in

Windows 10 tiene una falla de seguridad tan grave que la NSA lo reveló

Windows 10 tiene una falla de seguridad tan grave que la NSA lo reveló

Microsoft lanzó un parche para Windows 10 y Server 2016 hoy después de que la Agencia de Seguridad Nacional encontrara y revelara una vulnerabilidad grave. Es un aviso poco común, pero no sin precedentes, que subraya la gravedad de la falla y tal vez insinúa nuevas prioridades para la NSA.

El error está en el mecanismo de Windows para confirmar la legitimidad del software o establecer conexiones web seguras. Si la verificación de verificación en sí no es confiable, los atacantes pueden aprovechar ese hecho para distribuir malware o interceptar datos confidenciales de forma remota.

“[We are] recomendando que los propietarios de la red aceleren la implementación del parche de inmediato, como también lo haremos nosotros “, dijo Anne Neuberger, jefa de la Dirección de Ciberseguridad de la NSA, en una llamada con los periodistas el martes.” Cuando identificamos una amplia vulnerabilidad criptográfica como esta, rápidamente trabajar con la empresa para garantizar que pudieran mitigarlo “.

La falla está específicamente en el servicio CryptoAPI de Microsoft, que ayuda a los desarrolladores a “firmar” criptográficamente software y datos o generar certificados digitales usados ​​en la autenticación, todo para demostrar confiabilidad y validez cuando Windows lo busca en los dispositivos de los usuarios. Un atacante podría aprovechar el error para socavar protecciones cruciales y, en última instancia, tomar el control de los dispositivos de la víctima.

“Piense en firmar malware como si Microsoft confiara en él o interceptar el tráfico web cifrado”, dice David Kennedy, director ejecutivo de la empresa de evaluación de seguridad corporativa TrustedSec, que anteriormente trabajó en la NSA. “Eso eludiría por completo tantas protecciones”.

A medida que los investigadores y los ciberdelincuentes estudien la vulnerabilidad y se apresuren a desarrollar una herramienta de piratería que la aproveche, la escala del riesgo para los usuarios será más clara. Pero una falla en un componente criptográfico crucial de Windows es ciertamente problemática, especialmente dado que Windows 10 es el sistema operativo más utilizado en el mundo, instalado en más que 900 millones de PC.

“Esta es una pieza central de bajo nivel del sistema operativo Windows y que establece confianza entre administradores, usuarios habituales y otras computadoras tanto en la red local como en Internet”, dice Kenn White, director de seguridad de MongoDB y director de el Proyecto Open Crypto Audit. “Si la tecnología que garantiza la confianza es vulnerable, podría haber consecuencias catastróficas. Pero, precisamente, qué escenarios y condiciones previas se requieren, todavía estamos analizando. Será un día largo para muchos administradores de Windows en todo el mundo”.

La decisión de la NSA de compartir la vulnerabilidad recuerda la herramienta de piratería de la NSA conocida como Eternal Blue, que explotó un error de Windows parcheado a principios de 2017. Esa falla estaba presente en todas las versiones de Windows disponibles en ese momento, y la NSA sabía sobre el problema. bug —y lo explotó para espionaje digital— durante más de cinco años. Finalmente, la NSA perdió el control de Eternal Blue; Unas semanas después de que Microsoft emitiera una solución, un misterioso grupo de piratas informáticos conocido como Shadow Brokers filtró la herramienta en línea. Tanto los delincuentes como los piratas informáticos de los estados nacionales tuvieron un día de campo con la herramienta, ya que las máquinas Windows de todo el mundo comenzaron a aplicar parches.

El error de validación de Windows 10 puede ser el intento de la NSA de evitar una debacle similar. Y a diferencia de Eternal Blue, Neuberger hizo hincapié en decir que la agencia no había utilizado el exploit en sí.

De hecho, Neuberger dijo que revelar el error de verificación del código a Microsoft y al público es parte de una nueva iniciativa de la NSA en la que la agencia compartirá sus hallazgos de vulnerabilidad con mayor rapidez y frecuencia. El esfuerzo trabajará junto con el Proceso de acciones de vulnerabilidad existente dirigido por el Consejo de Seguridad Nacional, que sopesa la importancia para la seguridad nacional de mantener en secreto las herramientas de piratería frente a revelar las vulnerabilidades.

Es por eso que la NSA no solo reveló la vulnerabilidad, sino que hizo público su papel. “Es difícil para las entidades confiar en que realmente nos tomamos esto en serio”, dijo, “y [that] garantizar que las vulnerabilidades se puedan mitigar es una prioridad absoluta “.

Deja una respuesta

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *

AT&T vs Verizon: ¿Qué operador es el adecuado para usted?

AT&T vs Verizon: ¿Qué operador es el adecuado para usted?

Cómo trenzar cuentas en tu cabello