Todo mundo
ha visto en su PC una ventanita que dice “Java debe ser actualizado… YA!”
Pero… y que es Java, ’amá?
El sitio oficial de Java dice lo siguiente:
Java es un lenguaje de programación y una
plataforma informática comercializada por primera vez en 1995 por Sun
Microsystems. Hay muchas aplicaciones y sitios web que no funcionarán a menos
que tenga Java instalado y cada día se crean más. Java es rápido, seguro y
fiable. Desde portátiles hasta centros de datos, desde consolas para juegos
hasta súper computadoras, desde teléfonos móviles hasta Internet, Java está en
todas partes.
Java se usa
en laptops y centros de datos; consolas de juegos y súper-computadoras;
teléfonos celulares e internet. Es virtualmente la base de todo tipo de
aplicaciones en la red y un estándar global para desarrolladores; está presente
en aplicaciones móviles, juegos, contenido basado en la red y software dedicado
a productividad.
Java es un lenguaje común para la creación de juegos de computadora, software de
entretenimiento y sitios web; incluidos aquellos para ver videos, escuchar
música e interactuar con contenidos de la web.
En
cuestiones de productividad Java se usa para los procesadores de textos y hojas
de cálculo; también está en herramientas de organización (calendarios) y
comunicaciones electrónicas como el correo electrónico. Open Office utiliza
Java y es un ejemplo muy conocido de que tan flexible es la plataforma. Una
ventaja principal en este lenguaje es que es “portátil”; lo que significa que
los desarrolladores pueden escribir programas Java una vez y serán compatibles
con un número de sistemas operativos diferentes cuando se ejecutan. Java también
es importante para la creación de bases de datos y la programación
Como podemos ver, Java está en todos lados… pero
si está en todos lados, porque es tan vulnerable? Antes de empezar este viaje,
hagamos una parada rápida y aclaremos algo.
Existen 3 tipos de Hackers, los White Hat, los Black Hat y los Gray Hat.
Un hacker White Hat es un hacker que se centra en asegurar y proteger los
sistemas de Tecnologías de información y comunicación. Estas personas suelen
trabajar para empresas de seguridad informática.
Un hacker Black Hat es un hacker que muestra sus habilidades en
informática rompiendo sistemas de seguridad de computadoras, colapsando
servidores, entrando a zonas restringidas, infectando redes o apoderándose de
ellas, entre otras muchas cosas utilizando sus destrezas en métodos hacking.
Un hacker Gray Hat es un hacker que puede trabajar tanto a la ofensiva como a
la defensiva.
Los hackers tienen una ética basada en
una determinada serie de valores. Pekka Himanen en su libro "La
ética del Hacker y el Espíritu de la Era de la Información", rescata
algunos valores fundamentales:
- Lucha contra la alienación del hombre
- Libre acceso a la información (conocimiento
libre)
- Valor social (reconocimiento entre semejantes)
Ahora si… sigamos con Java.
En el 2011, Tim Rains, director de Trustworthy Computing Group, reportó que casi
la mitad de los ataques detectados y bloqueados por el software de seguridad de
Microsoft en un periodo de un año, fueron por Java. Se estima que Microsoft detuvo
más de 27 millones de incursiones por Java entre mediados del 2010 a mediados
del 2011. La mayoría de estos ataques se debían que el sistema no había sido
actualizado.
Actualizaciones de Java del 2009 al 2012.
En la primera mitad del 2011 se recibieron ataques por una error que fue
descubierto en Marzo 2010 y Oracle lanzo el Parche en ese mismo mes. El Segundo
más popular fue un error que fue parchado en Diciembre del 2008. Hay ejemplos
de ataques populares, que de hecho fueron 2.5 millones de ataques. Wolfgang
Kandek de Qualys dice que “Java no es algo con lo que la mayoría de los
usuarios interactúen, está en todas las computadoras pero muy rara vez el
usuario se mete a ver qué está pasando; claro, si fuera iTunes o el navegador
Opera todos estarían al tanto. Si las personas estuvieran al tanto de lo que es
y lo que hace, el software probablemente siempre estaría actualizado”.
“Pero… cómo le hacen?”
“Zero-day attack… no, no
es una película”
Un ataque de día-cero (zero-day attack) es un ataque contra una
aplicación o sistema que tiene como objetivo la ejecución de código malicioso
gracias al conocimiento de vulnerabilidades que, por lo general, son
desconocidas para la gente y el fabricante del producto. Esto supone que aún no
hayan sido arregladas. Este tipo de exploit circula generalmente entre
las filas de los potenciales atacantes hasta que finalmente es publicado en ciertos foros públicos. Un ataque
de día-cero se considera uno de los más peligrosos instrumentos de
una guerra informática.
- Google
pago aproximadamente USD $580,000 en un lapso de tres años para descubrir
501 vulnerabilidades en el navegador Chrome (= 28% de las vulnerabilidades
fueron parchadas en ese mismo periodo de tiempo.)
- Mozilla
pago aproximadamente USD $570,00 en un lapso de tres años para descubrir
190 vulnerabilidades en el navegador Firefox (=24% de las vulnerabilidades
fueron parchadas en ese mismo periodo de tiempo.)
- Facebook
ha pagado aproximadamente USD $1 millón desde que empezó a usar un
programa de detección de vulnerabilidades en el 2011.
- Microsoft
ha pagado aproximadamente USD $100,000 desde que empezó a usar un programa
de Reporte de Nuevas Técnicas de Acceso en Junio 2013.
Y… que pueden hacer?
Nombres de Usuario y Passwords
Una vez que tu computadora ha sido hackeada, se le pueden instalar programas
que pueden guardar todo lo que has escrito en el teclado y si, esto incluyen
nombres de usuario y passwords. Esta información se puede usar para entrar a
cuentas de Banco, Correo, iCloud, Google Drive, Dropbox, Evernote, etc.
Email Harvesting
Una vez hackeado, se tiene acceso al correo electrónico y la información que
esté disponible (Nombres, correo, teléfonos, todos los emails personales o
laborales) por lo general es vendida.
Bienes Virtuales
Licencias de software, licencias de sistemas operativos, licencias de juegos.
Personajes de juegos en línea, bienes y/o divisasde videojuegos.
Botnet
Una vez hackeada, la computadora puede ser conectada a una red de computadoras
hackeadas y controladas por algún hacker. Esta red se llama Botnet y puede ser
utilizada para enviar spam a millones de personas o lanzar ataques del tipo
“negación de servicio (Denial Of Service Attacks)”.
Robo de Identidad
Cuentas de Facebook, Twitter, LinkedIn; Emails; Skype y cualquier otra cuenta
de IM.
Webserver
Los hackers pueden convertir tu computadora en un servidor web que puede ser
utilizado para albergar sitios Phishing en los que se puedan robar nombres de
usuario y passwords de otras personas; albergar herramientas que eventualmente
serán utilizadas para otros ataques; distribuir pornografía infantil, videos
pirata o música robada.
Financiero
Una vez hackeada, pueden robar tu información de tarjetas de crédito, registros
de impuestos, inversiones o planes de retiro.
Extorción
Un hacker puede tomarte una computadora con tu propia webcam, enviártela y
exigir un pago para no destruir o publicar tu información privada. Encriptar
toda la información en tu máquina y exigir un pago para desencriptarla.
Rastrear todos los sitios que visitas y amenazarte con publicarlos.
Como pueden ver, instalar no
es lo mismo que actualizar. Como resultado, muchas organizaciones tienen
múltiples versiones de Java con cada usuario, incluyendo algunas que fueron
lanzadas al parejo que Windows 95.
En nuestra siguiente entrega, veremos un caso de estudio sobre Java.
@feexitmx
www.feexit.mx
rp@feexit.mx
