¿De verdad crees que estás totalmente seguro en Internet?

A veces, nuestra percepción de que algo es seguro en Internet se basa simplemente en un icono o una palabra. “Datos cifrados”, “Conexión segura”… Y pensamos que entonces todo está bien, que estamos protegidos con nivel casi militar. Sin embargo, esto no es siempre así: hoy vamos a comentar dos casos muy comunes, en los que parece que estamos protegidos cuando en realidad no es así. Y los ejemplos los conoceréis y probablemente usaréis: son Amazon y Dropbox.

Conexión segura sólo para poner usuario y contraseña: sigues siendo vulnerable

Todo parece muy seguro, ¿verdad? Veremos que no es así en realidad.

Esta es una práctica demasiado extendida, por desgracia. La sensación de seguridad te la da el candado y las señales de “Página segura” cuando pones tu usuario y contraseña en una página para identificarte. Perfecto. Gracias a eso nadie podrá interceptar ni tu usuario ni tu contraseña.

Lo malo viene después. Una vez que has entrado en tu cuenta, la página vuelve a HTTP normal. Tus datos se envían sin cifrar por el aire. ¿Qué tiene de malo? Pues que te pueden robar la sesión. Cualquiera que intercepte esos datos de sesión (almacenados en las cookies) podrá ponerlos en su navegador y suplantar tu identidad en esa web.

Y no es un procedimiento difícil. De hecho, si tenéis ganas y un poco de paciencia, podéis hacerlo vosotros mismos con una de las webs más conocidas de todas: Amazon. Sí, efectivamente, cualquiera podría suplantaros en Amazon con no mucha dificultad. ¿Cómo conseguirlo?

Primero, entrad con vuestra cuenta en Amazon. En vuestro navegador, abrid el inspector de cookies (en Chrome, clic derecho en la página, inspeccionar elemento y pulsad “Recursos”). Buscad las cookies de Amazon: habrá unos cuantos pares de un nombre y un valor. Entonces, abrid una ventana de incógnito o en otro navegador donde no estéis identificados en Amazon.

Por cada uno de los pares de cookies que haya en el inspector, poned en la barra de direcciones del navegador el siguiente código: javascript:document.cookie=“nombre=valor”;, sustituyendo nombre y _valor por lo que corresponda, pulsando Intro y actualizando si la página de Amazon desaparece. Cuando hayáis acabado con todas, enhorabuena, habéis entrado en vuestra cuenta sin poner ni una sola contraseña. Como comprenderéis, hacer esto de forma automática no sería nada difícil para un atacante más experimentado que yo (es decir, para el 99.99% de los hackers de por ahí).

Como conclusión: los sitios web tienen que darte una conexión segura desde el momento en el que te identificas hasta que sales de él. Si no, toda esa seguridad aparente no sirve para nada.

Mis datos están cifrados, pero, ¿quién tiene la clave?

Quien tiene la llave, tiene el poder.

Imagino que todos sabréis más o menos cómo funciona el cifrado de datos. Tenemos un algoritmo de cifrado al que le pasamos los datos junto con una clave. Tras hacer una serie de operaciones, el algoritmo nos devuelve unos datos cifrados, que sólo se pueden descifrar y volver a leer si tienes la clave.

Bien, ahora que tenemos lo básico vamos a hablar de los muchísimos servicios de almacenamiento online que nos dicen que nuestros datos están cifrados. Pongo como ejemplo Dropbox porque es de los más usados, aunque también entran SkyDrive y Google Drive entre otros.

La pregunta que hay que hacerse es: ¿alguno de vosotros ha visto alguna vez esa clave de cifrado? (Y no, no es vuestra contraseña) Nadie, ¿verdad?

Y ese es el problema. ¿De qué me sirve que mis datos estén cifrados en la nube si es Dropbox el que tiene la clave? Si algún atacante entra en su servidor y encuentra las claves estás vendido. Además, esto también tiene un problema de privacidad: como es el proveedor y no tú quien tiene las claves, ellos pueden descifrar y leer tus archivos. Aunque no lo hagan sistemáticamente, pueden hacerlo.

La solución sería tener lo que se llama “Client Side Encryption”, o cifrado en cliente. Pero, como por desgracia suele ocurrir, más seguridad traería más inconvenientes: tendrías que instalar tu clave de cifrado en cualquier ordenador que sincronice con el servidor, y además crear clientes móviles y web sería más difícil.

Además, las subidas incrementales (cuando sólo has modificado una pequeña parte de un archivo y no subes todo el archivo entero) o evitando duplicados (cuando el servidor ya tiene una copia de un archivo que quieres subir, no hace falta subirlo de nuevo) serían mucho más complicadas de hacer ya que no podrían descifrar y analizar esos archivos.

Es importante que tengáis en cuenta todo esto a la hora de elegir un servicio de almacenamiento en la nube. Puede que este nivel de seguridad os sirva a muchos, pero si realmente estáis preocupados podéis usar otros servicios más blindados, como Wuala, por ejemplo.

Sólo he puesto dos ejemplos, pero estoy seguro de que hay muchísimos más casos de seguridad aparente, donde a pesar de que tenemos la sensación de estar protegidos seguimos siendo vulnerables. Si conocéis alguno, estaremos encantados de discutirlo en los comentarios.

Imagen | Bohman