Hace unos días, nos desayunábamos con la noticia de que Myspace había sufrido un ciberataque que les había robado las contraseñas a sus 360 millones de usuarios (aunque supongo que no activos muchos de ellos).
Por contextualizar, a muchos Myspace le puede sonar algo viejo, y ciertamente lo es. Nació en 2003 y fue en cierto modo una de las primeras redes sociales tal y como las concebimos ahora, creció rápido y dejó atrás a otras redes sociales como Hi5 o Friendster (del que era un clon) pero luego sucumbió ante el todopoderoso Facebook de Mark Zuckerberg y ahí vino el declive. He consultado Google Trends y he extraído esta gráfica con la evolución de Myspace y dos de sus competidoras (Hi5 y Friendster):
Pero si por curiosidad comparamos Myspace con Facebook, la visión cambia totalmente.
Bien, volviendo a la noticia del ataque a las contraseñas, resulta que Myspace usaba un método de encriptación de sus datos también de hace una década, el SHA1.
SHA1, Secure Hash Algorithm, es un método de encriptación creado por la National Security Agency (NSA) norteamericana, fue publicado en 1995 como mejora del anterior algoritmo de SHA que había sido publicado dos años antes. Por sus siglas ya sabemos que es un «algoritmo hash», es decir, que cada cadena que encripta le hace corresponder otra cadena, en este caso de longitud de 160 bits (20 bytes). El problema viene con la primera palabra de SHA, con Secure, porque ya no es del todo seguro este método de encriptación, lo fue cuando Myspace empezaba a andar pero ha pasado el tiempo y se ha demostrado que no es seguro, además de que no es fiable porque como todos los algoritmos de funciones hash, tiene una limitación técnica y hay posibilidades de colisionamiento (que dos cadenas originales diferentes, generen la misma cadena encriptada, para que nos entendamos).
Bruce Schneier, un experto en seguridad que ahora es CTO en una compañía comprada por IBM, ya había alertado hace la friolera de 11 años del riesgo que tenía usar SHA1 y desaconsejaba el continuar usándolo. Un ataque de fuerza bruta requeriría 280 operaciones para romper SHA1, pero es que habían rebajado ya ese número a 269 operaciones y si en 2005 se tardaba según Schneier 56 horas en romper una cadena encriptada con SHA1 (con una máquina de menos de $40) pues hoy día tiene que ser más rápido aún.
Pero Myspace no pensaba igual, ya sea por tiempo y/o dinero, no invirtió en dar más seguridad a sus usuarios y desgraciadamente, porque esto no se desea nunca, ahora lo ha pagado. O quizá simplemente que nadie en Myspace se dio cuenta de que algo podía ir mal. O simplemente, que ya no queda nadie en Myspace.
Para mi la conclusión es que en informática, no se puede descuidar una parte de nuestro sistema y menos la seguridad porque mientras que unos se quedan parados, los «malos» nunca descansan.
«Attacks always get better; they never get worse»
Alguien en la NSA
