Select Page
Cayendo en la trampa del Fallback…

Cayendo en la trampa del Fallback…

La empresa china eyeDisk desarrolló lo que prometía ser un pendrive “inhackeable“[1] y terminó siendo tan inseguro como cualquiera, por el inocente agregado de un fallback.

Todos los que estamos en este negocio, conocemos las dimensiones de seguridad de la información. Las 3 principales son: confidencialidad, disponibilidad e integridad. Nuestra tarea desde seguridad, es la de definir el esfuero y los recursos para protegerlas adecuadamente. Pero dependiendo del contexto y del negocio o la misión particular, a veces no todas las dimensiones se deben proteger de la misma forma.

 

Un caso extremo:

En el caso de las redes OT, a través de las que se controlan procesos industriales, la dimensión más importante a proteger es la disponibilidad. Muy especialmente en infraestructuras críticas. La interrupción de un servicio o proceso industrial no sólo puede llegar a costar muchísimo dinero, sino que además puede provocar gravísimos daños en el equipamiento o hasta en el medio ambiente. Es por esto que todas las medidas de protección van a estar enfocadas en que la disponibilidad sea lo más invulnerable posible. Integridad y confidencialidad se dejan en segundo plano.

 

Un caso intermedio:

Al desarrollar sistemas de protección, muchas veces se establecen, diseñan e implementan estrategias de vías o caminos alternativos para el caso que algún componente falle. Es el esquema de “fallback” o “plan B” en el que a veces se deben establecer relaciones de compromiso en las que se pierden o degradan algunas características de seguridad para mantener otras.

Un ejemplo de esto es el sistema de cifrado de la telefonía celular. Cuando se establece una comunicación entre teléfonos celulares, la información viaja cifrada. Esto se hace para que nadie que tenga un receptor de radio en la frecuencia de emisión de la comunicación, pueda interceptar fácilmente las conversaciones. El sistema de cifrado que se usa en GSM es la familia A5. Sin entrar en la discusión de las vulnerabilidades particulares de estos algoritmos (tanto A5/1 como A5/2 fueron rotos), es importante mencionar que la familia está compuesta por 5 miembros: A5/0, A5/1, A5/2, A5/3 y A5/4.

Cada algoritmo posee mayores fortalezas de cifrado que el anterior y, como consecuencia, de consumo de recursos. A pesar de que muchas veces no lo notamos por las deficiencias de las redes, en realidad los sistemas celulares están diseñados para que las comunicaciones nunca se interrumpan. Entonces, el uso de algoritmos de cifrado más fuertes, está íntimamente relacionado con contar con muy buena señal en los dispositivos. ¿Qué pasa entonces si estamos en una condición de baja señal? El sistema tiene varias instancias de fallback, en las que los algoritmos de cifrado se van degradando para no perder la comunicación. En el caso de tener muy baja señal, nuestros celulares bajan hasta el modo A5/0 en el que la comunicación no se cifra en absoluto. En este caso, alguien podría escuchar nuestras conversaciones.

Pero el negocio manda. Es decir, en telefonía celular, si bien no es tan crítico como en el caso de sistemas industriales, la dimensión que más se preserva es la de disponibilidad. ¿La razón? es más que obvia: segundo que el sistema no funciona, segundo que no se factura…

El fallback que implica la degradación de la privacidad está incorporado por diseño con toda la intención de que sea así.

 

Un caso erróneo:

Ahora bien, cuando se diseña un dispositivo cuyo principal objetivo es preservar la confidencialidad. Cuando se anuncia con bombos y platillos que el sistema es absolutamente “inhackeable“, se deben tomar ciertos recaudos. La firma china eyeDisk desarrolló por la modalidad de crowdfunding un pendrive que incorpora la sofisticada tecnología de lectura de iris para asegurar la confidencialidad de los datos que él se almacenen.

Según sus especificaciones, el acceso a los datos sólo puede hacerse mediante la lectura de iris del dueño. Teniendo en cuenta que el sistema de lectura de iris es resistente a la lectura de imágenes o fotografías, la empresa parecía haber creado el perfecto “for your eyes only“…

Sin embargo, David Lodge, de PenTestPartners, descubrió recientemente que si bien la resistencia a ataques de lectura de iris es real, el fallback del sistema compromete completamente la confidencialidad tan promocionada. Si la lectura de iris falla, se puede desbloquear el contenido del pendrive con una contraseña provista por el usuario al momento de la configuración.

Resulta que investigando la manera en la que se transfieren los datos, el investigador descubrió que internamente, la contraseña almacenada se transfiere via USB desde el dispositivo a la PC antes de la validación y en texto plano!!! Por esta razón, con sólo un poco de conocimientos y esfuerzo, es posible obtenerla y usarla…

 

Usando fallbacks

Hay veces que sinceramente no entiendo la forma en la que se diseñan los sistemas. En el caso de eyeDisk “el” argumento de venta del producto es la imposibilidad de que sea hackeado. El usuario debería quedarse 100% tranquilo de que si pierde un pendrive con información valiosa, nadie tendría forma de recuperarla mientras el pendrive no vuelva a encontrarse con el ojo del dueño. El concepto es muy bueno…!!! ¿qué necesidad hay entonces de crear un fallback que permita al usuario desbloquear el pendrive haciendo un bypass de la principal protección del sistema, la lectura del iris? ¿para qué dar esa vuelta más innecesaria cuando al hacerlo se destruye por completo el concepto inicial?

Al pensar, diseñar y construir dispositivos o sistemas, se los dota a éstos de un objetivo. Si se hacen bien las cosas, ese sistema deberia cumplir perfectamente con su objetivo y hacer sólamente eso, la razón para la cual fue diseñado. Esto es lo que diferencia a un producto líder de uno del montón, el hacer muy bien su trabajo. El error se comete cuando se intentan agregar objetivos o funciones extra, y es en esa diversificación innecesaria, cuando lo que se hacía muy bien en principio bien, se termina diluyendo.

En sistemas muy complejos, con muchos componentes y escenarios posibles, en los que se debe tener siempre una respuesta válida, son necesarios los fallbacks. Pero éstos deben estar bien pensados. Porque sino, podríamos sin darnos cuenta, caer en la trampa del fallback, instalando por ejemplo un botón que abra la puerta de calle de nuestras casas desde el exterior, por si nos olvidamos el token de la cerradura electrónica que acabamos de instalar en nuestra nueva puerta blindada…

 

[1] Perdón por el término, pero fue lo mejor que pude traducir la palabra original del fabricante, es decir: “Unhackable”…

Nota por Carlos Benitez

Carlos Benitez es un reconocido experto en seguridad de la información.

Blockchain… hasta el bitcoin y mas allá!!! (parte 3)

Blockchain… hasta el bitcoin y mas allá!!! (parte 3)

Si bien la blockchain fue creada para soportar la primer criptomoneda, hoy en día existen muchos otros usos de esta tecnología más allá del bitcoin. Luego de la primera y la segunda, en esta tercera y última parte, les mostraré otros de los usos no-criptomoneda de la blockchain. En este caso, las aplicaciones son bastante más extrañas…………………………………………………………………………………….

 

#9- Mascotas virtuales

El concepto de la mascota virtual no es nuevo, hace 20 años aparecieron los famosos Tamagotchi que los dueños deberían cuidar y alimentar para que no murieran. La diferencia hoy con los CriptoKitties es que estos últimos no viven en un llavero, sino en la blockchain. Del mismo modo que los viejos Tamagotchis, estas nuevas mascotas virtuales corresponden a un “juego centrado en criaturas criables, coleccionables y tan adorables que llamamos CryptoKitties! Cada gato es único y 100% de su propiedad; no puede ser replicado, retirado o destruido.

 

#10- Certificados académicos digitales

Desde el año 2015, el MIT inició un proyecto para que todos los certificados de estudios académicos que cursen sus alumnos, se incorporen a la blockchain. Si esta iniciativa se aplicara a nivel masivo, permitiría reducir drásticamente los fraudes en la presentación de títulos académicos.

 

#11- Verificar la autenticidad de las Zapatillas

Otro objeto de copias y falsificaciones en todas partes del mundo son las zapatillas de alta gama. Es por esto que la empresa Chronicled creó un método para incorporar las zapatillas a la blockchain. De esta forma, un chip insertado en cada calzado puede verificarse contra la blockchain y saber si éste es verdadero o falso. Para evitar que los chips de zapatillas verdaderas sean sacados e introducidos en zapatillas falsas, las antenas se rompen al tratar de extraerlas. Por otra parte, y dado que alguien podría venderle sus zapatillas a otros, las funciones en la blockchain permiten la transferencia.

 

#12- Consentimiento sexual

En enero de 2018, la empresa LegalThings, especialista en contratos inteligentes sobre la blockchain, lanzó una aplicación llamada LegalFling. Esta aplicación también tiene el propósito de validar contratos, pero en este caso muy particulares: el consentimiento sexual entre los participantes. Los responsables de LegalThings dicen que se inspiraron en el movimiento #MeToo.

La aplicación móvil está disponible para iPhone y Android y va más allá de registrar si el usuario consiente en tener relaciones sexuales. También puede especificar los requisitos y si acepta ciertas prácticas. Algunas de ellas van desde compartir fotos y videos hasta usar o no preservativo, declarar que no padece enfermedades venéreas o que se pueda usar lenguaje explícito durante el encuentro. Una vez dado de alta el contrato, se envía una solicitud a su potencial pareja sexual. Al recibirlo, ésta decide si acepta o rechaza los términos. Esta aceptación o rechazo registra en la blockchain, por lo que ninguna de las partes puede alterar ese registro después de ese momento. Tampoco puede alegar que su contraparte aceptó la relación sexual si es que en la blockchain quedó registrado que no. Del mismo modo, no puede alegar que no aceptó tener la relación, si en la blockchain quedó almacenado el sí.

 

Como puede verse, el concepto de la blockchain está redefiniendo muchos aspectos de la vida de las personas. Mucho más allá del propósito con el que fue el creado: el soportar una criptomoneda. Ahora es sólo cuestión de imaginación de algunos y aceptación de muchos para que la blockchain se incorpore en nuestras vidas de forma mucho más abarcativa.

 

Nota por Carlos Benitez

Carlos Benitez es un reconocido experto en seguridad de la información.

Blockchain… hasta el bitcoin y mas allá!!! (parte 2)

Blockchain… hasta el bitcoin y mas allá!!! (parte 2)

Si bien fue creada para soportar al Bitcoin, hoy en día existen muchos otros usos de la Blockchain. En esta segunda parte veremos otros de los usos no-criptomoneda, pero no tan obvios como los de la parte 1

……………………………………………………………………………………

 

#5- Sello de Tiempo

Esta aplicación fue desarrollada en nuestro país. Corresponde a un modelo que recientemente comenzó a utilizar la misma nic.ar para sellar con el tiempo exacto y de forma incorruptible las altas y transferencias de dominios de Internet de Argentina. La aplicación se denomina Sello de Tiempo y fue desarrollada por la Blockchain Federal Argentina.

La aplicación está disponible y puede ser utilizada por cualquiera que desee preservar la autenticidad y los tiempos en la publicación de documentos.

#6- Social Media

Varias plataformas (como Steemit.com, Busy.org, DTube y Utopian.io) funcionan con la Blockchain Steem. La criptomoneda que utiliza como base, no podría llamarse de otra manera que… STEEM. Todos estos sitios web almacenan todo el contenido de sus publicaciones en la Blockchain. De esta forma preserva el contenido en forma inmutable, y recompensa a los usuarios por sus contribuciones con STEEMs.

Una de las curiosidades de utilizar la Blockchain para almacenar publicaciones, es que es resistente a la censura. Eso significa que no es posible eliminar los posteos una vez publicados. Precisamente esto fue lo que ocurrió cuando The Dark Overlord, publicó inicialmente que ellos poseían los documentos robados de 11-S. Si bien las publicaciones fueron sacadas de línea, hoy se pueden recuperar gracias a que están en la Blockchain.

#7- Internet of Things

Un área que está usando la Blockchain para darle seguridad a una tecnología que carece de ésta por completo, es la de Internet de la Cosas.

Para esto existen proyectos como Atonomi o Chain of Things cuyo objetivo es brindar seguridad a todas las “cosas” conectadas. Obviamente, debe integrarse al alguno de los proyectos. Por otra parte, y más en el mundo de la industria, se crearon proyectos específicos. Waltonchain, por ejemplo, da transparencia y precisión a la cadena de suministros de cualquier industria. Ambrosus tiene una función similar, pero sólo se aplica para la industria farmacéutica.
En estos últimos dos casos, se utilizan sensores RFID adosados a los componentes. De esta forma se pueden rastrear los artículos a lo largo de todo el proceso dentro de la cadena de suministros.

#8- Privacidad

Otra de las tantas iniciativas que busca evadir la censura en Internet, es el proyecto Privatix. A través de esta aplicación, se crea una red VPN descentralizada de entre usuarios individuales (P2P). La misma se soporta en la Blockchain y permite mantener la privacidad de las actividades de los usuarios.

Bueno, ¿pero eso ya no lo hacía Tor? Sí, pero Tor es tremendamente lento y sus nodos detectables, por lo que Tor no es seguro. La privacidad se soluciona en Privatix con redes VPN, pero ¿cómo soluciona el problema de la velocidad? Es ahí donde interviene la Blockchain. Privatix permite que los integrantes de los nodos vendan ancho de banda disponible a otros nodos. De esta forma, el ancho de banda que tendrá cada usuario es el que decida comprar del sobrante de otros nodos. Para dichas transacciones se utiliza PRIX, que es un token del tipo ERC20 de Ethereum.

 

Y todavía hay más aplicaciones…
…esto, todavía continúa…

 

Nota por Carlos Benitez

Carlos Benitez es un reconocido experto en seguridad de la información.

Blockchain… hasta el bitcoin y mas allá!!! (parte 1)

Blockchain… hasta el bitcoin y mas allá!!! (parte 1)

Si bien la blockchain fue creada para soportar al bitcoin, hoy en día existen muchos otros usos de la Blockchain. En esta primera parte les mostraré algunos de los usos no-criptomoneda de la Blockchain.

Una de las principales razones para la creación del bitcoin, fue el deseo de diseñar un sistema descentralizado de intercambio de moneda, que asegure la inmutabilidad de sus datos. Esto es tanto respecto a los parámetros intercambiados (en este caso: moneda) como en la secuencia, las fechas y las direcciones. Sin embargo, estas características no sólo son útiles en el intercambio de moneda, sino para muchas otras aplicaciones.

A continuación les listo algunas de las principales aplicaciones de la Blockchain exceptuando las criptomonedas.

 

#1- Contratos inteligentes

Esta es uno de los usos extra-bitcoin más habitual y natural. La primera red en la que se comenzó a usar la Blockchain para validar contratos inteligentes fue Ethereum. Su moneda asociada, el Ether (ETH), cotiza en el mercado como miles de otras criptomonedas. Además de Ethereum existen otras plataformas como Ethereum Classic (ETC), Blockchain que sufriera recientemente un ataque del 50%+1; Hyperledger, Stellar (XLM) o Qtum (QTUM). Una comparación entre las diferentes Blockchains que manejan Smart Contracts se puede encontrar aquí.

 

#2- Identidad digital

La posibilidad de mejorar la capacidad de identificar personas, profundamente asociado a los derechos de cada individuo, se está viendo potenciada mediante la Blockchain. Esta iniciativa la siguen organizaciones como ID2020 que pretende resolver para el año 2030, que todos los individuos del mundo tengan identidades legales. Para esto existen Blockchains como BanQu cuyo objetivo es el crear oportunidades económicas para personas de todo el mundo refugiados o que viven en extrema pobreza. Esto lo hace mediante el otorgamiento de identidades inmutables basadas en la Blockchain.

En el otro extremo, VISA, junto con IBM están creando un sistema de identidad digital basado en Blockchain. El objetivo es realizar pagos B2B internacionales.

Sin embargo, están quienes temen que estas iniciativas se vuelvan en contra de los mismos individuos.
Mientras tanto, la tecnología avanza y estas aplicaciones se encuentran en marcha.

 

#3- Seguros

En aplicaciones como los seguros, los individuos u organismos contratan pólizas que se procesan en papel. Es por eso que los reclamos y pagos son suceptibles a errores y casi siempre requieren supervisión humana. A esto se suma la complejidad inherente a los seguros, que involucra a consumidores, corredores, aseguradores y reaseguradores. Cada paso en este proceso es un punto potencial de falla. La información puede perderse, las pólizas malinterpretarse, aumentar la posibilidad de fraudes y los tiempos de liquidación alargarse. Por este motivo, en los últimos años los grandes jugadores mundiales en este negocio comenzaron a utilizar la Blockchain como herramienta de inmutabilidad. Con esto pretenden manejar el negocio de forma mucho más justa y eficiente.

Algunas de las Blockchains utlizadas para este propósito son Ethersic, Insurwave, Insurchain (INSUR),  RSK (RBTC) empresa argentina que utiliza la Blockchain de bitcoin para contratos inteligentes de seguros, entre otras.

 

#4- Seguros médicos

Si bien este es un caso particular de los seguros, tiene sus propias características y por eso las separé.

Debido a la necesidad de confidencialidad de los datos de los pacientes, los prestadores suelen no tener acceso a las historias clínicas completas. Por otra parte, la falta de datos puede dar lugar a rechazos en los reclamos de seguros, lo que le significa un altísimo costo a los sistemas de salud. Mediante el uso de la Blockchain, es posible encriptar la información de los pacientes, facilitando la transferencia de información y protegiendo al mismo tiempo su privacidad.

Se estima que el mercado de la salud mejorará muchísimo a partir de la utilización de esta tecnología.

Algunas de las muchas aplicaciones que utilizan la blockhain para registros médicos son: MedRec, la eslovena Iryo o la estonia Guardtime. Esta última, además de aplicaciones de salud, posee muchas otras  basadas en la sólida y probada Blockchain KSI.

continuará…

Nota por Carlos Benitez

Carlos Benitez es un reconocido experto en seguridad de la información.

Vendiéndole el alma al diablo

Vendiéndole el alma al diablo

Enorme y ruidoso fue el escándalo de Facebook con Cambridge Analytica. El nudo del problema fue que Facebook “cedió” datos a la empresa de análisis estadístico para un trabajo académico y resultó que sus resultados fueron utilizados para la campaña presidencial de Donald Trump. Ahora, tratemos de desatar el nudo.

¿Qué información cedió Facebook y por qué?
La verdad es que todo lo que Facebook pudo recolectar de sus usuarios y de quienes aún no son sus usuarios pero interactúan con aplicaciones socias de Facebook, son sus datos (nombre, apellido, direcciones de email, números telefónicos) y sus metadatos (direcciones IP, ubicaciones físicas fecha y hora de una foto o video).
Entonces, ¿eso quiere decir que Facebook cuenta con datos privados de sus usuarios y también no usuarios en el mundo? La respuesta es que sí, y no.
Si considerábamos nuestro nombre, la composición de nuestra familia, el lugar donde vivimos, las cosas que hacemos en Internet o en la vida real pero que las reflejamos en Internet, como información privada, eso deja de serlo cuando aceptamos los “Términos y Condiciones” al darnos de alta en Facebook.

Nunca revisamos los Términos y Condiciones, simplemente vamos lo más rápido posible al final para encontrar el botón de “Acepto” y poder seguir adelante, sin saber que con ese clic, le vendemos el alma al diablo. Y lo más interesante de este fenómeno es que además de Facebook existen muchos más, como por ejemplo Google o Yahoo, para mencionar algunos. Y este contrato que firmamos con todos ellos al hacer clic en “Aceptar”, no tiene posibilidad de cancelación. Por más que en determinado momento, después de muchos años demos de baja nuestras cuentas, la información ya recolectada hasta ese momento, forma parte de sus bases de datos.

Si leemos con cuidado por ejemplo los Términos y Condiciones de Facebook, hay una sección denominada “Información y contenido que nos proporcionas” en la que se detalla con mucho cuidado todos los tipos de información que le regalamos a la empresa a cambio de que ella nos regale sus servicios. “Recopilamos el contenido, las comunicaciones y otros datos que proporcionas cuando usas nuestros Productos” lo que se traduce simplemente en que todo lo que escribimos, los likes, las fotos, la gente con la que nos comunicamos, no sólo forman parte de nuestro perfil sino de la gigantezca base de datos de Facebook. Y no sólo eso, “[…] las personas, las páginas, las cuentas, los hashtags y los grupos a los que estás conectado y cómo interactúas con ellos […]”, es decir: cómo nos comportamos. Y van más allá: “[…] recopilamos información de las computadoras, los teléfonos, los televisores conectados y otros dispositivos conectados a la web […]”. Y de nuestros dispositivos, ¿qué más saben? En la sección “La información que obtenemos de estos dispositivos incluye: “puede leerse que tienen información de los Sistemas Operativos, potencia de la señal, espacio de almacenamiento, identificadores únicos de los teléfonos celulares, señales bluetooth, redes WiFi a las que nos conectamos y hasta “información sobre otros dispositivos que se encuentran cerca o están en tu red”.

Todos sabemos que nadie regala nada, sin embargo, por alguna extraña razón creemos que estos servicios tan completos y útiles desarrollados por compañías que ganan miles de millones de dólares al año nos los dan gratis.

¿Y qué hacen con toda esa información? ¿Nos persiguen? ¿Tratan de saber qué hacemos? ¿Qué nos gusta? ¿Qué compramos? ¿Cuál es nuestro trabajo? ¿A quién tenemos intenciones de votar?
Exáctamente. Aunque no de cada uno de nosotros. Eso además de no tener sentido práctico, no sería útil para ellos. Pero sí lo hacen con grupos de personas, es decir con “focus groups”.

En sus inmensos sistemas de Big Data, con los motores de inteligencia artificial más avanzados, procesan todos esos datos en busca de información útil.
De esta forma poseen información de cómo se comportan las personas de determinadas edades, de determinado grupo social, en determinado lugar. Y el resultado de estos análisis les permite predecir, saber quiénes necesitan qué, cuándo y dónde. Y quien tenga esa información, sólo tiene que ir a ofrecer el producto adecuado a las personas adecuadas, con una garantía casi absoluta de su compra, en todo sentido.
Claro, para que esta actividad sea rentable, se deben tener muchísimos usuarios. Estos son algunos números de usuarios aproximados de cada servicio a fines de 2017:
  • Facebook ~ 2200 millones
  • Twitter ~ 330 millones
  • Google ~ 2000 millones
  • Yahoo Mail ~ 225 millones
  • Whatsapp ~ 1500 millones
  • Instagram ~ 500 millones

 

Es curioso el estar viviendo en un mundo Orwelliano pero con una variante muy interesante que Orwell no imaginó. No es el Partido quien nos instaló las “telepantallas” en nuestras casas en forma coercitiva, obligándonos a compartir nuestra intimidad diaria con el Gran Hermano – lo hicimos nosotros mismos en forma totalmente voluntaria. Y además como creemos ciegamente en lo que los diferentes Grandes Hermanos nos dicen, dejamos abierta la puerta para que se nos cuelen amenazas reales en nuestros sistemas que permitan ahora sí, dañarlos, espiarlos o directamente controlarlos.

Y esto, ¿se puede frenar? Mi opinión es que no. Poder preguntarle a Waze (empresa originalmente Israelí, que por cierto desde 2013 es de Google) cómo llegar todos los días al trabajo por el camino más rápido; encontrar amigos o hasta familiares perdidos mediante Facebook; Twittear noticias al instante mientras uno está delante del hecho que se está produciendo, son funcionalidades cuya conveniencia es indiscutible y a las cuales no tiene sentido renunciar. Son herramientas muy poderosas que pusieron en nuestras manos y que simplemente tenemos que saber usar.

Concientizarnos sobre los peligros a los que estamos expuestos por la información privada que brindamos, sobre la facilidad con la que pueden instalar amenazas en nuestros dispositivos y sobre cómo ciberprotegernos, es la mejor forma de minimizar los riesgos de vivir con un pie en esta no tan nueva parte del mundo: el ciberespacio.
Nota por Carlos Benitez