La seguridad en los sistemas de información es un valor que lleva años en auge y de sus vulnerabilidades no se libran ni los grandes gigantes tecnológicos. Prueba de ello es la reciente vulnerabilidad detectada en el servicio de correo de Google por el matemático Zachary Harris, que permitía aprovechar un agujero de seguridad en sus sistemas para enviar correos electrónicos suplantando la identidad de cualquier empleado de la multinacional americana.
Todo comenzó cuando Harris recibió un correo de un supuesto reclutador de personal de Google que le ofrecía un puesto en la empresa y, creyendo que se trataba de una estafa, se puso a analizar toda la información del correo, llegando a la conclusión de que todo estaba en orden. Asimismo, Harris se percató de que Google estaba usando una clave criptográfica débil para certificar a los destinatarios de que su correspondencia provenía del propio dominio legítimo del a empresa, de manera que presintió que se trataba de uno más de los retos de seguridad a los que Google somete a futuros empleados. Cuando lo tuvo resuelto, utilizó la vulnerabilidad para enviar un correo a cada uno de los fundadores de Google, Sergey Brin y Larry Page, haciéndose pasa en cada caso por el otro. Pero lo que no sabía es que acababa de explotar una vulnerabilidad real en la clave DKIM, comprometiendo la seguridad de todos sus correos. La suposición se confirmó cuando dos días después se dio cuenta de que las claves cifradas del correo de Google habían cambiado repentinamente a 2048 bits, y ni siquiera recibió una respuesta de los fundadores de Google.
Harris se puso a explorar otras webs de compañías muy conocidas y se dio cuenta de que muchas de ellas tenían el mismo problema con las claves DKIM. Y todo ello, según Harris, lo hizo “sin saber ni siquiera lo que era una cabecera DKIM”, por lo que cualquier persona con los conocimiento técnicos suficientes podría hacerlo.
Que tomen nota de ello…