Fallos en un cortafuegos anunciado como 'inhackeable'

Les llev¨® s¨®lo una ma?ana romper el aparato. Dos analistas inform¨¢ticos de Barcelona encontraron fallos irreversibles en AlphaShield, cortafuegos para l¨ªneas ADSL, "100% inhackeable o le devolvemos su dinero", seg¨²n su publicidad. El verano pasado, la empresa canadiense que lo fabrica convoc¨® un concurso, donde ofrec¨ªa un mill¨®n de d¨®lares a quien encontrase alg¨²n fallo de forma remota.

Hugo V¨¢zquez y Toni Cort¨¦s descubrieron que AlphaShield era vulnerable a diversos ataques que permiten a un instruso saltarse las barreras del cortafuegos sin mucho esfuerzo, mediante la inyecci¨®n de tr¨¢fico fraudulento. "El fallo no tiene soluci¨®n, porque no es de software sino de dise?o", afirma Hugo V¨¢zquez.

Aunque el aviso ha aparecido en populares sitios de seguridad como Bugtraq o The Register, la empresa sigue haciendo publicidad del aparato en su web como "inhackeable" y ganador de diversos premios. La empresa asegura en una nota de prensa que el procedimiento para dar con el fallo no ha sido correcto, ya que no se basa en un escenario real.

Hugo V¨¢zquez se defiende: "No se trata de evaluar cuan dif¨ªcil de explotar es la vulnerabilidad, sino de determinar si realmente existe. Y existe".

V¨¢zquez recuerda que la empresa canadiense presentaba su aparato como la soluci¨®n m¨¢gica a las conexiones ADSL para usuarios caseros.

"Se preparaban", a?ade, "para realizar un concurso este verano, de un mill¨®n de d¨®lares, iba a ser El Concurso, aunque nadie sabe si se celebr¨®. Entonces, pedimos una unidad de prueba a Canad¨¢. Nos la enviaron con los chips tapados con esmalte negro, para que no vi¨¦ramos cu¨¢les eran. Pat¨¦tico. Lo venden a unas 10 veces por encima del precio de coste del producto". El aparato, seg¨²n V¨¢quez, "deber¨ªa realizar un seguimiento de las conexiones que realiza el usuario al que protege. Si visita una p¨¢gina web, deber¨ªa identificar el tr¨¢fico leg¨ªtimo entre el servidor y el cliente y permitir s¨®lo ¨¦ste. Pero el seguimiento no se produce y un atacante puede inyectar tr¨¢fico no autorizado, comprometiendo as¨ª la comunicaci¨®n. Tambi¨¦n dice que protege de troyanos, pero no de los que se conectan desde dentro. Tardamos menos de dos horas en ver el problema".

No es ¨¦sta la primera vez que un producto probado en un concurso, fraudulento o no, acaba con fallos al descubierto. El cript¨®logo Bruce Schneier avis¨® en su momento de que "una tecnolog¨ªa no es necesariamente segura por que nadie la haya vencido durante una competici¨®n de hacking".