IT之家 El 10 de noviembre, según informó Wired, un investigador de seguridad encontró más de 100 vulnerabilidades de seguridad graves en el código publicado por el gobierno británico. Debido a la falta de mantenimiento básico de la seguridad cibernética por parte de los departamentos correspondientes, estas vulnerabilidades podrían provocar la exposición de datos sensibles e incluso abrir la puerta a robos de datos y ataques con software de extorsión.
Según lo que IT Home sabe, durante los últimos 10 años, el gobierno del Reino Unido ha estado permitiendo de forma predeterminada la publicación pública del código desarrollado con fondos públicos. Por un lado, esto se hace para aumentar la transparencia en el trabajo gubernamental; por otro lado, también ayuda a otras instituciones a reutilizar el código, reduciendo así los costos de desarrollo. Las instituciones que han adoptado esta práctica incluyen el Ministerio de Salud y Asistencia Social del Reino Unido, el Ministerio del Interior y los departamentos locales.
Pero en los últimos años, la escasez de fondos ha hecho que varios departamentos gubernamentales ignoren el mantenimiento y la actualización de los sistemas tecnológicos existentes. Chris Nesbitt-Smith, investigador de la empresa de seguridad ControlPlane, utilizó los modelos Claude Opus y Sonnet AI para escanear código público gubernamental y descubrió numerosos problemas de seguridad.
Enfatizó que él solo utiliza modelos de IA de consumo que funcionan en laptops, y que muchas vulnerabilidades pueden detectarse incluso mediante las normas habituales de seguridad informática.
“Estos problemas no son los tipos de ataques en red de alta complejidad que preocupan a los medios principales; son todos errores básicos”, dijo Nesbit-Smith en una entrevista.
Fuga de cuenta del Departamento de Planificación y Supervisión, que podría causar la caída de todo el sistema SharePoint
Entre los problemas que descubrió, el más grave se relaciona con la Oficina de Inspección de Planificación de Gran Bretaña. Esta institución es responsable de tratar los asuntos de planificación del uso del suelo en todo Inglaterra.
Debido a un error en una operación, el personal de la institución envió accidentalmente las credenciales de inicio de sesión a la plataforma pública de alojamiento de código GitHub. Posteriormente, los departamentos correspondientes no lograron eliminar completamente esas credenciales, por lo que todavía pueden utilizarse.
Más peligroso es que este conjunto de credenciales tiene un acceso extremadamente amplio y parece no tener una fecha de vencimiento establecida. Nesbit-Smith cree que la revelación accidental de las credenciales, combinada con el gran alcance de los permisos y su vigencia prolongada, hace que este incidente sea especialmente peligroso.
Según él, este conjunto de credenciales de Microsoft Entra ID posee casi los permisos de lectura y escritura más altos del sistema completo, y puede acceder a todos los sitios de SharePoint así como a las cuentas privadas de OneDrive de los empleados, incluyendo los registros de recursos humanos.
Además, los atacantes podrían acceder a los archivos sensibles que contienen las pruebas de la investigación legal y las apelaciones. Estos documentos están protegidos por requisitos legales de conservación.
Nesbit-Smith indicó que es totalmente posible que los atacantes utilicen estas permisividades para desplegar software de extorsión, cifrar todos los datos o incluso robar todos los datos directamente.
La Oficina de Planificación y Supervisión indicó que sus herramientas de monitoreo de seguridad informática detectaron inmediatamente las actividades relacionadas con Nesbit-Smith en agosto de este año. Antes de que ControlPlane se pusiera en contacto con la institución, esta ya había tratado el asunto como un incidente de seguridad informática.
La institución declaró que, en los 20 minutos posteriores a la recepción del informe, confirmó y corrigió el error, y verificó que no hubo filtración de datos. El portavoz señaló que la institución había revisado y fortalecido los sistemas y procesos relacionados para evitar que se produzcan problemas similares, y agradeció a los investigadores por descubrir y reportar este problema.
Amanda Brock, directora ejecutiva de la organización sin fines de lucro OpenUK, considera que el incidente del Departamento de Planificación y Supervisión no tiene relación con el software abierto en sí, sino que se debe a la falta de una gestión estandarizada al utilizar herramientas públicas dentro del gobierno.
Ella indicó que la exposición de datos se debe a que las personas involucradas no siguieron el proceso de operación correcto, y eso no es un problema de seguridad en el software abierto.
De los 349 repositorios de códigos gubernamentales, aproximadamente dos tercios tienen vulnerabilidades
Esta escaneo cubrió 349 repositorios de códigos del sector público de 33 instituciones. Nesbit-Smith indicó que aproximadamente dos tercios de ellos presentan vulnerabilidades de seguridad.
Varios proyectos del Ministerio de Educación del Reino Unido también han sido encontrados con problemas, incluyendo los servicios de compra para las escuelas, los servicios de solicitud para los maestros, y el sistema principal de registro para los programas de capacitación y aprendices financiados por el gobierno de Inglaterra.
Entre estas, las solicitudes de servicios por parte de los profesores incluyen información sensible como datos personales, titulaciones académicas, experiencia laboral y documentos de identificación.
Además, descubrió una brecha en un portal de datos abierto del gobierno escocés. Con esa brecha, cualquier visitante podría leer la información de las cuentas administrativas e incluso modificar la configuración del sitio web.
Las instituciones relacionadas ya han gestionado estos problemas de seguridad.
La inteligencia artificial acelera la detección de vulnerabilidades, y el gobierno del Reino Unido considera fortalecer la política de publicación de código
A medida que los modelos de IA aceleran la detección de vulnerabilidades, también ha surgido un debate sobre si el sector público en el Reino Unido debe seguir publicando públicamente el código fuente.
En mayo de este año, se informó que el Sistema de Salud Nacional del Reino Unido (NHS) solicitó a los equipos técnicos que deje de usar gradualmente código abierto, debido a preocupaciones sobre los riesgos de seguridad que podrían generar los modelos de IA. El gobierno británico también emitió orientaciones relacionadas, discutiendo la relación entre el código público en el sector público y los riesgos de vulnerabilidades.
Sin embargo, Nesbit-Smith cree que si el gobierno simplemente deja de publicar el código, pero no repara inmediatamente las vulnerabilidades existentes, podría provocar los resultados más negativos.
Indicó que el código público permite a los investigadores de seguridad detectar y reportar problemas; una vez que la base de código se vuelve privada, los investigadores pierden la oportunidad de verificar las vulnerabilidades. Además, es muy probable que los atacantes potenciales hayan ya copiado y guardado dichas bases de código, y sigan estudiando y aprovechando sus vulnerabilidades.
“Si no tienes intención de resolver todos los problemas, cerrar el repositorio de código podría, por el contrario, atraer aún más atención. Porque eso es como decirle a alguien: aquí hay peligro, pero por favor no miren aquí”, dijo Nesbit-Smith.
Esta discusión también revela un problema más profundo: la IA realmente ha reducido el umbral para detectar vulnerabilidades en software, pero lo que realmente es necesario resolver no es si el código está público o no, sino si los departamentos gubernamentales pueden reparar las vulnerabilidades a tiempo, gestionar adecuadamente los permisos y mantener una buena seguridad cibernética básica.