.

Computación

Heartbleed será irreparable en muchos dispositivos

1

Es poco probable que el mayor fallo de encriptado se arregle en la mayoría de dispositivos vulnerables como los sistemas de domótica y equipos de red empresariales

  • por Tom Simonite | traducido por Lía Moya
  • 11 Abril, 2014

Se calcula que el fallo de seguridad descubierto esta semana afecta a dos tercios de los sitios web y tiene a los usuarios de internet desesperados por comprender el problema y actualizar sus contraseñas en línea. Pero muchos sistemas vulnerables al fallo están ocultos al público y es poco probable que se arreglen.

OpenSSL, en el que se ha encontrado el fallo, bautizado como Heartbleed, se usa de forma generalizada en el software que conecta los dispositivos en casas, oficinas y entornos industriales a internet. Este fallo podría permanecer durante años en dispositivos como el hardware de red, los sistemas de automatización domésticos e, incluso, sistemas clave de control industrial, porque todos ellos se actualizan con muy poca frecuencia.

Los dispositivos conectados a la red suelen ejecutar un servidor web básico para permitir al  administrador acceder a los paneles de control en línea. En muchos casos estos servidores se aseguran a través de OpenSSL y tendrían que actualizar su software de forma constante, explica el presidente de la empresa de seguridad Lieberman Software, Philip Lieberman. Sin embargo es poco probable que esto sea una prioridad. "Los fabricantes de esos dispositivos no lanzarán parches para la gran mayoría de sus dispositivos y los consumidores parchearán por su cuenta una cantidad insignificante de los mismos".

Los aparatos de televisión por cable y los routers domésticos son sólo dos de los principales tipos de dispositivos que probablemente estén afectados, explica Lieberman. "Los proveedores de internet tienen millones de dispositivos de este tipo con el fallo dentro", afirma.

Es probable que este mismo problema afecte a muchas empresas, porque gran cantidad del hardware de red empresarial e industrial y de los sistemas de automatización empresarial también depende de OpenSSL, y este tipo de dispositivo tampoco se suele actualizar. La revisión a gran escala de direcciones de internet ya ha descubierto en anteriores ocasiones cientos de miles de dispositivos desde equipos informáticos hasta sistemas de control del tráfico que están configurados mal o no se han actualizado para resolver fallos conocidos (ver "Qué pasó cuando un solo hombre puso a prueba todo internet").

"Al contrario que los servidores parcheados por ejércitos de empleados del departamento de informática de una empresa, estos dispositivos conectados a internet con partes de OpenSSL vulnerables no van a recibir la atención necesaria", explica el encargado de estrategia e investigación en STEALTHbits Technologies, Jonathan Sander, que ayuda a las empresas a gestionar y hacer un seguimiento del acceso a los datos y las filtraciones. "OpenSSL es como un motor defectuoso que se ha usado en cada modelo y versión de coche, carrito de golf y scooter".

Resulta complicado calcular cuántos dispositivos conectados a internet son susceptibles de tener el fallo Heartbleed, pero lleva mucho tiempo presente en OpenSSL. "Cualquier cosa que se compilara en una versión de OpenSSL entre diciembre de 2011 y antes de ayer podría ser vulnerable", afirma el investigador de seguridad de la empresa de seguridad Rapid7, Mark Schloesser.

Otra incógnita es a qué datos de valor se puede acceder mediante un ataque aprovechando Heartbleed. Schloesser afirma que las pruebas hechas hasta ahora sugieren que varía mucho de un sistema a otro. Los servidores de Yahoo, por ejemplo, filtraron contraseñas de usuarios, mientras que otros filtraban cosas de poco valor.

No todos los que se dedican ahora mismo a averiguar qué sistemas filtran información importante son investigadores de seguridad bienintencionados. "Hay mucha gente intentando explotar el fallo a gran escala", sostiene Schloesser. Destaca la actividad observada en los registros de servidores web para encontrar sistemas vulnerables desde que se dio a conocer el problema, y la aparición de scripts que se pueden usar para probar si los dispositivos tienen vulnerabilidades asociadas con Heartbleed o no.

Sander señala que muchos dispositivos con un único cometido, por ejemplo los termostatos conectados a internet, no contienen información demasiado valiosa. Pero añade que podría ser la suficiente como para que un atacante entrara en ellos y se hiciera con su control y que incluso pequeñas cantidades de datos podrían revelar, por ejemplo, si hay alguien en casa o no.

Computación

Las máquinas cada vez más potentes están acelerando los avances científicos, los negocios y la vida.

  1. La radiación cósmica destruye los cúbits superconductores en milisegundos

    Los componentes básicos de la computación cuántica son tan sensibles que, incluso a niveles bajos, estos rayos provocan su decoherencia. Aunque el hallazgo podría contribuir a la búsqueda de materia oscura, obligará a revestir los ordenadores cuánticos de hormigón o a instalarlos bajo tierra

  2. Criptografía reticular, el cifrado a prueba de ordenadores cuánticos

    La inminente llegada de la computación cuántica amenaza con destruir los métodos tradicionales de cifrado que usamos actualmente. Por ello, distintos grupos trabajan en nuevos enfoques poscuánticos capaces de resistir a estas máquinas. Este es el más prometedor hasta la fecha 

  3. Un nuevo chip inspirado en el cerebro distingue 10 olores diferentes

    Su diseño basado en la estructura y la actividad eléctrica del cerebro, un enfoque conocido como chip neuromórfico, ha aprendido a diferenciar fragancias con gran precisión y pocos ejemplos de entrenamiento. El siguiente paso será replicar el comportamiento de la vista y tacto