WIRED en su más reciente reportaje dice que un investigador de seguridad encontró más de 100 vulnerabilidades graves en código publicado abiertamente por el gobierno del Reino Unido, que dejaron expuesta información privada de alto nivel, descrita como de acceso “god-tier”.
El hallazgo es de Chris Nesbitt-Smith, investigador de la firma de seguridad ControlPlane. Desde hace una década, el gobierno británico publica gran parte de su código abiertamente en nombre de la transparencia, la reutilización y el ahorro, desde departamentos como el de Salud y Asistencia Social y el Home Office hasta autoridades locales. Pero los recortes de financiación han dejado sin mantenimiento buena parte de ese código.
Nesbitt-Smith hizo gran parte del trabajo con los modelos de inteligencia artificial Claude Opus y Sonnet, de Anthropic, ejecutados en una laptop común, y asegura que muchas de las fallas pudo haberlas detectado una simple revisión rutinaria de salud de TI. “Nada de esto es el nivel de sofisticación que preocupa a los medios generalistas en materia de ciberataques. Todo es algo tonto”, dijo a WIRED.
El caso más grave fue el del Planning Inspectorate, el órgano que supervisa el uso del suelo en Inglaterra y Gales: un inicio de sesión quedó por accidente en un repositorio público de GitHub. Las credenciales, que al parecer nunca caducaron, dieron acceso de lectura y escritura a todos los sitios de SharePoint y a las cuentas privadas de OneDrive de los empleados, incluidos los registros de recursos humanos, además de bibliotecas con material protegido por orden legal para investigaciones y apelaciones de planificación. “La opción de pedir un rescate por ellas, de cifrar todos los datos o simplemente de robarlos, estaba ampliamente disponible”, advirtió el investigador.
Un portavoz del Planning Inspectorate explicó que sus sistemas de monitoreo detectaron la actividad en agosto y que ya lo estaban gestionando como un incidente cibernético cuando ControlPlane lo contactó; el problema se corrigió 20 minutos después del aviso y se verificó que no hubo filtración de datos. “Revisamos y reforzamos nuestros sistemas y procesos, y agradecemos el trabajo del investigador”, afirmó.
En total, el rastreo cubrió 349 bases de código del sector público en 33 organizaciones, y casi dos tercios tenían algún tipo de vulnerabilidad. Entre los casos estaban un servicio de contratación del Departamento de Educación usado por escuelas, un servicio de solicitud de docentes con datos personales, cualificaciones, historial laboral y documentos de identidad, el principal registro de proveedores de capacitación financiados por el gobierno en Inglaterra y el portal de datos abiertos del Gobierno de Escocia, donde cualquier visitante podía leer la información de la cuenta de administrador y cambiar la configuración del sitio. Las organizaciones ya atendieron los problemas.
El reportaje reaviva el debate sobre si el gobierno debería seguir publicando su código abiertamente: ya hay voces que piden dejar de hacerlo, y el servicio de salud NHS habría ordenado en mayo a sus equipos tecnológicos alejarse del código abierto por preocupaciones de seguridad. Amanda Brock, directora ejecutiva de OpenUK, matiza: “No es un tema de código abierto, sino de la limpieza interna al usar herramientas públicas. Es un fallo por no seguir un buen proceso. No es un problema de seguridad del código abierto”.
Según Nesbitt-Smith, cerrar el código sin corregir las fallas sería el peor escenario: impediría que los investigadores encontraran los problemas, pero un adversario que ya copió los repositorios seguiría teniéndolos, y además atraería la atención. “A menos que vayas a corregir todos los problemas, es probable que llames más la atención al cerrarlo. Es como decir: ‘Aquí hay dragones en este espacio. No miren aquí, por favor’”.
Para más noticias de tecnología, cultura geek, gadgets y entretenimiento, visita: GeekAndLife.com.mx. Descubre más contenido en nuestras redes: Instagram | YouTube | TikTok
Fuente: WIRED