La empresa RSA, División de Seguridad de EMC, ha sido objeto de una intrusión en sus sistemas que, según palabras de su presidente, podría suponer un riesgo para la seguridad de su producto estrella SecurID.
En un comunicado de Art Coviello, Presidente Ejecutivo de RSA, la empresa ha sido objeto de un sofisticado ataque persistente (ATP - Advanced Persistent Threat). Esto es, un ataque perfectamente planificado donde los intrusos, personas con elevados conocimientos en técnicas de hacking, no se limitan a, una vez comprometido el sistema, obtener su "botín" y salir, sino que permanecen ocultos a fin de ahondar en la seguridad y lograr mayor acceso hasta alcanzar su objetivo. Esto hace que sea muy complicado tanto identificar a los artífices, como conocer el alcance de la intrusión. Según el comunicado de Coviello, se sospecha que pudieran haber accedido a información de seguridad de los tokens de su producto SecurID, relativa al modo en que genera los códigos aleatorios de acceso.
Para situarnos, SecurID es un sistema de seguridad basado en un dispositivo físico o llave (Token) que genera un código de 6 dígitos de modo aleatorio cada 60 segundos. Este código, unido a un PIN solo conocido por el usuario, forma la clave final que el usuario facilita al sistema para acceder (ver presentación (link roto a http://www.rsa.com/experience/SID/RSA_SecureID.html)). Por tanto, si lo que han sustraído es el modo en que el Token genera el código aleatorio, la seguridad se ve reducida solamente al PIN del usuario, lo cual supondría un grave riesgo, sobre todo debido al tipo de empresas que utilizan este sistema: grandes corporaciones, banca, o incluso el propio Gobierno de EEUU.
Tal es la preocupación de RSA al respecto, además de por el daño a su imagen que ha creado el incidente, que se han visto comprometidos a notificar a través de la Comisión de Valores de EEUU una serie de recomendaciones básicas a sus clientes, haciendo especial hincapié en aumentar la complejidad de los pines y reforzar las medidas en aplicaciones de medios sociales.
Fuente de la noticia: Hispasec - Una al día
Saludos.
Nota del editor: Para que no haya lugar a malentendidos, aunque aun es pronto para conocer el alcance del problema o posibles repercusiones futuras, lo que se ha visto comprometido es la seguridad de la empresa RSA en sí y su producto SecurID (que no es poco). Nada que ver con el algoritmo RSA o su sistema de cifrado.