¿Cómo protegerte del fallo de seguridad Heartbleed?

Esta nueva vulnerabilidad en Internet ha aumentado el riesgo del robo de contraseñas y otra información. Esto es lo que puedes hacer para protegerte.

heartbleed-over-web-address-770w.png
Crédito: Codenomicon/CNET


Heartbleed, un serio problema de seguridad digital que fue descubierto esta semana, traerá serias consecuencias para todo Internet. El fallo puede penetrar la memoria de los servidores donde se guarda la información más íntima incluyendo datos privados como nombres de usuario, contraseñas y números de tarjetas de crédito.

El problema radica en un software abierto (open-source) que se llama OpenSSL que se usa mucho para encriptar las comunicaciones en la web. Heartbleed puede revelar los contenidos de la memoria del servidor y permitirle al atacante obtener copias de las llaves digitales del servidor que puede usar para hacerse pasar por un servidor o para decodificar comunicaciones pasadas o futuras.

Lee esta nota para conocer algunos de los sitios que ya han corregido su vulnerabilidad.

Es un asunto extremadamente serio que afecta a unos 500,000 servidores, según Netcraft, una firma de investigación de Internet. Estas son algunas medidas que puedes tomar para asegurarte que tu información este segura, según los expertos con los que habló CNET:

No te metas a las cuentas de los sitios afectados hasta que estés seguro que la empresa ha corregido el problema. Si la empresa no ha sido transparente – confirmando que ha corregido el problema o manteniéndote al tanto de sus avances – comunícate con su número de servicio al cliente para solicitar información, dice John Miller, gerente de investigación de seguridad de TrustWave, una firma de temas de seguridad.

Si recibiste la confirmación de un arreglo de seguridad, cambia primero las contraseñas de las cuentas más importantes como de banco o correo electrónico

Algunos de los sitios web que parecen haber sido afectados son Yahoo y OKCupid, aunque estas compañías han dicho que sus sitios están completa o parcialmente arreglados. Puedes revisar los sitios individualmente aquí, aunque aún recomendamos ser precavidos incluso si el sitio resulta estar bien. Si te sale una advertencia, evita ese sitio por completo por ahora.


  

La respuesta más inmediata puede ser que quieras cambiar tus contraseñas, pero los expertos de seguridad recomiendan esperar a recibir la confirmación de que se haya corregido el problema porque demasiada actividad en un sitio comprometido puede complicar las cosas.

Si recibiste la confirmación de un arreglo de seguridad, cambia primero las contraseñas de las cuentas más importantes como de banco o correo electrónico. Aún si tienes implementada la autentificación de dos pasos, es recomendable cambiar tu contraseña. (La autentificación de dos pasos es que además de la contraseña te piden otra pieza de información para identificarte, como un código que te llega vía mensaje de texto).

No dudes en comunicarte con los pequeños negocios que tienen tus datos para cerciorarte que estén bien. Mientras que las compañías conocidas como Yahoo e Imgur definitivamente están concientes del problema, las pequeñas empresas quizá ni siquiera estén al tanto, dijo Miller, de TrustWave. Toma la iniciativa para asegurarte que tu información esté a salvo.

Revisa con atención tus estados financieros en los próximos días. Debido a que los atacantes pueden acceder a la memoria de un servidor y extraer la información de tus tarjetas de crédito, no está de más estar pendiente de cargos extraños en tus en tus estados de cuenta.

Incluso después de seguir estos consejos aún hay cierto peligro cuando navegues la red tras el virus. Incluso se dice que Heartbleed podría afectar las cookies en tu navegador, las cuales monitorean las actividades de un usuario en un sitio, así que incluso visitar un sitio vulnerable puede ser riesgoso, a pesar que no te registres. El Tor Project, que impulsa el anonimato y la privacidad, escribió en una entrada en su blog que los usuarios con esas necesidades “quizá prefieran mantenerse alejados del Internet por completo en los próximos días hasta que las cosas se tranquilicen”.

Tan pronto como Yahoo resuelva el problema sería muy útil que los usuarios cambiaran su contraseña, solo por si acaso -- Jaime Blasco, director de AlienVault Labs

Yahoo parece ser el sitio web más importante en haber estado expuesto al problema (las pruebas preliminares en los sitios de Facebook, Google y Twitter indican que parecen ser seguros). Yahoo dijo que ha “hecho las correcciones apropiadas de forma exitosa” a las principales propiedades de la empresa: la página principal de Yahoo, Búsqueda, Correo, Finanzas, Deportes, Gastronomía, Tecnología, Flickr y Tumblr. Aun así, un portavoz de la empresa dijo que la compañía aún trabaja para hacer los arreglos en el resto de los sitios de Yahoo.

“Motivo a los usuarios a no iniciar sesiones en sus cuentas [de Yahoo] y de otros servicios que están afectados, ya que las credenciales podrían ser filtradas si usaron el servicio”, dijo Jaime Blasco, director de AlienVault Labs, una firma de investigación de seguridad. “Tan pronto como Yahoo resuelva el problema sería muy útil que los usuarios cambiaran su contraseña, solo por si acaso”.

Últimamente, Yahoo ha estado fomentando la autentificación, para que la empresa pueda ofrecerle una experiencia más personalizada a sus usuarios, una idea que la presidente ejecutiva Marissa Mayer ha promovido desde que tomó las riendas de la empresa. Yahoo ofrece servicios que requieren de contraseñas para acceder a las aplicaciones, como email o las quinielas deportivas de los fantasy sports.

La empresa ya ha tenido algunos problemas de seguridad. En enero, Yahoo tuvo que resetear las claves de algunos emails de usuarios después de un intento de ataque a la base de datos de un tercero. En respuesta sobre el problema de Heartbleed, algunos usuarios ya han expresado su indignación en Twitter. Brandon Oxford, de Royal, Arkansas, escribió: "Después de esto, abandono oficialmente mi email de Yahoo. He creado un Gmail. Ellos parecen estar más dedicados a sus cosas que Yahoo”.

Otras empresas que dijeron ser afectadas también intervinieron. Imgur, el popular sitio para compartir fotos dijo: “[Nosotros] invalidamos datos sensibles, tales como cookies y las sesiones de identificación, solo para tener precaución. Estamos procediendo con cautela, ya que el tipo de ataque lo hace difícil de detectar, pero no tenemos razón para creer que ha sido utilizado en contra de Imgur”, dijo la compañía. Por su parte, OKCupid, señaló que: “La solución ya está disponible completamente en OKCupid”.

La pregunta que surge ahora es si las empresas web reformarán sus prácticas de seguridad. Muchas grandes empresas del web han decidido utilizar Perfect Forward Secrecy (EFS), pero no todas han implementado esa práctica. PFS significa esencialmente que las claves de encriptado reciben una corta vida y ya no son usadas para siempre. “La gente debería querer que sus comunicaciones sean lo más seguras posible. PFS es algo que pueden impulsar para el futuro”, dijo Miller.

Play

Con la colaboración de Seth Rosenblatt.

 

Comentarios

Conversation powered by Livefyre

No te lo pierdas
Productos Destacados

Sorteo El otoño de fiesta

Celebra con premios en efectivo

Regístrate para ganar* el primer premio de US$1000, o 3 premios de US$500 cada uno.

CONÉCTATE CON CNET en Español
CNET Insider Edición en español Los miembros de CNET en español reciben anuncios sobre nuevos servicios, funciones y otros beneficios que ofrece CNET.