Forat de seguritat

Erro al crear miniatura:

Cronologia d'una vulnerabilitat d'hardware/software des de la seua aparició fins a la seua correcció

Un forat de seguritat o vulnerabilitat és un fallo en un sistema d'informació que es pot explotar per a violar la seguritat del sistema.

Els acadèmics definixen una vulnerabilitat com una debilitat en el sistema que és aprofitada per una amenaça, que representa un factor potencial que podria conduir a un event que cause dany a un sistema. Les amenaces poden incloure pèrdua de senyes, autenticació dèbil, tecnologia compartida, errors humans i violacions de senyes.

Tipos

Eixemples de tipos de vulnerabilitats segons la naturalea del mateix:

• De software. Eixemples:
  • Injecció SQL
  • Desbordament de búfer
  • Clickjacking
  • Condiciones de carrera
  • Cross-site request forgery
  • Cross-site scripting
• d'hardware
• De l'entorn físic del sistema
• Del personal involucrat
• De procediments d'administració, organisació i seguritat involucrats
• De la ret de comunicacions utilisada

Prevenció

La millor política contra els forats de seguritat, reduir el seu número i facilitar la seua localisació, és previndre-los en el procés de desenroll. Per a això s'ha creat el cicle de vida de desenroll segur de software (S-SDLC) el qual incorpora la seguritat dins del cicle de vida de desenroll del software. Cada fase el cicle de vida té en conte la seguritat conseguir maximizar la seguritat.

Eixemples de bones pràctiques per a conseguir un software en menys vulnerabilitats:

• Mantindre les ferramentes de desenroll actualisades
• Usar bones pràctiques de codificació
• Establir requisits de seguritat
• Eliminar del software els mòduls i archius que no s'utilisen.
• Registrar tots els events en un log.
• Evitar mostrar mensages d'error tal com els genera el sistema
• Usar autorisacions ademés d'autenticar.
• Separar les senyes de les instruccions de control
• Validar totes les senyes explícitament.
• Identificar senyes sensibles i com se'ls deuria gestionar
• Usar procediments d'actualisació segurs
• La configuració per defecte deu ser una configuració segura
• Us de ferramentes de prova especialment dissenyades per a la detecció de vulnerabilitats. Per eixemple:
  • Fuzzers. Es basen en injectar entrades en senyes aleatòries i verificar el comportament

• • Ferramentes de prova de seguritat d'aplicacions (AST, de l'anglés Application Security Testing. Són ferramentes que proven la seguritat de les aplicacions. Depenent del seu funcionament es poden classificar en:
    • Basades en l'anàlisis del còdic (SAST, de l'anglés Static Application Security Testing)
    • Basada en l'anàlisis en l'eixida obtinguda en eixecutar en certes entrades (DAST, de l'anglés Dynamic Application Security Testing)
    • Ferramentes d'anàlisis en temps real de l'eixecució (RAST, de l'anglés Run-clave Application Security Testing). Estan immerses en l'entorn d'eixecució i analisen com es realisa l'eixecució.

• • • Ferramentes d'anàlisis interactiu (IAST, de l'anglés Interactive Application Security Testing). Combinen l'observació interna i externa d'una aplicació en eixecució. Se solen implementar com un agent dins de l'entorn d'eixecució de prova. Poden provar si vulnerabilitats conegudes en el còdic són realment explotables en eixecució.
    • Ferramentes híbrides que combinen vàries de les estratègies abans mencionades.

Fites o etapes

En el temps de vida d'una vulnerabilitat podem distinguir les següents fites o etapes importants:

• Naiximent. Durant el procés de desenroll del producte per part del proveïdor (per eixemple, el venedor o una comunitat de desenrolladors de software) s'introduïxen una série de defectes. Estos defectes poden ser de disseny, implementació o de gestió. Alguns d'eixos defectes poden convertir-se en riscs per a la seguritat del producte i per tant per a la seguritat del usuari del producte. Un defecte es convertix en una vulnerabilitat si fa que el comportament del sistema siga tal que puga ser aprofitat per a conseguir accés no autorisat, elevació de privilegis, refús de servici o qualsevol atra forma de trencar la seguritat del sistema. No es consideren vulnerabilitats que són detectades i corregides abans del desplegament.
• Descobriment. Esta fita ocorre quan es té coneiximent de l'existència de la vulnerabilitat. Si la vulnerabilitat és creada intencionadament llavors el naiximent i el descobriment ocorren simultàneament. Es diu descobridor a la primera persona que revela un defecte i determina que eixe defecte és una vulnerabilitat. Si el descobridor no és conegut es diu que és anònim.

• Comunicació de la vulnerabilitat. Esta fita ocorre una volta que el descobridor revela la vulnerabilitat a algú més. Esta transferència d'informació pot ser de distints tipos. Eixemples: completa i pública via (revelació completa) o comunicació privada entre hackers. Es diu originador (en anglés originator) o revelador (en anglés discloser) a la persona o organisació que informa de la vulnerabilitat al proveïdor del producte. Observar que el descobridor i l'originador poden ser persones distintes.
• Correcció. Ocorre quan el venedor del producte analisa la vulnerabilitat, localisa com és el problema, i llança una versió al públic que resol la vulnerabilitat.
• Publicació. És quan el coneiximent de la vulnerabilitat s'estén a una audiència important donant-li publicitat.

• Automatisació d'explotació. És quan a partir de la vulnerabilitat es crea una ferramenta o script que automatisa l'explotació de la vulnerabilitat. A esta ferramenta o script se li crida exploit. D'esta forma es permet que no només experts sobre el tema (hackers) puguen vulnerar la seguritat. D'esta forma es té una ferramenta que permet a atres usuaris inexpertos (script kiddies) vulnerar-la.
• Mort. Ocorre quan el número de sistemes vulnerables al exploit és insignificant. Açò pugues haver succeït perque el sistema ha segut retirat, el sistema ha segut arreglat per mig d'algun pegat, o perque els hackers no tenen interés en explotar-la.

Estos events no necessàriament ocorren estrictament en este orde. Per eixemple:

• La publicació i la correcció pot succeir al mateix temps, particularment en casos a on el descobridor de la vulnerabilitat és el propi venedor del producte, el qual usa l'apany de la vulnerabilitat com a part de la pròpia publicitat del producte.

• La correcció d'una vulnerabilitat no té per qué succeir abans de l'automatisació de l'explotació. Si es construïx un exploit ans que la vulnerabilitat siga corregida pel proveïdor, es diu que es tracta d'un exploit de dia zero que dona lloc a atacs de dia zero.
• El descobriment es pot produir en el mateix moment del naiximent, és dir, es tracta d'una vulnerabilitat intencionada. S'especula que alguns sistemes tenen des de l'orige forats de seguritat intencionats coneguts per alguna de les parts que intervé en el disseny i/o desenroll. Este tipo vulnerabilitats funcionaria a modo de porta trasera o cavall de Troya. Eixemples:

• • En 2007, el govern dels Estats Units va llançar l'un estàndart per a la generació de números aleatoris. Es proponien quatre generadors de números pseudoaleatorios. Un d'ells, el Dual EC DRBG, promogut per la NSA, tenia una porta trasera que consistia en un conjunt de números secrets que permetien predir l'eixida a partir de recopilar una chicoteta porció dels resultats anteriors.

• • S'ha parlat molt de les supostes pressions que va rebre PGP Corporation per a introduir una porta trasera en el seu software. Esta suposta porta trasera permetria a la certes organisacions (per eixemple, FBI, NSA ) poder dessifrar el contingut sifrat en esta ferramenta. Per a camuflar esta suposta porta trasera s'especula que es va pressionar a PGP Corporation per a que fera el còdic de PGP (software de còdic obert) tan enrevesado i extens que no es poguera detectar tal porta trasera. Açò va provocar que molts usuaris es quedaren en les versions antigues, fàcilment verificables, i va promoure la creació de software alternatiu.

• • Un atre cas és la suposta introducció d'una porta trasera en openBSD promocionada pel FBI.

Busca de vulnerabilitats i motivacions per a la seua publicació

La busca de vulnerabilitats de seguritat és realisada principalment per dos tipos de persones o organisacions:

• Els atacants de sistemes. Poden aprofitar les vulnerabilitats per a fer vulnerables als sistemes i conseguir de forma illegal beneficis monetaris d'això, ya siga directament (per eixemple, permetent l'us de targetes de crèdit alienes) o indirectament (per eixemple, venent informació privada sobre les víctimes). Per la seua pròpia naturalea este tipo d'investigadors del vulnerabilitats no estan interessats en la revelació de les vulnerabilitats descobertes ya que aixina s'asseguren de que la vulnerabilitat no siga arreglada i aixina puguen seguir beneficiant-se de la mateixa.

• Professionals de l'informàtica i en especial de la seguritat. Estos professionals, per distintes motivacions, estudien de forma llegal els sistemes i moltes voltes conseguixen trobar vulnerabilitats. Este tipo de persones estan interessades en la revelació de l'informació. D'esta forma acrediten haver trobat la mateixa i aixina poden apuntar-se el mèrit. Les motivacions que tenen estos professionals per a trobar la vulnerabilitats podríem resumir-les en:
  • Reputació. El que una persona o organisació siga acreditada com la primera en descobrir una vulnerabilitat particular és molt important en el món de la seguritat informàtica. Per un costat a les persones els acredita d'habilitats i açò pot usar-se per a aumentar els seus ingressos o conseguir millors treballs. Per a una empresa també és important perque pot utilisar-se per a conseguir clients basant-se en l'alt nivell del personal que treballa per a ella.

• • Perjudicar a competidors. Per eixemple un desenrollador o companyia pot tindre especial interés en buscar vulnerabilitats a productes de la competència per a posar en dificultats al proveïdor i desacreditar els seus productes. D'esta forma es conseguix millorar la posició en el mercat del producte propi.
  • Forçar al proveïdor del producte a millorar la seua calitat i que tinga més interés en produir software més segur.
  • Gojar del desafiu intelectual de trobar vulnerabilitats.
  • Obtindre gratificacions monetàries per part del proveïdor del producte o d'una atra entitat.

Bibliografia

• Andrew Cencini et ali., Software Vulnerabilities: Full-, Responsible-, and Senar-Disclosure, decembre de 2005.
• Stephen A. Sheperd, Vulnerability Disclosure. How do we definix Responsible Disclosure? SANS Institute, abril de 2003.
• Jaziar Radianti et ali., Toward a Dynamic Modeling of the Vulnerability Black Market. Faculty of Engineering and Science, Agder University. Octubre de 2006.
• George K. Kostopoulos, Cyberspace and Cybersecurity. CRC Press. 2013.

• Michael Sutton i Frank Nagle, Emerging Economic Models for Vulnerability Research. Proceedings of the Workshop on the Economics of Information Security. 2006.