Programadores que conquistan la seguridad: Serie de aprendizaje y colaboración - Exposición de datos confidenciales

La exposición de datos confidenciales ha sido responsable de algunas de las brechas de seguridad más publicitadas e impactantes de los últimos años, como la catastrófica brecha de Marriott, en la que se robaron más de 300 millones de registros de clientes, y otros 150 millones cuando Equifax fue atacada. Se requiere un nivel de sofisticación medio y, a veces, equipo especial por parte del atacante, pero en muchos casos no es excesivamente difícil para un hacker lograrlo, y existen herramientas para automatizar algunas de las funciones del ataque.

La exposición de datos confidenciales ocurre cuando información destinada exclusivamente a visualización autorizada queda expuesta a personas no autorizadas en un estado sin cifrar, desprotegido o débilmente protegido. La mayoría de las veces, esto involucra datos que los hackers desean robar, como números de tarjetas de crédito, identificación de usuarios, secretos comerciales e información personal que podría estar protegida por leyes y regulaciones de la industria.

Los hackers pueden robar información confidencial si se almacena sin cifrado o atacando indirectamente el esquema de cifrado. En lugar de intentar descifrar un cifrado robusto directamente, roban claves criptográficas o atacan los datos cuando se trasladan a un estado sin cifrar, como cuando se preparan para su transporte.

En este episodio aprenderemos:

• Cómo los atacantes pueden provocar la exposición de datos confidenciales
• Por qué la exposición de datos confidenciales es tan peligrosa
• Técnicas que pueden solucionar esta vulnerabilidad.

¿Cómo explotan los atacantes la exposición de datos confidenciales?

La exposición de datos confidenciales normalmente ocurre cuando los sitios no emplean un cifrado de extremo a extremo sólido para proteger los datos, o cuando existen fallas explotables en el esquema de protección. También puede suceder cuando el cifrado utilizado es particularmente débil u obsoleto.

Los hackers a menudo intentan encontrar formas de eludir el cifrado si no se aplica en todas partes. Por ejemplo, si una base de datos de identidad de usuario almacena información cifrada, pero la descifra automáticamente al recuperarla, un hacker podría utilizar uno de los ataques que cubrimos anteriormente en estos blogs, como SQL o inyección XML, para ordenar a la base de datos que realice el proceso de descifrado. Entonces, los datos quedarían descifrados para el hacker sin esfuerzo adicional. ¿Por qué intentar derribar una puerta de acero cuando simplemente puedes robar la llave?

El cifrado débil también es un problema. Por ejemplo, si las tarjetas de crédito se almacenan utilizando un esquema de cifrado obsoleto, podría ser un problema si un hacker logra utilizar una vulnerabilidad de inclusión de archivos locales para extraer toda la base de datos a su computadora. Si los datos capturados estuvieran protegidos con algo sólido como el cifrado AES de 256 bits, sería mucho más difícil de romper si cayera en manos de un hacker. Pero si se utiliza un cifrado más débil u obsoleto, como el antiguo estándar DES, un hacker con equipo especial, como un conjunto de unidades de procesamiento gráfico (GPU), puede utilizarlas para romper el cifrado en un tiempo relativamente corto.

¿Por qué es peligrosa la exposición de datos confidenciales?

La exposición de datos confidenciales es peligrosa porque permite que usuarios no autorizados vean información protegida. Si los datos no fueran importantes, no estarían protegidos, por lo que cualquier violación de esa protección causará problemas. Nunca es una situación que una organización desee enfrentar.

La gravedad de los problemas causados por una exposición de datos confidenciales depende del tipo de datos expuestos. Si se roban datos de usuarios o contraseñas, podrían utilizarse para lanzar ataques adicionales contra el sistema. La exposición de información personal podría someter a los usuarios a ataques secundarios, como robo de identidad o phishing. Las organizaciones incluso podrían verse vulnerables a fuertes multas y acciones gubernamentales si los datos expuestos están protegidos legalmente por estatutos como la Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA) en los Estados Unidos o el Reglamento General de Protección de Datos (RGPD) en Europa.

Eliminación de la exposición de datos confidenciales

Detener la exposición de datos confidenciales comienza por garantizar un cifrado sólido, actualizado y de extremo a extremo de los datos confidenciales en toda la empresa. Esto incluye tanto los datos en reposo como en tránsito. No basta con cifrar los datos confidenciales mientras están almacenados. Si se descifran antes de su uso o transporte, pueden quedar expuestos mediante un ataque secundario que engañe al servidor para que los descifre.

Los datos en tránsito siempre deben protegerse mediante Seguridad de la Capa de Transporte (TLS) para evitar la exposición mediante ataques de intermediario (man-in-the-middle) u otros ataques contra datos en movimiento. Además, los datos confidenciales nunca deben almacenarse en caché en ninguna parte de la red. Los datos confidenciales deben permanecer con un cifrado sólido en el almacenamiento o enviarse mediante protección TLS, sin dejar puntos débiles que los atacantes puedan explotar.

Finalmente, realice un inventario de los tipos de datos confidenciales que protege su organización. Si no hay ninguna razón para que su organización almacene dichos datos, elimínelos. ¿Por qué exponerse a posibles problemas sin ningún beneficio posible? Los datos que una organización no mantiene no pueden ser robados de ella.

Más información sobre la exposición de datos confidenciales

Para profundizar en el tema, puedes consultar lo que dice OWASP sobre la exposición de datos confidenciales. También puedes poner a prueba tus nuevos conocimientos defensivos con la demo gratuita de la plataforma Secure Code Warrior, que entrena a equipos de ciberseguridad para convertirse en los mejores ciberguerreros. Para aprender más sobre cómo derrotar esta vulnerabilidad y otras amenazas, visita el blog de Secure Code Warrior.