otros servicios personalizados podrían poseer vulnerabilidades similares. "El objetivo de este proyecto era demostrar que los servicios personalizados son muy peligrosos en términos de privacidad, ya que pueden provocar fugas de información", señala Claude Castelluccia, científico investigador senior en el Instituto Nacional Francés para la Investigación en Ciencias y Control Informático, y que participó en el proyecto. El estudio se presentará este verano en el Simposio de Tecnologías de Mejoras de la Privacidad en Berlín, Alemania.
Los investigadores se apoderaron de la información personal mediante el aprovechamiento del hecho de que Google utiliza dos protocolos diferentes para comunicarse con los navegadores de sus usuarios. Google protege la información confidencial, como por ejemplo las contraseñas, usando un protocolo llamado "https", que cifra los datos a medida que son comunicados. Otras veces, cuando se trata de consultas de búsqueda, por ejemplo, Google utiliza el protocolo "http" corriente, que envía información de ida y vuelta sin cifrar. Los investigadores afirman que este diseño mixto puede, sin darse cuenta, revelar información.
Google ofrece una variedad de servicios web que incluyen Gmail, Google Docs y Google Calendar. Un servicio menos conocido es Google Web History, que registra las consultas efectuadas por un usuario mientras que esté dentro de su cuenta de Google. En el momento en que los investigadores estaban llevando a cabo la investigación, Web History era también la fuente de sugerencias personalizadas que Google ofrecía a los usuarios en su página de búsqueda.
Los investigadores fueron capaces de acceder al historial web de los usuarios mediante la interceptación de "cookies"—archivos almacenados en el ordenador de una persona que guardan bits útiles de información tales como las credenciales de autenticación o el contenido de un carrito de la compra. Para muchos servicios, como Gmail, esta información se encripta antes de su envío. En aquel momento, Web History enviaba sus "cookies" sin cifrar. Mediante su interceptación en una red no segura, como por ejemplo un punto de acceso Wi-Fi público, un atacante es capaz de interceptar cookies de inte et. Los investigadores determinaron que las cookies del historial web interceptadas podrían proporcionar el acceso a la cuenta de Web History del usuario.
Los investigadores también encontraron otra manera de reconstruir el historial de búsqueda de los usuarios. Otra cookie—la encargada de la autenticación de un usuario con el servicio de búsqueda de Google—también se envía sin cifrar. Al capturar esta cookie y hacerse pasar por el usuario en las comunicaciones con el servicio de búsqueda, fueron capaces de ejecutar algoritmos que rápidamente reconstruyeron gran parte del historial de búsqueda de dicho usuario.
Castelluccia afirma que las empresas deberían reconocer que necesitan usar canales seguros cada vez que la información personal de un usuario sea transmitida. "La lección principal del ataque es que las compañías deben utilizar https tanto como sea posible", afirma, y agrega: "Por supuesto, https tiene un coste—significa que Google tiene que utilizar más servidores, energía, y todas esas cosas."
Google respondió a los investigadores cambiando Web History para que siempre use comunicaciones cifradas. La compañía también suspendió temporalmente su servicio de sugerencias de búsqueda. Además, las sugerencias para Google Maps, a las que los investigadores también pudieron acceder, ahora se cifran igualmente.
Alma Whitten, ingeniera de software del brazo de Seguridad y Privacidad de Google, señaló en un comunicado que Google aumentó su uso de https en respuesta a los investigadores. "Google ha sido y sigue siendo un líder dentro de la industria a la hora de proporcionar soporte para el cifrado en nuestros servicios. Esto está diseñado para responder con exactitud a las cuestiones con las que todos los sitios web más importantes se enfrentan al transmitir información a través de http a usuarios que se conectan a través de un canal de red no seguro", aseguró.
"Google es una compañía que reacciona con rapidez, y es muy responsable", afirma Castelluccia. Sin embargo, señala que las sugerencias de búsqueda que se siguen proporcionando a través de teléfonos móviles siguen siendo vulnerables. Los investigadores están haciendo un seguimiento de qué servicios son vulnerables en una página web dedicada al proyecto. (Actualización del 17 de mayo de 2010: Google ha arreglado el problema descrito con el acceso mediante móviles.)
Ben Adida, miembro del Centro de Investigación sobre la Computación y la Sociedad de la Universidad de Harvard, afirma que el hecho de interceptar tráfico sin cifrar es algo "trivial" hoy día, y "las consecuencias pueden ser sorprendentes en cuanto a la invasión de la privacidad". Y añade: "Este es un buen trabajo porque muestra de manera concisa cómo las medidas tomadas a medias a menudo ofrecen poca protección: existe una creciente necesidad de trasladar todos los servicios delicados al modo https."
Sin embargo, Adida advierte que el cifrado no resolverá todos los problemas de privacidad. "Poco a poco estamos confiando más datos a grandes empresas que, por ellas mismas, cada vez se arriesgan más a convertirse en objetivos de ataques a gran escala", afirma. "Es importante garantizar estos servicios continuamente, aunque en primer lugar es igualmente importante tener en cuenta el riesgo inherente que corremos al dar estos datos a terceros".