Algunas aclaraciones sobre la supuesta vulnerabilidad en el protocolo base de Red

Ayer publicábamos un boletín sobre la supuesta vulnerabilidad descubierta por Outpost24 que podría permitir la caída de cualquier aparato con comunicación en la Red. Disponemos ahora de más información, que ayer mismo publicaban fuentes oficiales, sobre el asunto. Además, aprovechamos para corregir algunos errores.

¿El fallo es nuevo? ¿Por qué "supuesta"?

Probablemente no. Aunque no se conocen los detalles, todo son conjeturas. Quizás sea una nueva forma de aprovechar una vieja debilidad conocida del TCP/IP. "Supuesta" es simplemente porque no ha quedado demostrado todavía por terceras partes independientes.

¿Aprovechar el fallo requiere de un envío continuado de paquetes?

Sobre esto ha habido cierta confusión. Algunos apuntan a que es necesario bombardear de forma continuada y con un cierto tipo de paquetes al servidor. Otros que con sólo unos minutos de tráfico se puede hacer que el sistema quede sin recursos. Según Robert E. Lee de Outpost 24, depende del dispositivo. Lo normal es que permanezcan caídos mientras dure el ataque (como ocurre con un DDoS, por ejemplo), pero se han dado casos en que se agotan sus recursos y se necesita un reinicio con una mínima cantidad de tráfico.

¿Desactivando la protección "SYN Cookies" se previene el problema?

No. Simplemente se volvería a ser más vulnerable a ataques de tipo SYN Flood

¿Todos los dispositivos son vulnerables?

Según los descubridores, depende mucho del tipo de ataque y del dispositivo. Es posible que el dispositivo tenga que ser reiniciado, pero no siempre se llega a ese punto.

¿El problema está en TCP/IP?

Como nos han comunicado algunos lectores de una-al-día, el problema está en el protocolo TCP/IP, no exclusivamente en IP, como se apuntaba erróneamente en el boletín anterior.

¿Por qué ahora todas estas alarmas catastrofistas?

Aunque dicen conocer el problema desde 2005, Outpost24 se habrá decidido a hacer público este asunto precisamente ahora por varias razones. Primero para intentar proteger y mejorar el sistema. (¿Por qué no?) Kaminsky lo hizo con el fallo de DNS. El problema del BGP no tuvo tanta repercusión mediática pero llamó mucho la atención. La compañía quizás se ha animado finalmente a hacer público sus descubrimientos tras comprobar la publicidad que este tipo de declaraciones puede reportarles. Es evidente que, como siempre ha ocurrido en la publicación de vulnerabilidades novedosas, la búsqueda de notoriedad y prestigio juegue un papel importante, aunque no resta importancia al descubrimiento en sí. Por cierto, también se dijo en la anterior una-al-día que era una empresa finlandesa cuando en realidad es sueca.

¿Están exagerando?

El hecho de ofrecer un poco de información en forma de "cebo" y prometer el resto en conferencias posteriores asegura una buena cantidad de especulación y por tanto mantener a la empresa en boca de todos durante unas semanas. Esto no resta seriedad al potencial fallo.

¿Es para tanto?

Matizan sus afirmaciones hablando siempre de "bajo circunstancias concretas" lo que da a entender que no es tan sencillo reproducirlo. Además, si se trata de una denegación de servicio a través de una inundación de paquetes continuados, hoy en día tenemos los DDoS más potentes que nunca a través de las botnets más grandes del momento. Miles de sistemas zombi infectados bombardean con tráfico (legítimo) las páginas para intentar echarlas abajo, y resulta bastante efectivo. Recurrir a este tipo de vulnerabilidades constituyen una novedad, pero en la práctica existen ya métodos que pueden dar iguales o mejores resultados a los atacantes. Si, hipotéticamente, se hicieran públicos los detalles de este fallo y sacaran una herramienta que permitiese a cualquiera tumbar un servidor con un solo click, protegerse sería sencillo: se bloquearía el acceso desde esa IP... así que para que fuese efectivo el atacante tendría que recurrir a diferentes IPs... o sea, a una botnet. Fyodor, creador de nmap, opina que no es para tanto, pero desde Outpost24, se le ha dicho que no lleva del todo razón en sus suposiciones.

¿Internet "se rompe"?

Este tipo de alertas sobre problemas de base deberían servir para alertar sobre la gran dependencia que tiene hoy en día Internet de protocolos obsoletos. DNS y SMTP por ejemplo, son protocolos antiguos que no tienen en absoluto en cuenta la seguridad, aun así son los más usados en la Red. Estas alertas no deberían servir para vaticinar catástrofes y que cunda el pánico, sino para que todos seamos conscientes de que existe la posibilidad de que se vaya necesitando un cambio en la base de la Red para protegerla convenientemente. En cualquier caso el problema se solucionará, de hecho
los principales fabricantes ya están trabajando en ello.

¿Sirven de algo estas alertas catastrofistas?

Si se toman con calma, sí. Por ejemplo, el descubrimiento de Kaminsky ha servido para retomar con fuerza el debate sobre el uso estandarizado de DNSSEC para proteger adecuadamente al inseguro DNS. Aunque será extraño que se implante a corto plazo. Requiere de una infraestructura de certificados y autoridades confiables que puede resultar compleja, e invita al control por parte de una sola gran autoridad certificadora. Es incluso probable que el debate quede en nada una vez más. Las grandes modificaciones son siempre complicadas y costosas aunque quizás cada vez más necesarias.


Más Información:

Robert E. Lee
http://blog.robertlee.name/

Vendors Fixing Bug That Could Crash Internet Systems
http://www.pcworld.com/article/151824/.html

Fuente: Hispasec