Ataques a través del caché. Nuestra privacidad en riesgo

Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro visitante número

desde el 12 de agosto de 1996

Ataques a través del caché. Nuestra privacidad en riesgo
	VSantivirus No. 161 - Año 4 - Sábado 16 de diciembre de 2000 Ataques cronometrados o "Timing Attack". ¿Otra amenaza a nuestra privacidad? Por José Luis López Se ha divulgado en estos días, un tipo de ataque que toma ventaja de la manera que los navegadores de Internet guardan los datos que han usado recientemente (páginas visitadas por ejemplo), para que alguien pueda saber sin su consentimiento, que lugares se han visitado últimamente, lo que constituye sin dudas, un verdadero riesgo para nuestra privacidad. Esta técnica ha recibido el nombre de "timing attack" algo así como ataque cronometrado, y permite que un sitio Web, pueda averiguar que otros sitios hemos visitado recientemente. Imagínese esto en una empresa. Esto podría servir para saber si los empleados han estado visitando ciertas páginas en busca de trabajo con sus competidores, por ejemplo. También, cualquier portal, podría verificar si el usuario ha visitado o no a sus patrocinadores. En concreto, este tipo de ataque, permitiría a cualquier sitio Web determinar que lugares hemos estado visitando recientemente. El problema en esto, es que puede hacerse sin siquiera nuestro conocimiento, y mucho menos nuestra aprobación. En que consiste el ataque El ataque se aprovecha de los datos que los navegadores (cualquier navegador, no se trata de una vulnerabilidad específica de alguno) guardan en su caché, como forma de acelerar la carga de páginas cada vez que se vuelve a visitar un sitio. Esta técnica, ampliamente usada y aceptada, consiste en guardar en nuestra computadora, o algunas veces en un servidor de la red (proxy), las páginas y datos accedidos más frecuentemente, acelerando de este modo el acceso a los mismos las siguientes veces que visitemos el mismo sitio (siempre que los datos no hayan cambiado claro). Esto también reduce enormemente el tráfico resultante. El ataque cronometrado (o "timing attack"), consiste en medir cuanto tiempo le toma a nuestro browser cargar un determinado elemento de alguna página, como una imagen o un archivo, y determinar de ese modo si el elemento está en el caché de nuestra computadora, significando en ese caso, que el sitio fue visitado recientemente por nosotros. Esto se puede lograr en forma más o menos fácil, al entrar a algún sitio, mediante el uso premeditado de Java o algún applet de JavaScript, que obligue al browser a cargar un elemento de otro sitio, y medir el tiempo de acceso a ese elemento. Quienes investigaron esto, el profesor de ciencias de la computación Edward Felten y el estudiante graduado Michael Schneider, ambos de la universidad de Princeton, descubrieron que ello es posible fácilmente, y lo que es más sorprendente, que se llegan a obtener tasas de exactitud cercanas al 98% en todos los casos. Y no solo eso, también descubrieron que si nuestro navegador no tiene habilitado las opciones de Java o JavaScript, igualmente se puede utilizar un segundo método, que consiste en el llamado sucesivo de ciertas páginas, y que permite llegar a las mismas conclusiones, con una eficiencia del 94% en todos los casos. La "solución" alternativa, eliminar el caché, causa tal degradación en la performance general de cualquier navegador, que la hace prácticamente inaceptable para cualquier usuario. ¿Cuál es la solución al problema? Mientras para Felten y Schneider, este tipo de ataque constituye un amenaza muy seria a nuestra privacidad, para Richard Smith, co-fundador de "The Privacy Foundation", organización que defiende los derechos de la privacidad de los usuarios, este tipo de vulnerabilidad parece ser solo una interesante técnica, más que una amenaza a nuestra privacidad. Smith comentó al respecto en las publicaciones especializadas, que "...en teoría, podría ofrecer algunos riesgos para nuestra privacidad. Pero que la revista Time (por ejemplo), pueda averiguar si usted visitó Newsweek y con ello presentarle una mejor oferta, parece poco probable... pero...", y luego de la duda agregó, "... pero, es interesante. Muestra cuán sutiles pueden ser estas cosas". Sin embargo, a Felten y Schneider les sorprende y preocupa la eficacia de la técnica, aunque no hay evidencias comprobadas de que algún sitio Web las esté usando en este momento. Sin embargo, los investigadores también hacen ver que este tipo de ataque es indetectable, y solo cambios en la estructura de los navegadores podrían servir de barrera para impedirlo. Al respecto dan algunas sugerencias en su informe, que podrían ser tomados en cuenta por algunos de los desarrolladores de estos programas. Esta técnica también podría permitir la construcción un tipo de "cookies" más "invasivos". Los cookies son datos que los sitios almacenan en nuestras computadoras cuando los visitamos, y se usan a menudo para no tener que ingresar nuevamente una contraseña a determinado sitio, o para guardar nuestra configuración personalizada para visualizar ese sitio por ejemplo. Pero Felten y Schneider crearon una variación de estos cookies, a la que llamaron "cache cookies" (galletas del caché). Y aunque todos los navegadores conocidos poseen la posibilidad de desactivar o de permitir a demanda, el uso de cookies normales, estos cookies especiales, usados por sitios maliciosos, podrían obligar a un browser a guardar estas galletas sin el permiso que requieren las normales. Además, ambos afirman que aunque este tipo de ataque pudo haber seguido oculto durante mucho tiempo más, sin que significara su existencia un riesgo explícito, prefirieron sacarlo a la luz, de modo que se entablara una sana discusión al respecto, y para que los desarrolladores los tuvieran en cuenta al lanzar nuevos productos. Ver también: 10/dic/00 - ¡Cuidado!. ¡Puede tener un "bug" en el e-mail! 18/dic/00 - El correo electrónico, el formato HTML, la música y los virus