La European Union Agency for Cybersecurity (ENISA) publica el informe «Encrypted Traffic Analysis», un documento que trata de explorar la situación actual del análisis del tráfico cifrado y, en particular, analiza la investigación y los métodos en seis casos de uso clave: identificación de aplicaciones, análisis de redes, identificación de información de usuarios, detección de programas malignos cifrados, detección de huellas dactilares de archivos/dispositivos/sitio web/localización y detección de túneles de DNS. Además, en el informe se examinan las investigaciones recientes sobre prácticas de TLS que identifican prácticas impropias comunes y proponen contramedidas de interés.

La llegada del cifrado del tráfico de la red, como el TLS, no solo ha mejorado considerablemente la seguridad y la privacidad de los usuarios, sino que también ha reducido la capacidad de los administradores de la red para vigilar su infraestructura en busca de tráfico malicioso y exfiltración de datos sensibles. En el tráfico de red no cifrado, un fisgón, ya sea malicioso (es decir, un atacante) o no (por ejemplo, un administrador de red que supervisa su infraestructura) puede leer los paquetes de red y ver fácilmente su contenido. Por otra parte, los métodos de tráfico o paquetes cifrados, como TLS, IPSec, etc., garantizan que, aunque un fisgón pueda seguir registrando paquetes, ya no pueda descifrar su contenido ni modificarlo sin ser detectado. Por esta razón, muchos usuarios de TLS asumen que su conexión a un servidor web no es interpretable por terceros. Sin embargo, esto solo es cierto en parte, porque el análisis moderno del tráfico cifrado (a veces llamado ETA, encrypted traffic analysis) es capaz de suavizar estas ganancias de confidencialidad. Utilizando los métodos más modernos, un fisgón puede leer la siguiente información del tráfico de red cifrado, que debería ser privada gracias al TLS:

• Pueden obtener información sobre la presencia o ausencia de aplicaciones instaladas en el teléfono de un usuario.

• Averiguar qué sitios web visita un usuario, aunque este emplee tanto la encriptación de datos como una red de anonimato (por ejemplo, TOR).

• Averiguar qué archivos descarga y comparte un usuario a través de un canal encriptado.

• Identificar las acciones de los usuarios en las aplicaciones móviles y crear un perfil de usuario.

Por consiguiente, la privacidad de los usuarios de Internet se ve amenazada en gran medida por el análisis del tráfico codificado, y las garantías de privacidad esperadas ya no se cumplen plenamente. Esto no significa que la encriptación esté rota o que los fisgones tengan pleno acceso a los datos intercambiados, sino más bien que nuestro tráfico y fugas de información son mayores de lo que suponíamos posible.

Por otra parte, el análisis del tráfico cifrado también puede ser una herramienta útil para los administradores de la red. Los controles de seguridad comunes, basados en reglas de monitoreo y detección; por ejemplo, el Intrusion Detection and Prevention System (IDPS), Application Firewalls, Data Loss PreventionProtection (DLP), se basan en el análisis de la carga útil para detectar el tráfico malicioso; como las conexiones a los servidores de Comando y Control (C&C), la propagación de virus o la exfiltración de datos sensibles. Los atacantes se han convertido en expertos en el uso del estado del arte, de los esquemas de encriptación propios o personalizados para eludir dichos controles.

Para garantizar la seguridad y la fiabilidad de las redes corporativas y de la infraestructura de TI en general, se puede utilizar el análisis del tráfico cifrado de la siguiente manera:

• Los administradores pueden identificar qué tipo de tráfico de red está presente, lo que resulta útil para equilibrar la carga y predecir la capacidad de red necesaria.

• Los sistemas mejorados de detección de intrusos de la IA pueden utilizar el análisis de tráfico cifrado para identificar el tráfico de red dudoso.

• Los virus y las redes de bots sofisticados emplean el cifrado en su comunicación con los servidores de mando y control. Con la ayuda del análisis de tráfico cifrado, esta comunicación puede ser identificada y se pueden emplear las contramedidas adecuadas.

Pincha aquí para descargar el informe «Encrypted Traffic Analysis».

Fuente: ENISA