Seguridad

El dilema de LogJam: un ‘bug’ cuya solución desconectaría a miles de webs

Un ciberataque a bancos rusos roba un botín de más 20 millones de euros
Escrito por Redacción TICbeat

Por defecto, los navegadores web utilizan en sus comunicaciones claves de codificación mucho más cortas de lo recomendable. Alargarlas bloquearía el acceso a muchos sitios web.

Ahora que ya ha pasado casi un año desde que Heartbleed sacudió al mundo online, otro fallo de seguridad en los protocolos que rigen la comunicación de Internet ha sido detectado. Afecta, dicen sus descubridores, a todos los navegadores web, y viene, además, acompañado de un dilema: tiene solución, pero implementarla podría dejar fuera de la circulación a miles de sitios web, algunos muy visitados.

The Wall Street Journal recoge en un extenso reportaje la historia de LongJam, el nombre con el que ha sido bautizado este nuevo bug. Aunque su existencia fue hecha notoria este mismo martes por un grupo de investigadores y expertos en ciberseguridad, en realidad todo empezó hace varios años, cuando el equipo de una firma francesa llamada Inria se topó con un problema que afectaba a navegadores web de Microsoft, Android y Apple. Entonces lo llamaron ‘Freak’.

‘Freak’ tenía que ver con el TLS (la seguridad de la capa de transporte), un protocolo responsable de proteger comunicaciones online como las transacciones con tarjetas de crédito, así como con la política de espionaje de Estados Unidos a principios de los noventa. ¿Cómo casan ambos conceptos? Según los investigadores franceses, en aquellos años Estados Unidos impuso restricciones a los sistemas de encriptado cibernético que exportaba a otros países, con el fin de evitar que sus enemigos pudieran escapar a su vigilancia.

De hecho, aún no hay constancia de que el fallo haya sido explotado por nadie, pero, según sus detectores, hay más probabilidades de que agencias gubernamentales se hayan valido de él en labores de cibervigilancia que de que los ciberdelincuentes lo hayan empleado para, por ejemplo, robar datos bancarios.

El resultado fue que, debido a que Internet ha sido, en muchas ocasiones, producto de las aportaciones de individuos más preocupados por la comunicación que por la seguridad, desde entonces gran cantidad de ordenadores y de software aplican a sus comunicaciones online claves de codificación mucho más cortas de lo recomendable, condicionadas por aquellas restricciones que Estados Unidos impuso en los noventa.

LogJam, primo lejano, según sus descubridores, de Cousin, está en el núcleo mismo del protocolo TLS, lo que lo sitúa en todos los navegadores web que hoy se utilizan y en muchos servidores de correo electrónico. Un estándar adecuado de seguridad, explican los investigadores que lo han detectado, que utilizaría claves de 617 dígitos, dejaría sin conexión a más de la mitad del millón de sitios web más visitados de la red. Para que todo siguiera como hasta ahora se deberían utilizar claves de codificación no más largas de 155 dígitos. Pero éstas no suponen la protección suficiente, dicen.

Parece que los responsables de los exploradores web han acordado quedarse en un término medio, que exija trabajar con claves de 309 dígitos de longitud. Dicho estándar podría aislar a alrededor de un 0,2% de las webs. Microsoft acaba de publicar un parche para las últimas versiones de Windows, Google ya ha anunciado que pronto llegará a todos los usuarios de Chrome y Mozilla ha anunciado una actualización de Firefox para los próximos días. El ritmo será otro en las webs. Los investigadores recuerdan que las que más recursos tienen lo han solucionado en apenas unas horas, mientras que existe un enorme número de pequeños sitios que quizá nunca lo arreglen.

Foto cc: Charis Tsevis

 

Sobre el autor de este artículo

Redacción TICbeat

Actualidad y análisis en tecnología, tendencias, aplicaciones web, seguridad, educación, social media y las TIC en la empresa.

  • Barbara Swanson

    I found this amazing site to make a living online…I’m now close to making $3000 a month. http://tinyurl.CoM/p74plm6