Programadores que conquistan la seguridad: Serie Compartir y Aprender - Protección insuficiente en la capa de transporte

Incluso si ha asegurado completamente un servidor de aplicaciones y los sistemas backend que utiliza, las comunicaciones podrían seguir siendo vulnerables al espionaje si la protección de la capa de transporte es insuficiente. En el mundo físico, la razón por la que el dinero en efectivo se transporta en vehículos blindados es para brindar protección mientras está en tránsito. Realmente no importa cuán segura sea una tienda o un banco si el dinero que genera se carga en un carrito de golf para cruzar la ciudad.

Lo mismo puede decirse de las capas de transporte en el ámbito cibernético. Incluso si una aplicación es segura, sigue existiendo una vulnerabilidad crítica si la información que llega a ella se envía sin protección. Y existe una segunda vulnerabilidad en algunas aplicaciones si, además, envían información a otros servidores o a una base de datos. Esa información podría quedar expuesta a personas internas que no tienen motivos para espiar esas transacciones.

Para proteger completamente a los usuarios y los datos es necesario proteger la capa de transporte. Solo así podrá asegurar por completo una transacción de principio a fin.

En este episodio, aprenderemos:

• Cómo pueden los hackers explotar la protección insuficiente de la capa de transporte
• Por qué es tan peligroso no proteger la capa de transporte
• Qué se puede hacer para asegurar el transporte de todos los datos que entran y circulan por una aplicación o servidor.

¿Cómo explotan los atacantes la protección insuficiente de la capa de transporte?

La protección insuficiente de la capa de transporte puede permitir ataques en dos puntos dentro de su flujo de datos. El punto más explotado se encuentra entre el usuario y el servidor de aplicaciones. Si la información se envía en texto plano o con un cifrado débil, los hackers podrán monitorear, robar y posiblemente modificar esa información. Esto podría permitirles robar la tarjeta de crédito de un usuario, sus credenciales de inicio de sesión o cualquier otra cosa enviada al servidor de aplicaciones. Incluso si el servidor en sí es seguro, un hacker que monitoree el canal inseguro entre este y los usuarios podría obtener acceso casi ilimitado a una gran cantidad de información.

El segundo punto que a menudo queda sin protección es la capa de transporte entre una aplicación y el resto de la red. Por ejemplo, un servidor de aplicaciones podría procesar pedidos de compras en línea y luego enviarlos a un sistema de cumplimiento, o los datos podrían simplemente transferirse a una base de datos para su almacenamiento. Si esos canales internos no están protegidos, los usuarios internos podrían ver esa información.

Aunque es agradable creer que todos los usuarios internos son personas honestas, el hecho es que las amenazas internas están aumentando en muchas industrias. Se ha descubierto que empleados aceptan sobornos a cambio de recopilar información confidencial para atacantes o competidores. Y tener acceso a algo como miles de tarjetas de crédito válidas puede ser simplemente demasiado tentador para que algunas personas lo ignoren.

En cuanto a las técnicas de ataque, no es muy difícil interceptar comunicaciones sin protección. Incluso los hackers de bajo nivel saben cómo realizar ataques de intermediario (man-in-the-middle) contra flujos de datos no cifrados. Si no lo saben, hay videos en línea que pueden capacitarlos en menos de media hora.

¿Por qué son tan peligrosas las vulnerabilidades de protección insuficiente de la capa de transporte?

Tener una protección insuficiente o inexistente en las capas de transporte es peligroso porque hace que sea extremadamente fácil para los hackers recopilar información confidencial. No necesitan entrar en su servidor de aplicaciones ni hackear su red. Simplemente configuran un ataque de intermediario y leen todo lo que los usuarios envían al servidor. Esto puede incluir nombres de usuario y contraseñas que pueden usarse para eludir la seguridad en el futuro utilizando credenciales válidas. Dependiendo de la aplicación, esto también podría incluir información de tarjetas de crédito u otros datos personales de los usuarios.

Y es importante señalar que todo este espionaje ocurre fuera de su red. Si utiliza canales de transporte inseguros, no hay forma de saber si alguien está capturando esa información. Normalmente, la primera señal es cuando muchos usuarios comienzan a informar sobre cuentas comprometidas o compras con tarjeta de crédito, y el factor común es su aplicación; no es una buena situación. Los hackers también pueden modificar la información una vez que la tienen, cambiando la dirección de entrega, por ejemplo, o incluso insertando scripts maliciosos en la respuesta del servidor antes de enviarla a los usuarios.

En el backend, no asegurar la capa de transporte expone los datos a personas internas. Es probablemente mucho menos probable que un usuario interno espíe la capa de transporte en comparación con hackers externos haciendo lo mismo. Pero también es más peligroso si sucede, porque la amenaza interna podrá ver no solo los datos del usuario, sino también cualquier información propietaria añadida por el servidor de aplicaciones antes de enviar esos paquetes.

Eliminación de vulnerabilidades por protección insuficiente de la capa de transporte

Por peligrosa que pueda ser la protección insuficiente de la capa de transporte, tampoco es increíblemente difícil asegurar adecuadamente todos sus canales de transporte. Comienza con la infraestructura del backend. Esta debe ser exclusivamente HTTPS; asegúrese de no mezclar HTTPS y HTTP en un sitio. Finalmente, mantenga un certificado SSL válido con un tamaño de clave mínimo de 2048 bits mientras obliga a todos los usuarios a interactuar mediante navegadores seguros con HTTP Strict Transport Security (HSTS).

Una vez que la infraestructura esté lista, los desarrolladores deben utilizar un protocolo sólido para proteger la capa de transporte. Idealmente, se debe usar TLS 1.2, aunque TLS 1.1 y 1.0 también son aceptables si es absolutamente necesario. Una vez hecho esto, los protocolos débiles como SSLv2 deben desactivarse por completo y nunca ser compatibles.

También debe asegurarse de que los cifrados criptográficos sean lo suficientemente robustos en el backend. Lo ideal es que el tamaño mínimo de la clave de sesión sea de 128 bits. Al igual que con los protocolos, se debe deshabilitar la compatibilidad con algoritmos criptográficos débiles como DES y RC4-40. Por último, no considere que una aplicación es realmente segura hasta que tanto el servidor como todas las rutas de datos que entran y salen de él estén debidamente protegidos.

Más información sobre las vulnerabilidades de protección insuficiente en la capa de transporte

Para profundizar, puede consultar la guía de protección de capas de transporte de OWASP. También puede poner a prueba sus nuevos conocimientos defensivos con la demo gratuita de la plataforma Secure Code Warrior, que entrena a equipos de ciberseguridad para convertirse en expertos en defensa. Para saber más sobre cómo derrotar esta vulnerabilidad y otras amenazas, visite el blog de Secure Code Warrior.