Hay sistemas que «protegen» sus datos en el ciberespacio, pero ¿quién protege a los guardias?

 Hay sistemas que 'protegen' sus datos en el ciberespacio, pero ¿quién protege a los guardias?  Hay sistemas que 'protegen' sus datos en el ciberespacio, pero ¿quién protege a los guardias?

Por Joanne Hall

Sábado, 28 de mayo de 2022 11:05 a. m. UTC

Utilizamos dispositivos conectados a Internet para acceder a nuestras cuentas bancarias, mantener en movimiento nuestros sistemas de transporte, comunicarnos con nuestros colegas, escuchar música, realizar tareas comercialmente delicadas – y pedir pizza. La seguridad digital es parte integral de nuestras vidas, todos los días.

Y a medida que nuestros sistemas de TI se vuelven más complejos, aumenta el potencial de vulnerabilidades. Cada vez más organizaciones están siendo violadas, lo que genera pérdidas financieras, cadenas de suministro interrumpidas y fraude de identidad.

La mejor práctica actual en la arquitectura de tecnología segura utilizada por las principales empresas y organizaciones es una “confianza cero” Acercarse. En otras palabras, no se confía en ninguna persona o sistema y cada interacción se verifica a través de una entidad central.

Desafortunadamente, se deposita una confianza absoluta en el sistema de verificación que se utiliza. Entonces, violar este sistema le da al atacante las llaves del reino. Para abordar este problema, la “descentralización” es un nuevo paradigma que elimina cualquier punto único de vulnerabilidad.

Nuestro trabajo investiga y desarrolla los algoritmos necesarios para configurar un sistema de verificación descentralizado eficaz. Esperamos que nuestros esfuerzos ayuden a salvaguardar las identidades digitales y reforzar la seguridad de los procesos de verificación en los que muchos de nosotros confiamos.

Nunca confíes, siempre verifica

Un sistema de confianza cero implementa la verificación en cada paso posible. Cada usuario se verifica, y cada acción que realiza también se verifica antes de la implementación.

Avanzar hacia este enfoque se considera tan importante que el presidente de EE. UU., Joe Biden, emitió una orden ejecutiva el año pasado que requiere que todas las organizaciones del gobierno federal adoptar una arquitectura de confianza cero. Muchas organizaciones comerciales están siguiendo su ejemplo.

Sin embargo, en un entorno de confianza cero se deposita (contra intuitivamente) fe absoluta en el sistema de validación y verificación, que en la mayoría de los casos es un sistema de gestión de acceso e identidad (IAM). Esto crea una única entidad de confianza que, si se infringe, brinda acceso sin trabas a todos los sistemas de la organización.

Un atacante puede usar las credenciales robadas de un usuario (como un nombre de usuario y una contraseña) para hacerse pasar por ese usuario y hacer cualquier cosa para la que estén autorizados – ya sea abriendo puertas, autorizando ciertos pagos o copiando datos confidenciales.

Sin embargo, si un atacante obtiene acceso a todo el sistema IAM, puede hacer cualquier cosa que el sistema sea capaz de hacer. Por ejemplo, pueden otorgarse autoridad sobre toda la nómina.

En enero, la empresa de administración de identidades Okta fue pirateada. Okta es un servicio de inicio de sesión único que permite a los empleados de una empresa tener una contraseña para todos los sistemas de la empresa (ya que las grandes empresas suelen utilizar varios sistemas, cada uno de los cuales requiere diferentes credenciales de inicio de sesión).

Tras el ataque de Okta, las cuentas de las grandes empresas que utilizaban sus servicios se vieron comprometidas – dando a los piratas informáticos control sobre sus sistemas. Mientras los sistemas IAM sean un punto central de autoridad sobre las organizaciones, seguirán siendo un objetivo atractivo para los atacantes.

Descentralización de la confianza

En nuestro último trabajo, refinamos y validamos algoritmos que se pueden usar para crear un sistema de verificación descentralizado, lo que dificultaría mucho la piratería. Nuestro colaborador de la industria, TIDE, ha desarrollado un sistema prototipo utilizando los algoritmos validados.

Actualmente, cuando un usuario configura una cuenta en un sistema IAM, elige una contraseña que el sistema debe cifrar y almacenar para usarla más adelante. usar. Pero incluso en forma encriptada, las contraseñas almacenadas son objetivos atractivos. Y aunque la autenticación multifactor es útil para confirmar la identidad de un usuario, se puede eludir.

Si las contraseñas pudieran verificarse sin tener que almacenarlas así, los atacantes ya no tendrían un objetivo claro. Aquí es donde entra la descentralización.

En lugar de depositar la confianza en una única entidad central, la descentralización deposita la confianza en la red como un todo, y esta red puede existir fuera del sistema IAM que la utiliza. La estructura matemática de los algoritmos que sustentan la autoridad descentralizada garantiza que ningún nodo único pueda actuar solo.

 Hay sistemas que 'protegen' sus datos en el ciberespacio, pero ¿quién protege a los guardias?

La descentralización (el mismo concepto que sustenta la cadena de bloques) se refiere a una transferencia de autoridad dentro de un sistema, desde un punto central de control, a varias entidades diferentes. Shutterstock

Además, cada nodo de la red puede ser operado por una organización operativa independiente, como un banco, una empresa de telecomunicaciones o departamentos gubernamentales. Por lo tanto, robar un solo secreto requeriría piratear varios nodos independientes.

Incluso en el caso de una violación del sistema IAM, el atacante solo obtendría acceso a algunos datos de usuario – no todo el sistema. Y para otorgarse autoridad sobre toda la organización, necesitarían violar una combinación de 14 nodos que operan de forma independiente. Esto no es imposible, pero es mucho más difícil.

Pero las bellas matemáticas y los algoritmos verificados aún no son suficientes para hacer un sistema utilizable. Hay más trabajo por hacer antes de que podamos llevar la autoridad descentralizada de un concepto a una red funcional que mantendrá nuestras cuentas seguras.

 Hay sistemas que 'protegen' sus datos en el ciberespacio, pero ¿quién protege a los guardias?

Joanne Hall colaboró ​​con la fundación TIDE en este proyecto. Recibió fondos de la Universidad Nacional de Australia (actuando en sociedad con el Grupo de Tecnología Científica de Defensa (DTSG)) para informar y presentar este proyecto. La Dra. Hall también recibe fondos de la Red Australiana de Mujeres en Seguridad.

Dra. Geetika Verma colaboró ​​con la fundación TIDE en este proyecto. Recibió fondos de la Universidad Nacional de Australia (actuando en sociedad con el Grupo de Tecnología Científica de Defensa (DTSG)) para informar y presentar este proyecto. En el pasado, la Dra. Geetika Verma trabajó en un proyecto de investigación de matemáticas en la Universidad de Australia del Sur financiado por ARC Discovery Grant.

Matthew P. Skerritt colaboró ​​con la fundación TIDE en este proyecto. Recibió fondos de la Universidad Nacional de Australia (actuando en asociación con el Grupo de tecnología científica de defensa (DTSG)) para informar y presentar este proyecto. Hay sistemas que 'protegen' sus datos en el ciberespacio, pero ¿quién protege a los guardias?

Deja una respuesta

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *

Previous post La IA podría ayudarnos a detectar virus como la viruela del simio antes de que se crucen y ayudar a conservar la naturaleza
Next post Científicos surcoreanos utilizan proteína adhesiva de mejillón para conectar segmentos nerviosos cortados