" "
Blog de
  • Emilio Davis

Emilio Davis

Gerente de Tecnología de Khipu

#Más Artículos

+ Relacionados

+ Redes Sociales

Etiquetas: , , , » Publicado: 04/03/2016

Seguridad informática: Cada minuto cuenta

Recientemente se descubrió que podíamos ser víctima de un ataque cibernético por una vulnerabilidad que puede afectar desde servidores de la NASA, hasta el teléfono con el que cualquiera juega Candy Crush. El gerente de tecnología de Khipu explica en esta columna lo que ocurrió y también nos enseña a cómo protegernos de estos ataques.

Durante febrero Google informó en uno de sus blogs (https://googleonlinesecurity.blogspot.cl), de una grave vulnerabilidad en glibc, la implementación de GNU de la librería estándar de C. En palabras simples, es uno de los ladrillos más básicos sobre el cual buena parte de la computación está construida.

Desde servidores de la NASA hasta el teléfono que usamos para jugar Candy Crush, pasando por el notebook, donde día a día miles de personas escriben o utilizan para trabajar, todos usan glibc y todos son vulnerables a un ataque que permite que, en ciertas condiciones, un tercero pueda tomar el control de un computador, teléfono o servidor que utilice Linux.

La seguridad informática es una constante carrera entre los atacantes que encuentran vulnerabilidades y cómo explotarlas y los proveedores de software que cierran las brechas. Y en esta carrera cada minuto cuenta.

Cuando Google hizo el anuncio, no existían versiones invulnerables para instalar en los servidores, por lo tanto era necesario estudiar el potencial ataque para tomar medidas preventivas. El ataque usaba como base que la función getaddrinfo, utilizada para obtener datos como la IP de un servidor a partir de su nombre, no manejaba correctamente respuestas maliciosamente largas, permitiendo incluir código a ejecutar en la respuesta.

Por lo tanto, mientras se esperaba una solución de fondo, fue posible esconder todos los servicios que consultan un DNS detrás de un proxy, que limitara el largo de la respuesta de los DNS potencialmente malignos. Y al día siguiente, cuando aparecieron versiones corregidas de glibc, actualizar todos los servidores.

Esta forma de enfrentar las fallas de seguridad no es nueva, pero es alarmante ver lo poco que se utiliza. Se reduce a tres pasos: estar atento a nuevas vulnerabilidades que te pueden afectar (http://cve.mitre.org/ y https://nvd.nist.gov son buenas fuentes); entender las vulnerabilidades que te afecten para diseñar una estrategia de mitigación provisoria; y finalmente actualizar cuando tu proveedor tenga una respuesta definitiva.

Etiquetas: , , , » Publicado: a las 2:28 am

COMENTARIOS »
Los comentarios publicados están sólo en plataforma Disqus y La Nación S.A. no se hace responsable de su contenido ni aplicará edición a ellos. No obstante, se reservará el derecho de administrar las listas de comentarios cuando éstos presenten ofensas personales. Los usuarios que se sientan afectados por algún comentario también pueden usar la misma plataforma de Disqus para denunciarlos en caso que los consideren ofensivos o denigrantes.

La Nación

Av. Nueva Providencia 1860, Oficina 183, Providencia
Teléfono: 56 2 - 2632 5014

Director Responsable: Patricia Schüller Gamboa
Representante Legal: Luis Novoa Miranda

© Comunicaciones LANET S.A. 2014
Se prohíbe toda reproducción total o parcial de esta obra, por cualquier medio.