Riesgos a considerar en las Implementaciones de VPN

Con la reciente implementación repentina y apresurada de servicios de red privada virtual (VPN) para soportar una avalancha de nuevos trabajadores remotos, muchas compañías están descubriendo de primera mano los matices de las VPN que pueden conducir a un mayor riesgo.

Identificamos cuatro áreas de riesgo principales: arquitectura de red general, control de acceso, denegación de servicio y endpoints.

Arquitectura de red y preocupaciones de topología

Incluso en empresas con implementaciones exitosas de VPN, solo un pequeño subgrupo de personal, como vendedores remotos y personal de operaciones de TI, utilizan la VPN, lo que nos lleva a la primera preocupación inmediata: el conjunto de direcciones IP que usan las VPN para conectar a los usuarios a la red local. Por lo general, estos grupos son relativamente pequeños, en comparación con las direcciones IP utilizadas en la red local.

Para proporcionar casi el 100% de la fuerza de trabajo remota, las empresas deben asignar miles o incluso cientos de miles de direcciones IP más a los grupos de VPN y, según su topología de red interna, pueden tener que buscar direcciones IP de los antiguos bloques asignados localmente.

En segundo lugar, mientras se conecta a una VPN en una ubicación central de la empresa (como la sede de una empresa) puede funcionar lo suficientemente bien para el personal de operaciones o el personal de ventas, el cambio de grandes poblaciones de usuarios que generalmente trabajan en oficinas remotas puede introducir una latencia de red inaceptable. El gran salto en el número de usuarios activos colocará una mayor carga en los sistemas VPN centralizados. Idealmente, una empresa puede proporcionar puntos de presencia de VPN cerca del lugar donde vive el personal, aprovechando las conexiones troncales existentes a los sistemas de la sede, pero esto no siempre es posible.

Finalmente, muchas políticas de acceso a la red suponen que los usuarios están accediendo a sistemas corporativos conectados a la red local. La segmentación de red tradicional utiliza firewalls para evitar que los usuarios de un segmento de red accedan a servicios en otro. Por lo que se debe configurar la VPN para asignar a los usuarios las direcciones de grupo de IP específicas para sus roles y recursos necesarios. Por ejemplo, haga que todos los desarrolladores remotos ingresen a una subred diferente que el equipo de contabilidad. Esto no solo facilita el control de acceso, sino que también facilita el enrutamiento interno a los sistemas.

Es muy importante recordar que, a menos que tome medidas adicionales para proporcionar una autenticación sólida, sus empleados pueden no ser sus únicos usuarios de VPN; los hackers también pueden usar su VPN.

Control de acceso y riesgos de autenticación

La clave para cualquier estrategia de VPN es proporcionar una autenticación extremadamente fuerte de cualquier usuario y sus dispositivos que intenten conectarse. Al menos en una implementación simplista, cualquier persona que pueda conectarse y autenticarse a un punto final VPN es lo mismo que alguien que ingresa a la sede central y conectar su computadora. Puede autenticar a los usuarios de VPN de varias formas, desde autenticar el nombre de usuario y la contraseña hasta configuraciones más complejas, incluida la autenticación multifactor con elementos como certificados de cliente o tokens de hardware. Garantizar el uso de contraseñas seguras y la autenticación multifactorial de algún tipo es un requisito mínimo para todos los sistemas que lo admiten.

Puede proporcionar autenticación multifactor a través de una serie de mecanismos, incluida una aplicación de autenticación móvil, mensaje de texto, token de hardware o algún otro sistema.

Las empresas deben monitorear de cerca los sistemas de autenticación para detectar cualquier ataque de relleno de credenciales. La amenaza de estos ataques puede incluir la sobrecarga de los servidores VPN, el bloqueo deliberado de la cuenta del usuario e incluso el acceso total a la red.

Es importante, implementar dispositivos reforzados proporcionados por la compañía para trabajadores remotos, con certificados de cliente y protección de punto final.

Riesgos del dispositivo VPN

Las empresas necesitan monitorear de cerca los dispositivos VPN, tanto para el uso de la CPU y la memoria como para los cambios de configuración y evidencia de ataques de negación del servicio. En estos tiempos inusuales, estos dispositivos ahora pueden ser la única forma de ingresar a la empresa. Las empresas deben vigilar, proteger y aprovisionar estos dispositivos para resistir los ataques, ya que la alternativa es apagarlos. En tiempos normales, tal vez, esto podría ser un inconveniente; ahora esto significa que toda la compañía podría perder funciones críticas. Idealmente, implemente VPN en configuraciones de alta disponibilidad por la misma razón.

Las VPN pueden manejar el tráfico de diferentes maneras. La mayoría ofrece una opción de túnel dividido y una opción de túnel completo.

Es importante utilizar un cifrado robusto con la VPN. que debe ser resistente a los ataques y estar libre de vulnerabilidades conocidas. Aun así, muchas VPN proporcionan cifrados poco seguros para la interoperabilidad o compatibilidad, así que tenga cuidado al configurar valores predeterminados seguros.

Ancho de banda de trabajo remoto y problemas de red

No todos los trabajadores tienen Internet de alta velocidad en sus hogares. Además, a medida que más usuarios están trabajando de manera remota, la evidencia muestra que los proveedores de servicios están luchando con el aumento de la carga en sus redes.

Las VPN no son económicas en términos de ancho de banda y pueden ser bastante sensibles a la calidad de la red en lo que respecta al rendimiento. Las compensaciones en los formularios VPN específicos pueden ser fundamentales para ofrecer un rendimiento aceptable a los trabajadores que lo hacen de manera remota. Es posible que las compañías también necesiten limitar a los trabajadores que lo hacen de manera remota a utilizar solo aquellos sistemas necesarios para hacer su trabajo y alentarlos a evitar el movimiento pesado de datos para preservar el ancho de banda de la red.

Riesgos del endpoint

Como se señaló anteriormente, la seguridad del punto final es crítica para asegurar las implementaciones. Idealmente, los dispositivos a los que se les permite conectarse a las VPN son sistemas totalmente parchados administrados por la empresa, con certificaciones de autenticación, contraseñas seguras y software de protección de punto final instalado. Estos se pueden administrar de forma remota como cuando están en la LAN, y muchas VPN ofrecen instalaciones para detectar si las máquinas que se conectan a ellas cumplen con políticas de seguridad específicas en términos de nivel de parche o software instalado.

Sin embargo, en implementaciones rápidas como las que estamos viendo actualmente, los puntos finales de los trabajadores que lo hacen a distancia pueden tener que usar cualquier computadora que tengan en casa. Estas pueden ser máquinas antiguas con poca potencia y sin parches. Las empresas tendrán una visibilidad limitada de su configuración y ninguna garantía sobre su seguridad. Es posible que estas computadoras ya estén infectadas con malware, que puede aprovechar la oportunidad de conexión a una VPN para infectar otras máquinas, incluidos los sistemas críticos dentro de la empresa. Si el punto final es parte de una botnet o tiene un troyano de acceso remoto instalado, los atacantes pueden usar el punto final como un pivote en la red corporativa.

La mejor práctica es asumir que cualquier conexión de dispositivo desconocido ya está fracturado e instituir un monitoreo y controles apropiados para detectar actividades maliciosas.

Algunas posibles alternativas

Dependiendo del acceso requerido para los nuevos trabajadores a distancia, las compañías pueden reducir algunos de estos riesgos limitando el acceso solo a los sistemas explícitamente necesarios.

Los escritorios remotos también pueden ser una buena herramienta, si está disponible. Los usuarios se conectan a una computadora virtual que está dentro de los límites de la red de la compañía. Este escritorio virtual permite que todos los datos y aplicaciones permanezcan dentro de la red de la empresa; solo la representación visual se envía a la pantalla del usuario. Por lo que el departamento de TI podrá monitorear, administrar y mantener estos escritorios virtuales como cualquier otra computadora en la red corporativa.

Los servicios de terceros, como el correo electrónico SaaS, el intercambio de archivos, el chat y especialmente los servicios en la nube, pueden ser útiles: la implementación rápida en una gran población de usuarios es más fácil si alguien más maneja los registros y proporciona el ancho de banda y los servidores. Simplemente hay que ser muy claro en la estrategia de nube y comprenda los riesgos.

Por F5 Networks

Tomado de: DiarioTI

Denuncian una vulnerabilidad en WhatsApp que permitiría interceptar los mensajes

WhatsApp. Imagen tomada de: whatsappgratis.org.

El servicio de mensajería de WhatsApp adolece de una "vulnerabilidad" en su sistema de seguridad que puede permitir a Facebook y otros portales interceptar mensajes codificados entre usuarios, informa este viernes The Guardian. 

Según sostiene la red social Facebook, nadie puede interceptar mensajes intercambiados mediante WhatsApp, ni tan siquiera la propia compañía y sus empleados, a fin de garantizar así la privacidad de sus millones de usuarios. 

No obstante, una nueva investigación que recoge el citado periódico británico revela que la compañía podría, de hecho, leer mensajes cifrados debido a la manera en que WhatsApp ha implementado su llamado protocolo de codificación de extremo a extremo. 

Los activistas en pro de la privacidad aseguran que esa "vulnerabilidad" hallada en el popular servicio de mensajería representa "una enorme amenaza para la libertad de discurso". Además, advierten de que podría ser utilizada por las agencias de inteligencia de los gobiernos llegado el caso.

Claves de seguridad únicas

Ese protocolo de seguridad de WhatsApp, que ha hecho de la privacidad y la seguridad su principal baza comercial, depende de unas claves de seguridad únicas —empleando el sistema Signal, desarrollado por Open Whisper Systems—, que se verifican entre usuarios a fin de garantizar que las comunicaciones son seguras y no pueden ser interceptadas.

No obstante, WhatsApp tiene una manera de lograr que se recodifiquen esas claves, de manera que el receptor del mensaje no tenga constancia de que se ha producido ningún cambio en la codificación.

En ese caso, además, al remitente tan solo se le notifica que ha habido un cambio en las claves de codificación si previamente se ha optado por la opción de codificado a la hora de hacer los ajustes y solo después de que los mensajes hayan sido reenviados. 

Esta vulnerabilidad en la seguridad fue descubierta por Tobias Boelter, un investigador especializado en codificación de la Universidad de Berkeley, en California (EE UU). 

Boelter indicó al periódico británico que "si una agencia de inteligencia pidiera a WhatsApp que divulgue su historial de mensajes, puede efectivamente garantizar el acceso debido al cambio en las claves". 

Ese experto informó del hallazgo de ese problema a Facebook en abril de 2016 y la compañía le notificó que ya tenían constancia del tema. Este asunto, según The Guardian, cuestiona la privacidad de los mensajes que se envían mediante ese servicio de mensajería online, que se utiliza por todo el mundo.

Tomado de: 20minutos

En realidad, WhatsApp no ofrece cifrado “extremo a extremo”

WhatsApp. Imagen tomada de: whatsappgratis.org.

¿Por qué es importante que WhatsApp active el cifrado de extremo a extremo? 

Cuando te comunicas con otra persona en Internet, es fácil imaginarse que el mensaje viaja como una llamada de teléfono y al igual que las llamadas de teléfono, son comunicaciones de “extremo a extremo” y pueden ser espiadas. El sonido viaja desde el micrófono de tu dispositivo a través de una serie de circuitos eléctricos, hasta el dispositivo del receptor que reproduce el sonido que tú has emitido. Si el receptor no estaba ahí, la llamada no se guarda para más tarde, simplemente no ocurre.

Cuando añades el cifrado a una comunicación de este tipo, lo más sencillo es hacerlo de “extremo a extremo”, es decir, se mezcla la señal en nuestro teléfono de manera que alguien que intercepte la señal en tránsito solo oiga ruido, y cuando llega al teléfono del receptor, este la descodificará reproduciendo nuestra voz como si nada hubiera pasado.

Pero las comunicaciones en Internet, como correo electrónico o mensajes instantáneos, casi nunca están cifradas.

En realidad no se trata de cifrado “extremo a extremo”.

Cuando envío un correo o un mensaje instantáneo, realmente no es una comunicación de “extremo a extremo”, ya que (en el sentido más estricto) probablemente no estoy enviando el mensaje directamente a la otra persona.

Hablando en términos generales, cuando envío un correo o un mensaje instantáneo, me conecto a un servidor donde dejo el mensaje que queda ahí hasta que mi destinatario se conecta y lo descarga.

Puede ocurrir que lo haga instantáneamente, pero mi dispositivo no tiene una conexión con el dispositivo del destinatario que transmita información directamente desde mi tarjeta de red a la suya.

Y cuando nos referimos a un servidor, puede que también nos refiramos a un servicio que consiste en una gran cantidad de granjas de servidores, en docenas de países que pueden gestionar eficazmente billones de mensajes enviados por cientos de millones de usuarios.

Y eso es lo que ocurre con WhatsApp. Resumiendo, el mensaje se cifrará y descifrará en múltiples ocasiones mientras viaja por su red de servidores hasta que sea descargado por el receptor.

¿Es importante el cifrado?

Si, importa. Mucha gente cree que no, basándose en que no tienen nada que ocultar, o por decirlo de otra manera, que no hacen nada ilegal.

Sin embargo, el problema es que quien nos va a espiar no va a ser un juez en busca de delitos, lo normal es que sean ciberdelincuentes a los que les interesa todo lo que hagas, para poder atacarte y hacerse con tu dinero.

Por eso estamos muy contentos con la noticia de que WhatsApp ha implementado un sistema de cifrado. Esta empresa no tiene una gran reputación en cuanto a su preocupación por la seguridad de sus usuarios, pero parece que desde que hace dos años la comprara Facebook, se empiezan a tomar las cosas más en serio.

¿Qué ha hecho WhatsApp?

No vamos a explicar los detalles criptográficos, para eso WhatsApp ha publicado un útil artículo en el que detallan todos los pormenores. Resumiendo, estos son:

– El servicio ni genera ni almacena tus claves de cifrado.

– Usa una nueva clave pública de cifrado para cada mensaje.

– El servido da una huella digital a cada mensaje.

Las consecuencias de estas medidas son:

– WhatsApp no puede descifrar tus mensajes en tránsito.

– WhatsApp no tiene ninguna información criptográfica sobre ti.

– Un espía que consiga descifrar un mensaje, no tendrá la clave para leer todos los siguientes.

En Sophos creemos firmemente que el cifrado es una herramienta clave para garantizar la seguridad y privacidad de las comunicaciones. Por ello, estamos encantados con este nuevo paso que ha dado WhatsApp.

Por Pablo Teijeira, Director General de Sophos Iberia

Tomado de: Diario TI

El FBI accedió al Iphone de un terrorista sin ayuda de Apple

Logo de Apple

El Buró Federal de Investigación (FBI, por sus siglas en inglés) accedió al iPhone que usó uno de los atacantes del acto terrorista en San Bernardino, California, informó el Departamento de Justicia de Estados Unidos (DOJ, por sus siglas en inglés).

Las autoridades creen que el FBI pudo acceder al teléfono celular usado por Syed Farook con la ayuda de una tercera persona, que no fue nombrada.

“El FBI pudo obtener información almacenada en el iPhone del terrorista que participó en los ataques de San Bernardino y por ende no necesitó la ayuda de Apple, que fue requerida por una orden de la Corte”, dijo la vocera del DOJ, Melanie Newman, a través de un comunicado difundido este lunes.

Farook fue uno de los agresores del ataque de diciembre de 2015 en California que dejó 14 muertos. El Gobierno de Estados Unidos había tratado de forzar a Apple a que ayudara a descifrar un código de seguridad de sus teléfonos.

La firma declinó ayudar a las autoridades al asegurar que comprometería la seguridad de todos los usuarios de iPhone.

Ambas partes (Apple y el FBI) tenían una audiencia en la Corte la semana pasada, pero un juez otorgó una solicitud de último minuto al DOJ para posponer la audiencia, asegurando que una “persona ajena” al caso contactó al FBI para presentarle un método alternativo para descifrar el iPhone.

El hecho de que el Departamento de Justicia de Estados Unidos pudo acceder al celular sin la ayuda de Apple son malas noticias para la tecnológica, porque sugiere que la tecnología de cifrado de Apple no es tan avanzada como se pensaba.

Tomado de: CNN Expansión

Nueva modalidad de ataque intercepta tráfico cifrado

The Drown Attack. Captura de pantalla de la página https://drownattack.com/

Expertos en seguridad informática han detectado un nuevo tipo de ataque cibernético con capacidad de interceptar tráfico cifrado HTTPS operando con tecnología SSLv2.

Según un grupo de trabajo internacional en el que participan Google, diversas universidades y el proyecto OpenSSL, la vulnerabilidad afecta a uno de cada 3 servidores HTTPS, equivalentes a 11,5 millones de servidores.

Los investigadores han comprobado que SSLv2 se ha convertido en un grave problema de seguridad para millones de servidores web. La situación afectaría a uno de cada tres servidores con soporte para HTTPS si se incluyen los servidores carentes de soporte SSLv2 que comparten una clave pública con un servidor con soporte para SSLv2; por ejemplo, servidores de correo electrónico.

Esta modalidad de ataque ha sido denominada DROWN (Decrypting RSA with Obsolete and Weakened eNcryption). en la práctica, se trata de una nueva variante de una modalidad antigua de ataque, denominada “Bleichenbacher padding oracle attack“. El ataque hace posible descifrar conexiones TLS interceptadas, habilitando conexiones especialmente diseñadas en un servidor con soporte SSLv2, siempre y cuando las conexiones TLS y SSLv2 utilicen la misma clave privada.

Otra condición que debe concurrir es que se utilice el método de intercambio de claves RSA. Se ha comprobado, además, que es totalmente irrelevante el navegador utilizado, en tanto que la conexión interceptada puede basarse en cualquier versión existente de TLS (o SSL), hasta la versión 1.2.

Para el caso de algunos servidores es necesario probar miles de conexiones, realizándose un gran número de cálculos para vulnerar el sistema de cifrado. Sin embargo, todos estos cálculos podrían ser realizados mediante el servicio EC2 de Amazon en aproximadamente 8 horas, por un precio de aproximadamente US$ 440. Este gasto está al alcance de un gran número de cibercriminales e indudablemente de agentes estatales.

Un elemento clave de los ataques es la vulnerabilidad fundamental presente en SSLv2, vinculada a la exportación de cifras, que sólo utiliza claves de 40 bits.

En el sitio de DROWN se ha publicado una lista con ejemplos tomados de los 10.000 sitios web más populares del mundo, cuyos servidores están vulnerables al ataque. La lista está actualizada al primero de marzo de 2016. El sitio ofrece una herramienta que permite verificar la vulnerabilidad del servidor, digitando el nombre de un dominio.

Tomado de: Diario TI

El 2016, el año de la privacidad de la información

Privacidad de la información. Imagen tomada de: pixabay.com

Aunque hablar de privacidad de la información, no es algo nuevo en el contexto actual, es un aspecto muy importante que ha venido tomando fuerza en los últimos años a nivel mundial y al parecer el 2016 será un año en el cual se va a consolidar a raíz de las diversas discusiones que se vienen adelantando en todo el mundo y sobre el cual ya empiezan a verse los primeros resultados. 

Acuerdo EU-US Privacy Shield

Para iniciar tenemos el recién aprobado acuerdo llamado EU-US Privacy Shield el cual sustituye al pacto Safe Harbour, declarado ilegal por el Tribunal Europeo en octubre de 2015. Este nuevo acuerdo según la Comisión Europea, asegurará que las empresas estadounidenses, en mayor grado, se obliguen a proteger los datos personales de los usuarios europeos. También implica que el Departamento de Comercio de Estados Unidos, y la Comisión Federal de Comercio (FTC) en grado mayor que antes supervisarán y controlarán el cumplimiento del acuerdo.

Pero para poder hacer realidad y dar cumplimiento a este acuerdo, tanto las empresas como las organizaciones gubernamentales tienen un gran camino por recorrer tanto a nivel jurídico, como tecnológico y operativo. 

El cifrado de los datos

Actualmente existe otra discusión que aún continua abierta y es la relacionada con los temas de seguridad nacional en donde diversos países discuten actualmente la posibilidad de prohibir el cifrado de datos carente de puertas traseras instaladas de fábrica y en la cual Estados Unidos, es uno de los principales defensores de las puertas traseras gubernamentales, instaladas en hardware y software.

Esta discusión se centra en brindar herramientas a las diferentes entidades de gobierno a cargo de la seguridad nacional, para poder tener acceso a la información que requieran para el cumplimiento de sus objetivos, pero dichos mecanismos generan gran preocupación respecto a que tan expuesta puede verse la privacidad de los datos, por lo cual este tema seguirá dando de que hablar, hasta que se logre encontrar un equilibrio entre seguridad nacional y privacidad. 

El caso de Colombia

Aunque la privacidad no es un tema nuevo en nuestro país, a pesar de ser algo obligatorio hace varios años, aún existen personas y organizaciones que desconocen su importancia. 

Antes de hablar de lo que viene para el 2016 en materia de privacidad, considero importante hacer un pequeño recuento de lo que ha sucedido en los últimos años a raíz de la aprobación de la Ley 1581 del 17 de octubre de 2012 "Por el cual se dictan disposiciones generales para la protección de datos personales" y que posteriormente fue reglamentada con el Decreto 1377 del 27 de junio de 2013.

Con la expedición de este decreto, la preocupación inicial de las organizaciones fue la de cumplir con lo expuesto en el artículo 9 de la ley 1581 "Autorización del titular", razón por la cual en primer medida muchas empresas hicieron uso de los medios masivos de comunicación como los periódicos, página web e inclusive el correo electrónico, para informar y dar la posibilidad a las personas de no autorizar el uso de sus datos personales por dichas organizaciones, lo cual fue complementado con la elaboración de las primeras políticas de privacidad.

Hasta este punto, el cumplimiento de la Ley 1581 de 2012 y su decreto reglamentario 1377 de 2013, significan un gran trabajo el cual debe ser desarrollado desde el interior de las organizaciones y que va mucho más allá de la generación de avisos de privacidad y la recolección de la autorización expresa e inequívoca por parte del titular. 

Por esta razón se vuelve fundamental para las organizaciones el contar con un rol de oficial de privacidad de la información, que se encargue de liderar y coordinar las acciones necesarias para dar cumplimiento a los marcos normativos y lograr un buen manejo y tratamiento de los datos personales por parte de la organización. 

Panorama actual

El capítulo 26 del Decreto único 1074 de 2015 reglamentó lo establecido en el artículo 25 de la Ley 1581 de 2012 con el cual se creó el Registro Nacional de Bases de Datos RNBD. Este tema ha generado gran preocupación en las organizaciones, ya que "El Responsable del Tratamiento debe inscribir en el Registro Nacional de Bases de Datos, de manera independiente, cada una de las bases de datos que contengan datos personales sujetos a Tratamiento" como lo establece el artículo 2.2.2.26.1.3.  del Decreto 1074. 

Y esta no es una labor fácil para todos, ya que por una parte se debe tener total claridad sobre que información y donde se está almacenando, lo cual puede ser complicado para aquellas organizaciones que cuentan con bases de datos estructuradas muy antiguas, bases de datos que no se encuentran estructuradas adecuadamente o bases de datos no estructuradas, lo cual puede generar complicaciones para la atención de requerimientos que exijan consulta, modificación o eliminación de información. 

Por otra parte se debe definir por cada base de datos quien es el responsable y/o el encargado del tratamiento de la información, lo cual es una tarea que involucra a todas las áreas de la organización donde se manejan datos personales. 

Como podemos ver, existe mucho trabajo por hacer, en especial este 2016 en el cual de acuerdo a lo establecido por medio de la Circular 002 del 03 de noviembre de 2015, todos los responsables del tratamiento de datos personales deben realizar la inscripción de sus bases de datos acorde con los plazos establecidos y que se vencen de acuerdo a los últimos números del NIT. 

Así que con este panorama global considero que el año 2016 será el año de la privacidad de la información, para lo cual debemos seguir trabajando de forma continua ya que es un aspecto importante al igual que la seguridad de la información. 

Escrito por:

Efraín Oswaldo Guerrero Camacho.
Profesional en Privacidad y Seguridad de la Información.

Director de la NSA: “El cifrado es fundamental para el futuro”

Almirante Michael Rogers. Imagen tomada de: Diario TI

Diversos países discuten actualmente la posibilidad de prohibir el cifrado de datos carente de puertas traseras instaladas de fábrica. En Estados Unidos, uno de los principales defensores de las puertas traseras gubernamentales, instaladas en hardware y software para civiles, ha sido el director del FBI, James Comey, quien entre otras cosas ha propuesto prohibir el cifrado end-to-end en teléfonos móviles.

La semana pasada, el estado federado de California comenzó a tramitar un proyecto de ley orientado a prohibir las ventas de smartphones que no puedan ser vulnerados por el propio fabricante a petición de las autoridades. Durante el Foro Económico Mundial, realizado la semana pasada en Davos, Suiza, la Secretaria de Justicia de Estados Unidos, Loretta Lynch, comentó que el gobierno de su país no pide al sector tecnológico la instalación de puertas traseras, sino asegurar a las autoridades judiciales las mismas posibilidades con que cuentan actualmente; es decir, requerir la entrega de información mediante órdenes judiciales.

Lo anterior presupone, indudablemente, que las empresas tecnológicas tengan la capacidad de descifrar la información generada por sus usuarios. Sin embargo, esto no siempre es posible, debido a que los fabricantes no tienen permanentemente acceso a las claves de cifrado utilizadas para cifrar dispositivos o servicios de comunicación.

Diversas grandes empresas TI, entre ellas Apple, se han opuesto a tales planteamientos gubernamentales. En esta oportunidad, su postura ha sido respaldada desde un sector en principio improbable: la Agencia Nacional de seguridad, NSA, en palabras de su director, Mike Rogers.

Durante un evento organizado por el Consejo Atlántico en Washington, D.C. la semana pasada Rogers declaró que, a su juicio, este debate carece de sentido. “El cifrado es fundamental para el futuro”, declaró el director de la NSA, a cuyo juicio es una pérdida de tiempo discutir en qué medida el cifrado es perjudicial y que, por lo tanto, debería ser eliminado. “Lo que cabe preguntarse es como podemos manejar el tema de la mejor forma posible, desde distintas perspectivas”, dijo el almirante.

Rogers puso de relieve que la organización que lidera no sólo tiene un cometido ofensivo, sino también defensivo, en el sentido que debe contribuir a proteger los intereses estadounidenses contra ataques cibernéticos y espionaje electrónico, entre otras cosas.

Protección de la privacidad

El director de la NSA apuntó que las preocupaciones sobre la privacidad y protección de datos nunca habían sido mayores, lo que se suma a las amenazas de actores como el denominado Estado islámico, que se producen de manera paralela a una cierta desconfianza del público frente a sus autoridades.

“En nuestros esfuerzos por conseguir lo anterior; es decir lograr un equilibrio que lo reúna todo, vemos que no se trata necesariamente de elegir lo uno o lo otro. Yo no argumento en el sentido que el único imperativo sea la seguridad, y que todo debe estar supeditado a ella. Tampoco digo que la protección de la privacidad es el único imperativo, y que todo debe estar supeditado a ella”, dijo Rogers en el encuentro. En lugar de ello, indicó que es necesario tener presente ambos elementos, y determinar cuál es el mejor procedimiento posible en el mundo actual, donde los grandes avances tecnológicos conllevan considerables ventajas, pero también una mayor vulnerabilidad: “Tenemos un período difícil frente a nosotros”, observó.

En el siguiente vídeo puede verse la entrevista. Las declaraciones del almirante sobre el cifrado y la protección de la privacidad se producen en un período de cinco minutos de duración, que comienza en el minuto 25 de la grabación.

Cabe señalar que el almirante Mike Rogers no es el único que se ha manifestado reticente a prohibir el cifrado invulnerable. Michael Hayden, quien fuera director de la NSA en el período 2005 a 2006, y director de la CIA entre 2006 y 2009, manifestó recientemente un apoyo irrestricto frente al cifrado. Citado por la publicación The Intercept, Hayden habría dicho en el marco de una conferencia de seguridad realizada en Florida, Estados Unidos: “estoy en desacuerdo con [el director del FBI] Jim Corney. Considero que el cifrado end-to-end es beneficioso para Estados Unidos”. Agregó: “estoy seguro que el cifrado constituye un reto especial para el FBI. Pero, a fin de cuentas, estimó que el cifrado proporciona una mayor seguridad para Estados Unidos, que la alternativa: una puerta trasera”.

“¿Podría alguien darme un ejemplo de una legislación exitosa, diseñada para evitar los avances tecnológicos? Sencillamente no es posible”, concluyó señalando Hayden.

Tomado de:  DiarioTI

Científicos vulneran cifrado cuántico “invulnerable”

Protección de datos. Imagen tomada de: Vanguardia.com

El cifrado cuántico ha sido considerado la cúspide de la criptología, por tratarse de un sistema totalmente blindado y seguro, al menos en teoría. Una de sus características fundamentales es que los datos, protegidos mediante cifrado cuántico y transmitidos a través de fibra óptica, no pueden ser interceptados sin que la intrusión sea detectada por el receptor. Esto se debe a que la escucha en si modificaría las características cuánticas de los fotones recibidos.

Sin embargo, científicos adscritos a universidades suecas han demostrado que lo anterior en ningún caso es un factor absoluto. Los resultados de su investigación han sido descritos en un reciente artículo en la publicación Science Advances.

Vulnerabilidad ante ataques

Los científicos habrían aplicado un método denominado codificación de tiempo-energía, que demostraría la vulnerabilidad en cuestión: “El agujero de seguridad hace posible interceptar los datos sin ser detectados”, comenta Jan Ake Larsson, catedrático de la Universidad de Linkoping”, en un comunicado referido por la publicación. “Detectamos esta situación en nuestros cálculos teóricos, y con base en tal información nuestros colegas en Estocolmo pudieron demostrarlo en un experimento”, explica el catedrático.

El experimento en sí fue realizado por Mohamed Bourennane, catedrático dedicado a la investigación de información cuántica y óptica cuántica en la Universidad de Estocolmo. “En teoría, el cifrado cuántico funciona al 100 por ciento, pero es preciso ser cuidadosos al aplicarlo en el mundo real”, explicó Bourennane a Science Advances.

La técnica de cifrado cuya vulnerabilidad habrían comprobado los científicos se basa en un test de la conexión, realizado de manera simultánea con la generación de la clave de cifrado. El procedimiento implica la transmisión de dos fotones, exactamente al mismo tiempo, en dos direcciones opuestas. En ambos extremos de la conexión hay un interferómetro que agrega un ligero desplazamiento de fases, lo que crea una interferencia que permite comparar los datos en las dos estaciones.

Cuando el flujo de fotones es interceptado se produce ruido, que es posible detectar utilizando un teorema de la mecánica cuántica denominado desigualdades de Bell.

Si, por el contrario, la conexión es segura y carente de ruidos, los datos restantes, o fotones, pueden ser utilizados como una clave de cifrado para proteger la comunicación objeto de la transmisión.

El ataque en sí

Larsson y un grupo de estudiantes de doctorado constataron que si la fuente de fotones consiste desde una fuente lumínica tradicional, un potencial atacante puede identificar la clave, lo que en teoría le da acceso a la comunicación, sin que la intrusión sea detectada. Posteriormente, los físicos de la Universidad de Estocolmo demostraron esta teoría en la práctica, según explicó Mohamed Bourennane. Lo anterior no implica que el cifrado cuántico era “demasiado bueno para ser cierto”, o que el problema no pueda ser solucionado. En realidad, la investigación ha dejado en evidencia una vulnerabilidad dable de ser solucionada.

“Hemos propuesto varias medidas, que van desde ajustes técnicos sencillos, a una reestructuración total del proceso”, comenta la organización en su nota de prensa.

En cuanto a la utilización real del cifrado cuántico, Larsson comenta que es discutible el impacto real que su investigación pueda tener para las actuales soluciones de seguridad. Aunque las técnicas descritas están comercialmente disponibles, según el científico hay incertidumbre sobre su aplicación real: “en realidad, se trata principalmente de rumores; yo no he visto un sistema de estas características que esté siendo utilizado. Pero me consta que algunas universidades cuentan con redes de prueba para la transmisión segura de datos”, concluyó señalando Jan Ake Larsson.

Tomado de: Diario TI

Nueva ley antiterrorista china requerirá acceso a datos cifrados

China. Ilustración: Alexander Mak © Shutterstock.com. Imagen tomada de: Diario TI.

Durante el fin de semana, China aprobó su primera ley antiterrorista, orientada a mejorar la capacidad del país asiático para combatir al terrorismo doméstico e internacional. La nueva normativa incorpora elementos que, al igual que en occidente, generan controversia. Según la agencia Reuters, la nueva ley implica que las empresas tecnológicas que realicen actividades en China a futuro deberán en entregar a las autoridades locales las claves de cifrado utilizadas por los clientes. Sin embargo, la publicación Wall Street Journal objeta la interpretación de Reuters, señalando que esta disposición formaba parte del proyecto de ley original, pero que habría sido eliminada del texto final.

Con todo, la nueva ley plantea exigencias a las empresas de telecomunicaciones. Según la Agencia China de Noticias, Xinhua, se obliga a los proveedores de conexión a brindar asistencia técnica y cooperación a la policía y autoridades nacionales de seguridad, cuando éstas busquen evitar e investigar actividades terroristas. Estos procedimientos incluyen el acceso a datos cifrados.

La nueva obligación judicial también se aplica a empresas extranjeras, muchas de las cuales tienen un interés cada vez mayor por acceder al gigantesco mercado tecnológico chino.

Li Shouwei, representante del Congreso popular de China, comentó a la agencia Xinhua que la ley será adaptada en los casos que sea necesario, con el fin de combatir el terrorismo. El portavoz agregó que la ley equivale, en principio, a las legislaciones de otros países: “La nueva ley no afectará las actividades normales de las empresas, ni tampoco requerirá la instalación de puertas traseras que vulneren derechos inmateriales, ni la libertad de expresión o libertad religiosa de los ciudadanos”.

Sin embargo, la ley requiere que Internet, los sistemas de telecomunicaciones infraestructuras y datos en sectores estratégicos sean “seguros y controlables”.

Xinhua hace además referencia a una conferencia de prensa realizada el domingo 27 de diciembre, donde An Weixing, funcionaria del Ministerio de Seguridad pública, habría comentado: “los ataques terroristas han causado cuantiosas pérdidas de vidas humanas y de propiedad privada, por lo que constituyen una seria amenaza contra nuestra seguridad, estabilidad, desarrollo económico y unidad étnica”.

La nueva ley entrará en vigor en enero de 2016, y según las autoridades chinas constituye un fundamento legal para las actividades antiterroristas del país, con las que además se regulará la cooperación con la comunidad internacional”.

La fuente agrega que el concepto “terrorismo” queda definido como toda propuesta o actividad que, mediante la violencia, el sabotaje o la intimidación, genere pánico social, socave la seguridad pública, infrinja derechos personales y de propiedad, amenace a organismos gubernamentales u organizaciones internacionales, con el fin de alcanzar objetivos políticos o ideológicos. Esta definición coincide con la declaración de las Naciones Unidas sobre medidas para eliminar el terrorismo internacional.

Tomado de: Diario TI

ONU: “El cifrado de información es un derecho humano que no debe ser socavado”

Edificio de la ONU en Nueva York © Leonard Zhukovsky vía Shutterstock. Imagen tomada de: DiarioTI 

La organización de Naciones Unidas ha publicado un informe donde indica que la libertad de expresión es un derecho humano y que el cifrado de datos debe ser permitido. Asimismo, recomienda a los gobiernos restringir la vigilancia electrónica masiva de los ciudadanos.

El informe insta a los gobiernos del mundo abstenerse del celo excesivo que aplican en su labor de vigilancia electrónica. El relator especial de la ONU, David Kaye, autor del documento, declaró al sitio The Intercept que el informe “constituye el primer intento de crear un marco jurídico para la seguridad digital”.

El documento, titulado “Informe del relator especial sobre la promoción y protección del derecho a la libertad de opinión y de expresión” (documento PDF de 17 páginas, en inglés), establece la postura de la ONU en materia de vigilancia masiva, sugiriendo que las redadas electrónicas organizadas por los gobiernos deben ser sometidas a evaluación y escrutinio, caso por caso.

El documento no es vinculante para los estados miembros de la ONU, pero si hace una serie de sugerencias que Kaye espera informen a los gobiernos y legisladores.

“El documento gravita en torno al marco legal que establecen las normativas de derechos humanos, y garantiza la libertad de expresión. Esperemos que los defensores de la libertad de expresión recurran al documento cuando deban litigar en tales causas”, declaró Kaye a la publicación.

El informe surge en momentos que los Estados Unidos y otros países buscan, por el contrario, ampliar el alcance de la vigilancia electrónica. El informe advierte contra tales propósitos señalando: “Los estados no deben restringir el cifrado y el anonimato, que facilitan, y a menudo hacen imposible, la libertad de opinión y de expresión. La vigilancia generalizada es innecesaria y desproporcionada. Los estados deben evitar todas las medidas que debilitan las garantías de las personas en el ciberespacio, como por ejemplo puertas traseras o estándares de cifrado vulnerables”.

Tomado de: Diario TI

Descubren LogJam, una grave vulnerabilidad que intercepta datos cifrados

Protección de datos. Imagen tomada de: Vanguardia.com

La sombra de «Heartbleed» pasea de nuevo. Un grupo de investigadores formado por expertos en seguridad informática franceses y norteamericanos y centros universitarios, entre los que se encuentran ingenieros de Microsoft, han descubierto una grave vulnerabilidad que es capaz de interceptar datos cifrados.

Según el informe, la vulnerabilidad informática detectada en un algoritmo de los sistemas de cifrado utilizados permite espiar comunicaciones supuestamente seguras, recoge la cadena «BBC». De esta manera, decenas de miles de sitios web HTTPS, servidores de correo y otros servicios son vulnerables al espionaje debido a un defecto en los algoritmos criptográficos.

Proveedores de antivirus ya han sido alertados y preparan una solución al respecto. Los expertos creen que el 8% de las páginas que incluyen protocolos de seguridad HTTPS son «vulnerables», por lo que este icono situado en la barra de direcciones del navegador tampoco garantizaría a los usuarios comunicaciones totalmente privadas.

Este «bug» afecta a varios servicios de correo electrónico que utilizan el protocolo de cifrado Transport Layer Security (TLS) y, según los expertos, puede ocasionar posibles intromisiones ilegítimas. El fallo se beneficia de Diffie-Hellman, un protocolo criptográfico de establecimiento de claves entre partes que no han tenido contacto previo utilizando un canal inseguro y de manera anónima (no autentificada). Esta fue una de las primeras técnicas desarrolladas para permitir que dos o más partes crearan y compartieran una clave de cifrado. Este sistema es fundamental para otros protocolos informáticos como HTTPS, IPsec, SMTPS o SSH.

El informe asegura que los navegadores más populares como Chrome, Firefox, Safari o Internet Explorer son susceptibles de ser afectados por este «bug», por lo que empresas como Google o Microsoft ya trabajan en resolverlo. Pese a todo, diversos expertos aseguran que los usuarios no deben preocuparse al respecto, ya que para aprovecharse de la vulnerabilidad los «hackers» y el objetivo deben estar en la misma red.

Tomado de: ABC.es

Desde hoy Google protege Gmail de la NSA (y otros espionajes) con cifrado obligatorio

Google. Imagen tomada de: www.justdust.es.

Se acabaron los ojos indiscretos en las comunicaciones mediante el servicio de correo electrónico de Google. El cifrado HTTPS que ya desde 2010 aparecía por defecto en Gmail desde este jueves pasa a ser obligatorio y no podrá desactivarse, con lo que nadie que no sea el destinatario y el remitente podrán acceder al contenidos de los emails enviados mediante este servicio.

Las comunicaciones entre los distintos servidores de Gmail serán desde hoy sometidas a un cifrado de seguridad, lo que puede comprobarse con facilidad cuando en la barra de direcciones del navegador se observa que la URL comienza por las siglas HTTPS, es decir, protocolo de transmisión segura de hipertexto.

Independientemente de que el usuario acceda a Gmail desde una red WiFi pública que pueda permitir que otros tengan acceso a los datos que circulan por la misma Gmail tendrá codificadas todas sus comunicaciones con este protocolo de seguridad al enviar y recibir paquetes de datos de todos los servidores, algo que constituía un objetivo prioritario para la Agencia de Seguridad Nacional según desveló en su momento el exanalista de la NSA Edward Snowden.

Tomado de: TheInquirer