T2’12: La seguridad de los Huawei Routers y las terminales Pin Pad bajo escrutinio

HELSINKI, Finlandia.- La conferencia anual de seguridad T2’12 comenzó hoy con varias buenas presentaciones sobre las debilidades de seguridad que presenta la plataforma VRT (Versatile Routing Platform) de Huawei, y los cada vez más numerosos ataques contra las terminales de pago conocidas como pin pad.

Felix FX Lindner de Recurity Labs GmbH inició la jornada con una detallada observación del proceso de respuesta de seguridad de Huawei y (pista: ni siquiera es adecuada) una disección técnica de las entrañas del software de la plataforma VRT que impulsa los routers y hardware en todo el mundo.

La presentación de Lindner incluyó una introducción de la arquitectura de la VRT, las propiedades especiales de configuración y servicios, y una demostración práctica de ingeniería reversa del sistema operativo.

La charla de Lindner resultó muy oportuna a raíz de la preocupación del gobierno norteamericano por el uso de equipos Huawei. Un punto sobresaliente fue su afirmación de que no ha logrado identificar ningún (troyano) puerta trasera en los routers impulsados por VRT.

Pero, como explica Lindner, la combinación de vulnerabilidades de fácil detección y el tenue enfoque de Huawei a una respuesta de seguridad hacen que los (troyanos) puerta trasera no sean realmente necesarios.

La segunda charla que me pareció muy interesante fue la de Nils de MWR Infosecurity. Nils, muy conocido por sus hackeos Pwn2Own contra los modernos navegadores y dispositivos Android, demostró varios hackeos de las terminales de pago pin pad que se usan para aceptar pagos con tarjetas en todo el mundo.

Explicó que estos dispositivos portátiles ejecutan aplicaciones adicionales al firmware específico del dispositivo y mostró la facilidad con que se puede lanzar exploits de ejecución de códigos contra las vulnerabilidades que presenta la memoria.

Mañana, mi colega Costin Rau ofrecerá una presentación sobre cómo se descubrió la campaña del programa malicioso Flame, que contaba con respaldo estatal/gubernamental, y ofrecerá una amplia visión del estado de las operaciones de ciberguerra.