Nuevas amenazas a computadores: más control a contraseñas y protocolos
Spectre y Meltdown son las vulnerabilidades descubiertas que permiten ataques. Hay que cuidarse.
Las han llamado las vulnerabilidades de la computación más graves de la historia. Llegaron con el año nuevo, y no precisamente como un regalo. Hasta ahora se han convertido en grandes peligros sin una solución definitiva a la vista. Hasta las que ya se ensayaron se volvieron problemas para millones de usuarios de diferentes dispositivos que usan procesadores en todo el mundo.
A estos últimos se les conoce actualmente como chips, por lo tanto no están en riesgo solo los pc personales, también tabletas y celulares.
A Sergio Agudelo, usuario de Windows, su computador se lo empezó a advertir desde el sábado: necesitaba actualizarse. Le decía, “te estamos protegiendo en un mundo en línea”. Sergio le hizo caso y a las 2: 00 p.m. inició el proceso, instaló la actualización, pasaron dos horas y reinició su computador en varias oportunidades, hasta que a las 4: 30 p.m. salió un mensaje: “Hola, estas actualizaciones nos ayudan a protegerte”. Así su equipo se blindaba de algo que salió a la luz pública hace dos semanas.
Fue el tres de enero que Google Project Zero, un equipo de analistas de seguridad de la compañía y encargado de encontrar vulnerabilidades, por medio de su blog hizo la revelación: “Descubrimos que la sincronización de datos de caché puede ser alterada para filtrar información de una ejecución inesperada/aleatoria, llevando a lecturas arbitrarias en la memoria, más allá de las fronteras/límites de seguridad”.
En otras palabras, los procesadores incluidos en dispositivos como un PC poseen una frecuencia para guardar datos en el caché, esa memoria en la que se almacenan temporalmente los datos recientes procesados en el equipo. En esa sincronización se podrían presentar ejecuciones aleatorias que permitirían un grave problema: que el usuario sea hackeado.
Hay variantes de esos incidentes, a los que Google Zero llamó 1, 2 y 3. Las variantes son distintas formas en las que se puede filtrar la información, en general, fallas, y las llamaron Meltdown y Spectre, términos que han sido mencionados en cualquier página especializada de tecnología por estos días.
A Spectre, que en español sería Espectro, le dieron ese nombre porque, como un fantasma, persigue la información de los usuarios sin que estos se den en cuenta.
Estas fallas se aprovechan de la manera como los procesadores modernos hacen cálculos y se adelantan a operaciones que podrían tener que hacer en el futuro. Esto hace que ciertas tareas sean más rápidas para algunos usuarios, pero abre las puertas para que los hackers roben datos que normalmente estarían protegidos, en caso de que ese usuario ejecutara un archivo maligno.
Es como si al estar en un banco en este momento fuera más fácil caminar entre el lobby del edificio y la bóveda de alta seguridad. Para contrarrestar eso, las empresas están haciendo esfuerzos para que sea más difícil recorrer el camino entre esos dos lugares.
El descubrimiento
Según John Freddy Vega, cofundador y presidente ejecutivo de Platzi, una plataforma de formación, fue en junio de 2017 que el equipo de Google Zero descubrió que se podía hacer algo conocido como Timing Attack.
Vega explica que esta técnica crea un código (una serie de instrucciones) para intentar medir a ultra alta velocidad el caché del procesador y así tratar de entender si cierta información está en el disco, en la memoria RAM o en el caché. Si la respuesta es ultrarápida está en este último; si es menos rápida, en la RAM, y si no lo fue tanto, en el disco duro.
EL CEO de Platzi lo explica con una analogía. Si usted quiere saber si un amigo prestó recientemente un libro en la biblioteca, pero el bibliotecario no quiere decirlo, “entonces le haces una pregunta rápida, ¿puedo verlo? Si él se lo entrega inmediatamente desde su escritorio, o si se demora yendo hasta la ubicación en la biblioteca, dependiendo de lo que se tarde, se podría deducir si el libro estuvo en las manos de su amigo recientemente o no”.
Esa técnica la puede usar un potencial atacante para deducir si puede hacer uso de las vulnerabilidades del procesador para hackear el equipo.
“Comprendemos estas vulnerabilidades y las actualizaciones necesarias para mitigar su posible impacto”. JON MASTERS Arquitecto principal ARM de Red Hat “Se puede afirmar que 2017 se ha convertido en el año de las vulnerabilidades. Los resultados dejan en evidencia la importancia de la educación y protección de nuestros equipos para disfrutar de la tecnología de manera segura”. CAMILO GUTIÉRREZ Jefe del Laboratorio de Investigación de ESET Latinoamérica.
Le puede pasar
Todos somos susceptibles, titularon los medios especializados en el tema, puesto que Meltdown afecta a los procesadores Intel y Spectre a los ARM y AMD, los que usan la mayoría de dispositivos como PCs. De los AMD son populares los Athlon, Sempron, los Ruzen y los FX.
Desde el día del anuncio hubo algo claro, ambas vulnerabilidades podían afectar cualquier equipo que tuviera un procesador fabricado en los últimos años.
Esas fallas dejaban la puerta abierta a ataques, como si usted viviera en una ciudad en guerra, en territorio enemigo, y mantuviera la puerta abierta para que quien quisiera entrar a atacarlo pudiera hacerlo. De esa manera, ponían en riesgo los datos sensibles almacenados en los equipos, por ejemplo las contraseñas, fotos, correos electrónicos o mensajes de texto.
Ambas amenazas son una pesadilla para las Unidades Centrales de Procesamiento (CPUs), que es el hardware de un dispositivo que interpreta las instrucciones que se le dan al equipo por medio de un programa informático.
¿Qué están haciendo?
La buena noticia por estos días es que las compañías responsables de los procesadores Intel, AMD y ARM, ya estaban trabajando en encontrar un arreglo para semejante desastre en la computación moderna que no solo ha generado cientos de noticias, sino preguntas en los usuarios.
“La gente está preocupada , y con razón. Es muy importante aplicar las actualizaciones
de software necesarias que han sido elaboradas y puestas a disposición. Los líderes en tecnología estamos trabajando en conjunto para abordar estos problemas y minimizar el riesgo de posibles ataques”, señaló Jon Masters, arquitecto principal ARM de Red Hat, proveedor mundial de soluciones de software de código abierto para empresas.
La Graz University of Te
chnology, en Austria, creó un portal web en el que describe a detalle de qué se tratan estas vulnerabilidades que tienen en jaque a los usuarios y corriendo a las empresas tecnológicas, tanto a los fabricantes de procesadores como a los que los usan, quienes se sumaron a la tarea de encontrar una solución definitiva para este problema mundial.
Apple fue una de las primeras empresas en poner a disposición de sus usuarios una actualización que protegía su información.
Días después de que se supiera sobre los peligros de Spectre y Meltdown, la compañía comunicó: “Estas vulnerabilidades se aplican a los procesadores modernos y afectan a casi todos los dispo- sitivos informáticos y sistemas operativos. Los Mac y dispositivos iOS se ven afectados, pero no hay exploits (aprovecharse de una vulnerabilidad) conocidos que impacten a los clientes en este momento”.
Por esa razón, recomendó a sus usuarios descargar únicamente contenidos de su tienda oficial, App Store. Además lanzaron actualizaciones para los sistemas operativos de sus dispositivos, menos para el Apple Watch, que no se vio afectado por Meltdown o Spectre.
Microsoft también puso este fin de semana sus parches, un software diseñado para actualizar un programa o los datos relacionados con él, con el fin de arreglar puntos débiles o hacer actualizaciones.
Estos se desarrollaron con el fin de reparar los problemas de los equipos que usan procesadores AMD y el sistema operativo Windows 10.
Intel está trabajando en crear sus parches; Navin She
noy, vicepresidente de la compañía, afirmó que el 90 % de los procesadores hechos en los últimos cinco años ya cuentan con una actualización para evitar cualquier ataque gracias a Meltdown y Spectre. En general, las compañías están trabajando en ello: Google, Microsoft, Apple y AMD.
Al usuario le queda una tarea; así como Sergio Agudelo, actualizar sus equipos, no importa si se tarda dos horas ■