{"id":2514,"date":"2014-03-11T19:23:10","date_gmt":"2014-03-11T19:23:10","guid":{"rendered":"http:\/\/kasperskydaily.com\/mexico\/?p=2514"},"modified":"2020-02-26T09:12:36","modified_gmt":"2020-02-26T15:12:36","slug":"linux-vulnerable-a-un-bug-similar-al-de-apple","status":"publish","type":"post","link":"https:\/\/latam.kaspersky.com\/blog\/linux-vulnerable-a-un-bug-similar-al-de-apple\/2514\/","title":{"rendered":"Linux Vulnerable A Un Bug Similar Al De Apple"},"content":{"rendered":"

Un viernes por la tarde, a mediados de Febrero, Apple silenciosamente lanz\u00f3 un fix para un bug cr\u00edtico presente en las validaciones de certificados de iOS. Esta falla pod\u00eda, esencialmente, darle a un potencial atacante la capacidad de espiar comunicaciones supuestamente seguras.<\/span><\/p>\n

Tanto la gravedad del bug, como el hecho de anunciar el parche un viernes por la tarde, son una moneda corriente en Apple. El gigante de la inform\u00e1tica con sede en Cupertino, California, es largamente conocido por operar detr\u00e1s de un legendario\u00a0velo de discreci\u00f3n.<\/p>\n

Sin embargo, al d\u00eda siguiente, cuando se conoci\u00f3 la informaci\u00f3n de que este problema no s\u00f3lo\u00a0afectaba a los dispositivos iOS<\/a>, sino tambi\u00e9n a los que ejecutan el tradicional sistema operativo OSX<\/a>, las cabezas se volvieron para ver qu\u00e9 estaba ocurriendo y se despertaron muchos intereses. La trama se volvi\u00f3 a\u00fan m\u00e1s pesada cuando la semana pasada se descubri\u00f3 un bug similar que afect\u00f3 GnuTLS<\/a>, una pieza de software open-source gratuita utilizada para implementar la encriptaci\u00f3n en varias distribuciones de Linux y en otras plataformas.<\/p>\n

A medida que el problema de los bugs (particularmente los de Apple) tomaron mayor importancia entre el p\u00fablico, m\u00e1s investigadores y periodistas sugirieron la posibilidad de un subterfugio. Bruce Schneier, uno de los expertos m\u00e1s importantes en criptograf\u00eda y seguridad del mundo, describi\u00f3 la vulnerabilidad de la siguiente forma:<\/a><\/p>\n

La falla es sutil y dif\u00edcil de detectar cuando se analiza el c\u00f3digo. Es f\u00e1cil suponer que esto pudo haber ocurrido por error.<\/div>\n

\u201cLa falla es sutil y dif\u00edcil de detectar cuando se analiza el c\u00f3digo. Es f\u00e1cil suponer que esto pudo haber ocurrido por error. Pero tambi\u00e9n es sencillo para una persona generar esta vulnerabilidad. \u00bfFue esto hecho a prop\u00f3sito? No tengo idea. Pero si yo quisiera hacer algo como esto intencionalmente, lo hubiera hecho exactamente as\u00ed.<\/span><\/p>\n

Otros investigadores fueron m\u00e1s directos, alegando que los errores de codificaci\u00f3n que desembocaron en el bug de Apple \u2013llamado \u201cgoto fail\u201d- son pr\u00e1cticamente imposibles de cometer en una compa\u00f1\u00eda como esta y, mucho m\u00e1s improbable, es el hecho de pasar por alto este error en el proceso de revisi\u00f3n del c\u00f3digo. Por supuesto, dado el clima que se gener\u00f3 alrededor de esta vulnerabilidad y las facilidades que otorga, muchos concluyeron que tanto el bug de Apple como el de GnuTLS podr\u00edan ser realmente valiosos para cualquiera que estuviera en el negocio del espionaje.<\/p>\n

Por otra parte, Matthew Green, experto en criptograf\u00eda y miembro de la Universidad Johns Hopkins,<\/a> examin\u00f3 el bug de GnuTLS y afirm\u00f3 que, en efecto, se trat\u00f3 de un error de codificaci\u00f3n.<\/p>\n

Dejando de lado todas las conspiraciones, el error de cripto-validaci\u00f3n en GnuTLS significa que tanto los escritorios de Red Hat y los productos del servidor, junto con todas las instalaciones de Debian y Ubuntu (Linux) contienen un bug que podr\u00eda ser utilizado para monitorear las comunicaciones que se llevan a cabo en las m\u00e1quinas comprometidas. Este bug impacta los sistemas afectados de pies a cabeza. No solamente las sesiones seguras de navegaci\u00f3n web (con HTTPS) son afectadas, sino tambi\u00e9n las aplicaciones, las descargas y cualquier otro tipo de comunicaci\u00f3n encriptada que utiliza GnuTLS para su funcionamiento.<\/p>\n

Para ser claros, un atacante tendr\u00eda que estar presente en la misma red que su objetivo para poder explotar cualquiera de estos bugs. Sin embargo, bajo las circunstancias apropiadas, estas fallas podr\u00edan permitir que el criminal realice un ataque del tipo man-in-the-middle<\/a>, en el cual la v\u00edctima cree que se est\u00e1 comunicando con un proveedor de un servicio online confiable cuando, en realidad, le est\u00e1 enviando paquetes de datos a un criminal. En este sentido, ambos bugs brindan grandes facilidades para robar credenciales de inicio de sesi\u00f3n y vigilar las comunicaciones de la red local.<\/p>\n

\u201cEsto realmente es tan malo como parece\u201d, asegur\u00f3 Kenneth White, experto en seguridad y cient\u00edfico principal de Social & Scientific Systems en Carolina del Norte, Estados Unidos.<\/a> \u201cUn atacante puede virtualmente falsificar cualquier dominio arbitrario y hacerlo parecer autorizado y confiable para el solicitante. Por lo tanto, no s\u00f3lo es capaz de interceptar canales sensitivos, sino tambi\u00e9n potencialmente subvertir el proceso de paquetes de firmas confiables.<\/p>\n

En otras palabras, es posible falsear la informaci\u00f3n confiable del certificado que le permite a los usuarios conocer qui\u00e9n desarroll\u00f3 tal software o aplicaci\u00f3n que los usuarios est\u00e1n a punto de descargarse.<\/p>\n

Si utilizas una m\u00e1quina con Linux, entonces probablemente est\u00e1s en riesgo. Nosotros te recomendamos que instales,\u00a0lo m\u00e1s pronto posible\u00a0las actualizaciones m\u00e1s reciente del sistema. Si no utilizas ninguno de los sistemas operativos de Linux que est\u00e1n disponibles, esto no significa necesariamente que est\u00e1s a salvo. GnuTLS es un paquete open-source ampliamente utilizado y corre en muchos sistemas que no se conocen. La moraleja aqu\u00ed es, como siempre: instala todos los parches seguido y sin demoras.<\/p>\n

\u00a0<\/p>\n

Traducido por: Guillermo Vidal Quinteiro<\/p>\n

\u00a0<\/p>\n","protected":false},"excerpt":{"rendered":"

Un viernes por la tarde, a mediados de Febrero, Apple silenciosamente lanz\u00f3 un fix para un bug cr\u00edtico presente en las validaciones de certificados de iOS. Esta falla pod\u00eda, esencialmente,<\/p>\n","protected":false},"author":42,"featured_media":2515,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[6],"tags":[26,163,894,817,515,895,645,893,164],"class_list":{"0":"post-2514","1":"post","2":"type-post","3":"status-publish","4":"format-standard","5":"has-post-thumbnail","7":"category-news","8":"tag-apple","9":"tag-bug","10":"tag-bug-critico-apple-goto-fail","11":"tag-error","12":"tag-falla","13":"tag-gnutls","14":"tag-guillermo-vidal-quinteiro","15":"tag-linux","16":"tag-problema"},"hreflang":[{"hreflang":"es-mx","url":"https:\/\/latam.kaspersky.com\/blog\/linux-vulnerable-a-un-bug-similar-al-de-apple\/2514\/"}],"acf":[],"banners":"","maintag":{"url":"https:\/\/latam.kaspersky.com\/blog\/tag\/apple\/","name":"Apple"},"_links":{"self":[{"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/posts\/2514","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/users\/42"}],"replies":[{"embeddable":true,"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/comments?post=2514"}],"version-history":[{"count":2,"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/posts\/2514\/revisions"}],"predecessor-version":[{"id":17415,"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/posts\/2514\/revisions\/17415"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/media\/2515"}],"wp:attachment":[{"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/media?parent=2514"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/categories?post=2514"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/tags?post=2514"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}