El mejor de los fracasos de la puerta trasera en la historia reciente.
Puertas traseras: ¿Ayudarán a atrapar a los delincuentes o ayudarán a los delincuentes?
Lo mejor de los fracasos de puertas traseras
Hackeo de la base de datos de Microsoft
El hackeo de la base de datos de Microsoft en agosto de 2021 fue descrito como una de “las peores vulnerabilidades en la nube que se puedan imaginar”. Los expertos en seguridad descubrieron una vulnerabilidad (no una puerta trasera incorporada) en la infraestructura de Microsoft Azure que les permitía acceder por la puerta trasera a modificar y borrar los datos de miles de clientes de Azure. La empresa de seguridad pudo acceder a cualquier base de datos de clientes que quisiera a través de esta vulnerabilidad.
Hackeo de Microsoft Exchange
A principios de este año, también fue Microsoft quien tuvo que publicar una mala noticia para sus clientes: En enero de 2021 se comunicaron a Microsoft varios exploits de día cero que permitían a los atacantes malintencionados acceder de forma remota a los servidores de Microsoft Exchange. Sin embargo, los servidores Exchange no parcheados siguen siendo vulnerables a los ataques. A través de esta vulnerabilidad, los sistemas de correo electrónico de las empresas fueron atacados para exfiltrar “información de una serie de sectores de la industria, incluyendo investigadores de enfermedades infecciosas, bufetes de abogados, instituciones de educación superior, contratistas de defensa, grupos de reflexión política y ONG.”
Puertas traseras incorporadas intencionadamente
Aparte de estas vulnerabilidades que funcionan como puertas traseras para los atacantes maliciosos en línea, también hay puertas traseras incorporadas intencionadamente. Estas son las peores, ya que podrían haberse evitado fácilmente si las empresas en cuestión no hubieran construido la puerta trasera.
Sin embargo, los servicios secretos utilizan gustosamente estas puertas traseras con fines de espionaje y, como mostrarán los siguientes casos, han presionado activamente a las empresas para que incluyan puertas traseras en sus productos.
Probablemente todo el mundo recuerde todavía el sonado caso de la empresa suiza Crypto AG, que era propiedad de la CIA (y antes también del BND) para espiar las comunicaciones secretas de otros países. Esta empresa vendió con éxito herramientas de comunicación segura, especialmente a gobiernos de todo el mundo, prometiendo que toda la comunicación estaría encriptada de forma segura. En realidad, la CIA pudo escuchar las comunicaciones secretas de los gobiernos que utilizaban los productos de Crypto AG.
También se acusa repetidamente aHuawei de tener una puerta trasera instalada para que el gobierno chino pueda espiar a todos los clientes de Huawei. Esto es muy discutido, ya que Huawei es un actor importante en el actual proyecto 5G en todo el mundo.
Sin embargo, lo más popular cuando se trata de puertas traseras incorporadas intencionadamente es la NSA. Es responsable de varios fracasos de puertas traseras de alto perfil, y sigue presionando a las empresas tecnológicas estadounidenses para que cooperen con ellas.
Puertas traseras de la NSA
Fallo del backdoor de Juniper
Uno de los fallos de backdoors más conocidos es el de Juniper Networks. En 2017, criptólogos e investigadores de seguridad documentaron un criptocrimen de alto perfil, que solo fue posible gracias a un backdoor incorporado por la propia Juniper. En 2008, Juniper hab construyó una puerta trasera en su propio sistema operativo ScreenOS, que podía utilizarse para leer todo el tráfico VPN cifrado de los dispositivos si se conocía un parámetro interno llamado Q. Se trataba de la llamada puerta trasera “Nobody but us” (NOBUS).
Después, en 2012, unos hackers desconocidos se colaron en la red de Juniper. Al parecer, lograron cambiar el código fuente de ScreenOS y el parámetro Q allí. Sólo cambiaron el cierre de la puerta trasera existente. Esto significó que otra persona pudo leer los datos encriptados de la VPN en texto plano.
A día de hoy no se sabe quién se hizo con esta puerta trasera incorporada. La propia Juniper no se dio cuenta de la vergonzosa expropiación de la puerta trasera NOBUS hasta tres años después y respondió con apresuradas actualizaciones de emergencia en diciembre de 2015.
RSA y el generador de números aleatorios
La empresa de seguridad RSA recibió 10 millones de dólares estadounidenses de la NSA por incluir el generador de números aleatorios Dual Elliptic Curve (Dual_EC_DRBG) en la criptoteca BSafe. Los 10 millones fueron bien invertidos. Durante años, RSA vendió (a sabiendas) su biblioteca de criptografía con esta puerta trasera, que luego sus clientes incorporaron a sus productos.
Además, RSA se aseguró de que el Dual_EC_DRBG, que en realidad se sabe que está roto, se incluyera en los estándares abiertos del NIST, ANSI e ISO. Todo el asunto quedó al descubierto gracias a los documentos internos de la NSA publicados por Edward Snowden en 2013.
Hackers chinos en Google
En 2010, Google tuvo que admitir que unos hackers habían entrado en su servicio de correo electrónico Gmail. Es bastante seguro que se trataba de hackers chinos con una misión política. Lo que es menos conocido es que estos hackers utilizaron un método muy especial para acceder a las cuentas de Gmail, que no está disponible ni siquiera en la red de Google: Para ello, utilizaron una puerta trasera que Google había incorporado sólo para el acceso legitimado por el gobierno a los correos electrónicos -la llamada interceptación legal- por parte de las fuerzas del orden.
Las puertas traseras de encriptación son vulnerabilidades
Esta breve recopilación de los mejores fallos de puertas traseras -estoy seguro de que hay más puertas traseras explotadas- demuestra que necesitamos herramientas de protección sólidas para defendernos a nosotros mismos y a nuestros datos sensibles en la web.
Este resumen de los mejores fallos de puertas traseras corrobora el hecho de que las puertas traseras “sólo para los buenos” son simplemente imposibles.
Las puertas traseras, aunque estén pensadas para ser utilizadas únicamente por las fuerzas del orden para atrapar a los delincuentes, abren ampliamente las puertas a cualquier atacante criminal en línea y nos dejan vulnerables a múltiples amenazas. En consecuencia, las puertas traseras deben considerarse como cualquier otra vulnerabilidad. Debemos entender que cualquier puerta trasera de cifrado es un grave riesgo para la seguridad y nunca debe permitirse.
En lugar de pedir más vigilancia, como se hace a menudo en las actuales guerras criptográficas, los políticos deben abogar por la seguridad de todos en la red, y al hacerlo deben ser honestos: no es posible conseguir más seguridad debilitando la seguridad.