¿Está el SSL introduciendo malware de contrabando en su empresa?

Gary NeweVicepresidente de Arquitectos de Soluciones Globales | F5

Todos conocemos SSL, esa tecnología criptográfica esencial que protege nuestras comunicaciones en línea. Protege las comunicaciones entre los navegadores web que utilizamos y los servidores donde se alojan sitios web como este. Reconocerás un sitio web seguro por el símbolo del candado o por el uso de HTTPS en la dirección.

Y, en términos generales, SSL es algo positivo. Cualquier transacción que implique información financiera, como las operaciones bancarias o las compras por Internet, utiliza SSL para mantener la privacidad de tus datos. Sin embargo, recientemente ha surgido una iniciativa para proteger todo el tráfico de Internet con SSL, no solo el tráfico que contiene combinaciones de nombre de usuario y contraseña o datos financieros. Noticias de gran repercusión, como las revelaciones de Edward Snowden sobre la vigilancia masiva mundial han hecho que cada vez más usuarios exijan cifrado en Internet, y los proveedores están encantados de ofrecérselo.

Por eso su uso está aumentando; la mayoría de los sitios web más populares del mundo, como Google, Amazon y Facebook, ya tienen activado de forma predeterminada HTTPS —que proporciona cifrado SSL— para todo el tráfico. Se estima que para finales de 2015 más de la mitad del tráfico de Internet mundial estará cifrado. (Esto se debe principalmente a Netflix, que representa un enorme porcentaje del tráfico de Internet y está migrando a HTTPS).

Pero, aunque no cabe duda de que cifrar el tráfico de Internet protegerá una mayor cantidad de nuestros datos confidenciales, también conlleva mayores riesgos para las empresas. Esto se debe a que muchos dispositivos de seguridad empresariales no pueden ver el contenido del tráfico cifrado, lo que permite que el malware se infiltre sin ser detectado.

Los cortafuegos, las puertas de enlace web, los sistemas de prevención de intrusiones y otras soluciones pueden tener dificultades para detectar el malware que llega a través de tráfico cifrado. Si los ciberdelincuentes pueden ocultar malware en una transacción supuestamente segura, la situación podría convertirse en una pesadilla para las empresas. Y esto funciona en ambos sentidos: el malware no solo puede llegar sin ser detectado, sino que también puede enviar información confidencial a su servidor de control mediante una transacción cifrada que la mayoría de las herramientas de seguridad no detectarían.

Un ejemplo de ello es el malware bancario Dyre. Según diversos informes, este malware era capaz de robar información antes de que se activara el cifrado y enviarla al servidor de mando y control haciéndola pasar por tráfico cifrado legítimo. Lo más preocupante es que la sesión parece segura, ya que se muestra el símbolo del candado, pero, entre bastidores, se están recopilando datos confidenciales.

De hecho, cualquier sitio web sospechoso puede distribuir malware mediante descargas involuntarias y, si la sesión está cifrada, las herramientas de seguridad no pueden determinar cuál es el contenido real de ese tráfico ni adónde se dirige. Dispositivos como el servidor proxy o la pasarela de filtrado de URL son completamente incapaces de detectarlo.

Es un problema muy real al que se enfrentan las empresas. Los datos de Gartner indican que menos del 20 % de las organizaciones que utilizan cortafuegos, IPS o UTM descifran el tráfico SSL, lo que significa que el malware oculto en dicho tráfico eludiría esas plataformas de seguridad. Gartner también afirma que, para 2017, más del 50 % de los ataques de red dirigidos contra empresas utilizarán SSL para eludir las medidas de seguridad.

¿Cómo pueden las empresas asegurarse de que no las sorprenda el malware oculto en el tráfico cifrado? La respuesta sencilla sería descifrar ese tráfico, pero la cuestión es cómo hacerlo sin vulnerar la privacidad ni dejar datos sensibles expuestos a ataques.

Así pues, la cuestión pasa por saber qué tráfico debe descifrarse. Si una empresa ofrece contenido a usuarios externos, necesita utilizar algún tipo de dispositivo para descargar al servidor del procesamiento del tráfico SSL e incorporar después protección al flujo de tráfico. Esto interrumpirá el cifrado SSL, pero de forma inteligente: no conviene descifrar una sesión bancaria, pero sí una sesión de Facebook.

La seguridad debe contar con la inteligencia necesaria para saber adónde se dirige el tráfico y decidir si debe descifrarse o dejarse tal cual. Se trata de romper el cifrado SSL, pero de forma segura e inteligente.

Sobre el autor

Gary NeweVicepresidente de Arquitectos de Soluciones Globales | F5

Más artículos de Gary Newe