ABC sobre la peor amenaza de Internet
Los expertos en seguridad informática han descubierto una grave vulnerabilidad en una función de seguridad fundamental para navegar por Internet, aquella encargada de mantener la privacidad de nuestro correo electrónico, comunicaciones, contraseñas, actividades bancarias y compras en línea.
Esto es lo que necesitas saber.
¿Qué es?
Esta falla, bug o vulnerabilidad recibe el nombre de “Heartbleed”, y es esencialmente una fuga de información.
Comienza con una grieta en el software usado por la gran mayoría de los sitios web para cifrar nuestra información personal, convirtiéndola en cadenas de números y letras aleatorios. Si ves la imagen de un pequeño candado en la barra de direcciones, probablemente ese sitio está utilizando el software de cifrado que fue afectado por el virus Heartbleed.
Artículo relacionado: Nueva ola de 'hackers' amenaza Internet
“Es quizás el peor virus que ha visto Internet”, dijo el CEO del servicio de protección para websites CloudFlare, Matthew Prince. “Si dentro de una semana escuchamos que criminales falsificaron un número masivo de cuentas en entidades financieras, no me sorprendería”.
¿Qué hace?
Durante más de dos años, Heartbleed ha permitido que extraños accedan a información personal que se suponía estaba protegida contra los fisgones.
La falla permite a los posibles hackers aprovechar o explotar la vulnerabilidad de una función que utilizan los ordenadores para ver si aún están en línea (es decir, si siguen conectados, de manera que se refresca la sesión segura sin necesidad de renegociar la conexión), esta funcionalidad es conocida como una extensión heartbeat. Sin embargo, una extensión heartbeat manipulada podría obligar a que un ordenador divulgara información secreta almacenada en su memoria.
Entérate: Ciberataques a Android crecen 460%
Como mínimo, Heartbleed expone tus nombres de usuario y contraseñas. También compromete las claves de sesión que te mantienen conectado a un sitio web, permitiendo que una persona externa se haga pasar por ti sin necesidad de contraseñas. Además permite que los atacantes se hagan pasar por un sitio web real y te engañen para entregar tus datos personales.
Para empeorar las cosas, el virus Heartbleed no deja huellas, nunca puedes saber cuándo o si fuiste hackeado.
“Puedes ver el ir y venir del tráfico”, advirtió el director de la empresa de software de código abierto Sonatype, Wayne Jackson III. “Es grave, si piensas en las consecuencias de tener visibilidad sobre Amazon y Yahoo, es bastante aterrador”.
¿A quién le afecta?
La mayoría de los sitios web más importantes están expuestos, pues usan este programa. Una encuesta realizada por W3Techs reflejó que el 81% de los sitios emplean los servidores web Apache y Nginx, y ambos son vulnerables a la falla Heartbleed.
Muchos sitios populares, como Amazon, Google, Yahoo y OkCupid usan esas herramientas de cifrado. Esos cuatro sitios han actualizado sus sitios web con un parche que soluciona la vulnerabilidad, pero muchos otros no han aplicado aún el parche.
¿Qué puedes hacer?
Cierra la sesión de todos los sitios web: correo electrónico, redes sociales, banca, todo. Pero, más allá de eso, solo cabe esperar. Los propios sitios web deben actualizar a una nueva versión del software de cifrado para corregir la falla. Es por eso que cambiar de inmediato todas tus contraseñas no es una buena idea. Los sitios web están apurándose para solucionar el problema, pero lleva su tiempo, así que si actúas demasiado rápido, es posible que cambies tu contraseña en un sitio que aún es vulnerable.
El criptógrafo italiano Filippo Valsorda lanzó el “Heartbleed Test”, que sirve para saber si tus sitios web todavía están en peligro.
Entérate: Google blinda contra espionaje a Gmail
Passomatic, una empresa que te permite cambiar varias contraseñas a la vez, indicó que todos sus socios han aplicado el parche. Entre ellos están eBay, Expedia, Facebook, Hulu, Instagram, Netflix, Reddit, Wikipedia y Yelp.
¿Cuánto tardará en solucionarse?
Deshacer el daño que potencialmente ya ocurrió no será fácil. Los sitios web están parchando una grieta, pero la tarea no estará completa hasta que todos los sitios web depuren todas las viejas claves que empleaban para cifrar los datos.
Eso significa que los hackers y posibles espías del Gobierno que secretamente estaban enterados de esta falla habrían tenido acceso a claves especiales que pueden usar reiteradamente hasta que un sitio web las revoque. Y ahí es donde la cosa se complica. Matthew Prince de CloudFlare explica que el sistema de cifrado nunca se concibió para eliminar una gran cantidad de claves a la vez. “Habrá servidores que todavía las guarden durante años”, dijo.