¿Qué es una falla de día cero y cómo puede poner en riesgo sus contraseñas?

Quizás la filosofía no viene a la mente cuando piensas en la ciberseguridad. Sin embargo, hoy vamos a hablar sobre la vulnerabilidad de día cero, y este concepto requiere un poco de gimnasia mental. En realidad, es fácil cuando tenemos una determinada infección que podría afectar a los sistemas vulnerables; sin embargo, la vulnerabilidad de día cero es más como un marco de tiempo que puede ser utilizado por un tercero malévolo para explotar un sistema objetivo. Para mitigar esta vulnerabilidad, son necesarios los esfuerzos conjuntos del proveedor de software y los usuarios. Para obtener más información sobre este concepto y cómo la vulnerabilidad de día cero puede exponer las contraseñas, continúe leyendo esta entrada de blog.

El concepto de vulnerabilidad del día cero

Cuando escuchas esta frase, probablemente imagines algún tipo de problema de software que permita a los ciberdelincuentes piratear un sistema. Realmente tiene razón, pero hay algunos aspectos de este concepto que nos gustaría explicar.

La vulnerabilidad de día cero no indica un programa en particular o un sistema en particular. Se utiliza para describir una vulnerabilidad hipotética que el proveedor de software no conoce. Si un proveedor no es consciente de cierta vulnerabilidad, los hackers tienen más posibilidades de explotarla. La vulnerabilidad se mitiga solo cuando el proveedor lanza una actualización que contiene un parche, que corrige la vulnerabilidad. La cantidad de días que requiere el proveedor para liberar un parche puede usarse en lugar de "cero" en el nombre.

Por ejemplo, si se tarda 20 días para que se desarrolle y se lance un parche desde el descubrimiento de la vulnerabilidad, la vulnerabilidad específica se puede llamar una vulnerabilidad de 20 días. Sin embargo, incluso si la solución se ha desarrollado, todavía existe una gran posibilidad de que la vulnerabilidad se pueda aprovechar porque no todos los usuarios pueden aplicar la solución de inmediato.

Ejemplos de vulnerabilidad de día cero

Para darle una mejor idea de cómo se pueden aplicar los conceptos de vulnerabilidad de día cero en la práctica, echemos un vistazo a los problemas de software más recientes que aparecieron en los titulares en 2019. Por ejemplo, a principios de febrero, Adobe lanzó una micropatch que se utilizó para resolver una vulnerabilidad de día cero para Adobe Reader. A diferencia de la mayoría de las vulnerabilidades que hacen uso de cierta vulnerabilidad de software, los atacantes que utilizaron esta vulnerabilidad aprovecharon las debilidades encontradas en una función de incrustación de contenido para archivos PDF . Como resultado, esta vulnerabilidad de día cero expuso las contraseñas porque permitió a los delincuentes robar los valores de contraseñas con hash "llamando a su casa".

La micropatch que lanzó Adobe no corrigió exactamente la vulnerabilidad de inmediato. Notificó a los usuarios mostrando una advertencia de seguridad cada vez que los usuarios usaban Adobe Reader de una manera que podría ser explotada por los delincuentes cibernéticos.. Las actualizaciones de seguridad oficiales se publicaron más tarde de acuerdo con el programa oficial de parches de Adobe.

Otro ejemplo de una empresa de gran reputación que corrige las vulnerabilidades de día cero incluye a Apple que corrige varios problemas de seguridad relacionados con iOS y macOS Mojave a principios de febrero. Apple solucionó cuatro vulnerabilidades que podrían haber sido explotadas. Quizás la mayor vulnerabilidad conocida por el público en general fue el error FaceTime que permitió a cualquier persona utilizar la aplicación para escuchar las conversaciones de los usuarios. El punto con tales vulnerabilidades es que el proveedor no las conoce de antemano, y Apple ciertamente no estaba al tanto de las vulnerabilidades que tenía que corregir. Cuando tales problemas son descubiertos accidentalmente por consumidores o investigadores externos, ese es un ejemplo clásico de una vulnerabilidad de día cero.

Si tuviéramos que mirar hacia atrás para ver más ejemplos, también podemos mencionar un viejo defecto crítico en macOS que podría revelar contraseñas en PlainText . Esta vulnerabilidad de día cero se descubrió y luego se reparó en 2017. Esta vulnerabilidad había permitido a aplicaciones aleatorias exportar contraseñas en texto sin formato. El punto es que, técnicamente, Apple no permite aplicaciones sin firmar. Por lo tanto, sería muy difícil que un programa no autorizado se instale en macOS si Apple no ha aprobado el programa. Sin embargo, los expertos en seguridad informática sugirieron que incluso las aplicaciones firmadas podrían haber aprovechado esa vulnerabilidad. Por lo tanto, la conclusión es que nadie está seguro, y siempre tenemos que tomar todas las medidas de seguridad disponibles para proteger nuestros sistemas contra daños.

Cómo proteger su sistema de la vulnerabilidad de día cero

Como se mencionó, podría ser difícil hacer algo al respecto, a menos que el proveedor de software sepa que existe la vulnerabilidad. Además, existe este período de tiempo entre la liberación del parche y su implementación que también se puede utilizar para la explotación maliciosa. Por lo tanto, para minimizar el potencial de una explotación maliciosa, los usuarios deben aplicar las actualizaciones de software inmediatamente.

Nos damos cuenta de que algunos usuarios pueden querer desactivar la función de actualización automática en sus dispositivos, pero eso no es algo que recomendaríamos. Si permite que su software descargue actualizaciones programadas, definitivamente minimizará el potencial de una explotación maliciosa.

Además, podría hacer que a los delincuentes cibernéticos les resulte más difícil robar sus contraseñas manteniéndolas en una bóveda cifrada. Puede hacerlo empleando un administrador de contraseñas para mantener todas sus contraseñas bajo un bloqueo. Entonces solo necesitará una contraseña maestra que tenga que recordar (no puede almacenarla en ningún lugar de su sistema, o al menos no se recomienda) para acceder a todas sus otras contraseñas. De cualquier manera, hay varias maneras de mejorar la seguridad de su sistema para minimizar el daño potencial que podría enfrentar debido a vulnerabilidades de día cero.

Aparte de eso, usted mismo se hará un favor al establecer hábitos seguros en línea. Siempre verá a los expertos en seguridad decir que es necesario invertir en una herramienta antispyware confiable, pero esa herramienta puede no significar mucho o hacer mucho a menos que realmente emplee hábitos seguros de navegación web. Un programa de seguridad no puede protegerlo de un clic o una descarga maliciosa que podría iniciar accidentalmente. Por lo tanto, es importante utilizar un software actualizado y confiable, pero también es inmensamente importante cómo interactúa con el contenido en línea.