Vulnerabilidad, Amenaza, Riesgo, Impacto De la misma manera que todos los libros de Mecánica Elemental hablan de la manzana que le cayó en la cabeza a Newton, los libros de Seguridad Informática Básica explican la cadena de conceptos que da título a este post. El problema es que muchos se preocupan sólo por las vulnerabilidades e ignoran el resto, con el consiguiente error en la evaluación de riesgos. Si nos guiáramos por los títulos catástrofe y amarillistas de las noticias de seguridad IT que muchos medios publicaron durante el año pasado, tendríamos la visión que los centros de computo de las empresas no sólo habrían dejado de funcionar, sino que se habrían convertido en alguna especie de oscuro pantano con todo tipo de alimañas mutantes desplazándose a traves de los cadáveres de los servers. El problema de los que se alarman y escriben los horrores de cada nueva vulnerabilidad que se detecta, es que pocas veces comprenden su funcionamiento técnico real y casi siempre ignoran que lo que se ha descubierto es sólo la primer parte de lo que hay que analizar. Repasemos los conceptos: Una vulnerabilidad es una anomalía cuya explotación puede provocar una disminución de la integridad, la operatividad o la confiencialidad del sistema informático al que pertenece. Esa vulnerabilidad pasa a ser una amenaza cuando es fácil de explotar en cualquier entorno que la contenga. La amenaza representará un riesgo para un determinado sistema si éste contiene la vulnerabilidad y además no cuenta con una capa de Seguridad específica o general que lo proteja. El impacto que produce la amenaza en la organización no depende de las características de al vulnerabilidad, sino del grado de criticidad de la parte del sistema informático en que puede llegar a actuar. Un ejemplo claro de este tipo de mal manejo de la información fue el problema de la explotación de las colisiones del algoritmo de encripción Hash MD5, que permitirían la generación de certificados digitales falsos. Basados sólo en esta información, fueron muchos los que proclamaron el fin del comercio electrónico y la firma digital, entre otras catástrofes tecnológicas. Apliquemos ahora los conceptos que repasamos: La posibilidad de generar certificados falsos era técnicamente real, con lo cual estábamos en presencia de una vulnerabilidad. Para explotarla hacía falta, además del conocimiento que no se divulgó, una cantidad considerable de poder computacional, no disponible para cualquier hacker que ande por ahí. Además había que considerar que en el momento de la publicación de la noticia quedaban muy pocas Autoridades Certificantes que utilizaran el algoritmo MD5 para verificación de integridad, el que fue reemplazado como estándar por el SHA1 hace cuatro años. Por lo tanto, no representaba una amenaza. Las pocas Autoridades Certificantes que en el momento de la noticia aún verificaban con MD5, cambiaron a SHA1 en cuestión de horas. Entonces, aunque la vulnerabilidad se hubiera convertido en amenaza, el riesgo que representaría sería muy bajo. Es por todo esto que no se registró ningún incidente de certificados falsos, con lo que la vulnerabilidad no llegó a registrar ningún impacto. Aquí es necesario señalar que, de haberse producido algún incidente, este no podría haber sido ocultado por la Autoridad Certificante afectada, debido a que la empresa o el particular afectado habría dado a conocer el hecho de la manera más sonora posible. Y así llegamos a una conclusión similar a la de otros post, emitir opinión en IT o en cualquier ámbito, conlleva la responsabilidad de tener el conocimiento adecuado para hacerlo. Por Gustavo Aldegani Editor de la Comunidad Seguridad -- Pablo Manuel Rizzo ------------------------------------------------- "No hay camino hacia la Libertad, la Libertad es el camino" - Gandhi -------------------------------------------------