“¡Ciérrenlo todo! ¡Ciérrenlo inmediatamente! ¡Y páguenles lo que están exigiendo!”
Eran las 5:55 de la mañana del 7 de mayo de 2021 en Alpharetta, Georgia. Minutos antes, un empleado de The Colonial Pipeline Company (CPC) había hallado una nota de rescate dentro de la red informática, colocada por un grupo de hackers llamado Darkside. Los delincuentes robaron 100 GB de datos corporativos antes de desplegar un ransomware que bloqueó a CPC el acceso a sistemas clave de su red. Para liberar la información y restaurar los sistemas, Darkside exigió 75 bitcoins, equivalentes entonces a unos 4.4 millones de dólares.
El ataque fue rápido y audaz. El CEO de Colonial Pipeline, Joseph Blount, tuvo que actuar con prontitud. Para evitar que el malware se propagara a los sistemas operativos que regulan el flujo físico de combustible, Blount y su equipo optaron por cerrar preventivamente toda la operación del oleoducto—responsable de suministrar aproximadamente el 45% de la gasolina, diésel y combustible para avión en la costa este—y pagar el rescate. La paralización duró seis días, desestabilizó la industria, costó decenas de millones de dólares a CPC y elevó los precios regionales del combustible a su nivel más alto en seis años y medio.
¿Qué salió mal aquí?
El ataque a Colonial Pipeline fue exitoso debido a una contraseña comprometida sin autenticación multifactor. Además, CPC no logró segregar adecuadamente sus sistemas de tecnología operativa (OT), que gestionan las actividades del oleoducto, de sus sistemas informáticos, administrativos y contables.
Esto generó una amenaza triple letal. CPC solo pudo recuperar sus datos informáticos pagando el rescate. Los hackers podían filtrar esa información al público o a competidores, provocando daños materiales y reputacionales. Asimismo, CPC enfrentaba el riesgo de que sus sistemas OT fueran comprometidos, paralizando indefinidamente sus operaciones.
¿Qué habría ocurrido si CPC hubiera cifrado y respaldado adecuadamente los datos?
De haberlo hecho, CPC podría haber recuperado la información sustraída con relativa facilidad, y los datos encriptados robados serían inútiles para los hackers. Sería como si unos ladrones de bancos se llevaran una caja fuerte impenetrable. Los delincuentes no habrían avanzado nada, mientras que el banco podría reponer el dinero mediante el seguro FDIC.
La encriptación de datos impulsa el mundo.
La encriptación de datos influye silenciosamente en casi todos los aspectos de nuestra vida digital: desde transacciones bancarias en línea y datos de cuentas de clientes, hasta la información de control de redes eléctricas y vuelos comerciales, pasando por compras electrónicas, correos electrónicos y mensajes de texto.
Sin encriptación, las consecuencias de un ataque informático pueden abarcar desde el robo de identidad hasta el espionaje corporativo o sanciones regulatorias; por supuesto, incluyen también ataques de ransomware como el sufrido por Colonial Pipeline. Para proteger esta información, es imprescindible cifrarla tanto durante su transmisión (“en tránsito”) como mientras se almacena para uso futuro (“en reposo”), empleando el Advanced Encryption Standard (AES)-256, considerado hoy como el “estándar de oro” en encriptación de datos.
AES y la mayoría de los métodos actuales de encriptación utilizan claves fijas—cadenas únicas de números o caracteres—para asegurar (cifrar) y recuperar (descifrar) la información. Se puede comparar a estas claves con contraseñas digitales o combinaciones de candados: solo quienes poseen la clave correcta pueden acceder a los datos encriptados. Dichas claves pueden ser simétricas (una única clave para cifrar y descifrar) o asimétricas (una clave pública para cifrar y una privada para descifrar).
Sin la clave adecuada, los datos cifrados son ininteligibles, incluso si son sustraídos por atacantes. Así, la encriptación de datos mantiene el funcionamiento de nuestro mundo digital—hasta que, en ocasiones, no lo hace.
Las claves pueden ser vulneradas.
Incluso cuando la información está cifrada, una gestión deficiente de las claves, la comprometida seguridad de los puntos finales, las amenazas internas y los ataques de intermediarios pueden brindar a actores malintencionados acceso a datos que no deberían poseer. Algunos métodos de cifrado considerados "seguros" están en alto riesgo debido al vertiginoso avance de la computación cuántica.
En 2018, piratas informáticos irrumpieron en uno de los sistemas de reservas de Marriott Hotels, accediendo a números de pasaporte e información de pago de más de 500 millones de huéspedes. Aunque gran parte de los datos sensibles estaba cifrada, las claves se almacenaban en el mismo servidor. Al igual que cerrar la puerta de casa y dejar la llave bajo el felpudo, los hackers accedieron sin dificultad a la información.
En otro caso de falla clave, decenas de cuentas de correo electrónico del Tesoro de Estados Unidos fueron comprometidas cuando los hackers robaron las claves de cifrado que les permitieron falsificar credenciales. Como expresó el senador Ron Wyden en ese momento, “Encryption keys become irresistible targets for hackers.”
La próxima generación de cifrado está surgiendo.
¿Cómo proteger los datos sensibles en sectores como servicios financieros, salud, defensa, infraestructuras críticas y dispositivos edge sensibles sin exponerse a las vulnerabilidades inherentes a las claves de cifrado?
Diversas metodologías experimentales buscan revolucionar el enfoque global de la seguridad de la información. Por ejemplo, el cifrado homomórfico permite procesar datos mientras permanecen encriptados. La criptografía post-cuántica utiliza modelos matemáticos complejos para hacer que el cifrado resista la deducción de claves de descifrado mediante computación cuántica. Las pruebas de conocimiento cero verifican las claves de cifrado/descifrado sin revelarlas, dificultando su robo por hackers.
No obstante, existe un método que considero será el futuro del cifrado de datos: el intercambio sin clave (KLE).
Con el intercambio sin clave, no se almacenan claves de cifrado fijas en ningún lugar. En cambio, las transacciones se verifican a través de una red distribuida de nodos cooperativos que generan valores matemáticos efímeros. Múltiples partes—ninguna con la capacidad de descifrar la información de forma individual—colaboran para generar un código dinámico, derivado matemáticamente, que desbloquea brevemente los datos para una única transacción. Este código solo existe en la memoria durante ese instante y después queda inválido—similar a los códigos temporales de autenticación de dos factores que muchos conocemos. El KLE ofrece protección de datos de extremo a extremo sin las vulnerabilidades propias de las claves de cifrado y con una latencia prácticamente inexistente.
Esta tecnología ya está disponible. Sin embargo, es fundamental evaluar la compatibilidad e interoperabilidad de la solución elegida, puesto que algunos sistemas KLE pueden exigir rediseños en los flujos de trabajo para integrarse en arquitecturas existentes. En industrias reguladas, la implementación del KLE también puede requerir tiempo para obtener la aprobación de auditores, dado que puede no ajustarse a protocolos establecidos desde hace décadas.
Mantente alerta.
La inteligencia artificial y la computación cuántica avanzan a pasos agigantados, con el potencial de facilitar ataques mucho más devastadores que el sufrido por Colonial Pipeline. Para evitar convertirse en la próxima víctima, es imprescindible mantener una vigilancia constante sobre sus datos sensibles.
Como mínimo, recomiendo realizar auditorías periódicas de sus estándares de encriptación, privilegios de acceso y gestión de claves. Emplee autenticación multifactor siempre que sea posible, segmente las redes para limitar las brechas y cifre los datos sensibles tanto en reposo como en tránsito. Sin embargo, si se encuentra en un sector especialmente vulnerable, estas medidas resultan insuficientes.
Ha llegado el momento de contemplar el intercambio sin claves y otras metodologías de seguridad de datos de nueva generación.
Publication: Forbes Technology Council / Link: https://reurl.cc/3bqAp8 By: Srinivas Shekar, Founder and CEO, Pantherun Technologies.
Puedes ampliar la información acerca de la tecnología de Pantherun en Pantherun – Cifrado en tiempo real, con cero latencia y a velocidades Gigabit.
