A propósito del "ataque del frío"

Tenía pendiente leerme el reciente trabajo sobre persistencia de memoria residual en la RAM de equipos apagados y ya he hecho mis deberes. Expondré a continuación algunas de mis conclusiones, en la esperanza de que contribuyan a despejar algunas dudas que los lectores han expuesto en sus comentarios o, en el peor de los casos, que al menos mis palabras fomenten el debate sobre algunos aspectos colaterales.

Comenzaré por mis conclusiones. Si eres un émulo de Jack Bauer, seguro que la agencia para la que trabajas es plenamente consciente de este riesgo y hace tiempo que te habrá provisto de un sofisticado (y caro) portátil, equipado con refuerzos mecánicos dirigidos a impedir una rápida extracción de tus módulos de memoria o incluso con algún módulo soldado firmemente a la placa. No obstante, eso no te libera de la necesidad de controlar en todo momento tu portátil, sobre todo cuando lo tienes encendido, suspendido o hibernando. Una vez lo apagues del todo, bastará con que lo tengas controlado durante un minuto más para que ni un atacante equipado con nitrógeno líquido (que en tu "negocio" puede haberlos) pueda extraer tus claves de la memoria.

¿Y los usuarios comunes? Pues básicamente lo mismo: tu portátil corre peligro si te lo "levantan" mientras tiene algún tipo de vida eléctrica, y si está recién apagado aún puede extraerse algo de la RAM, pero dudo que tu atacante sepa cómo hacerlo, o que tenga el tiempo, la habilidad y el interés necesarios para rociar tus DIMM con un spray invertido ;)

Sin embargo, que no se me entienda mal, porque mis afirmaciones anteriores no pretenden quitar ningún mérito ni interés a un excelente trabajo que aunque sólo fuera por su poder desmitificador ya valdría su peso en oro. Pero es que además -como dije al principio- nos va a permitir hacer algunas reflexiones sobre algunos aspectos interesantes...

Por ejemplo:

1. Algunos lectores parecen dar a la BIOS un papel protector frente a este tipo de ataques del que desde luego carece, porque la mayoría de ellas permiten seleccionar un modo de arranque rápido (denominado generalmente "quick boot" o algo similar) que omite los tests destructivos para la memoria del POST (Power-On Self Test). En esas condiciones, la BIOS se limita a sobre escribir unos pocos megabytes del espacio total de direcciones.
2. No se requiere ningún equipo especial para poder leer la memoria residual.
3. Aún si se logra eludir la sobreescritura destructuva realizada por la BIOS (como comentamos en el paso 1) es necesario impedir la carga de un sistema operativo al uso, porque eso sí que acabaría con casi cualquier rastro en la memoria residual. La forma de evitar esto consiste en utilizar alternativas para el arranque, como el PXE (Preboot Execution Environment) de Intel, o un cargador de arranque SYSLINUX desde un dispositivo USB (u otro disco). En el primer caso (PXE) los autores del trabajo consiguieron transferir los datos residuales de 1 GB de RAM en un minuto. En el caso de USB tardaron 4 minutos.
4. Algún lector opinaba que bastaba programar un borrado seguro (wipe) al apagar la máquina para resultar inmune, pero -como otro lector acertadamente respondió- esa protección resulta inútil ante un apagado inesperado. Lo mismo cabe decir de cualquier otra solución de borrar-al-apagar que confíe en el sistema operativo o las aplicaciones.
5. La posibilidad de ataques remotos resulta muy interesante, aunque sólo es aplicable a máquinas que arrancan desde la red. Se podría comprometer alguna máquina de la red para configurarla como un servidor de arranque PXE, desde el que podría obtenerse un volcado de memoria desde la máquina objetivo, que además podría pasar desapercibido si se camuflara como un rearranque motivado por una actualización de software, por ejemplo. Demasiado sofisticado -lo sé- para quienes no somos Jack Bauer ;)
6. Otro aspecto muy interesante de la investigación radica en la elaboración de algoritmos para la reconstrucción de las claves de cifrado completas a partir de los fragmentos de las mismas recuperados. En ese sentido parecen ayudar mucho las precomputaciones que la mayoría de los programas de cifrado realizan (y almacenan en memoria) a fin de acelerar las operaciones. Para dar una idea de la efectividad de estos algoritmos, el trabajo asegura que con tasas de decaimiento típicas la probabilidad de recuperar una clave DES de 56 bits es superior al 98%, o de más del 96% para una clave Triple DES de 168 bit.
7. No menos interesantes resultan las herramientas aplicadas para detectar la presencia de claves de cifrado en volcados de memoria, como keyfind para claves AES de 128 y 256 bit.
8. Como dijimos también al principio (y además hemos comentado en otras ocasiones), este trabajo conluye que un atacante "moderadamente capaz" puede saltarse la mayoría de los programas de cifrado de disco (por no decir todos) si accede al portátil cuando está encendido o suspendido. Obtener imágenes de memoria y localizar las claves es cuestión de unos pocos minutos y puede realizarse con herramientas automatizadas.
9. Como dijimos en la nota inicial, todos los programas de cifrado, y en todos los sistemas operativos, pueden resultar vulnerables al ataque, pero algunos lo son más que otros. Mención especial requiere el BitLocker que se incluye en las versiones más caras de Windows Vista, y cuyo modo básico (por defecto) parece resultar particularmente vulnerable, hasta un punto de que la propia Microsoft reconoce. También destacan los autores un hallazgo adicional: Mac OS X 10.4 y 10.5 mantienen múltiples copias de la contraseña de login del usuario en memoria, lo que la hace susceptible a este tipo de ataques.
10. Por último, es necesario mencionar que este tipo de ataques no sólo permiten obtener las claves utilizadas para cifrar el disco, sino que tienen muchas más aplicaciones. Por ejemplo, mediante la utilidad de búsqueda de claves en memoria también podrían localizarse contraseñas, números de cuenta, etc. Y también resulta posible atacar sistemas DRM (protección de contenidos digitales), en la medida en que suelen guardar sus claves en memoria. También son particularmente sensibles los servidores Web, por cuanto deben mantener en memoria las claves privadas requeridas por las sesiones cifradas con SSL.

Creo que el resumen esbozado contiene bastante aspectos susceptibles de un animado debate, pero no debe evitar una lectura atenta del trabajo original, que es lo único que podría evitar los errores a los que puedan inducir mis personales interpretaciones e inevitables sesgos.