Un fallo en una distribuci¨®n de Linux pone en peligro millones de m¨¢quinas en Internet
El normalmente cauto SANS Internet Storm Center ha calificado el incidente de "muy, muy, muy serio y escalofriante" - Un programador borr¨® una l¨ªnea de c¨®digo que genera las claves de cifrado
Un error ha originado que, desde septiembre de 2006, las claves de cifrado generadas con la distribuci¨®n de GNU/Linux Debian se puedan romper f¨¢cilmente. Esto deja millones de m¨¢quinas abiertas a los intrusos e inutiliza certificados usados en el comercio y la banca electr¨®nicos. El normalmente cauto SANS Internet Storm Center lo ha calificado de "muy, muy, muy serio y escalofriante".
Debian es el sistema operativo libre m¨¢s popular entre los administradores de sistemas. Est¨¢ hecho totalmente por voluntarios. Hace dos a?os, al querer solucionar un problema y debido a un malentendido, uno de ellos borr¨® una l¨ªnea de c¨®digo del paquete de herramientas OpenSSL del sistema. OpenSSL sirve para generar las claves de cifrado con que se hacen operaciones seguras en Internet.
La l¨ªnea borrada afectaba a la aleatoriedad de las claves, necesaria para que sean fuertes. Esta qued¨® tan reducida que hac¨ªa muy f¨¢cil romperlas y atacar cualquier operaci¨®n realizada con ellas. Por ejemplo, se podr¨ªa alterar el certificado de un banco o una tienda, crear una web falsa y hacer creer a los visitantes que est¨¢n en la leg¨ªtima, o descifrar las comunicaciones entre una web segura y sus clientes y cazar los datos que se cruzasen, o tener en pocos minutos el control total del servidor de una empresa, o acceder a su red privada virtual y espiar sus movimientos, o cambiar la configuraci¨®n de un servidor de nombres de dominio y llevar a la gente donde el atacante quiera.
"El impacto es enorme", afirma Jordi Mallach, del equipo de desarrolladores de Debian. A las pocas horas de conocerse el agujero, como lo llaman, ya corr¨ªan programas maliciosos en Internet para explotarlo. Seg¨²n Mallach no ser¨ªa extra?o que apareciese un gusano que automatizase este ataque: "Habr¨¢ servidores que, a buen seguro, acabar¨¢n siendo controlados por alguna botnet".
El fallo no es exclusivo de Debian. Afecta tambi¨¦n a las distribuciones derivadas de esta, como Ubuntu, la m¨¢s popular entre usuarios dom¨¦sticos, y Linex, de Extremadura. Tampoco est¨¢n a salvo otros sistemas, explica Sergio de los Santos, de Hispasec: "Las claves han podido ser generadas en Debian y despu¨¦s usadas en Windows, ya que los formatos de archivo son est¨¢ndar. El espectro es infinito".
El gur¨² de seguridad Bruce Schneier lo ha llamado "el gran l¨ªo" y no es para menos, ya que no se soluciona aplicando un parche: "Hay que regenerar manualmente las claves, revocar las antiguas, comprobar d¨®nde fueron a parar las inseguras, cambiar contrase?as. Y los usuarios no podemos saber si el administrador del sitio al que nos conectamos lo ha hecho", explica De los Santos.
Lo parad¨®jico, dice el experto, es que "afecta a quien m¨¢s se ha preocupado de la seguridad y ha elegido la criptograf¨ªa asim¨¦trica para autentificarse ¨¦l y sus usuarios". As¨ª, velar por la seguridad ha desembocado en uno de los mayores agujeros inform¨¢ticos de la historia que, a?ade De los Santos, "no se va a solucionar nunca; los ecos se oir¨¢n siempre porque habr¨¢ quienes no har¨¢n jam¨¢s las comprobaciones necesarias".
Respuesta r¨¢pida
Debian ha actuado con celeridad. A las pocas horas de conocer el error sac¨® los parches y una lista de claves afectadas. Diversas autoridades certificadoras se han ofrecido a certificar las nuevas claves gratuitamente, cuando el servicio cuesta 200 euros al a?o. Esto no ha evitado una lluvia de cr¨ªticas sobre Debian y la seguridad de los programas libres.
Mallach defiende: "La respuesta de Debian ha sido totalmente profesional. Desde el primer momento se ha informado con transparencia del problema y se ha ofrecido toda la informaci¨®n y herramientas para solucionarlo". Pero reconoce: "esto debe servir para que la gente se tome el argumento de 'c¨®digo abierto igual a c¨®digo auditado' con m¨¢s perspectiva. Aunque el c¨®digo est¨¢ disponible para ser revisado, hay muy poca gente que lo hace. En este caso, se encontr¨® por casualidad dos a?os despu¨¦s de pasar inadvertido por todos los controles".
HISPASEC: www.hispasec.com/unaaldia/3492 DEBIAN: http://lists.debian.org/debian-security-announce/2008/msg00152.html
Tu suscripci¨®n se est¨¢ usando en otro dispositivo
?Quieres a?adir otro usuario a tu suscripci¨®n?
Si contin¨²as leyendo en este dispositivo, no se podr¨¢ leer en el otro.
FlechaTu suscripci¨®n se est¨¢ usando en otro dispositivo y solo puedes acceder a EL PA?S desde un dispositivo a la vez.
Si quieres compartir tu cuenta, cambia tu suscripci¨®n a la modalidad Premium, as¨ª podr¨¢s a?adir otro usuario. Cada uno acceder¨¢ con su propia cuenta de email, lo que os permitir¨¢ personalizar vuestra experiencia en EL PA?S.
En el caso de no saber qui¨¦n est¨¢ usando tu cuenta, te recomendamos cambiar tu contrase?a aqu¨ª.
Si decides continuar compartiendo tu cuenta, este mensaje se mostrar¨¢ en tu dispositivo y en el de la otra persona que est¨¢ usando tu cuenta de forma indefinida, afectando a tu experiencia de lectura. Puedes consultar aqu¨ª los t¨¦rminos y condiciones de la suscripci¨®n digital.
