Adobe Flash y agujeros web, retos de la conferencia de seguridad Black Hat

La próxima semana se llevará a cabo en Washington la Black Hat Conference, donde los especialistas en seguridad tienen previsto mostrar que el software y el hardware se construyen de manera muy frágil y, por tanto, puede ser sencillamente atacados.

Uno de los participantes de esta conferencia Black Hat es Michael Bailey, máximo responsable de investigación de seguridad en Foreground Security, quien intentará llevar a cabo ataques en tiempo real contra algunas de las principales páginas web con el fin de mostrar que pueden verse comprometidas por agujeros en el diseño de Adobe Flash. Aunque no ha querido adelantar cuáles son esas páginas web, sí ha determinado que sitios de redes sociales, de noticias y compañías tecnológicas se encuentran entre ellas.

Adobe Flash será sin duda uno de los protagonistas de este encuentro, pero, según Bailey, parchear las aplicaciones de Adobe no basta para evitar algunos de sus problemas. Además, se ha informado a Adobe de que va a ocupar una parte importante de la conferencia Black Hat aunque no se le han facilitado todos los detalles. El director de seguridad de productos de Adobe, Brad Arkin, cree que la presentación de Bailey se centrará en “errores de programación web comunes que los desarrolladores suelen cometer” y recuerda que en la web de su compañía se puede encontrar información, como formación y materiales, con el fin de ayudar a los desarrolladores a crear sitios con código seguro.

Pero, además, se espera que en la Black Hat también se muestren otros potenciales puntos con vulnerabilidades. Así, se espera que algunos expertos muestren el fallo de aplicar controles criptográficos conocidos en ViewState en tres entornos de programación (ASP.Net, Mojarra y Apache MyFaces), que pueden facilitar a los atacantes la lectura de datos guardados en un servidor. Cabe señalar que ViewState es una técnica que permite a los entornos de aplicaciones web crear perseverancias en elementos visuales para mantener una apariencia constante a través de múltiples páginas web.

El remedio para estos fallos estaría en el empleo de controles criptográficos basados en claves de encriptación que están incluidas en los tres entornos.

También se esperan presentaciones para discutir nuevas técnicas para hackear hardware, sistemas de video vigilancia, todo lo relacionado con el navegador Internet Explorer, Oracle 11g y el iPhone.