El inédito error informático llamado Heartbleed les está
causando grandes dolores de cabeza a los expertos en seguridad.
Mientras tanto, los sitios web intentan solucionar el problema y los
usuarios, asustados, se preguntan si deben cambiar o no sus contraseñas para
evitar el robo de sus cuentas de correo electrónico, números de tarjetas de
crédito y otra información confidencial.
A continuación respondemos las dudas más comunes.
¿Qué es Heartbleed ?
Es un fallo que afecta a los códigos OpenSSL, muy usados para la encriptación
de datos en internet. Data de 2012 y recién ahora fue descubierto.
Esto ha permitido que un tercio de los sitios web mundiales quedaran
vulnerables al robo por parte de hackers, lo que los expertos dicen es una de
las brechas de seguridad más graves de los últimos años.
Esto significa que el icono de un candado pequeño (HTTPS) que vemos a la
izquierda de la barra del navegador y en el que confiamos para mantener nuestras
contraseñas de correos electrónicos personales y tarjetas de crédito seguras, en
realidad está “abierto”.
Esto pone al alcance de cualquier hacker el acceso a unidades de información
privada y protegida alojadas en servidores que usaran la codificación
OpenSSL.
El fallo fue localizado por ingenieros de Google y de la empresa de seguridad
informática Codenomicon la semana pasada. El lunes por la noche los responsables
de OpenSSL dieron a conocer el problema y publicaron una actualización que lo
soluciona.
¿Qué tan grave es? ¿Debo entrar en pánico?
Es grave, dado que afecta a dos tercios de la red. Los errores en el software
van y vienen y son reparados por nuevas versiones. Sin embargo, este error ha
dejado gran cantidad de claves privadas y otros secretos expuestos. El experto
en seguridad Brue Schneier lo describió como "catastrófico". "En la escala de
uno a 10, es un 11".
Pero no hay que entrar en pánico. Hay que estar atento.
Los investigadores de seguridad que descubrieron la amenaza están
particularmente preocupados por el hecho de que no fue detectado durante más de
dos años. Por eso temen la posibilidad de que los piratas informáticos pueden
haber estado explotando en secreto el problema antes de su descubrimiento.
También es posible que nadie se haya aprovechado de la falla antes del
anuncio de su existencia la noche del lunes.
Como explica a la BBC David Stupples, profesor de la City University de
Londres, aun no se ha oído de ningún daño serio desde que se supo del fallo.
¿Cómo sé si fui atacado?
Ese es el problema. Los posibles ataques no dejan rastros. La página
Heartbleed.com, creada para explicar el incidente informático, probó la falla en
sus propios servicios “desde la perspectiva del atacante”.
“Nos atacamos a nosotros mismos desde fuera, sin dejar rastro. Sin el uso de
información privilegiada o credenciales pudimos robarnos a nosotros mismos las
claves secretas utilizadas por nuestros certificados X.509, nombres de usuario y
contraseñas, mensajes instantáneos, correos electrónicos y documentos críticos
de negocio y comunicación”, explica el sitio.
Seguramente estés afectado, “de forma directa o indirecta, dice el sitio. El
OpenSSL es el código abierto más utilizado. Tu popular red social, el sitio de
tu empresa, de comercio electrónicoo incluso los sitios administrados por el
gobierno podría estar usando OpenSSL vulnerable.
¿Debo cambiar mis contraseñas?
Sí, pero primero hay que ver si el sitio en cuestión –mail, red social o
banco, por ejemplo- ya reparó el error. Cambiarlas antes de que los servicios
hayan solucionado el fallo nos dejaría más expuestos, advierten los analistas de
seguridad.
Para los sitios web, el proceso de corrección del fallo implica la
instalación de parches de software en los equipos de sus centros de datos y
luego cambiar la clave del software confidencial utilizado para proteger los
mensajes y transacciones.
¿Qué sitios están en peligro?
Google les está diciendo a sus usuarios que no tienen que cambiar las
contraseñas que utilizan para acceder a Gmail (que tiene 425 millones de
cuentas), YouTube y sus otros productos.
Una fuente de la empresa le dijo a la BBC que corrigieron la vulnerabilidad
antes de que se hiciera pública.
Facebook, que tiene más de 1.200 millones de titulares de cuentas, también
dijo haber purgado la amenaza, pero igual recomendó a los usuarios “aprovechar
esta oportunidad para seguir las buenas prácticas y establecer una contraseña
única para su cuenta de Facebook que no utilicen en otros sitios''.
La red social Twitter y el gigante del comercio electrónico Amazon dicen que
sus páginas web no se expusieron a Heartbleed. Ebay, que administra el servicio
de pagos PayPal, dijo que la mayoría de sus servicios evitaron el error.
Algunos señalan que hay muchos sitios más pequeños que aún no se han ocupado
de la cuestión y en esos casos cambiar de contraseña podría hacer más daño que
bien, dejando al descubierto viejas y nuevas contraseñas a cualquier posible
atacante.
En esta página uno puede ver si la página a la que quiere entrar ya resolvió
el problema: clic http://filippo.io/Heartbleed
Fue creada por el experto en seguridad Filippo Valsorda, quien le dijo a BBC
Mundo que recibe unas 17.000 visitas por minuto. La página es en inglés, pero su
diseño es simple y fácil de entender.
BBC Mundo Tecnología Última actualización: Jueves, 10 de abril de 2014
No hay comentarios:
Publicar un comentario
Nota: solo los miembros de este blog pueden publicar comentarios.