Programadores que conquistan la seguridad: Serie de aprendizaje y difusión - Protección insuficiente contra la automatización

Imagine que llega a la puerta de un antiguo bar clandestino. La pequeña mirilla de la puerta se desliza y un portero corpulento le pide la contraseña. El visitante potencial no la sabe y hace una suposición. Es incorrecta, así que el portero no le permite entrar.

Eso es lo que sucedería normalmente. Ahora imagine que el visitante que adivinó mal la contraseña lo intenta de nuevo inmediatamente, vuelve a fallar y se le niega el acceso otra vez. Luego, imagine que el visitante abre un diccionario y comienza a leer palabras, empezando por algo como "aardvark" y procediendo a probar cada palabra posible.

Lo más probable es que el portero no permitiera que ese tipo de actividad ocurriera, pero los sitios web y las aplicaciones con una anti-automatización insuficiente hacen exactamente eso. Permiten que los usuarios sigan probando contraseñas, incluso utilizando técnicas de automatización, hasta que finalmente dan con la frase correcta.

En este episodio, aprenderemos:

• Cómo explotan los atacantes la falta de anti-automatización
• Por qué son peligrosas las aplicaciones con anti-automatización insuficiente
• Técnicas para solucionar esta vulnerabilidad.

¿Cómo explotan los atacantes la falta de anti-automatización?

El uso de automatización o ataques de diccionario, como hizo nuestro visitante imaginario del bar clandestino, no es algo nuevo en la ciberseguridad. De hecho, esos ataques de fuerza bruta fueron algunas de las primeras técnicas de hacking que se utilizaron. Y a medida que las computadoras se volvieron más rápidas, se hicieron cada vez más eficientes. Una computadora rápida puede recorrer un diccionario completo de palabras en solo unos minutos, dependiendo de la velocidad de la conexión entre la computadora del atacante y el sistema objetivo.

Ese tipo de ataques automatizados fue la razón por la que se crearon el software y las técnicas de anti-automatización. Esto permite a las aplicaciones determinar si las acciones realizadas por un usuario están fuera de las normas del comportamiento humano típico.

Si una aplicación no cuenta con controles de anti-automatización suficientes, los atacantes pueden simplemente seguir probando contraseñas hasta encontrar una coincidencia. O bien, podrían usar software de automatización para realizar otras acciones, como enviar spam en foros de sitios web.

¿Por qué es peligrosa la falta de anti-automatización?

Permitir que usuarios malintencionados utilicen la automatización para intentar eludir la seguridad puede ser peligroso. La razón por la que los ataques de tipo automatizado han persistido desde los inicios de la informática hasta hoy es que pueden ser altamente efectivos. Si le da a un programa de automatización una cantidad ilimitada de tiempo para enviar contraseñas sin consecuencias por una suposición incorrecta, eventualmente encontrará la correcta.

Cuando se utilizan en algo como un foro, las oleadas de comentarios obviamente programados pueden frustrar a los usuarios legítimos, o incluso actuar como una especie de ataque de denegación de servicio al desperdiciar los recursos del sistema. La publicación automatizada también podría utilizarse como herramienta para ataques de phishing u otros, con el fin de exponer los señuelos a tantas personas como sea posible.

Cómo solucionar los problemas de falta de anti-automatización

Para solucionar el problema de la falta de anti-automatización, todas las aplicaciones deben tener la capacidad de determinar si las acciones que se están llevando a cabo son realizadas por un humano o por un software de automatización. Una de las técnicas más populares y utilizadas es la Prueba de Turing pública y automática para diferenciar a computadoras de humanos, o CAPTCHA.

El CAPTCHA es básicamente una prueba de Turing, propuesta por primera vez por el científico informático Alan Turing en 1950, mediante la cual el comportamiento humano y el de la computadora pueden separarse e identificarse. Los CAPTCHA modernos presentan problemas que los humanos pueden resolver fácilmente, pero que a las computadoras les cuesta o simplemente no pueden descifrar. Uno popular presenta una foto dividida por una cuadrícula y pide a los usuarios que identifiquen todos los sectores que contienen un elemento específico, como una flor o una cara. La computadora no puede entender qué se le pide y, por lo tanto, ni siquiera puede intentar escanear la imagen. Incluso si pudiera, el reconocimiento de imágenes está fuera del alcance de la mayoría de los programas que no han sido creados específicamente para ello.

Otros ejemplos de CAPTCHA incluyen mostrar texto borroso, hacer una pregunta lógica simple o incluso reproducir la pregunta en voz alta. Implementar un desafío CAPTCHA en puntos críticos de una aplicación, como al solicitar una contraseña, puede detener a los programas de automatización en seco.

También es posible detener los programas de automatización simplemente limitando el número de intentos incorrectos desde la misma fuente. Si se envían demasiadas suposiciones erróneas, la cuenta puede bloquearse temporalmente, retrasando así el programa de automatización hasta el punto de inutilizarlo, o incluso requiriendo que un administrador humano la desbloquee. Hacer cualquiera de estas cosas debería prevenir las vulnerabilidades de anti-automatización dentro de una aplicación.

Más información sobre la protección insuficiente contra la automatización

Para profundizar, puedes consultar lo que dice OWASP sobre la protección insuficiente contra la automatización. También puedes poner a prueba tus nuevos conocimientos defensivos con la demo gratuita de la plataforma Secure Code Warrior, que entrena a equipos de ciberseguridad para convertirse en expertos. Para aprender más sobre cómo vencer esta vulnerabilidad y otras amenazas, visita el blog de Secure Code Warrior.

¿Listo para detectar y corregir la protección insuficiente contra la automatización ahora mismo? Pon a prueba tus habilidades en nuestra arena de juego: [Empieza aquí]