El aire caliente que desprende una computadora puede revelar secretos

Un nuevo malware permite extraer datos de ordenadores desconectados de Internet.

Las computadoras más seguras del mundo no pueden buscar nada en Google: se encuentran físicamente desconectadas de Internet y de cualquier otra red. El Ejército de EE.UU. y la Agencia de Seguridad Nacional (NSA) estadounidense, entre otros muchos, emplean esta medida de prevención de ataques, conocida como "hueco de aire"( air gap). También lo hace The Intercept, el medio de comunicación fundado por Glenn Greenwald que ayudó a divulgar el extenso programa de vigilancia de la NSA. Pero donde hay gana, hay maña: un grupo de estudiantes de doctorado en la Universidad Ben Gurión del Néguev, en Israel, asegura que puede obtener información de un ordenador sin conexión a la Red a partir del calor que desprenden sus procesadores.

Todos los equipos informáticos llevan incorporados sensores térmicos para detectar el calor que generan los procesadores y activar el ventilador cuando sea necesario. Para llevar a cabo una ofensiva con el nuevo método, un espía tendría que infectar dos ordenadores adyacentes: uno conectado a Internet y otro sin conexión. El primero resultaría relativamente sencillo de atacar, si bien hacer lo mismo con el segundo requeriría emplear un lápiz USB u otro dispositivo físico similar, algo sin duda complicado en una instalación de alta seguridad.

Supongamos que el atacante busca una contraseña almacenada en el equipo sin conexión a la Red. El código malicioso tomaría el control del procesador central y lo forzaría a ejecutar un ciclo de trabajo que revelase uno a uno los caracteres de la contraseña. Cada avalancha de actividad generaría una bocanada de aire caliente, la cual se propagaría hasta la computadora vecina. Los sensores térmicos de esta última detectarían los cambios de temperatura y, pasado un tiempo, el ordenador conectado a Internet estaría en posesión de la contraseña y en condiciones de transmitirla. El nuevo método de espionaje ha sido bautizado como BitWhisper ("SusurraBits").

Para que todo funcione como debe, ambas computadoras deben encontrarse a menos de 40 centímetros de distancia. Se trata además de un proceso muy lento, ya que la computadora infectada solo puede transmitir datos a una tasa de 8 bits por hora. Pero esa velocidad sería suficiente para muchos propósitos, asegura Yisroel Mirski, uno de los coautores del código. Según el investigador, bastarían 5 bits para transmitir desde el ordenador conectado al desconectado un comando que activase en este último un algoritmo de destrucción de datos. Los resultados de la investigación serán presentados la próxima semana durante 28^o Simposio sobre Fundamentos de Seguridad Informática del Instituto de Ingenieros Eléctricos y Electrónicos (IEEE), en Verona.

BitWhisper tal vez parezca excesivamente enrevesado. Después de todo, si alguien es capaz de introducir un código malicioso en un ordenador sin conexión a la Red mediante un dispositivo USB, ¿por qué molestarse en un método de espionaje tan complejo como la transmisión de calor? Mirski señala que la técnica permite que un atacante controle el equipo sin necesidad de sentarse físicamente en él. Anil Madhavapeddy, experto de la Universidad de Cambridge que no participó en la investigación, añade que el calentamiento de un equipo no resulta nada extraordinario, por lo que la actividad anómala del ordenador infectado pasaría inadvertida. "E incluso un canal de transmisión muy lento puede resultar provechoso para el atacante, ya que basta con sentarse a esperar y dejar que el programa trabaje durante horas o días para que filtre información importante sin levantar sospechas", apunta el investigador.

Por supuesto, evitar un ataque con BitWhisper es simple: mantener todos los ordenadores sin conexión a Internet muy alejados del resto o separar las máquinas mediante un aislante térmico. A la vista de todos los requisitos que tendrían que cumplirse para el nuevo código lleve a cabo su tarea, tal vez sea más sencillo encontrar un soplón.

Este artículo se reproduce con permiso y fue publicado primero en Investigación y Ciencia.