La transmisión a través de Ethernet

En el Chaos Communication Congress del año pasado, el investigador y radioaficionado Jacek Lipkowski presentó los resultados de este experimento que implican la extracción de datos de una red aislada mediante la radiación electromagnética en segundo plano, generada por el equipo de red. Esta presentación de Lipkowski seguramente sea la más reciente, pero difícilmente la única: periódicamente se descubren nuevos métodos de extracción de información desde ordenadores y redes ubicados más allá del aislamiento físico.

Cualquier cable puede hacer la función de antena y los atacantes que se infiltren en la red aislada y ejecuten su código pueden, en teoría, usarlo como antena para transmitir datos al mundo exterior; solo tendrían que modular la radiación mediante software.

Lipkowski decidió poner a prueba la viabilidad de usar las redes Ethernet convencionales para dicha transmisión de información.

En primer lugar, he aquí una advertencia: el investigador principalmente usó un Raspberry Pi 4 modelo B en sus experimentos, pero dice estar convencido de que sus resultados pueden replicarse con otros dispositivos conectados a Ethernet o, al menos, embebidos. Él utilizó el código Morse para transmitir los datos. No es el método más eficiente, pero es fácil de adoptar; cualquier radioaficionado puede recibir la señal con una radio y descifrar el mensaje escuchándolo, lo que convierte al código Morse en una buena opción para demostrar la vulnerabilidad en cuestión, que el autor ha nombrado Etherify.

1^er experimento: La frecuencia de modulación

Los controladores modernos de Ethernet utilizan la interfaz estandarizada independiente del medio (MII por sus siglas en inglés). La MII permite la transmisión de datos en varias frecuencias dependiendo del ancho de banda: 2.5 MHz para 10 Mbit/s, 25 MHz para 100 Mbit/s, y 125 MHz para 1 Gbit/s. A su vez, los dispositivos de la red permiten conmutar y corresponder a los cambios en la frecuencia.

Las frecuencias de transmisión, que genera diferentes radiaciones electromagnéticas provenientes del cable, son los “cambios de marcha” que pueden usarse para modular la señal. Un script sencillo (por ejemplo, usando una interferencia de 10 Mbit/s como 0 y una interferencia de 100 Mbit/s como 1) puede ordenar a un controlador de red que transmita los datos con una velocidad u otra; en consecuencia, básicamente genera los puntos y rayas del código Morse, que un receptor de radio puede captar fácilmente hasta una distancia de 100 metros.

2º experimento: La transferencia de datos

Cambiar la velocidad de transferencia de datos no es la única forma de modular una señal. Otro modo emplea variaciones en la radiación de fondo del equipo de red en funcionamiento; por ejemplo, el malware en un ordenador aislado podría utilizar el programa estándar de conexión a la red para verificar la integridad de la conexión (pin-f) y cargar el canal con datos. Las interrupciones y reanudaciones de la transferencia se podrán escuchar hasta en una distancia de 30 metros.

3^er experimento: No se necesita un cable

El tercer experimento no estaba previsto, pero aun así los resultados eran de interés. Durante la primera prueba, Lipkowski olvidó conectar un cable al dispositivo de transmisión, pero seguía escuchando el cambio en la tasa de transmisión de datos del controlador a 50 metros de distancia. Eso significa que, generalmente, los datos se pueden transferir desde un equipo aislado siempre que este cuente con un controlador de red, sin importar si está conectado a una red. La mayoría de las placas base tienen un controlador de Ethernet.

Otros experimentos

El método Air-Fi de transmisión de datos generalmente puede replicarse en dispositivos de oficina (portátiles, routers), pero su eficacia varía. Por ejemplo, los controladores de red para portátiles que Lipkowski usó para probar y reproducir el experimento inicial establecieron una conexión unos segundos después de cada cambio en la tasa de datos, lo que ralentizó substancialmente la transmisión de datos mediante el código Morse (aunque el investigador logro transmitir un mensaje sencillo). La distancia máxima respecto al equipo también depende en gran medida del modelo en específico. Lipkowski sigue experimentando en este campo.

Valor práctico

En contraposición a la creencia popular, las redes aisladas físicamente se usan no solo en laboratorios ultrasecretos e instalaciones de infraestructura crítica sino también en empresas comunes, que también utilizan a menudo dispositivos aislados como módulos de seguridad hardware (para administrar las llaves digitales, cifrar y descifrar firmas digitales y suplir otras necesidades criptográficas) o estaciones de trabajo dedicadas y puestas en aislamiento (como las autoridades locales de certificación, CA, por sus siglas en inglés). Si tu empresa utiliza algo de este tipo, ten en cuenta la posibilidad de filtración de la información del sistema a pesar del aislamiento físico.

Dicho esto, Lipkowski usó un receptor USB doméstico y relativamente barato. Y los ciberdelincuentes que cuenten con mejores recursos podrán permitirse un equipo más preciso, lo que incrementa el rango de recepción.

En cuanto a las medidas de protección de tu empresa frente a las filtraciones, debemos reiterar algunos consejos evidentes:

• Implementa la división por zonas y el control del perímetro. Cuanto más se acerque un atacante potencial a las salas que albergan las redes o los dispositivos aislados, mayor será la posibilidad de interceptar señales.
• Utiliza un recubrimiento de metal en toda sala que albergue equipo crítico, lo que producirá una jaula de Faraday de protección.
• Coloca un revestimiento en los cables de red. Aunque en teoría no es una solución perfecta, el revestimiento de los cables debería reducir significativamente la zona en la que pueden captarse las oscilaciones electromagnéticas. Combinado con la división en zonas, esto podría proporcionar una protección suficiente.
• Instala soluciones para supervisar los procesos sospechosos en los sistemas aislados. Después de todo, los atacantes necesitan infectar un ordenador antes de poder transmitir tus datos al exterior. Con la ayuda de un software dedicado, puedes garantizar que los sistemas críticos permanezcan libres de malware.