Llegamos a ustedes gracias a:



Noticias

Programador explota vulnerabilidad de Windows en servicios de nube

[18/09/2013] Los volúmenes de datos en Windows (es decir, los discos duros de las máquinas virtuales) en las nubes públicas como Amazon Web Services pueden ser copiados y sus credenciales modificadas, permitiendo que un hacker pueda ver los datos, reportó un programador.
El autor de programas y consultor Jeff Cogswell, identificó la vulnerabilidad en la seguridad y mostró cómo ejecutó un hack de sus propios datos en una nota titulada La falla de Windows que afecta Amazon Web Services publicada en Slashdot.com. Su conclusión: no guardar información confidencial en la nube, incluso si se encuentra encriptada.
El posible hacker necesita acceso al volumen de datos para copiarlo y cambiar las credenciales, pero Cogswell afirma que los empleados en ciertos proveedores de nube tienen esa capacidad. Aunque los representantes de la industria restaron importancia a la amenaza, los hallazgos de Cogswell podrían generar más preocupaciones para los potenciales usuarios acerca de la seguridad de las nubes públicas.
La vulnerabilidad existe porque una característica que muchos proveedores de nube ofrecen: copiar los volúmenes. Copiar los volúmenes es útil en escenarios de prueba y desarrollo, por ejemplo, en donde los programadores pueden juguetear con una aplicación sin que los cambios impacten sobre el ambiente de producción. Cogswell afirma que esto también es una vulnerabilidad en la seguridad.
Para demostrar el hack, Cogswell hizo una copia de sus volúmenes y usó una versión modificada de una herramienta de reseteo de contraseñas llamada chntwp para cambiar las credenciales del volumen copiado. Microsoft ha emitido parches para asegurar que chntwp no permita que se puedan cambiar las credenciales, pero Cogswell afirma que pudo modificar la herramienta de reseteo de contraseñas para exponer la vulnerabilidad en las nuevas versiones de Windows.
Una vez que se resetea la contraseña del volumen de Windows, un hacker puede manipular los contenidos del volumen y reemplazar el original con una copia modificada. Se puede instalar software para que corra junto con el volumen y lo rastree, por ejemplo. Los datos pueden ser revisados por el hacker o se pueden realizar cambios a los datos.
Los defensores de la industria de la nube negaron los hallazgos. John Howie, presidente de Cloud Security Alliance -que promueve estándares de seguridad fuertes entre los proveedores de nube- los denomina no problemáticos. Para ejecutar la vulnerabilidad, el hacker debe tener acceso a ese volumen de datos para poder copiarlo y manipularlo. La probabilidad de que alguien en un proveedor de nube realice este ataque, incluso asumiendo que tenga acceso al almacén de archivos y que no hubiese monitoreo en el lugar, es tan pequeña que es desdeñable.
Cogswell señala que los empleados de los proveedores de nube pública tienen acceso a estos volúmenes -especialmente en los proveedores de servicio de nube más pequeños. Si quedan comprometidas las credenciales de usuario, el volumen de datos también podría quedar expuesto. Cogswell señala que no pudo realizar el hack en los datos de otros usuarios, solo sobre los suyos.
El uso de chntwp para resetear las credenciales para acceder al volumen es algo que podría hacerse en los volúmenes de Windows que se encuentran almacenados con cualquier proveedor de nube, o en un volumen on premises, señala. Esta herramienta en el pasado ha sido utilizada básicamente para resetear contraseñas en una máquina Windows en donde se han olvidado las contraseñas, o por los empleados que intentan obtener acceso de Administrador a sus computadoras de trabajo; ese tipo de cosas, escribió Cogswell en un correo electrónico. Como tal, nunca ha sido considerada como una amenaza mayor a la seguridad. Pero al tener copias booteables de Windows en una nube, una persona de dentro podría fácilmente hacer una copia del disco duro de nube, llevarse a casa la copia y gastar algunas horas hackeándolo usando herramientas como las que describí.
La vulnerabilidad refuerza la creencia que tiene Cogswell de que los datos confidenciales no deben almacenarse en la nube, señala. Los métodos de encriptamiento simples no pueden ofrecer protección contra esta vulnerabilidad, ya que se puede modificar el código de manera similar para obtener acceso a las llaves que se encuentran almacenadas en el archivo encriptado para desencriptar la información en algunos casos. Los métodos de encriptamiento que almacenan las llaves a la información encriptada de manera separada a los datos encriptados podrían ser más seguros.
Un portavoz de Microsoft sostuvo que la seguridad es una prioridad principal y se usan varios tipos de tecnologías y procedimientos de seguridad para ayudar a proteger la información del cliente de los accesos, usos o revelaciones no autorizadas. Sin embargo, la compañía no habló específicamente sobre la capacidad de los empleados para acceder a los archivos de los clientes o sobre la vulnerabilidad de la herramienta de reseteo chntwp. Los ejecutivos de Amazon no han respondido aún a las preguntas.
Brandon Butler, Network World (EE.UU.)