3 feb 2014

Honey Encryption: los secretos falsos mejoran la seguridad informática

El investigador independiente y antiguo director científico de la empresa de seguridad informática RSA, Ari Juels, cree que falta algo importante en la criptografía que protege nuestros datos sensibles: el engaño.

"Los señuelos y el engaño son herramientas infrautilizadas en la seguridad informática fundamental", afirma Juels. Junto con el investigador de la Universidad de Wisconsin (EEUU) Thomas Ristenpart, ha desarrollado un nuevo sistema de cifrado con un toque enrevesado. Proporciona una capa extra de protección a los datos cifrados, sirviendo datos falsos después de cada intento fallido de introducir una contraseña o la clave de cifrado. Si el atacante acaba acertando, los datos reales andarán perdidos entre un montón de datos falsos.

Este método podría tener importancia dada la frecuencia con que grandes cantidades de datos sensibles caen en manos de criminales. En octubre de 2013, por ejemplo, se extrajeron unos 150 millones de nombres de usuarios y contraseñas de los servidores de Adobe.

Tras capturar unos datos cifrados, los criminales suelen usar software para intentar adivinar la contraseña o la clave criptográfica que se han usado para protegerlos. En el diseño de los sistemas criptográficos convencionales, es fácil saber cuándo el intento es correcto o no: una clave errónea produce un follón, no un trozo de datos en crudo reconocibles.

El método de Juels y Ristenpart, bautizado como Honey Encryption (cifrado miel), hace que a un atacante le resulte más difícil saber si han adivinado la contraseña o clave de cifrado correctamente o no. Cuando se usa la clave incorrecta para descifrar algo protegido por este sistema, el software genera una serie de datos falsos que se parecen a los auténticos.

Si un atacante usase software para hacer 10.000 intentos de descifrar un número de tarjeta de crédito, por ejemplo, conseguirían 10.000 números falsos. "Cada descifrado parecerá plausible", explica Juels. "El atacante no tiene forma de distinguir, a priori, cuál es correcto". Anteriormente Juels había trabajado con Ron Rivest, la "R" de RSA, para desarrollar un sistema llamado Honey Words que protege bases de datos de contraseñas llenándolas también de contraseñas falsas.

Juels y Ristenpart presentarán un artículo sobre Honey Encryption en la conferencia de criptografía Eurocrypt de este año. Juels también está trabajando para construir un sistema basado en este sistema para proteger los datos almacenados en servicios de gestión de contraseñas como LastPass y Dashlane. Estos dispositivos almacenan todas las contraseñas de una persona, cifradas y protegidas por una única contraseña maestra, para que el software las introduzca automáticamente en los sitios web.

Los gestores de contraseñas son un objetivo muy goloso para los criminales, según Juels. El investigador cree que la mayoría de la gente usa una contraseña maestra poco segura para proteger su colección. "Tal y como están construidos, los gestores no animan a crear una contraseña fuerte porque hay que teclearla constantemente, en muchos casos en un dispositivo móvil".

Juels predice que si los criminales se hicieran con una gran colección de cajas fuertes de contraseñas cifradas probablemente podrían abrir muchas de ellas sin demasiado problema simplemente adivinando las contraseñas maestras. Pero si esas cajas fuertes estuviesen protegidas por Honey Encryption, cada intento fallido de descifrar una caja fuerte produciría una falsa.

El director ejecutivo y fundador de la empresa de software móvil Anfacto, Hristo Bojinov, que ha trabajado en cómo proteger las cajas fuertes de contraseñas como investigador de seguridad, afirma que Honey Encryption podría servir para que la vulnerabilidad de las cajas fuertes sea menor. Pero señala que no todos los tipos de datos se podrán proteger fácilmente así, porque no siempre se puede conocer los datos cifrados con el detalle suficiente como para producir falsificaciones creíbles. "No todos los sistemas de autenticación o cifrado se prestan a la 'melificación'". Juels le da la razón, pero está convencido de que ya ha habido suficientes robos de contraseñas filtrados en línea como para poder crear falsificaciones que imiten correctamente colecciones de contraseñas auténticas. Ahora mismo está trabajando en crear el generador de cajas fuertes de contraseñas falsas necesario para poder usar Honey Encryption en la protección gestores de contraseñas. Este generador se basará en datos de una pequeña colección ya filtrada de cajas fuertes gestoras de contraseñas, varias series grandes de contraseñas filtradas, y un modelo de uso de contraseñas en el mundo real incorporado en un potente descifrador de contraseñas.

Esto es lo que Ari Juels, ex-RSA, y Thomas Ristenpart, de la Universidad de Wisconsin, han ideado mediante Honey Encryption, un método que añade un mecanismo de seguridad engañoso que promete hacer muy arduo el camino de los crackers. Ambos presentarán su paper "Honey Encryption: Security Beyond the Brute-Force Bound" en la Conferencia Eurocrypt 2014 que tendrá lugar el 11 a 15 mayo en Copenhague, Dinamarca.

Fuente: MIT Technology Review

Suscríbete a nuestro Boletín

0 Comments:

Publicar un comentario

Gracias por dejar un comentario en Segu-Info.

Gracias por comentar!