Este es un ejemplo de los artículos que semanalmente escribo de forma exclusiva para los mecenas de la Comunidad.
Si quieres recibir contenido exclusivo como éste directamente en tu bandeja de correo, revisa las opciones de mecenazgo de esta página.
*******
De la mano de los chicos de Kaspersky (ES) conozco el trabajo presentado en el último Chaos Communication Congress por los expertos Andrew “bunnie” Huang, Sean “xobs” Cross y Tom Marble acerca de si era suficiente el empleo de desarrollo de código abierto para resolver los problemas de fiabilidad del hardware, y que enlazo al final de esta pieza.
Y me quedo con varios puntos en particular:
La seguridad del software de código abierto no solo reside en su carácter abierto, sino también en las herramientas tan utilizadas que ayudan a garantizar que el programa que ejecutas en un equipo sea fiel al código fuente publicado.
No creo que esto sorprenda a nadie a estas alturas. Es, de hecho, lo que hace que el software de código abierto goce de relativa seguridad. A fin de cuentas, ya no solo habrá muchos ojos mirando sus tripas, sino que además todo, si se hace correctamente (que esa es otra), debería estar firmado con un certificado que, valga la redundancia, certifica que en efecto lo que estamos ejecutando es justo lo mismo que estaba en el repositorio.
[Pero] El hardware es otra cosa. Como no existen equivalentes para la creación de hash o firmas digitales, los usuarios no cuentan con herramientas para comparar la autenticidad del hardware con la información publicada al respecto. La última vez que se comprueba un dispositivo o un chip es en la fábrica. Y, cuanto más tiempo pase entre la revisión de fábrica y el uso del dispositivo, mayor es el riesgo de sufrir un ataque MITM exitoso.
Y ojo, que no es algo ni mucho menos nuevo. Además afecta incluso al hardware propietario.
De hecho hemos hablado ya en profundidad sobre ese pequeño «big hack» que supuso hace cosa de un par de años el conocer que al menos una treintena de fabricantes de dispositivos tecnológicos habían sido hackeados por una serie de chips diminutos colocados estratégicamente en los procesadores que montaba uno de los proveedores de Super Micro Computer (Supermicro), una de las principales empresas distribuidoras de placas base para servidores a nivel mundial.
De pronto la industria se dio cuenta de que incluso el hardware propietario era vulnerable a que cualquiera dentro de la cadena de producción de ese hardware hubiera podido modificar algún componente (sea hardware como en este caso, sea software como en este otro que comentamos en su día) que haya comprometido la seguridad y/o privacidad de todo el dispositivo.
Y en esta charla repasan algunas de las posibles maldades que se puede hacer con el hardware libre:
- Para empezar, el firmware podría sustituirse, como ya hemos visto.
- También es posible que se añadan nuevos componentes. Que sí, cualquiera puede abrir el dispositivo y revisar si todo está donde debe estar. Pero vaya, que a ver quién es el guapo que lo hace.
- Se pueden sustituir los componentes: Si añadir nuevos cantaría demasiado, siempre podemos cambiar alguno por otro que, por ejemplo, ofrezca alguna funcionalidad extra para el espionaje (conexión bluetooth, WiFi, conexión GSMA…).
- Y por último, queda la opción de modificar lo que ya hay: La gente suele pensar que los chips no se pueden modificar una vez que salen de fábrica, pero no es así. En muchos casos, lo que vemos como un simple chip es en realidad un conjunto de diversos microcircuitos en un mismo paquete. Un delincuente experimentado podría utilizar la misma tecnología para insertar un pedacito de silicio en el mismo paquete y conectar este implante con otros contactos existentes, como puedes ver en la siguiente imagen
En fin, que aquí lo interesante de todo el asunto es el hecho de que quizás equivocadamente estamos trasladando la robustez de un ecosistema de software libre al hardware, cuando en la práctica, me temo, es igual de vulnerable. O quizás incluso más, habida cuenta de que al menos en el software propietario, y por su propia gestión, suele contar con algún que otro control más severo (no estrictamente por temas de seguridad, ojo, sino porque su negocio se basa precisamente en ello).
Por aquí tienes el vídeo completo (EN).
________
Este es un ejemplo de los artículos que semanalmente escribo de forma exclusiva para los mecenas de la Comunidad.
Si quieres recibir contenido exclusivo como éste directamente en tu bandeja de correo, revisa las opciones de mecenazgo de esta página.
