Freak attack: un zombie de los 90’s que amenaza tu seguridad.

Todo empezó a mediados de los 90’s, cuando se hizo posible que cualquier individuo con una computadora a la mano tuviera acceso a Internet, no sólo para buscar información, sino también para comprar en línea, conectarse con servicios financieros, etc. Pronto se hizo necesario generar medidas de protección para todo el tráfico que pudiera ser interceptado por usuarios malintencionados.

Cuestión de espionaje

De esta forma se incorporó el cifrado en las comunicaciones más críticas, detalle que no le gustó al gobierno de Estados Unidos, ya que ciertas formas de seguridad podrían impedir a sus agencias de espionaje vigilar a personajes e instituciones clave en el extranjero. Por ello se implementó una política que prohibía la exportación de productos informáticos con cifrado de alta seguridad. Esta restricción fue levantada en 1990, pero el cifrado menos seguro siguió incorporado en software ampliamente utilizado en todo el mundo. Al parecer esto pasó desapercibido hasta que hace unos días, “estalló la bomba” y se llama Freak Attack, siglas de “Factoring attack on RSA-EXPORT Key

El error afecta a millones de sitios web con altos volúmenes de tráfico, incluyendo agencias de gobierno y sitios operados por bancos (en México, se destaca el sitio de la UNAM). Más de un tercio de las páginas encriptadas, incluyendo las que muestran el famoso candadito, resultó vulnerable. De los 14 millones de sitios web en todo el mundo que ofrecen encriptación, más de 5 millones quedaron vulnerables a partir de la mañana del 3 de marzo. Para ver una lista con los dominios vulnerables ordenados po su popularidad.

¿Quién está en riesgo?

Freak provoca que los usuarios Android e IOS estén en riesgo al visitar sitios capaces de degradar una conexión segura HTTPS a un método de cifrado débil, de forma que se pueda obligar al navegador a utilizarlo, permitiendo a los hackers robar contraseñas y otra información personal, además de potencialmente lanzar un ataque más amplio. Inicialmente, sólo los navegadores en dispositivos Android y iOS parecían ser vulnerables, pero Microsoft reveló que todas las versiones de Windows también son susceptibles a ataques que aprovechen Freak, aunque ya están en camino de solucionarlo. No se sabe si el parche será lanzado como parte de la próxima actualización mensual o como un programa independiente, pero los usuarios de Windows Vista y versiones posteriores pueden protegerse, ya que los servidores Windows no se ven afectados si el sistema de cifrado RSA está desactivado.

Chrome no es vulnerable al error Freak, pero el navegador que viene incorporado en la mayoría de los dispositivos Android sí. Por su parte, Google ya ha distribuido un parche para proteger las conexiones con dispositivos Android, y Apple declaró: “Tenemos una solución para iOS y OS X y estará disponible en las actualizaciones de software de la próxima semana.”

Un zombie de los años 90

Nadia Heninger, criptógrafa de la Universidad de Pennsylvania, dijo: “Esto es básicamente un zombie de los años 90”. Para los sitios vulnerables, Heninger descubrió que podía descifrar la clave de cifrado débil en unas siete horas, labor normal para un hacker que intentaría luego llevar a cabo lo que los expertos llaman un “man-in-the-middle”, es decir, un ataque para que el tráfico encriptado sea fácil de leer.

No hay manera de saber qué tan ampliamente la falla Freak se ha utilizado para hackear los usuarios de Internet, aunque recursos como “man-in-the-middle” son muy socorridos entre gobiernos (como los de Irán y China) que llevan a cabo la vigilancia en línea de sus propios ciudadanos.

A pesar de la exposición que se le ha dado al caso y el revuelo que ha causado, algunos expertos advierten que aunque conlleva un riesgo latente, Freak no es tan grave como un Heartbleed . Sugieren que se trata de una amenaza hipotética basada en condiciones inusuales que no afectaría a tantos usuarios como inicialmente se especuló. Un ataque requeriría un hacker sofisticado con herramientas y tecnología no muy comunes. Sin embargo, el mecanismo es una metodología válida, que depende del compromiso físico de una conexión.

No olvides actualizar tus navegadores y sistemas operativos para asegurarte de instalar el parche que te portegerá de este riesgo. Si quieres saber más acerca de brechas de seguridad y malware, te recomendamos echarle un vistazo a estos artículos:

• El 60% de las apps para encontrar pareja son vulnerables

• Hackers realizan el robo a bancos más grande de la historia

• Ransomware o secuestro de información

• Cómo protegerte del Malware

Visita nuestro blog y síguenos para enterarte de todo lo que necesitas saber sobre seguridad y tecnología. ¡Y recuerda cuidarte de los zombies!