“Los días cero” son vulnerabilidades graves del software que son desconocidas para el fabricante o el usuario. Reciben ese nombre porque los desarrolladores se enteran de la vulnerabilidad de seguridad el día en que es explotada, lo que les deja “cero días” para corregirla.
Estas vulnerabilidades pueden encontrarse en algunos de los programas y plataformas más utilizados del mercado comercial: Adobe Flash, Internet Explorer, redes sociales (Facebook y LinkedIn, por citar dos) e innumerables más.
La reciente filtración de correos electrónicos de Hacking Team arroja nueva luz sobre el alcance de la participación de los gobiernos en el mercado internacional de días cero. En lugar de revelar estas vulnerabilidades a los fabricantes de software para que puedan corregirlas, las agencias gubernamentales las compran y luego las acumulan.
Esta práctica y la política que la permite exponen a miles de millones de usuarios de internet y de software a riesgos de ciberseguridad graves e innecesarios. Existen varias soluciones a este problema, pero antes echemos un vistazo al mercado de días cero.
El creciente mercado de días cero
Conocer la existencia de días cero resulta valioso tanto para los delincuentes como para las agencias de inteligencia. Pagan grandes sumas de dinero para conocer estas vulnerabilidades y luego desarrollan exploits (o simplemente compran los exploits) para eludir la seguridad de la información de sus objetivos.
Entre otras técnicas, los piratas informáticos que vulneraron Sony Pictures Entertainment y la Office of Personnel Management (OPM) explotaron vulnerabilidades de día cero para llevar a cabo estos ataques de gran escala.
Esto se ha convertido en un negocio serio. El mercado internacional de compra y venta de vulnerabilidades de día cero se compone de tres mercados superpuestos: “negro”, “gris” y “blanco”.
Los vendedores del mercado negro incluyen a piratas informáticos independientes y organizaciones. Los compradores incluyen delincuentes y organizaciones criminales. Dada la naturaleza clandestina de este mercado, no hay forma de saber cuántas vulnerabilidades se compran y venden en el mercado negro. Roy Lindelauf, investigador de la Academia de Defensa de los Países Bajos, cree que más de la mitad de los exploits vendidos se adquieren ahora a empresas legítimas y no a piratas informáticos independientes, lo que sugiere que el mercado negro no es el mayor de los tres mercados interrelacionados.
El segundo mercado es “gris” en el sentido de que es legal, aunque no oficial ni regulado. Históricamente, los Estados nacionales han tenido el monopolio de la compra en el mercado gris. Entre ellos figuran Brasil, India, Israel, Malasia, Corea del Norte, Rusia, Singapur, el Reino Unido, Estados Unidos y muchos más. También se cree que contratistas de defensa como Northrupp Grumann y Raytheon actúan como compradores y/o vendedores.
Es difícil hacer estimaciones fiables del tamaño del mercado gris. Se considera que la Agencia de Seguridad Nacional (NSA) de Estados Unidos es “el mejor y más seguro adquirente de días cero … en realidad, uno realmente insaciable,” según un correo electrónico de Hacking Team indexado por WikiLeaks. Gastó US$25 millones en 2013 para adquirir “vulnerabilidades de software” de proveedores privados de malware. Una fuente sugiere que el precio medio de un día cero oscila entre 40.000 y 160.000 dólares, lo que implica que 25 millones de dólares podrían comprar entre 156 y 625 vulnerabilidades.
Los compradores del mercado “blanco”, también legal, incluyen a fabricantes de software como Facebook, Google, Microsoft y LinkedIn. Los fabricantes de software ofrecen una suma de dinero, a veces denominada “recompensas por errores”, a quien encuentre y les comunique la existencia de una vulnerabilidad.
También existen plataformas que conectan a decenas de fabricantes de software con investigadores y expertos en seguridad. Prometen una comisión a quienes comuniquen vulnerabilidades a los fabricantes a través de la plataforma. iDefense y TippingPoint fueron dos de las primeras empresas de este ámbito. Han surgido nuevas empresas, como HackerOne, que recaudó recientemente 25 millones de dólares en capital riesgo.
Las recompensas por errores son una solución novedosa al problema de los días cero: pagar a personas para que no hackeen un sistema. En cambio, se les paga para que utilicen sus habilidades en encontrar y comunicar vulnerabilidades, de modo que los fabricantes de software puedan corregirlas y, así, mejorar la ciberseguridad en general.
Las cantidades pagadas a través de los programas de recompensas por errores pueden ser considerables. En todos los mercados, los precios suelen determinarse en función del tipo de error y del potencial de uso con fines de hackeo. Sin embargo, los precios del mercado blanco no suelen ser tan altos como los del mercado negro, ni se acercan a las pérdidas sufridas por las víctimas de los exploits de día cero.
Riesgos de la acumulación por parte de los gobiernos
Aunque muchas agencias gubernamentales son compradoras en el mercado gris mundial de días cero, casi ningún país tiene una postura política explícita sobre lo que hace con los errores que compra.
En Estados Unidos se han hecho públicos algunos detalles de la política oficial sobre la divulgación de días cero. El exdirector general de la NSA, Keith Alexander, ha declarado que la agencia utiliza los días cero “para la defensa, y no … con fines ofensivos.” Según sus asesores, la postura del presidente Barack Obama es que “cuando la Agencia de Seguridad Nacional descubre fallos graves en la seguridad de internet” debe “–en la mayoría de los casos– revelarlos … en lugar de mantenerlos en silencio para que los fallos puedan ser utilizados.” Sin embargo, existe una excepción amplia en caso de una necesidad clara de seguridad nacional o de aplicación de la ley.
El uso de la expresión “seguridad nacional” resulta curioso si se tiene en cuenta que una política de retener cualquier día cero pone efectivamente en mayor riesgo de ser pirateada la seguridad de todos los usuarios del software en cuestión, que en el mundo actual incluye a empresas, agencias gubernamentales y particulares.
Cabe reconocer a Estados Unidos el mérito de haber ido más lejos que todos los demás gobiernos al explicar su política sobre la divulgación de días cero. Australia, China, Rusia y el Reino Unido no han hecho públicas en absoluto sus posturas sobre los días cero.
Las consecuencias de esta práctica —y de las políticas, a menudo poco transparentes, que la permiten— son graves. Cuando una agencia gubernamental compra el conocimiento de un día cero y luego lo acumula, no hay garantía alguna de que otra persona u organización malintencionada no pueda descubrirlo (o comprarlo) y explotar esa misma vulnerabilidad.
Al retener el conocimiento de los días cero, las agencias gubernamentales mantienen a todos los usuarios de software en un estado de riesgo suspendido. El alcance de este riesgo es mundial, ya que el software y las plataformas en cuestión son utilizados por miles de millones de personas.
¿Qué alternativas existen?
En lugar de una política de acumulación de días cero, y de los riesgos que conlleva, ¿qué políticas alternativas podrían existir?
La divulgación obligatoria o una mayor supervisión sobre el descubrimiento o la compra de días cero son alternativas nacionales obvias al statu quo. A nivel internacional, la “acción colectiva voluntaria para armonizar los controles de exportación de días cero a través del Arreglo de Wassenaar” se considera otra posible vía, especialmente dado que actualmente está en revisión. Este acuerdo se diseñó para controlar la exportación e importación de armas y tecnologías con posibles aplicaciones militares.
El analista de seguridad informática y especialista en gestión de riesgos Dan Geer ha propuesto que el Gobierno de Estados Unidos supere en diez veces la oferta de cualquier otro comprador en el mercado internacional de días cero, siempre que los errores sean “escasos, no densos” (es decir, que el software en cuestión tenga pocos errores, no muchos).
Si la NSA gasta 25 millones de dólares al año en días cero, con el plan de Geer esa cifra aumentaría a al menos 250 millones de dólares. El presupuesto de la NSA es de al menos 10.000 millones de dólares anuales, con 1.200 millones de dólares gastados en 2013 en capacidades ciberofensivas (en otras palabras, piratería patrocinada por el Estado).
Dados los tamaños de estos presupuestos, la propuesta de Geer es financieramente viable, aunque exigiría un cambio serio de la política oficial, empezando por ordenar la divulgación inmediata de todos los errores a los fabricantes de software para que puedan parchearlos.
Ir a la raíz del problema
Si los gobiernos se tomaran realmente en serio el problema de las vulnerabilidades de día cero, podrían considerar ir a la raíz del problema: hacer responsables a los fabricantes de software del código defectuoso.
La práctica habitual de los fabricantes de software desde la década de 1980 se conoce como
“parchear y rezar.” En resumen, los fabricantes de software sacan un producto al mercado a toda prisa, optando por publicar parches para las vulnerabilidades más adelante, en lugar de invertir tiempo y recursos en pruebas adicionales y en la corrección de errores (incluidos los días cero) antes del lanzamiento.
La lógica económica es sencilla. Lanzar equivale a ventas e ingresos. Retrasar el lanzamiento para probar y corregir errores aumenta los costes. Dado que las pérdidas por software defectuoso recaen en el usuario, y no en el fabricante, hay poco incentivo para que el fabricante corrija los errores antes de lanzar el producto. Es más fácil “avanzar rápido y romper cosas” cuando no hay que pagar por las cosas que acaban rotas.
Para empeorar las cosas, los usuarios no siempre actualizan su software con prontitud, y esa es en realidad la única defensa de la que disponen. Así, las vulnerabilidades pueden persistir durante años después de haber sido descubiertas y de que se hayan publicado los parches.
Hacer responsables a los fabricantes de software de las pérdidas causadas por su software defectuoso alteraría por completo estos incentivos. Podrían investigarse distintos enfoques para encontrar uno que equilibre la necesidad de reducir al mínimo los errores y proteger a los usuarios sin ahogar la innovación.
Establecer cualquier tipo de responsabilidad para los fabricantes de software por sus productos defectuosos requeriría una gran voluntad política, especialmente en un clima en el que las propuestas actuales van en la dirección contraria. Sin embargo, si se hace correctamente, crearía un fuerte incentivo para que los fabricantes de software adopten medidas más rigurosas que reduzcan el número de errores en su software. Esto daría un impulso significativo a la ciberseguridad de miles de millones de usuarios de software.
La paradoja de la política de ciberseguridad continúa
Los funcionarios gubernamentales afirman hacer todo lo posible para mejorar la ciberseguridad. Los días cero son una grave amenaza para la ciberseguridad de particulares, agencias gubernamentales y empresas.
Sin embargo, las agencias gubernamentales son los mayores compradores de días cero. Si de verdad se toman en serio la ciberseguridad, ¿por qué retienen entonces el conocimiento de algunos de los días cero que descubren o compran?
Este es otro ejemplo de la paradoja de la política de ciberseguridad actual: las agencias gubernamentales encargadas de mejorar la ciberseguridad llevan a cabo actividades que producen el resultado contrario.
Una política clara de divulgación de todos los días cero descubiertos o comprados supondría un gran avance para reforzar la ciberseguridad a nivel internacional. Aún mejor sería una política que vaya a la raíz del problema, asignando cierta responsabilidad a los fabricantes de software por las pérdidas vinculadas a su software defectuoso.
Mientras no se reúna la voluntad política necesaria para abordar el problema del software defectuoso, incluidos los días cero, lo mejor que pueden hacer los usuarios para protegerse es, lamentablemente, seguir el ejemplo de los fabricantes: parchear y rezar.
Este artículo se publicó originalmente en The Conversation. Lea el artículo original. La publicación no implica que el Foro Económico Mundial respalde las opiniones expresadas.
Para estar al día de la Agenda suscríbase a nuestro boletín semanal.
Autor: Benjamin Dean es Fellow en Gobernanza de Internet y Ciberseguridad de la Escuela de Asuntos Internacionales y Públicos de Columbia University.
Imagen: Una lupa sostenida frente a la pantalla de un ordenador. REUTERS/Pawel Kopczynski.
