Archivos Seguridad: Agosto 2008
Leo en Kriptópolis que la empresa norteamericana Premier Elections Solutions (*), reconoce que tiene un error crítico de programación en su sistema de votación electrónica, que haría que miles de votos emitidos se pierdan en el proceso de conteo, y que este error está ¡desde hace 10 años por lo menos!
El error provoca la desaparición de votos antes de que sean contados y ocurre en el proceso de transferencia desde las tarjetas de memoria a la central de recuentos. Al parecer, en cuestión de milisegundos, votos aún no contabilizados resultan definitivamente descartados cuando llegan otros nuevos a la central.
El gravísimo error fue detectado tras las primarias de Ohio el pasado marzo pero, tras tratar de echar la culpa a bugs del software antivirus utilizado y a imprecisos errores humanos, la empresa se ha visto obligada a reconocer que el fallo lleva 10 años presente en su software y afecta tanto a las pantallas táctiles como a los escáneres, siendo sus consecuencias más graves cuanto mayor es el número de votos involucrados en la eleccción...
Parece que Michael Moore tiene tema para otro documental...
- una subsidiaria de Diebold, un conocido fabricante de cajeros automáticos.
Hace unos días escribí sobre la absoluta falta de preocupación de los proveedores de internet por protegernos, la cosa sigue igual, en mi caso aún mi proveedor de internet no corrige ni protege sus servidores DNS. Tal como dije en esa nota, esto es muy grave. Porque, debido a esto no podemos saber, ni estar seguros cual es la página web que estamos visitando. Esta vulnerabilidad ataca a todo tipo de computador o sistema operativo, porque es un error de diseño en uno de los servicios más importantes de internet.
Recientemente se ha difundido un video que muestra una prueba de concepto, llamada evilgrade, que aprovecha esta falla.
Aunque el video es bastante técnico, el concepto es muy simple, y preocupante.
Este ataque permite engañar a los programas que realizan una actualización autómática (upgrade). Por ejemplo, puede ser usada para engañar al sistema Windows Update, o a la actualización del Runtime de JAva, e incluso para engañar a los antivirus, que se actualizan en forma automática y periodicamente.
También, se ha publicado una herramienta de software que permite "envenenar" a los servidores DNS vulnerables al ataque Kaminsky. De hecho, uno de los hackers autores de MetaSploit, pudo detectar un ataque a su ISP en Texas, USA, que reemplazaba la dirección de Google con un servidor propio.
Esto es grave y peligroso, pero no vemos que los ISP estén haciendo mucho por resolver esta situación.
Tampoco es noticia, supongo que cuando se roben algunos millones, o se infecten miles de computadores, recién va a aparecer en los sitios de tecnología.
