Ha asegurado su ordenador o computadora con una fuerte encriptación de disco y software de seguridad. Es seguro, siempre y cuando lo mantengas a la vista. Pero, una vez que un atacante tiene acceso físico a tu equipo, todas las apuestas se cancelan. Conoce el ataque de la «criada malvada».
¿Qué es un ataque de «Doncella Malvada»?
A menudo se repite en la ciberseguridad: Una vez que un atacante tiene acceso físico a tu ordenador, todas las apuestas se cancelan. El ataque «evil maid» es un ejemplo, y no sólo un ejemplo teórico, de cómo un atacante puede acceder y comprometer un dispositivo desatendido. Piense en la «sirvienta malvada» como en un espía.
Cuando la gente viaja por negocios o placer, a menudo deja sus portátiles en las habitaciones de los hoteles. Ahora bien, ¿qué pasaría si hubiera una «criada malvada» trabajando en el hotel, una persona de la limpieza (o alguien disfrazado como una persona de la limpieza) que, en el curso de su limpieza normal de la habitación del hotel, utilizara su acceso físico al dispositivo para modificarlo y comprometerlo?
Ahora, esto probablemente no es algo de lo que la persona promedio deba preocuparse. Pero es una preocupación para objetivos de alto valor como empleados del gobierno que viajan internacionalmente o ejecutivos preocupados por el espionaje industrial.
No se trata sólo de «Criadas Malvadas»
El término «ataque de la sirvienta malvada» fue acuñado por primera vez por la investigadora de seguridad informática Joanna Rutkowska en 2009. El concepto de una «malvada» con acceso a una habitación de hotel está diseñado para ilustrar el problema. Pero un ataque de «sirvienta malvada» puede referirse a cualquier situación en la que su dispositivo deja su vista y un atacante tiene acceso físico a él. Por ejemplo:
- Usted pide un dispositivo en línea. Durante el proceso de envío, alguien con acceso al paquete abre la caja y compromete el dispositivo.
- Los agentes fronterizos de una frontera internacional llevan su portátil, smartphone o tableta a otra habitación y lo devuelven un poco más tarde.
- Los agentes de la ley llevan su dispositivo a otra habitación y lo devuelven más tarde.
- Eres un ejecutivo de alto nivel y dejas tu portátil u otro dispositivo en una oficina a la que otras personas podrían tener acceso.
- En una conferencia de seguridad informática, dejas tu portátil desatendido en una habitación de hotel.
Hay innumerables ejemplos, pero la combinación clave es siempre que dejas tu dispositivo desatendido, fuera de tu vista, donde otra persona tiene acceso a él.
¿Quién necesita preocuparse realmente?
Seamos realistas: Los ataques de las mucamas malvadas no son como muchos problemas de seguridad informática. No son una preocupación para la persona promedio.
Los programas de rescate y otros programas maliciosos se propagan como un incendio forestal de un dispositivo a otro a través de la red. Por el contrario, un ataque de criadas malvadas requiere que una persona real se esfuerce por comprometer su dispositivo específicamente en persona. Esto es spycraft.
Desde una perspectiva práctica, los ataques de criadas malvadas son una preocupación para los políticos que viajan internacionalmente, ejecutivos de alto nivel, multimillonarios, periodistas y otros objetivos valiosos.
Por ejemplo, en 2008, es posible que funcionarios chinos hayan accedido secretamente al contenido del ordenador portátil de un funcionario estadounidense durante las conversaciones comerciales en Pekín. El funcionario dejó su ordenador portátil desatendido. Como dice el artículo de Associated Press de 2008, «Algunos ex funcionarios de Comercio dijeron a la AP que tenían cuidado de mantener los dispositivos electrónicos con ellos en todo momento durante los viajes a China».
Desde una perspectiva teórica, los ataques de criadas malvadas son una forma útil de pensar y resumir toda una nueva clase de ataque para que los profesionales de la seguridad se defiendan de ellos.
En otras palabras: Probablemente no necesitas preocuparte de que alguien comprometa tus dispositivos informáticos en un ataque dirigido cuando los dejes fuera de tu vista. Sin embargo, alguien como Jeff Bezos definitivamente necesita preocuparse por esto.
¿Cómo funciona el ataque de una criada malvada?
El ataque de una sirvienta malvada se basa en modificar un dispositivo de forma indetectable. Al acuñar el término, Rutkowska demostró un ataque que compromete la encriptación del disco del sistema TrueCrypt.
Creó un software que podía ser colocado en una unidad USB de arranque. Todo lo que un atacante tendría que hacer es insertar la unidad USB en un ordenador apagado, encenderlo, arrancarlo desde la unidad USB y esperar un minuto. El software iniciaría y modificaría el software TrueCrypt para grabar la contraseña en el disco.
El objetivo volvería a su habitación de hotel, encendería el portátil e introduciría la contraseña. Ahora, la malvada criada podría volver y robar el portátil. El software comprometido habría guardado la contraseña de desencriptación en el disco, y la malvada criada podría acceder al contenido del portátil.
Este ejemplo, que demuestra la modificación del software de un dispositivo, es sólo una aproximación. Un ataque de la sirvienta malvada también podría implicar abrir físicamente un portátil, un ordenador de sobremesa o un smartphone, modificar su hardware interno y luego cerrarlo de nuevo.
Los ataques de criadas malvadas ni siquiera tienen que ser tan complicados. Por ejemplo, digamos que una persona de limpieza (o alguien que se hace pasar por una persona de limpieza) tiene acceso a la oficina de un CEO de una compañía de Fortune 500. Suponiendo que el CEO utilice un ordenador de escritorio, la «malvada» persona de la limpieza podría instalar un registrador de teclas de hardware entre el teclado y el ordenador o computadora. Podrían regresar unos días después, tomar el registrador de teclas de hardware y ver todo lo que el CEO escribió mientras el registrador de teclas estaba instalado y grabando las pulsaciones de teclas.
El dispositivo en sí mismo ni siquiera tiene que ser comprometido: Digamos que un CEO usa un modelo específico de portátil y deja ese portátil en una habitación de hotel. Una malvada criada accede a la habitación del hotel, reemplaza el portátil del CEO con un portátil que parece idéntico ejecutando un software comprometido, y se va. Cuando el CEO enciende la laptop e ingresa su contraseña de encriptación, el software comprometido «llama a casa» y transmite la contraseña de encriptación a la sirvienta malvada.
Lo que nos enseña sobre seguridad informática
El ataque de una sirvienta malvada pone de manifiesto lo peligroso que es el acceso físico a tus dispositivos. Si un atacante tiene acceso físico sin supervisión a un dispositivo que dejas desatendido, hay poco que puedas hacer para protegerte.
En el caso del ataque inicial de la sirvienta malvada, Rutkowska demostró que incluso alguien que seguía las reglas básicas de habilitar la encriptación del disco y apagar su dispositivo cuando lo dejaba solo era vulnerable.
En otras palabras, una vez que un atacante tiene acceso físico a su dispositivo fuera de su vista, todas las apuestas están cerradas.
¿Cómo puede protegerse contra los ataques de las sirvientas malvadas?
Como hemos señalado, la mayoría de la gente no necesita preocuparse por este tipo de ataque.
Para protegerse de los ataques de las sirvientas malvadas, la solución más efectiva es mantener un dispositivo bajo vigilancia y asegurarse de que nadie tenga acceso físico a él. Cuando los líderes de los países más poderosos del mundo viajan, puedes apostar que no dejan sus portátiles y smartphones tirados sin supervisión en habitaciones de hotel donde podrían ser comprometidos por el servicio de inteligencia de otro país.
Un dispositivo también puede ser colocado en una caja fuerte con llave u otro tipo de caja de seguridad para asegurar que un atacante no pueda acceder al dispositivo en sí, aunque alguien pueda forzar la cerradura. Por ejemplo, aunque muchas habitaciones de hotel tienen cajas fuertes incorporadas, los empleados del hotel suelen tener llaves maestras.
Los dispositivos modernos se están volviendo más resistentes a algunos tipos de ataques de sirvientas malvadas. Por ejemplo, el arranque seguro garantiza que los dispositivos no arranquen normalmente las unidades USB no fiables. Sin embargo, es imposible protegerse contra todos los tipos de ataques de criadas malvadas.
Un atacante decidido con acceso físico será capaz de encontrar una manera.
Un ataque de criadas malvadas es un tipo de ataque sofisticado con el que una persona promedio no puede lidiar. A menos que sea un objetivo de alto valor que probablemente sea el objetivo de agencias de inteligencia o de espionaje corporativo, hay muchas otras amenazas digitales de las que preocuparse, incluyendo rescates y otros ataques automatizados.