La seguridad de las tarjetas de crédito en entredicho

Se ha presentado un estudio que demuestra la vulnerabilidad de los
sistemas de seguridad utilizados por los cajeros automáticos para la
validación de los PIN asociados a las tarjetas de crédito. Este estudio
se ha visto empañado por los intentos que está realizando Citibank para
ocultar esta información.
En un estudio titulado "Decimalisation table attacks for PIN cracking",
dos investigadores de la universidad de Cambridge (Reino Unido)
presentan un estudio de las debilidades existentes en los dispositivos
hardware para el almacenamiento seguro y la validación de los PIN
asociados a las tarjetas de crédito comúnmente utilizado por las
instituciones financieras.
Las tarjetas de crédito son un clásico ejemplo de un sistema de
autenticación de doble factor, ya que se combina un elemento físico que
es necesario poseer (la tarjeta de plástico con su banda magnética) con
un elemento que teóricamente sólo conoce el titular de la tarjeta de
crédito (el PIN, un código numérico habitualmente de cuatro caracteres)
que físicamente no reside en ningún sitio. Para poder utilizar la
tarjeta de crédito en un cajero automático es necesario disponer de
estos dos elementos al mismo tiempo.
Obtener el plástico tarjeta de crédito es una tarea relativamente
simple. Son un elemento de libre distribución y comercialización.
Falsificar la banda magnética también es una operación no demasiado
complicada, como hemos leído infinidad de veces en las noticias sobre
estafas que, periódicamente, publican los medios de comunicación.
Lo que, en teoría, ya no es tan fácil obtener o identificar es el PIN
que el usuario ha seleccionado para la tarjeta de crédito. En teoría, la
única forma de identificar este PIN es o bien obligando al titular de la
tarjeta a que lo revele o utilizando técnicas de fuerza bruta para su
identificación.
En el caso de la fuerza bruta, la teoría conocida hasta la fecha es que
para identificar el PIN asociado a la tarjeta son necesarios, de
promedio, unos 5.000 intentos.
El estudio publicado este mes muestra que en realidad, una persona con
los conocimientos adecuados de los mecanismos de seguridad utilizados y
acceso a los sistemas criptográficos que se utilizan en los bancos,
únicamente necesita un máximo de 15 intentos para identificar cualquier
código PIN de cualquier tarjeta de crédito.
La vulnerabilidad utilizada se encuentra en los dispositivos hardware
utilizados para la realización de las operaciones criptográficas. Se
trata de unos procesadores especialmente diseñados para esta acción,
capaces de realizar un gran número de operaciones por segundo.
Una vez más, la teoría indica que estos equipos están especialmente
protegidos para la realización de cualquier ataque. No sólo disponen de
protecciones especiales para evitar su manipulación, sino que las
funciones que ofrecen a los programas están diseñadas para devolver un
valor booleano (verdadero o falso) a cualquier petición, para evitar la
divulgación de información que sirva para confeccionar ataques basados
en el estudio estadístico de los errores reportados.
Estos sistemas criptográficos realizan la validación del PIN realizando
un cifrado de los dígitos introducidos, utilizando una clave secreta.
Del resultado de la operación de cifrado se extraen una serie de
dígitos, expresados en base hexadecimal. Como el PIN de la tarjeta
utiliza únicamente números de base decimal, se hace necesaria la
conversión.
La conversión de hexadecimal a decimal no se realiza de forma
matemática, sino que se aplica una tabla de conversión, donde se expresa
la conversión a realizar para cada dígito hexadecimal. Por ejemplo, una
tabla de conversión puede ser

0123456789ABCDEF
9876543210987654

Utilizando esta tabla, el valor hexadecimal 67F4 se convertiría en el
valor decimal 3245. Este seria, en definitiva el PIN que debería
cotejarse para determinar si la operación debe realizarse o no.
Es en este punto donde se encuentra la vulnerabilidad del protocolo.
Estas tablas de conversión no son un valor sensible, sino que es posible
facilitar una tabla de conversión arbitraria, conjuntamente con el
número de cuenta y el PIN, en el momento de solicitar al sistema
criptográfico la validación de la información.
Por tanto, un empleado del banco con acceso al sistema dispone de la
capacidad de manipular las tablas de conversión para determinar los
dígitos que forman el PIN. Por ejemplo, utilizando esta tabla de
conversión

0123456789ABCDEF
0000000100000000

con el código PIN 0000 es posible identificar si el PIN contiene el
número 7.
Por tanto, básicamente lo que demuestra el estudio, una vez más, es que
utilizar como medida de seguridad el desconocimiento ("security by
obscurity") no es efectivo, especialmente cuando se hace referencia a
cuestiones relacionadas con la criptografía.

El lado oscuro de esta historia
Un problema de este tipo, que requiere una situación muy específica para
poder ser utilizado, probablemente hubiera pasado más o menos
desapercibido fuera de los círculos de interés sobre criptografía y
seguridad informática. De hecho, como se deduce de lo publicado
anteriormente, las únicas personas que podrían aprovecharse de esta
vulnerabilidad para obtener los PIN de las tarjetas de crédito son
algunos empleados de los bancos que disponen del acceso necesario a los
sistemas criptográficos.

Las nuevas tendencias de la seguridad - El futuro de la Información

 Después de leer un sin fin de artículos relacionado con la seguridad de los nuevos dispositivos es preocupante como las Empresas e Instituciones del Estado no toma conciencia y medidas de los métodos que se pueden aplicar para robar información, las trampas en las redes sociales, las incertidumbres que arroja el cloud computing y la fragilidad de los entornos de trabajo móviles constituyen actualmente los mayores peligros.

En consecuencia, para obtener una mayor seguridad TI durante estos años algunas de las acciones más recomendables son las de revisar los sistemas de seguridad de red y sus políticas al respecto, además de extremar las precauciones a la hora de utilizar tarjetas de crédito en la Red.

El número de ataques a redes privadas y corporativas se incrementará en los últimos años. Por ello, es imprescindible concienciarse de tal amenaza y responder con defensa proactiva, ya que si no se invierte lo necesario en seguridad, seremos más vulnerables. Lo que ayer era eficaz, hoy puede no serlo, por la creciente complejidad de los peligros a los que nos enfrentamos.

Pero no sólo se trata de nuevas amenazas, sino de nuevos cauces para la distribución de malware o troyanos. Si antes un virus podía llegar oculto en un disquete o CD-ROM, ahora se encuentra en otros medios, las redes sociales y el uso de dispositivos móviles hacen que sea más sencillo en manipular los datos de un usuario.

Para acaba de complicarlo, nos encontramos antes la dificulta de los límites entre los sistemas corporativos y los privados. Es ya habitual que los empleados actualicen sus perfiles de FaceBook desde el trabajo, que hagan reservas desde un smartphone de la empresa o que enlacen a sitios web desde blogs internos. Para no correr riesgos, la prudencia y el sentido común son la mejor arma, por lo que las Instituciones debe sentar a pensar en las bases de utilizar estos servicios y concienciar a las personas  sobre los riesgos que esto conlleva.

Actualmente estoy realizando un estudio del comportamiento psicológico de las personas que usan redes sociales como pasatiempo y no como herramienta de divulgación de información, lo que genera una dependencia y necesidad en el uso de estas aplicaciones, sin embargo no se ha tomado en cuenta el precio que debe pagar las empresas e Instituciones del Estado, en mantener la seguridad y confidencialidad de la información bajo un perfil de usuario atado a la necesidad de estar conectado a este mundo.

Dispositivos Móviles: Pequeños ayudantes peligrosos.
Los dispositivos móviles acceden ya a todos tipo de datos críticos, pero rara vez ofrecen la misma protección que un ordenador. Una de las mayores amenazas viene dada al establecer contraseñas demasiado simples, por ser más cómodas de introducir.

Además, los empleados suelen usar los smartphones tanto con fines profesionales como personales, sin actualizar las aplicaciones que puedan garantizar los mecanismos de seguridad. En consecuencia, un virus, troyano o cualquier aplicación maliciosa puede infectar no solo a este sistema, sino a toda la red, robar información de los contactos, número de tarjetas de créditos anotadas en los dispositivos e información familiar que puede ser usada para otros fines delictivos. Para evitar estos problemas, las empresas han de ser capaces de administrar estos dispositivos de forma centralizada, garantizar la actualización y estandarizaciones de las aplicaciones, las políticas de seguridad juegan un papel importante, sin embargo todavía hay mucha tela que cortar sobre este tema que estaré hablando en mis próximos artículos.

Sin descuido en Internet

Las pestañas de su navegador de Internet pueden convertirse en una trampa. Una nueva modalidad de 'phishing' utiliza la posibilidad de abrir varias ventanas a la vez para intentar robar contraseñas. El modus operandi es muy sencillo.

Mientras el usuario está concentrado en otro sitio, un programa detecta que una de las páginas lleva un tiempo inactiva e inmediatamente la reemplaza por una web falsa de algún sitio popular como Facebook, Gmail o Ebay en la que se le solicitan de nuevo sus claves para acceder. Si el incauto navegante se despista, el ciberdelincuente conseguirá acceder a información confidencial con el objetivo de utilizarla, fundamentalmente, para fines económicos.

Aza Raskin, un reconocido diseñador de interfaces que trabaja en Mozilla, empresa responsable del navegador Firefox, ha dado la voz de alarma sobre esto, bautizado como 'tabnabbing'.

En su blog -www.azarask.in/blog/-, el creativo ofrece una demostración de cómo funciona, en la que puede verse cómo una de las pestañas del navegador se transforma en una copia exacta de la página de inicio de Gmail en la que cualquiera podría volver a teclear las contraseñas de acceso al pensar, por ejemplo, que ha caducado su sesión.

El 'tabnabbing' utiliza un código de JavaScript para detectar los tiempos de inactividad. Los usuarios que mantengan habitualmente muchas pestañas abiertas, saben que es fácil olvidar qué se está visitando exactamente en cada momento,

El spam en formato PDF

Si en su cliente de correo tiene una carpeta donde almacena el spam, haga una búsqueda por archivos adjuntos con extensión .pdf, a buen seguro encontrará unos cuantos ejemplos. Es la penúltima moda para intentar evitar los filtros antispam, si durante los últimos meses la avalancha de mensajes no deseados llegaba con imágenes, ahora le toca el turno al formato PDF.

Las soluciones antispam suelen combinar diferentes técnicas para poder determinar si un mensaje es spam o no. Pueden analizar ciertas cabeceras del mensaje, realizar diversas comprobaciones sobre el servidor que realiza el envío, compararlo con listas negras, utilizar firmas basadas en patrones estáticos y dinámicos, aplicar filtros bayesianos, etc.

Este mismo arsenal de técnicas está a disposición de los spammers, van probando contra ellas diferentes estrategias para buscar eludir este tipo de barreras y conseguir que el mensaje no deseado llegue sí o sí a nuestros buzones.

Por ejemplo, una de las técnicas más explotadas para evitar la detección basándose en el análisis del texto consiste en enviar el mismo mensaje pero "dibujado" en una imagen adjunta. De esta forma, aparte de poder dibujarle la pastillita azul junto con sus propiedades, precios, etc, lo que buscan es que el nombre de la pastillita no aparezca escrito en texto plano en el cuerpo del mensaje y pueda hacer sospechar al filtro antispam.

Como respuesta a las imágenes, los filtros antispam comenzaron a utilizar plugins OCR (software de reconocimiento óptico de caracteres), capaz de interpretar el texto que era dibujado en los gráficos. A continuación les tocó mover ficha a los spammers, y comenzaron a introducir "ruido" en las imágenes para dificultar el reconocimiento automático por este tipo de software.

Esa es la razón por la que en ocasiones las imágenes con texto que nos llegan por spam estén distorsionadas, con caracteres multicolor, parezcan mal enfocadas, o tengan líneas por encima del texto. No es que los spammers sean muy malos diseñadores o tengan muy mal gusto, la explicación es que quieren dificultar la labor a los filtros antispam.

Aprovechando que la inmensa mayoría de los ordenadores de hoy día cuentan con un visualizador de archivos PDF, que se ha convertido en un formato universal y que goza de buena "reputación" (suele utilizarse para compartir documentación), los spammers han decidido que también puede ser una buena vía para sus objetivos.

Como el texto de los archivos PDF es interpretable, puede llegar a ser procesado por motores antispam, ellos también demuestran que saben combinar técnicas y han decido utilizar las imágenes con el mensaje distorsionado incrustadas en el PDF.

Vulnerabilidades antes la exploración en los Router Cisco

Los routers que están en producción se pueden ver afectados por ataques de denegación de servicios si se ven expuestos a chequeos por programas de exploración de vulnerabilidades.

Un gran número de versiones del software IOS (Internetworking Operating System) de Cisco se ven afectadas por un defecto que puede provocar el reinicio del router cuando este se ve chequeado por algún programa de comprobación de vulnerabilidades.

De tal forma, que si un usuario malicioso explota el problema de forma repetida puede provocar un ataque de denegación de servicios. Esta vulnerabilidad ya fue descubierta y anunciado por Cisco hace dos meses, pero ante el gran número de dispositivos que aun no han actualizado sus sistemas, con el consiguiente peligro que ello representa.


Más información:
http://www.cisco.com/warp/public/707/iostelnetopt-pub.shtmlVNUnet

http://www.vnunet.com/News/1104718