¿La investigación de seguridad realmente está ayudando a los hackers?

Cuando se supo en 2011 que los investigadores habían modificado el virus letal H5N1 para que fuera más transmisible y quisieran publicar sus hallazgos, la mayoría de nosotros teníamos una alarma justificada. Si bien el virus se modificó como parte de una investigación diseñada para ayudar a determinar qué podría ayudar a reducir la transmisión humana del virus, los críticos no pudieron evitar preguntar: ¿Qué pasaría si alguien usara esta información para producir y distribuir este virus mortal?

Aunque no es potencialmente mortal, existe una dinámica similar en el campo de la seguridad informática. Investigadores de seguridad, algunos académicos y otros aficionados, buscan fallas en los sistemas de seguridad, sistemas operativos y aplicaciones. Cuando encuentran una falla de este tipo, generalmente hacen públicos sus hallazgos, a menudo acompañados de información sobre cómo se puede explotar la falla. En algunos casos, esta información puede ayudar a los hackers maliciosos a planificar y organizar sus ataques.

Sombreros Blancos y Sombreros Negros

Los hackers normalmente se agrupan en dos categorías básicas: sombreros negros y sombreros blancos. Los hackers de sombrero negro son los "malos", que intentan identificar vulnerabilidades de seguridad para poder robar información o lanzar ataques a sitios web. Los hackers de sombrero blanco también buscan vulnerabilidades de seguridad, pero informan al proveedor de software o hacen públicos sus hallazgos para obligar al proveedor a abordar la vulnerabilidad. Los piratas informáticos de sombrero blanco pueden ir desde académicos universitarios que realizan investigaciones de seguridad hasta aficionados adolescentes motivados por la curiosidad y el deseo de enfrentar sus habilidades con las de los profesionales.

Cuando un hacker de sombrero blanco hace público una falla de seguridad, a menudo va acompañada de un código de prueba de concepto que demuestra cómo se puede explotar la falla. Debido a que los piratas informáticos de sombrero negro y los piratas informáticos de sombrero blanco frecuentan los mismos sitios web y leen la misma literatura, los piratas informáticos de sombrero negro a menudo tienen acceso a esta información antes de que el proveedor de software pueda cerrar el agujero de seguridad. Los estudios han demostrado que los ataques de piratería están disponibles con frecuencia dentro de las 24 horas posteriores a la divulgación de una falla de seguridad.

¿Necesita ayuda para descifrar un PIN?

Otra fuente de información son los trabajos de investigación sobre seguridad informática publicados por académicos de sombrero blanco. Aunque las revistas académicas y los trabajos de investigación probablemente no sean del gusto del pirata informático promedio, algunos piratas informáticos (incluidos los potencialmente peligrosos en Rusia y China) pueden digerir y usar materiales de investigación abstrusos.

En 2003, dos investigadores de la Universidad de Cambridge publicaron un documento que describe un método para adivinar los números de identificación personal (PIN) que mejoraría en gran medida la técnica de fuerza bruta que muchos piratas informáticos utilizaban. Este documento también contenía información sobre los módulos de seguridad de hardware (HSM) utilizados para generar PIN cifrados.

En 2006, investigadores israelíes publicaron un documento que describe un método diferente de ataque que requería la ayuda de una persona con información privilegiada. Poco después, Graham Steel, un investigador de seguridad de la Universidad de Edimburgo que publicó un análisis de ataques de bloqueo de PIN ese mismo año, comenzó a recibir correos electrónicos rusos preguntándole si podía proporcionar información sobre cómo descifrar los PIN.

En 2008, un grupo de hackers fue acusado de robar y descifrar bloques de números PIN. La declaración jurada presentada ante el tribunal indicaba que los hackers acusados ​​habían recibido "asistencia técnica de asociados criminales para descifrar números PIN cifrados".

¿Podrían esos "asociados criminales" haber utilizado la investigación académica existente para ayudar a diseñar métodos para robar y descifrar los PIN cifrados? ¿Habrían podido obtener la información que necesitaban sin la ayuda de documentos de investigación de seguridad? (Para obtener más trucos de piratas informáticos, consulte 7 formas furtivas de piratas informáticos pueden obtener su contraseña de Facebook).

Cómo convertir una manzana en un ladrillo

La batería de una computadora portátil Apple tiene un chip integrado que le permite trabajar junto con otros componentes y el sistema operativo. En 2011, Charlie Miller, un investigador de seguridad especializado en productos Apple, se preguntó qué estragos podría causar si pudiera acceder al chip de la batería.

Obtener acceso resultó ser bastante simple, ya que Miller pudo descubrir la contraseña predeterminada que puso el chip en modo de acceso completo. Esto le permitió desactivar la batería (a veces conocida como "bloqueo", probablemente porque una batería bloqueada es tan útil para una computadora como un bloque). Miller teorizó que un hacker también podría usar el modo de acceso completo para colocar malware en el chip de la batería.

¿Los hackers finalmente habrían encontrado esta oscura debilidad en las computadoras portátiles Apple sin el trabajo de Miller? Parece poco probable, pero siempre existe la posibilidad de que un hacker malintencionado también se haya topado con él.

Más adelante en el año, Miller descubrió un error en el sistema operativo iOS de Apple para iPads y iPhones que podría permitir que un hacker ejecute código malicioso. Luego creó una aplicación inofensiva de prueba de concepto para demostrar el error y lo aprobó para la tienda Apple al disfrazarlo como una aplicación de teletipo estándar.

Apple no se divirtió, alegando que Miller había violado los términos del acuerdo de desarrollador de Apple. Apple expulsó a Miller de sus programas de desarrollo.

¿Los hackers brindan un servicio valioso?

Aunque pueden proporcionar información que puede ser útil para los hackers maliciosos, los hackers de sombrero blanco también son invaluables para los proveedores de software. Charlie Miller, por ejemplo, había alertado a Apple sobre docenas de errores antes de que se cancelara su licencia de desarrollador. Aunque publicar información sobre una vulnerabilidad de seguridad puede exponer temporalmente un sistema a ataques, la divulgación pública probablemente sea preferible a que un hacker malintencionado descubra la vulnerabilidad y la explote sin el conocimiento del proveedor.

Los profesionales de seguridad incluso han reconocido de mala gana la importancia de los hackers de sombrero negro. En convenciones de sombrero negro como DEFCON, los investigadores de seguridad, académicos y agentes de la ley se mezclan con los hackers y crackers para escuchar presentaciones sobre piratería. Los académicos de ciencias de la computación han obtenido valiosos conocimientos desde la perspectiva de los hackers y los han utilizado para mejorar sus planes de estudio. Muchas compañías también han contratado (presumiblemente) hackers reformados como consultores de seguridad para probar sus redes y sistemas. (Para obtener más información sobre los piratas informáticos, consulte 5 razones por las que debería estar agradecido por los piratas informáticos).

El duelo en curso entre investigadores de seguridad y hackers

¿La investigación de seguridad a menudo proporciona información útil involuntariamente a los hackers? Si. Sin embargo, la investigación realizada por piratas informáticos también proporciona información útil a académicos y diseñadores de sistemas de seguridad. Impulsados ​​por la libertad de Internet, es probable que las mentes creativas de los piratas informáticos y los investigadores de seguridad continúen atrapados tanto en un duelo continuo como en una profundización de la interdependencia.