¿Te imaginas que alguien sea capaz de interceptar la clave de tu cuenta bancaria mientras se la envías a la página de tu banco? ¿O que reemplace un apasionado “Te amo” por un “No me vuelvas a hablar”? En Notired te contamos cuál es el método de acción de un ataque ‘hombre en el medio’ o MitM, por sus siglas en inglés, y los mecanismos de protección que existen.
El ataque “hombre en el medio” (Man in the Middle, MitM) es un ataque similar a interceptar palomas mensajeras: alguien se sitúa en la mitad de la comunicación entre quien accede a una página web y el servidor de ésta, siendo capaz de leer, modificar o eliminar los mensajes sin que las partes se enteren.
Desde sus inicios, internet fue pensada como una red de comunicaciones que resultara inmune ante ataques externos: en caso de que uno o varios nodos de comunicación fueran destruidos, lo demás podrían seguir comunicándose de forma segura. Era un experimento militar durante la guerra fría.
Con el paso de los años, los posibles ataques dejaron de ser a las plantas físicas, bombas e invasiones, y empezaron a ser digitales. Entonces surgió la necesidad de que la información transmitida guardara su integridad, que nadie la leyera o modificara.
Para resolver ésto se implementaron complejos sistemas de encriptado que evolucionaron hasta lo que hoy conocemos como HTTPS: Hyper Text Transfer Protocol Secure o protocolo seguro de transferencia de hipertexto.
Cuando las siglas HTTPS aparecen en la dirección URL de un sitio web significa que la comunicación entre éste y el usuario va a estar protegida por un sistema de criptografía de dos llaves: una pública para cifrar la información y una privada que va a ser la única capaz de descifrarla.
Conectándose a internet
Cuando alguien digita una dirección web que trabaja con HTTP, el navegador le pide al servidor de la página que le envíe su llave pública. Una vez recibida, el navegador del usuario encripta con ella toda la información que va a enviarle a dicha página. Gracias a esto, la información será ilegible para quien la intercepte: solo se podrá descifrar con la llave privada que tiene el servidor y que no le envía a absolutamente nadie.
Este mismo proceso ocurre en el sentido contrario: el usuario le envía su llave pública al servidor de la página para que encripte todos los mensajes con ella. En consecuencia, toda la conversación, en ambos sentidos, estará completamente cifrada.
Interceptando palomas
¿Peeero, cómo sabe el usuario que la llave pública que recibe del sitio web efectivamente pertenece a ese sitio web?
Supongamos que Valentina quiere acceder a banco.com para hacer una transacción de dinero, pero Voldemort, un experto en informática, quiere hacerle un desfalco a Valentina metiéndose en la conversación.
Una vez Valentina digita banco.com en su navegador, éste, al verificar que la página trabaja con protocolo HTTPS, le pide a banco.com que le envíe su llave pública para cifrar los mensajes. banco.com le envía su clave pública a Valentina, pero antes de que Valentina la reciba, Voldemort intercepta el mensaje y reemplaza la llave de banco.com por la suya propia.
En este momento empieza un ataque de “hombre en el medio”
Valentina, creyendo que tiene la llave de banco.com cifra su mensaje con la llave de Voldemort y lo envía. Voldemort lo intercepta de nuevo, lo descifra (gracias a su llave privada) y modifica a su antojo -se hace una transacción de una jugosa suma de dinero- y lo vuelve a cifrar con la llave que originalmente recibió de banco.com.
Cuando banco.com recibe el mensaje de Voldemort, supone que es Valentina quien quiere vaciar su cuenta bancaria, por lo tanto procede a hacerlo.
Travesura realizada: Voldemort no sólo logró su objetivo ésta vez sino que quedó con todos los datos personales de Valentina. Y ella, cuando pasaron los días, se dio cuenta que le faltaba dinero, ¡Todo!, pero no tuvo forma de explicarle al banco que no fue ella quien vació su cuenta.
¡Cédulas digitales, porfavor!
La principal defensa ante un ataque de “hombre en el medio” es la certificación digital de los sitios web. Ésta consiste en asignarle una clave pública específica a un sujeto designado, por ejemplo, a banco.com. En este proceso es necesario que exista algún tercero que expida dicha certificación: una entidad certificadora.
Estas entidades tienen que gozar de la confianza tanto del usuario común como de quien se certifica. Por ello, están regidas por unas serie de leyes emitidas por organismos internacionales de normalización. Además, las entidades certificadoras comparten sus bases de datos sobre a quiénes certifican con los navegadores web, para que cuando éstos reciban una clave pública que diga ser emitida por X entidad, puedan verificar que sea cierto y confiar que es verídica: que pertenece a quien dice ser.
(¿Es o no es? Sin certificado digital no se sabe)
Gracias a ésto, Voldemort no podrá fingir ser banco.com porque el navegador, al buscar su llave fraudulenta entre las entidades certificadoras, se dará cuenta de que no pertenece a banco.com y que, seguramente, no existe. Al verificarlo, el navegador reconocerá la conexión como insegura y desplegará el letrero “Su conexión no es privada”, advirtiendo que los datos que se envíen a esa página posiblemente no estén seguros.
A partir de allí, le corresponde a Valentina decidir si desea continuar con la transacción, arriesgándose a comprometer sus datos o si derrota a Voldemort fácilmente: cerrando la página.