Almacenamiento criptográfico inseguro y seguridad | Secure Code Warrior

Los datos son el alma de las empresas. Son la información fundamental necesaria para sobrevivir, generar ingresos y prestar servicios a los clientes. En esta sociedad cada vez más centrada en lo digital, los desarrolladores tienen una inmensa responsabilidad como custodios de esta valiosa información. Cuando los desarrolladores no protegen los datos confidenciales, la empresa queda expuesta al almacenamiento criptográfico inseguro.

Echemos un vistazo a cómo almacenar datos de forma segura y qué puede suceder si no lo hace.

Comprender el almacenamiento criptográfico inseguro

Cuando los atacantes obtienen acceso a un sistema, suelen buscar datos valiosos. Ya sabe, el tipo de información que puede utilizarse para tomar el control de una cuenta o ejecutar otro ataque. A veces, este tipo de datos simplemente se venden en el mercado negro para obtener dinero rápido.

El almacenamiento criptográfico inseguro no es una vulnerabilidad única como la inyección SQL o XSS. Es la consecuencia de no proteger los datos que debería proteger, de la manera en que necesita protegerlos.

La información confidencial debe estar protegida. Cuando almacena contraseñas e información de tarjetas de crédito en texto plano, está jugando a la ruleta rusa con su negocio.

Si un hacker entra en su base de datos y roba información mediante inyección SQL, inyección XML o cualquier otro ataque, lo tendrá todo. Sin embargo, si cifra sus datos, le resultará mucho más difícil sacarles provecho real.

Es importante señalar que las brechas no siempre son el resultado de un atacante externo malintencionado. Un empleado desleal también puede robar datos fácilmente si no están cifrados. Los empleados de su empresa no necesitan verlo todo en la base de datos, y unos controles de acceso inadecuados o la exposición de datos confidenciales pueden derivar en un robo directo.

Recuerde también que no todo el cifrado es igual. Utilizar algoritmos criptográficos incorrectos es tan peligroso como no utilizarlos en absoluto. Los algoritmos débiles conocidos ofrecerán poca resistencia a los atacantes expertos.

Por qué el almacenamiento criptográfico inseguro es peligroso

Muchas empresas se ven comprometidas por otra vulnerabilidad (como la inyección SQL) y terminan siendo incapaces de ocultar los datos robados. Esto hace que una situación terrible sea aún peor.

• Adult Friend Finder sufrió una brecha que filtró 412 millones de cuentas. Las contraseñas de dichas cuentas estaban protegidas con el débil algoritmo de hash SHA-1. Los atacantes las descifraron fácilmente en menos de un mes.
• Uber sufrió una brecha que filtró 57 millones de registros de usuarios y 600.000 registros de conductores. Se perdió información personal. Ocurrió porque la cuenta de GitHub de Uber tenía un repositorio que contenía el nombre de usuario y la contraseña de la cuenta de AWS de Uber a la vista... no es una buena idea. La valoración de Uber cayó 20.000 millones de dólares, en gran parte debido a esta brecha.
• La PlayStation Network de Sony sufrió una brecha que filtró 77 millones de cuentas. 12 millones de esas cuentas contenían información de tarjetas de crédito sin cifrar. Posteriormente, Sony llegó a un acuerdo de 15 millones de dólares en una demanda colectiva por la brecha.

Claramente, existen graves consecuencias por no almacenar correctamente los datos confidenciales.

Sony fue demandada, lo cual es una sanción importante. Sin embargo, incluso si no le demandan, el daño reputacional y normativo podría ser catastrófico para una empresa.

Derrotar el almacenamiento criptográfico inseguro

¿Cómo pueden los desarrolladores evitar que ocurran brechas de datos como las anteriores?

El primer paso es identificar qué datos requieren cifrado. Después de todo, no todos los datos son iguales. Categorice sus datos, y luego utilice el cifrado donde sea apropiado.

En general, la información personal como números de seguridad social, contraseñas y detalles de tarjetas de crédito debe estar protegida. Dependiendo de la naturaleza de su negocio, es posible que deba proteger registros médicos u otra información considerada privada.

Una vez que sepa qué datos deben protegerse, el siguiente paso es utilizar las herramientas adecuadas para garantizar su seguridad. Por lo general, es recomendable utilizar algoritmos criptográficos que hayan resistido el paso del tiempo y se consideren robustos.

Bajo ninguna circunstancia cree sus propias funciones criptográficas. Es probable que contengan fallos que los atacantes puedan aprovechar para romper el cifrado.

Para cifrar datos como números de seguridad social o información de tarjetas de crédito, utilice AES. Existen diferentes modos de operación para AES; un modo altamente recomendado al momento de escribir este artículo es Galois/Counter Mode (GCM). Otro consejo es asegurarse de no utilizar relleno (padding) en las bibliotecas que le soliciten elegir un tipo de relleno.

Para las contraseñas, utilice un algoritmo de hash, ya que los hashes no se pueden revertir. Con un valor hash robusto, un atacante no puede recuperar el texto original que generó dicho valor. Argon2 y Bcrypt se consideran opciones sólidas para el hashing de contraseñas. Recuerde siempre añadir un "salt" (valor aleatorio) a la contraseña antes de aplicar el hash para que no existan dos hashes iguales para la misma contraseña.

Estas funciones cuentan con implementaciones para los principales lenguajes y marcos de trabajo. Consulte la documentación de su lenguaje o framework específico para obtener información sobre cómo utilizarlas de manera efectiva.

La generación, el almacenamiento y la gestión de claves son componentes importantes de la criptografía. Las claves mal gestionadas pueden quedar expuestas y utilizarse para descifrar sus datos. Algunos marcos de trabajo ayudan con la gestión de claves, como la API de protección de datos de ASP.NET. Para conocer las mejores prácticas generales de gestión de claves, consulte la hoja de trucos de OWASP.

Almacenar sus datos de forma segura es la manera de evitar costosas y vergonzosas brechas de seguridad. En el peor de los casos, si un atacante logra robar sus datos, le resultará mucho más difícil verlos o utilizarlos para cualquier fin malintencionado.

Oculte sus datos a plena vista

Repasemos rápidamente cómo proteger sus datos:

• Categorice sus datos para saber qué requiere protección
• Utilice algoritmos robustos y validados por la industria para cifrar datos confidenciales
• Almacene sus contraseñas utilizando hashes unidireccionales seguros

Para profundizar en el tema, consulte nuestros Recursos de aprendizaje. Cuando esté listo para empezar a practicar, pruebe nuestra plataforma en su lenguaje preferido. ¡Cubrimos mucho contenido!

Con estas herramientas, puede evitar que sus datos sean robados y proteger a su empresa de pérdidas económicas y daños a su reputación.

¿Listo para encontrar y corregir el almacenamiento criptográfico inseguro ahora mismo? Diríjase a la arena y ponga a prueba sus habilidades [comience aquí]