Coders Conquer Security: Serie Share & Learn: protección insuficiente de la capa de transporte

Incluso si ha protegido completamente un servidor de aplicaciones y los sistemas de respaldo que utiliza, las comunicaciones podrían seguir siendo vulnerables a la intromisión si no tiene suficiente protección de la capa de transporte. En el mundo físico, la razón por la que se mueven divisas con vehículos blindados es para protegerlas mientras están en tránsito. En realidad, no importa lo seguro que sea una tienda o un banco si el dinero que generan se carga en un carrito de golf para llevarlo en coche por la ciudad.

Lo mismo puede decirse de las capas de transporte en el ámbito cibernético. Incluso si una aplicación es segura, sigue existiendo una vulnerabilidad crítica si la información que entra en ella se envía sin protección. Y hay una segunda vulnerabilidad en algunas aplicaciones si, además, envían información a otros servidores o a una base de datos. Esa información podría quedar expuesta a personas con información privilegiada que no tienen por qué espiar esas transacciones.

Para proteger completamente a los usuarios y los datos es necesario proteger la capa de transporte. Solo así podrá proteger completamente una transacción completa de principio a fin.

En este episodio, aprenderemos:

• Cómo pueden los piratas informáticos aprovechar la protección insuficiente de la capa de transporte
• ¿Por qué no proteger la capa de transporte es tan peligroso?
• Qué se puede hacer para proteger el transporte de todos los datos que entran y pasan por una aplicación o un servidor.

¿Cómo aprovechan los atacantes la insuficiente protección de la capa de transporte?

Una protección insuficiente de la capa de transporte puede permitir ataques en dos puntos del flujo de datos. El punto más comúnmente explotado es el que se encuentra entre un usuario y el servidor de aplicaciones. Si la información se envía de forma transparente o con un cifrado débil, los piratas informáticos podrán monitorear, robar y posiblemente cambiar esa información. Esto podría permitir a los piratas informáticos robar la tarjeta de crédito de un usuario, sus credenciales de inicio de sesión o cualquier otra cosa que se envíe al servidor de la aplicación. Incluso si el servidor en sí es seguro, un pirata informático que controle el canal inseguro entre él y los usuarios podría tener acceso prácticamente sin restricciones a una gran cantidad de información.

El segundo punto que a menudo queda desprotegido es la capa de transporte entre una aplicación y el resto de la red. Por ejemplo, un servidor de aplicaciones puede procesar los pedidos de compras en línea y, a continuación, enviarlos a un sistema logístico, o simplemente transferir los datos a una base de datos para su almacenamiento. Si esos canales internos no están protegidos, es posible que los usuarios internos puedan ver esa información.

Si bien es bueno creer que todos los usuarios internos son buenas personas, el hecho es que las amenazas internas están aumentando en muchos sectores. Se ha sorprendido a personas con información privilegiada aceptando sobornos a cambio de recopilar información confidencial para atacantes o competidores. Y tener acceso a miles de tarjetas de crédito válidas puede resultar demasiado tentador para que algunas personas lo ignoren.

En cuanto a las técnicas de ataque, no es muy difícil interceptar las comunicaciones desprotegidas. Incluso los piratas informáticos de bajo nivel saben cómo realizar ataques intermediarios contra flujos de datos no cifrados. Si no lo hacen, hay vídeos en Internet que pueden entrenarlos en menos de media hora.

¿Por qué son tan peligrosas las vulnerabilidades de protección insuficiente de la capa de transporte?

Tener una protección insuficiente o inexistente en las capas de transporte es peligroso porque hace que sea extremadamente fácil para los piratas informáticos recopilar información confidencial. No tienen que entrar en el servidor de tu aplicación ni hackear tu red. Lo único que hacen es crear una trampa para atacar a un intermediario y leer todo lo que los usuarios envían a un servidor. Esto puede incluir nombres de usuario y contraseñas que se pueden utilizar para eludir la seguridad en el futuro utilizando credenciales válidas. Según la aplicación, esto también puede incluir información de tarjetas de crédito u otros datos personales de los usuarios.

Y es importante tener en cuenta que todo este espionaje se lleva a cabo fuera de su red. Si utilizas canales de transporte inseguros, no hay forma de saber si alguien está capturando esa información. Normalmente, la primera señal es cuando muchos usuarios comienzan a denunciar cuentas comprometidas o compras con tarjeta de crédito, y el factor común es que tu aplicación «no es una buena opción». Los piratas informáticos también pueden modificar la información una vez que la tienen, cambiando la dirección de entrega, por ejemplo, o incluso insertando scripts malintencionados en la respuesta del servidor antes de transmitirla a los usuarios.

En el backend, si no se protege la capa de transporte, los datos quedan expuestos a personas con información privilegiada. Probablemente sea mucho menos probable que una persona con información privilegiada esté espiando la capa de transporte en comparación con los piratas informáticos externos que hacen lo mismo. Pero también es más peligroso si esto ocurre, ya que la amenaza interna no solo podrá ver los datos del usuario, sino también cualquier información privada añadida por el servidor de la aplicación antes de enviar esos paquetes.

Eliminación de las vulnerabilidades de protección de la capa de transporte insuficientes

A pesar de lo peligroso que puede ser una protección insuficiente de la capa de transporte, tampoco es increíblemente difícil proteger adecuadamente todos los canales de transporte. Todo comienza con la infraestructura de back-end. Debe ser exclusivamente HTTPS, asegúrate de no mezclar HTTPS y HTTP en un sitio. Por último, mantén un certificado SSL válido con un tamaño mínimo de clave de 2048 bits y, al mismo tiempo, obliga a todos los usuarios a interactuar mediante navegadores seguros con HTTP Strict Transport Security (HSTS).

Una vez que la infraestructura esté en su lugar, los desarrolladores deben usar un protocolo sólido para proteger la capa de transporte. Lo ideal es usar TLS 1.2, aunque también se aceptan TLS 1.1 y 1.0 si es absolutamente necesario. Una vez establecido, los protocolos débiles como SSLv2 deberían estar completamente deshabilitados y nunca admitidos.

También se debe tener cuidado para garantizar que los cifrados criptográficos sean lo suficientemente potentes en el backend. Lo ideal es que el tamaño mínimo de la clave de sesión sea de 128 bits. Al igual que ocurre con los protocolos, la compatibilidad con algoritmos criptográficos débiles, como DES y RC4-40, debería estar deshabilitada. Y, por último, no considere que una aplicación es verdaderamente segura hasta que tanto el propio servidor como todas las rutas de datos que conducen a él y a las salidas de datos estén suficientemente protegidas.

Más información sobre las vulnerabilidades de protección insuficiente de la capa de transporte

Para leer más, puede echar un vistazo al OWASP guía para proteger capas de transporte. También puede poner a prueba sus nuevos conocimientos defensivos con el demo gratuita de la plataforma Secure Code Warrior, que forma a los equipos de ciberseguridad para que se conviertan en los mejores ciberguerreros. Para obtener más información sobre cómo derrotar esta vulnerabilidad y la galería de otras amenazas de los delincuentes, visita la Blog de Secure Code Warrior.