La tecnología digital ha abierto un mundo de soluciones para pequeñas empresas al ofrecer mayores niveles de eficiencia en todos los ámbitos. Pero también ha introducido amenazas a las que nunca antes habían estado expuestos.
Un estudio recientemente publicado por SEC Consult, un proveedor internacional de servicios de seguridad de aplicaciones y consultoría de seguridad de la información, reveló al menos una de esas nuevas amenazas. SEC Consult informó recientemente que la práctica de compartir los mismos certificados de servidor HTTPS y las claves de Secure Shell Host (SSH) ha puesto en riesgo a varias pequeñas empresas. Esto es después de que muchos dijeron que cambiar de HTTP a HTTPS proporcionaría una mejor seguridad para sus sitios web.
$config[code] not foundUna breve explicación de
El Protocolo seguro de transferencia de hipertexto (HTTPS) cifra y descifra las solicitudes de páginas de usuarios para proteger contra las escuchas ilegales y los ataques de intermediarios. Debido a que las comunicaciones enviadas a través de conexiones HTTP regulares están en "texto simple", los hackers pueden leerlas mientras los mensajes viajan entre su navegador y el sitio web. Con HTTPS, la comunicación está cifrada y el pirata informático no puede interrumpir la conexión.
Así es como se supone que funciona, pero si el certificado HTTPS y las claves SSH se comparten utilizando los mismos una y otra vez, eventualmente alguien podría resolverlo y leer las comunicaciones.
SEC Consult analizó el firmware de más de 4,000 dispositivos integrados de 70 proveedores al observar las claves criptográficas, que incluían enrutadores, módems, cámaras IP, teléfonos VoIP, dispositivos de almacenamiento en red, puertas de enlace de Internet y más. Había claves públicas y privadas, así como certificados en las imágenes de firmware.
La compañía expuso más de 580 claves privadas únicas de los dispositivos que fueron seleccionados. Luego, los investigadores correlacionaron las claves de las exploraciones que estaban públicamente disponibles en Internet, lo que les llevó a descubrir 150 certificados para 3,2 millones de hosts HTTPS. Eso se traduce en el nueve por ciento de todos los hosts HTTPS en la Web. Los investigadores descubrieron además 80 claves de host SSH, o más del seis por ciento de todos los hosts de shell seguro en la Web, con un total de 0,9 millones de hosts.
Esto se debe a al menos 230 claves que están siendo utilizadas activamente por más de 4 millones de dispositivos. Con tantos dispositivos, no debería sorprender a algunos de los fabricantes de hardware líderes en el mundo afectados por este problema técnico.
Algunas de las compañías identificadas incluyen Alcatel-Lucent, Cisco, General Electric (GE), Huawei, Motorola, Netgear, Seagate, Vodafone, Western Digital y muchas otras, según el informe.
Dado que esto se encuentra en el lado del hardware de los productos, los proveedores tienen que implementar las correcciones. Según Forbes, seis proveedores (Cisco, ZTE, ZyXEL, Technicolor, TrendNet y Unify) han confirmado que las correcciones están llegando. Pero esto deja muy pocas opciones para las pequeñas empresas que utilizan los dispositivos afectados. Todo lo que pueden hacer es esperar un parche de la compañía que hizo el producto.
Algunos dispositivos no permiten cambiar las claves y los certificados, lo que complica aún más las cosas.SEC Consult dijo que lanzará todos los certificados identificados y las claves privadas en breve. Mientras tanto, puede ir al sitio de la compañía, leer el informe y averiguar si su pequeña empresa está utilizando un producto de la lista de compañías.
Foto https a través de Shutterstock
1
