Puede que no haya una forma práctica de descomponer Internet, pues se trata de una red casi infinita de servidores interconectados en todo el mundo, no obstante, algunas fallas pueden llegar a afectar a buena parte de las computadoras vinculadas. Heartbleed cumple con esa característica y podría ser una de las amenazas más importantes hasta ahora.
¿Qué es Heartbleed?
Se trata de una falla que nació en el sistema de software abierto OpenSSL. Esta organización provee de sistemas virtuales para una amplia cantidad de servidores en todo el mundo, es decir, la información de muchas personas transita por centros de datos que usan el software en cuestión.
Un investigador en Google descubrió esta falla en OpenSSL, y mientras que hay soluciones instantáneas para evitar que el error siga dando problemas, se cree que Heartbleed ha estado presente desde hace un par de años. Lo que no se conoce es si alguien sabía de su existencia y, por lo tanto, lleve meses aprovechándola.
¿Qué ocasiona Heartbleed?
Esta falla da apertura para que atacantes puedan extraer información de servidores, aunque no pueden elegir qué tomar, pues la falla sólo permite que se roben cantidades de datos al azar. Aun así, entre aquella información que se puede extraer están las claves o “keys” de encriptación con las que se protege información personal de usuarios.
Si se obtienen los keys, es cuando un atacante puede volverse realmente peligroso pues pueda entrar y salir incesantemente de un servidor con la falla hasta obtener lo que desee.
¿Quién fue afectado?
Para empezar, se sabe que Google, Apple y Microsoft están fuera de este riesgo, así como las principales empresas financieras; esto es un alivio, y mientras que puede ser suficiente para que muchos se sientan tranquilos, no quiere decir que todos estén excentos de peligro.
Quizá uno de los afectados con mayor relevancia es Yahoo, quien dice ya haber aplicado las medidas de seguridad pertinentes en sus principales servicios y estar ampliando la misma medida hacia la totalidad de sus productos.
Aun así hay una gran cantidad de servicios en línea que usan a OpenSSL en sus servidores, y aunque se aplique la corrección del error, no es posible saber qué información pudo haber sido extraída durante el tiempo que Heartbleed mantuvo un perfil bajo.
¿Qué debo hacer?
Por ahora es importante mantenerse alejado de sitios de bajo perfil donde se suela depositar información personal, pues algunas de esas empresas son las que usan OpenSSL con más frecuencia para sus servidores.
Cambiar contraseñas nunca está de más, pero en este momento sería importante no generar más datos relevantes dentro de diversos servicios pues la clave sí puede ser descifrada en caso de que el key haya sido obtenido por un atacante.
Finalmente, como las compañías que aplicaron el parche de corrección tuvieron que solicitar un nuevo certificado SSL se recomienda verificar que la página que se esté visitando tenga un certificado reciente antes de ingresar cualquier dato en ella. Esto se puede hacer en este sitio, y la fecha de validez del certificado debe ser de esta semana en adelante.
Sólo resta esperar a que más empresas que usen Open SSL den a conocer su postura, así como las recomendaciones para quienes suelen emplear sus servicios.
Referencia: Heartbleed