lunes, 26 de julio de 2021

Pandemia, criptoanálisis y las cartas de Zodiac (y Parte II)

 

En esta segunda entrada vamos a descubrir cómo se desveló el enigma del mensaje Z340. Lo haremos de una forma descriptiva gráfica y un tanto intuitiva. Las imágenes pertenecen a los diversos vídeos realizados por David. Dejamos de lado los estudios matemáticos que se han llevado a cabo para desencriptar este mensaje y otros similares. Sería deseable una publicación que los recopilase

Datos e hipótesis de partida para el análisis de Z340

Empezamos en la conferencia"What is Zodiac's 340-Character Cipher?” que David ofreció en 2018 en ACA. Expone los conocimientos acumulados hasta esa fecha, 2018.

 

"What is Zodiac's 340-Character Cipher? 2018 ACA Presentation"

Parte de la hipótesis que el Z340 está construido como el Z408. Por lo tanto, para proceder a sus resolución se tendrán que tener en cuenta estas características:

  

  • El diseño de ambos mensajes son similares. Los dibujos tienen tamaño similar, está cuidadosamente puestos en 17 columnas y un espaciado entre ellos muy medido.
  • El Z340 tiene menos filas, pero todas igual de completas.
  • Cifrado basado en sustitución homofónica. Este método es el más recomendado en los manuales de la época. Evita los análisis basados en la frecuencia de las letras que fácilmente se puede utilizar en una sustitución simple. (Los investigadores siempre creyeron que Zodiac se instruyó con la lectura de estos libros).

El Z408 es homofónico y tiene una distribución de las frecuencias de los símbolos muy uniforme. El Z340 tiene una uniformidad similar, (excepto un símbolo que destaca porque está muy repetido). Por lo tanto, se puede considerar que es también homofónico; por lo menos, como punto de partida para investigar.

En el Z340 aparecen nuevos símbolos. El Z340 tiene 63 símbolos mientas que el Z408 tiene 54. Considerando que Zodiac quería aumentar la complejidad del segundo mensaje, esta es una forma de conseguirlo.

Hay que recordar que el Z408 se resolvió en una semana. Zodiac se sentiría humillado y a la vez enfurecido, en consecuencia, aumentaría la complejidad para que el reto fuese aún mayor. ¿Añadiría un paso más de dificultad?, ¿será una transposición? Es muy probable que así sea.

Los símbolos están organizados en filas y columnas correctamente colocados como inscrito en una cuadrícula. La forma más sencilla de transposición sería intercambiar filas o columnas. El análisis que se haga deberá tener estos posibles cambios en cuenta.

Podemos resumir las siguientes características del Z340.

  • La dirección de lectura normal, de izquierda a derecha y de arriba hacia abajo. 
  • El idioma es el inglés. Las cartas manuscritas están en este idioma. Tampoco se aprecian giros o expresiones de otras lenguas en sus conversaciones telefónicas.  
  • El Z340 tendrá faltas de ortografía. En el Z408 como en las cartas coinciden los mismos errores.


 Errores ortográficos

  • Es posible que haya palabras omitidas. En las frases del Z408 no aparecen determinadas palabras. Se desconoce el motivo, tal vez por distracción o para cuadrar el número de símbolos en las filas y columnas.

  • Es posible que haya errores de transcripción, en el traslado de las letras a los símbolos. Hay un error corregido que se muestra muy evidente. El primer símbolo aparece tachado y encima de él, su corrección. Debió descubrir el fallo cuando repasó la transcripción después de hecho. 

    Error durante la transcripción

  • Inclusión de símbolos de relleno. En las últimas líneas del Z408 hay unos símbolos que no se ha conseguido traducir en una frase con sentido. No se sabe por qué los añadió. Se supone que cuando dividió el Z408 en los tres fragmentos que envió a los periódicos, el último quedó desigual. Tal vez, Zodiac tuvo que prolongar las filas con símbolos aleatorios para que la longitud fuese similar.


Última línea indescifrable del Z408

Por último:

  • Aparecen accidentes fortuitos en el cifrado y se manifiestan en composiciones de símbolos repetidas o simétricas. Resultan atractivas para interpretarse como el resultado de algún patrón resultante del método empleado; pero en realidad carecen de significado. Muchos analistas buscan la solución indagando alrededor de estos patrones perdiendo mucho tiempo.

Las características anteriores hay que tenerlas en cuenta a la hora de comenzar el desvelar el Z340.


Buscando pistas y patrones

Durante años se han seguido varias pistas para descubrir algún patrón sobre el cual poder iniciar estrategias de descifrado.

Era una búsqueda a tientas, como la del desesperado Teseo, encerrado en el oscuro laberinto y deseando tocar con sus dedos el extremo del hilo que le permitiera salir de nuevo al calor del sol cretense.

Entre las pruebas que se han hecho destacaremos las siguientes:

  • Contabilizar los bigramas y trigramas del mensaje cifrado. Comparar los resultados obtenidos en los mensajes Z408 y Z340. (Los bigramas son pares de símbolos juntos y los trigramas son tres)
  • Buscar bigramas y trigramas distantes, separados por un número fijo de símbolos intermedios.
  • Pares de símbolos que se repiten manteniendo un orden a lo largo del mensaje.
  • Reordenamiento en un bloque de los símbolos que están en las posiciones que corresponden a números primos (2, 3, 5, 7, 11, 13, 17, 19, 23, 29, 31, 37, 41, 43, 47, 53, etc.)
  • Reordenamiento en dos bloques de los símbolos que se encuentran en las posiciones pares e impares.
  • Separación de las columnas y las filas pares e impares.
  • Recolocación de columnas en filas y filas en columnas.
  • Búsqueda de símbolos alfabéticos que mantengan cierta continuidad y delaten la presencia de palabras legibles y estas a su vez muestren un mensaje más completo y significativo.
  • En cada uno de los bloques resultado de las recolocaciones anteriores se volvía a contabilizar los bigramas y los trigramas

Otra de la estrategia ha sido más experimental. Consistió en generar muchos criptogramas a partir de un texto conocido y utilizando claves con el mismo repertorio de símbolos. Realizar estas operaciones exigió el desarrollo de programas y algoritmos ad hoc. Se pretendía encontrar alguna pauta o modelo de encriptación que pudiera identificarse con la utilizada en el Z340.

La colaboración a través de las redes sociales contribuye a aportar más propuestas. No sólo para resolverlo sino para tratar de comprender cómo se pudo crear. Por ejemplo, la relación que se establece entre las teclas de una máquina de escribir. La letra del texto inglés se codifica con una letra adyacente en el teclado, aunque se varía escribiéndola invertida o girada.

Todos estos experimentos y tentativas se extendieron a lo largo de los años con periodos de más o menos intensidad.


Hacia la resolución del Z340

El objetivo final no era tanto el reto de resolver el mensaje en sí mismo, sino descubrir si en él se encuentra el nombre de Zodiac o alguna pista que condujese a su identificación.

 

El primer análisis

Se empieza por contar el número de símbolos y el porcentaje con respecto al número total. La variedad de símbolos supera a la del alfabeto inglés y la frecuencia de aparición no es completamente uniforme; por lo tanto, esto sugiere que se trata de un monoalfabético homofónico. Esta es una razonable hipótesis de partida porque así es el Z408.

El cifrado homofónico se resiste al análisis de frecuencia de los símbolos. En este caso, se descubren y contabilizan los bigramas y trigramas (pares o tríos de símbolos) y establecer relaciones de su presencia y abundancia en el idioma inglés.

 

Los bigramas y la LL en la resolución del Z408

Este es el modo en que se pudo resolver el Z408 en agosto de 1969. Donald y Bettye Harden comenzaron por identificar bigramas y el primero que se les ocurrió identificar fue el par LL. Supusieron que, al ser el mensaje de un asesino, sería posible que apareciesen las palabras kill, killer o will, como el anuncio de amenazas futuras. Con dedicación y pruebas aquí y allá, el mensaje del Z408 fue revelado a los pocos días de su publicación fragmentada en los tres periódicos.

Cuando los analistas comenzaron a trabajar sobre el Z340 del mes de noviembre de 1969 siguiendo el mismo método, pudieron comprobar que no llevaba a ninguna parte. Zodiac había cambiado el método la encriptación. Esto era una suposición lógica. Cuando Zodiac descubrió que su primer mensaje se desveló en tan sólo una semana, decidió que el segundo debía ser más complicado para desesperación de los analistas.

No obstante, el procedimiento para desentrañar el mensaje sigue siendo el estudio de los bigramas y los trigramas.

 

Las diferencias entre los bigramas del Z408 y el Z340

Esto conduce a las siguientes preguntas:

  • ¿Qué diferencia hay entre los bigramas del Z408 y del Z340?, ¿Existen las mismas variedades y proporciones con número de total de símbolos de cada mensaje? ¿Se distribuyen de igual manera a lo largo del mensaje?, ¿Qué separaciones o distancias, contadas en número de símbolos, hay entre todos ellos?
  • Si elegimos un texto inglés cualquiera conocido y contabilizamos los bigramas. ¿Cuánto se aproximan las proporciones de los dos mensajes?
  • Ahora, si realizamos cientos y miles de combinaciones aleatorias del mismo texto inglés. ¿Cuáles son las proporciones de bigramas que aparecen en cada una?
 

La búsqueda de una transposición

En la criptografía, la transposición consiste en cambiar la posición inicial las letras del texto plano por otro lugar dentro del mismo texto. Este desplazamiento, medido en el número de letras que hay entre la posición inicial y final, es la regla del cifrado. Para proceder al descifrado hay que conocer el valor del desplazamiento y aplicarlo en el orden inverso al cifrado.

Expusimos anteriormente que el mensaje Z340 es más complejo. Esto nos obliga a otra pregunta: ¿Es posible identificar algún tipo de transposición a través del análisis de los bigramas y trigramas?

En el párrafo anterior se expusieron pruebas y experimentos con bigramas y sus relaciones. Se trata de descubrir si en el Z340 hay una trasposición que haya separado los pares de algunos bigramas por lo tanto, el número total que aparecen es menor. O tal vez, también puede ocurrir, que la transposición haya podido crear nuevos “falsos” bigramas, al unir símbolos que originalmente no lo estaban.

Para trabajar en ellas pruebas y organizar los datos tenemos que:

  • Crear una tabla con los bigramas y el número de repeticiones de cada uno
  • El número total de bigramas repetidos.
  • La frecuencia en que aparecen los bigramas de lengua inglesa.
  • El número total de bigramas que aparecen en cada texto aleatorio
 

Bigramas de un texto inglés

Este texto bien construido de ejemplo es el que muestra David en su video.

Bigramas de texto inglés ejemplo


El número total de bigramas repetidos es de 136. En la imagen se han seleccionado algunos de ellos.

Repetimos la operación, pero esta vez, reconfigurando el texto, con sus espacios y signos de puntuación, de forma aleatoria cada vez y contabilizamos el promedio de bigramas repetidos que aparecen.

En este caso, el promedio de un millón de textos aleatorios arroja una media de 97,78 bigramas repetidos.

La presencia de más bigramas en el texto inglés tiene que ver con la redundancia del lenguaje, la presencia de determinado emparejamiento de letras y no otras. En la combinación aleatoria no hay restricciones.

 

Los bigramas en el Z408

El número total de bigramas en el mensaje Z408 es de 62.

Bigramas repetidos en Z408

Lista de bigramas del Z408

Ahora tomamos distintas combinaciones aleatorias de los símbolos que hay en el Z408 manteniendo el mismo número de filas y columnas.

Después de un millón de combinaciones. El promedio de repeticiones es de 26,94
 

Combinaciones y bigramas promedio en Z408

 
La diferencia del texto construido tiene 62 bigramas, el texto aleatorio un promedio de 26,94

Es un valor que está más próximo a un texto inglés gramática y ortográficamente bien construido (hay que tener en cuenta que el mensaje tiene errores).

 

Los bigramas en el Z340

El número total de bigramas en el Z340 es de 25.
 

Bigramas repetidos en Z340


Lista de bigramas del Z340

 
El resultado del millón de combinaciones aleatorias, arroja un promedio de 20 bigramas.

Por lo tanto, los bigramas que aparecen en Z340 está muy próximo a una combinación aleatoria.

 

Combinaciones y bigramas promedio en Z340


Conclusión de las pruebas con bigramas

Los bigramas del Z408 tiende a aproximarse al número de un texto inglés. La diferencia está, entre otras, en que una letra se representa por varios símbolos. Dos bigramas iguales en inglés se pueden traducir en dos pares de símbolos diferentes y no contabilizarse como una repetición.

El número de bigramas del Z340 se aproxima al promedio de número aleatorios. El Z340 mensaje sobre el papel tiene zonas donde no hay bigramas. Es posible que los bigramas se hayan separado por la transposición que suponemos que hizo

Desgraciadamente, los resultados de estas pruebas no arrojaron luz sobre el método de encriptado, pero es necesario continuar con otras ideas. Los foros están llenos de ellas.

 

Estructura en diagonal

Gracias a los programas, es posible encontrar parejas de símbolos que puedan emparejarse en bigramas y además estén repetidos.

Destacan estas diagonales, separadas un espacio de 19.

 

Bigramas en diagonal separados 19 posiciones

 

¿Podría ser la separación 19 la regla de la transposición?, ¿podemos revertir estas posiciones diagonales a una horizontal, tal como sería el texto plano?

Bigramas en diagonal separados 19 posiciones (imagen 2)



Los pasos hacia la resolución

Utilizando el programa AZDescrypt que Jarl Van Eycke ha ido mejorando, es posible buscar estructuras que tengan 19 espacios de separación y recoloquen los símbolos del mensaje en cada una de ellas.

 

 
Después de efectuar estas transposiciones, solo queda darle al botón del programa y ejecutar traducción por fuerza bruta de los símbolos al texto inglés. Cientos de miles de combinaciones y soluciones son posibles. Se busca alguna combinación que proporciones alguna palabra descifrada legible.

Samuel propuso una estructura triangular que dividía el mensaje en tres partes.

El jueves 3 de diciembre de 2020 se obtuvo una combinación de símbolos y una posible traducción.

Aparecieron casualmente las palabras:

HOPE YOU ARE
TRYING TO CATCH ME
OR THE GAS CHAMBER
 

Palabras “or the gas chamber” en Z340

 

Una de las miles de soluciones donde aparece unas palabras interesantes y que merece la pena seguir investigando. Con ellas, se consigue la traducción de unos pocos símbolos en letras. En el programa Azdescrypt se fijan los simbolos con ellas. Esta es la base para continuar con la búsqueda probando más combinaciones.

 

La división por secciones 

Según la propuesta de Sam, el texto cifrado se dividió en tres partes manteniendo la separación de 19 símbolos. La primera y segunda sección son de 9 líneas y la tercera de 2.

Separación de Z340 en 3 secciones


Traducción de la primera sección

Las secciones tendrían una transposición diagonal. Los símbolos del mensaje se recolocan en orden siguiendo la regla siguiente:

  1. Comenzar por el primer símbolo arriba a la izquierda.
  2. El segundo símbolo se toma de la segunda línea y a dos posiciones con respecto del primero. (un movimiento en L que recuerda al salto del caballo de ajedrez). Este desplazamiento equivale a 19 posiciones del anterior.
  3. El tercer símbolo de la tercera línea se toma de dos posiciones respecto al anterior. Manteniendo los 19 símbolos de separación.
  4. Así sucesivamente línea a línea.
  5. Cuando se llega al borde inferior, se vuelve a la primera línea y se coje el segundo símbolo y se continua con el segundo de cada línea.
  6. Cuando se alcanza el borde derecho, se toma el símbolo contando desde el lado izquierdo.

Primera sección: regla de transposición diagonal en 19 separaciones

Primera sección: regla de transposición diagonal (continuación)

Primera sección Z340 reescrita con los símbolos recolocados.

Primera sección con los símbolos traspuestos


Este código reescrito se pasó por el programa AZDescrypt. Se fijan los símbolos ya traducidos. Después de ejecutarse el programa y probar varias combinaciones, aparecieron más palabras y frases con sentido.

 

Primera sección descifrada

Surgió una frase muy significativa que reveló que se iba por el buen camino: THAT WASNT ME ON THE TV SHOW. La frase dice "No era yo quien estuvo en el programa de televisión". Hace referencia a la entrevista que el 22 de octubre de 1969 se realizó a Zodiac por televisión. Una persona, por teléfono se puso en contacto con el presentador Jim Dumbar y el abogado Melvin Bellai, presentes en el estudio de televisión. El cifrado se recibió el 8 de noviembre de 1969 y en el mensaje expone que no fue él quien llamó por teléfono; sino otra persona, un impostor. Desde la emisión del programa y el envío del mensaje hubo tiempo suficiente para su redacción.

Este detalle da coherencia al contenido del mensaje y al método de descifrado. Se va por el buen camino. Pero no se ha resuelto el mensaje, solo estamos en la primera sección. También aparecen errores ortográficos o de transcripción.

Primera sección descifrada

  
Traducción de la segunda sección

Los símbolos de la primera sección aparecen en la segunda. Es posible hacer un diccionario bastante completo.

Diccionario de la primera sección


Para la segunda seccion reordenamos los simbolos siguiendo la regla anterior y aplicamos la traduccion con el diccionario.

Segunda sección. Primera traducción


Aparecen palabras y frases legibles, aunque no está completo. Es necesario buscar nuevas propuestas para probar y desvelar el original. Puede ocurrir lo siguiente:

  • Algunas palabras están escritas en sentido inverso. Así ocurre en el texto de la tercera sección.
  • Zodiac ha cometido errores en la transcripción. En este caso, hay que identificar cuál es el error y aplicar la corrección antes de volver a traducir el texto.

Volvemos a la segunda sección. Cambiamos la posición de los símbolos por las letras. Encontramos un posible error en la palabra "Enough", aparece mal escrita.

Segunda sección. Error ortográfico

 

Las letras de la palabra que aparece a continuación de "enough" es "slave" (en verde) y la tercera diagonal tiene "fo" que pudiera ser originalmente "four". En amarillo se ha destacado las cuatro letras mal colocadas; es decir, el texto se tradujo a sus símbolos pero al transcribirlos a la carta, se colocaron en un orden equivocado.


Segunda sección, corrección del error

 
El conjunto de letras amarillas deben desplazarse una posición hacia la derecha. La letra H del extremo se coloca al principio de esta diagonal. El mensaje corregido es el que se muestra a continuación.


Segunda sección con el error corregido

  
Aparece la palabra LIFE IS en texto claro, luego escapa a la regla de la creación de la diagonal. Está rellenando un espacio.

Segunda sección. Relleno en texto claro


Por lo tanto, aplicamos la regla de la diagonal pero ignorando estas seis letras.

Segunda sección, regla de transposición diagonal en 19 separaciones.


Colocando el texto desde la diagonal a la horizontal se puede leer con errores ortográficos:

 

Segunda sección descifrada



Traducción de la tercera sección 

Las dos líneas de la tercera sección
 

Tercera sección

Aplicamos la traducción por el diccionario. La traducción del texto inteligible es más compleja. Sólo aparecen unas palabras.

Tercera sección. Primera traducción

 
Hay que combinar letras para obtener un resultado. Aparecen palabras escritas a la inversa y con el mismo error ortográfico.

Tercera sección. Reordenación de letras


Mismo error ortográfico

 
Separando palabras e invirtiendo el orden de letras obtenemos un texto legible.

Tercera sección descifrada


La clave concuerda y la completamos.

Reconstrucción del mensaje

El mensaje se puede leer en la imagen:

Mensaje Z340 completo


El texto fluye bien, aunque puede haber algún cambio en la traducción de la última frase.

La decepción viene cuando no escribió ningún dato que le identificase.

Tal vez se encuentre en el mensaje Z13

 

Mensaje Z13



Confirmación por el FBI

El mensaje se envió al FBI para que sus científicos y técnicos corroborasen o no la traducción.


Twit del FBI anunciando la resolución del mensaje


Pero, ¿cómo se escribió el mensaje?

Queda pendiente un detalle importante que ayudará a apuntalar la solución. Consiste en responder a la pregunta. ¿Cómo se escribió el mensaje cifrado?.
No nos vamos adentrar en esta parte. Queda muy bien descrita en el video número 6 de la entrega de David “Let's Crack Zodiac-Episode 6-How-was-the-340-made”.


Para saber un poco más

Serie de videos de David Oranchak que han servido para la ilustarción de ésta entrada en el blog.


“Let's Crack Zodiac-Episode 1-Graysmith”.

“Let's Crack Zodiac-Episode 2-bigrams”

“Let's Crack Zodiac-Episode 3-the-408”

“Let's Crack Zodiac-Episode 4-National Cryptologic Museum” 

“Let's Crack Zodiac-Episode 5-The 340 Is Solved!”

“Let's Crack Zodiac-Episode 6-How-was-the-340-made”.
 

Noticias

“Zodiac killer code cracked by Australian mathematician 50 years after first murder” ABC News  

“How Melbourne mathematician Sam Blake cracked a Zodiac Killer cipher”

 L. F. Real


sábado, 26 de junio de 2021

Proyecto de reforma del Esquema Nacional de Seguridad, audiencia pública del anteproyecto de ley


Escultura de Andreu Alfaro (1979), al fondo edificio MINECO

El Colegio de Ingenieros Técnicos de Telecomunicaciones, COITT ha enviado la presente circular. Invita a los miembros a participar, con sus comentarios, opiniones y sugerencias, en la revisión del Proyecto de Real Decreto del Esquema Nacional de Seguridad. Hay muy pocos días para ello.

Circular del COITT




El proyecto está publicado en la página del Ministerio de Asuntos Económicos y Transformación Digital (MINECO).

Participación pública en proyecto normativos

El 23 de junio, se retiró de la página del ministerio.

Publicación hasta el 22 de junio de 2021


Han transcurrido más de diez años desde la primera publicación del Esquema Nacional de Seguridad. Es el momento de revisar el texto y realizar la reforma oportunas.




Documentos:

MAIN, Memoria del Análisis de Impacto Normativo del Proyecto de Real Decreto por el que se regula el Esquema Nacional de Seguridad.

TEXTO del Proyecto de Real Decreto por el que se regula el Esquema Nacional de Seguridad.



Plan de Choque en Ciberseguridad

El punto de partida para este nuevo Real Decreto está en el Acuerdo de Consejo de Ministros de 25 de mayo de 2021. 

Acuerdo del Consejo de Ministros de 25 de mayo de 2021


En él se adoptó una serie de medidas urgentes sobre ciberseguridad. Entre ellas, he resaltado la referida al Esquema Nacional de Seguridad del texto del acuerdo.

Tomando el apartado que nos interesa.

Indudablemente, queda pendiente la lectura de las otras medidas urgentes, pero se escapa al contenido de esta breve entrada.

El 15 junio estaba publicado en la página del Ministerio el MAIN y el Texto del Proyecto.

MAIN, Memoria del Análisis de Impacto Normativo del Proyecto de Real Decreto por el que se regula el Esquema Nacional de Seguridad.

TEXTO del Proyecto de Real Decreto por el que se regula el Esquema Nacional de Seguridad.


Para saber un poco más

Para recordar el Esquema Nacional de Seguridad dejo el enlace de un video del PMI (Project Management Institute) de Madrid. Interesante aportación desde el punto de vista de la implantación.



Durante las XII Jornadas STIC CCN-CERT que tuvieron lugar el 12 y 13 de diciembre de 2018, se expusieron las experiencias con la implantación del ENS. El Módulo 3 de los temas de las ponencias se dedicó al ENS y RGPD.

Aquí enlazo la pagina del CCN-CERT de aquellas jornadas. y dejo el enlace a un video interesante relacionado con la necesidad de mejorar el ENS para facilitar su implantación.


Vídeos XII Jornadas STIC CCN-CERT 

 


"Certificación del ENS. Situaciones planteadas a una entidad de certificación", por José Luis Colom, Audertis

 

Aprovechando que estamos en el comienzo de procedimiento de tramitación de una ley, vamos a seguir las etapas en las que se llega a su aprobación. Por otro lado, seguiremos los comentarios que se han producido al proyecto por los entidades profesionales del sector.

En resumen, haremos dos seguimientos:

  • La aprobación del reglamento en su tramitación parlamentaria.
  • Los análisis y comentarios a los contenidos del nuevo esquema de seguridad.

L. F. Real

 

viernes, 25 de junio de 2021

Evitar ataques APT con sistemas SWG, SEG y ATD ( y III)

 


En la primera parte expusimos algunos conceptos generales que ayudan a comprender cómo debe ser la defensa ante ataques APT. En la segunda se expusieron soluciones para el servicio web. En esta tercera veremos los Secure Email Gateway (SEG) y Advanced Threat Defense (ATD). De esta forma se completa el panorama de sistemas antiAPT.

Secure Email Gateway, SEG


Las pasarelas de correo seguro, SEG son dispositivos que además de proporcionar funciones básicas del agente de transferencia de correo MTA (Mail Transfer Agent), añaden motores para analizar en profundidad el correo.


 Definción de SEG según Gartner

 

El SEG no es un firewall, ni un servidor de correo, no sustituye a estos equipos y la organización debe mantener estos dispositivos debidamente configurados.

Para describir el funcionamiento del SEG en la red hay que convenir el sentido de los mensajes de correo. Desde el punto de vista de la organización, los mensajes entrantes son aquellos que se reciben desde fuera de la organización y mensajes salientes aquellos que se envían fuera de la misma como se muestra en la figura 1.


Figura 1. Sentido de los mensajes de correo.


Las tareas de la administración del equipo, tanto para el SEG como el SWG que hemos tratado anteriormente, se dividen en dos conjuntos. Las que gestionan al propio dispositivo como elemento (físico o virtual) o en la nube y las que gestionan las funciones de seguridad. Entre las primeras se encuentra configuración del puerto de acceso, permisos, contraseñas, actualizaciones y versiones del software, licenciamiento, ficheros logs, etc. Dedicamos los siguientes apartados a la gestión de la seguridad.

Arquitectura de la red

Al igual que el SWG, el SEG tiene diferentes formas de conectarse a la red e implica que el dispositivo se configure en diferentes modos.

Modo Switch. El equipo actúa como switch ethernet. En esta arquitectura el servidor de correo externo se comunica con el servidor interno corporativo directamente, como si no existiese el SEG intercalado. Los mensajes son interceptados y analizados por el SEG antes de ser liberados al servidor de correo corporativo. El SEG conecta dos segmentos físicos de red como un bridge, ambos segmentos pertenecen a la misma subred lógica. Los otros equipos como los clientes corporativos, firewall, servidores NAT, servidores de registro de intercambio de correo (registro MX) etc, pertenecen a la misma subred y tienen su propia configuración de dirección IP y máscaras. La configuración de este modo en el SEG es muy sencilla. En el ejemplo de la figura el SEG sólo actúa como bridge entre el router y el firewall.

 Figura 2. Modo Switch


Modo Router. El equipo actúa como un router. Intercepta el tráfico de correo electrónico entre dos subredes distintas. El tráfico que recibe por una red es analizado y reenviado al siguiente equipo situado en una red diferente, según unas tablas de enrutamiento incluidas en el mismo.

Un interfaz tiene una dirección IP para el tráfico analizado entrante y otra interfaz con IP diferente para el tráfico saliente. El funcionamiento del SEG es transparente a los servidores de correo.

El equipo debe situarse junto al firewall en el lado interno de la organización porque puede sustituir al router en la red.  

Figura 3. Modo Router


Los clientes tienen la dirección del “default gateway” a un puerto del SEG. El SEG tiene su dirección “default gateway” hacia la ruta de Internet. Los usuarios deben liberar mensajes corporativos dentro de la intranet de la organización sin salir al exterior.

Modo Servidor Proxy. Los dispositivos de red deben configurarse explícitamente para enviar tráfico al SEG. Luego, el SEG funciona como un proxy o retransmisor, procesando el tráfico en nombre de los dispositivos conectados.

Se debe configurar el servidor de correo interno para retransmitir el tráfico de correo electrónico al SEG. El SEG analiza el tráfico de correo electrónico antes de reenviarlo, en nombre del remitente, al servidor de correo externo. El servidor de correo externo reenvía el correo electrónico al receptor. De forma similar, la red debe estar configurada para que los correos electrónicos entrantes de Internet se entreguen en el SEG y no al servidor de correo interno.

El SEG analiza el tráfico antes de reenviarlo, en nombre del remitente, al servidor de correo interno para su entrega. Por ejemplo, un servidor de correo externo puede comunicarse directamente con el SEG, aunque el tráfico podría pasar a través de varios servidores de red antes de llegar al SEG. El camino percibido es desde el servidor de correo externo al SEG.

El modo de proxy explícito invalida las reglas de firewall configuradas para el acceso de los clientes a Internet. El firewall solo ve la información de la dirección IP física del SEG, no las direcciones IP de los clientes, por lo que el firewall no puede aplicar sus reglas de acceso a Internet a los clientes. Esto afecta a la configuración de los servidores externos del Sistema de Nombres de Dominio, DNS o NAT en el firewall para que el servidor de correo externo entregue el correo al SEG y no al correo interno servidor. En resumen, la configuración es más compleja y susceptible de no ser completamente correcta y por lo tanto más vulnerable.

 Figura 4. Modo Servidor Proxy


Gestión de la seguridad del correo

La gestión de la seguridad en el correo se centra en tres entornos. Dependiendo de las características de los productos de los fabricantes éstos pueden ser más o menos completos:

  • Estado del propio dispositivo físico o virtual: información del sistema y de servicios adicionales del mismo.
  • Estado general del tráfico de correo electrónico mediante indicadores del servicio de correo entrante y saliente.
  • Detección y análisis del tráfico de correo, mensajes, adjuntos, malware, spam, etc.

La implantación de la seguridad en el SEG se realiza mediante la configuración de reglas similares a las vistas en el equipo anterior y no repetiré aquí.

Información del sistema

La información se extrae del funcionamiento del equipo y de la configuración que se haga del mismo. Se clasifica en los siguientes grupos de indicadores.

Información del Sistema. Destaca la siguiente:

  • Entorno físico.

-    Temperatura interna, externa, de los procesadores, etc. Avisos de las variaciones.
-    Funcionamiento de los ventiladores.
-    Estado de la fuente de alimentación

  • Rendimiento del sistema electrónico.

-    Rendimiento de los procesadores, porcentaje de utilización en periodos de tiempo determinados.
-    Disponibilidad de espacio en la memoria. Espacio ocupado y espacio libre.
-    Disponibilidad de espacio en el disco. Espacio ocupado y espacio libre.
-    Niveles de tensión y corriente en los distintos módulos del dispositivo.

  • SAI (Sistema de Alimentación Ininterrumpida).

-    El SAI está o no activado.
-    Conexión del dispositivo a la red o a la batería.
-    Estado de la batería: en uso, cargando, descargando, etc.

  • Estados de los discos de almacenamiento.

-    Estado del Sistema RAID. Discos en funcionamiento, fallos en los discos, degradación de la capacidad de los discos.

  • Interfaces de red

-    Estado de los interfaces.
-    Velocidad de interfaz, datos transmitidos y recibidos, errores.
-    Tramas rechazadas y sus causas.
-    Estados de los protocolos de nivel de enlace y de red. Estado de las conexiones.

  • Sistema redundante. si el dispositivo forma parte de un conjunto redundante, ofrece información del estado del equipo individual y del conjunto.

-    Estado del conjunto: activo, en espera, sin comunicación con el resto, etc.
-    Estado de la comunicación administrativa del conjunto.
-    Estado del balanceo de carga en periodos de tiempo.

Servicios adicionales del sistema. Se refiere a otros servicios adicionales que exigen conexión con otros equipos. Necesitan su propia configuración. Sin entrar en detalles destacar:

 
-    Estado de servicio SNMP para la gestión remota y el envío de eventos.
-    Estado de servicio Syslog para registro del sistema.
-    Estado de servicio NTP para mantener la sincronización con el resto de equipos de la red.
-    Estado de servicios de listas de reputación. Tanto para las locales como las externas: si están disponibles, actualizadas, descargadas, corruptas, etc.
-    Estado de servicios antimalware. Similar al anterior.
-    Estado de otros servicios propietarios

La evaluación de los indicadores nos mostrará en la ventana de monitorización unos mensajes con las acciones a tomar sobre los componentes o partes afectadas:

  • Correcto: los elementos sobre los que se informa funcionan con normalidad.
  • Requiere atención: se ha superado un umbral de advertencia y así se notifica.
  • Requiere atención inmediata: se ha superado un umbral de advertencia crítico.

Los umbrales de advertencia y de alerta se configuran por los administradores. Cuando el elemento supere el umbral configurado, se activará un evento además de los mensajes anteriores. Este puede ser un correo al administrador, un mensaje log, un dato estadístico, etc.



Indicadores del Servicio de Correo

Los indicadores del servicio de correo entrante y saliente muestran un resumen de la entrega y estado de los mensajes recibidos en la organización y enviados desde ella. La clasificación es la siguiente:

  • Número total de mensajes recibidos.

-    Mensajes recibidos a través de conexiones estándar
-    Mensajes recibidos a través de conexión no estándar. Mensajes cifrados a través de una conexión TLS o No-TLS. El contenido cifrado con Secure Web Mail, S/Mime, PGP u otros.

  • Número total de mensajes enviados.

-    Mensajes enviados a través de conexiones estándar
-    Mensajes enviados a través de conexión no estándar. Mensajes cifrados a través de una conexión TLS o No-TLS. El contenido cifrado con Secure Web Mail, S/Mime, PGP u otros.


Cada mensaje recibido o enviado es interceptado y marcado con alguna de las siguientes etiquetas:

  • Entregado
  • Bloqueado
  • Devuelto
  • Análisis omitido
  • En cola para análisis
  • En cuarentena

La asignación de las etiquetas destinadas para analizar el correo o sus adjuntos forzarán la ejecución de las reglas que se hayan configurado para actuar en consecuencia en estos casos.



Análisis del correo

La seguridad del correo exige un análisis profundo y para ello se aplican sus reglas y motores de análisis. Los criterios de cumplimiento y validación permiten encontrar anomalías o desconfianza en la conexión, el remitente, el destinatario o el contenido del correo. El resultado es el bloqueo y la prohibición de la entrega a los destinatarios, mostrando en su lugar avisos de la circunstancia excepcional.

El análisis de los mensajes se realiza para los diferentes protocolos de correo y en sus diferentes partes: destinatario, remitente, copia, contenidos, adjuntos, firma, etc. Las reglas y los motores de análisis se configuran para cada caso.

Se puede clasificar:

  • Mensajes bloqueados por la conexión o el remitente

-    Bloqueo por el remitente. Direcciones no deseadas inscritas en listas negras.
-    Aplicación del método basado en BATV (Bounce Address Tag Validation)
-    Verificaciones de la relación URL e IP basados en FCrDNS (Forward-Confirmed Reverse DNS) consultas inversas en registros PTR de los DNS que confirmen la relación directa e inversa entre la URL y la IP.
-    RBL (Real-time Blackhole List) o DNS RBL. Son listas negras con las direcciones y dominios de creadores de spam, pero también incluye a los proveedores de servicios que no eliminan o detienen este tipo de mensajes.
-    SPF (Sender Policy Framework). Listas que identifican servidores válidos de correo.

  • Mensajes bloqueados por el destinatario

-    El destinatario no está permitido. Prohibido enviar mensaje.
-    Listas grises de destinatarios.
-    Retransmisión bloqueada

  • Mensajes bloqueados por contenido

-    Listas negras de reputación de URL o dominios
-    Listas negras de contenidos.
-    Correos con firmas no autorizadas o sin firmar, según los mecanismos de DKIM (Domain Keys Identified Mail).
-    Detección de Spam. Actualizaciones de las listas de spam cuando los usuarios etiquetan como tal un correo recibido.
-    Detección de “phishing”: petición fraudulenta del nombre de usuario y su contraseña.
-    Filtrado de correo, por ejemplo, por tamaño.
-    Filtrado de archivos. Tipos de archivos no autorizados
-    Filtrado de imágenes.
-    Detección de malware.
-    Detección de Programas Potencialmente no Deseados PUP (Potentially Undesirable Programs) o Hacking Tools.
-    Reputación de URL donde se han producido ataques de denegación de servicio (DoS)
-    Data Loss Prevention, DLP, sistemas de prevención de pérdida o robo de ficheros clasificados.
-    Conformidad con la política de la empresa sobre el uso del correo electrónico corporativo.

  • Mensajes devueltos.
  • Mensajes que por algún criterio no fueron analizados.
  • Mensajes en cuarentena.

Los indicadores de amenazas muestran indicios más o menos fiables de su presencia. A modo de resumen se clasifican según sus reglas de detección formando los siguientes grupos:

  • Remitentes que podrían ser origen de spam
  • Contenidos que albergarían ataque de phishing.
  • Mensajes rechazados por tener tamaño excesivo.
  • Imágenes inapropiadas o pornográficas.
  • Posible presencia de malware.
  • Programas potencialmente no deseados en el correo.
  • Posibles contenidos de compresores.

Las clasificaciones pueden variar, sobre todo para aportar conocimiento del servicio de correo. Será más fácil localizar los agujeros de seguridad y la necesidad de ser reforzados.


Elaboración de informes

Una de las cualidades más importantes que debe tener los SEG o un SWG es la elaboración de informes útiles para la vigilancia del servicio.

Los informes se pueden generar localmente desde el propio SEG, o enviar los datos a otros equipos remotos que serán los encargados de crearles.

La capacidad de almacenamiento de datos para mostrar en los informes es un factor limitante sobre todo en el SEG local, por tal motivo, dependiendo del volumen de correo y los motores de análisis implementados, se hace necesario el uso de equipos externos.

Sistemas ATD


El concepto de “sandbox” inicialmente se empleó para verificar aplicaciones en un entorno Unix. Conceptualmente consiste en situar el programa bajo observación en un entorno aislado, sin interacciones de otros procesos y sin acceso al exterior, de este modo es más fácil manipular variables para analizar y verificar concienzudamente el funcionamiento del programa. Del uso en este entorno de desarrollo ha pasado al entorno de la seguridad, para comprobar la funcionalidad de una aplicación de dudosa confianza.

La virtualización ha facilitado que el concepto de sandbox amplíe su significado a cualquier entorno de prueba y desarrollo.

La Figura 5 muestra un ejemplo de análisis dinámico en un entorno virtual. En este caso, un programa se ha etiquetado como sospechoso por los diversos sistemas que conforman la cadena de protección. El programa sospechoso se descargó en un puerto USB desde un “pendrive”. Primero lo ha analizado el antivirus local del puesto de usuario, sin llegar a una conclusión. El programa se envía desde el puesto de usuario a servidores con listas locales más amplias, también cuentan con el apoyo de realizar consultas remotas, con mayor número de firmas de malware. Ante la incapacidad de ofrecer un resultado determinante, el fichero se traslada a al servidor ATD. En él se arranca el sistema operativo virtual idéntico al que tiene instalado el puesto de usuario que detectó el programa sospecho. En el entorno virtualizado se ejecuta el programa sospechoso y se analiza su comportamiento, incluso la posibilidad de acceso a la red para añadir más código malicioso. Si el resultado definitivo es que se trata de malware, sus características se incluirán en las listas de reputación, tanto locales como remotas, y sobre todo, el programa se bloquea en el puesto de usuario.
 



Figura 5. Esquema de un análisis en un entorno virtual


El sistema ATD debe tener todos los sistemas operativos de la compañía susceptibles de ser infectados por malware. Esto exige una gestión de los activos software muy rigurosa y actualizada.

El ataque de WannaCry de mayo de 2017 puso de manifiesto el problema que puede sobrevenir si las aplicaciones y programas no están puestos al día. El ataque aprovechó una vulnerabilidad conocida en el sistema operativo, pero que el fabricante Microsoft había solucionado en sus parches. Muchas compañías no habían actualizado sus sistemas operativos con la incorporación del parche. Por lo tanto, eran vulnerables. El “ransomware” se pudo ejecutar con el resultado de sobra conocido.

Esto también pone en evidencia la dificultad que supone para los administradores de sistemas mantener una buena gestión de las versiones software. Cada día aparecen fallos, arreglos, parches, paquetes, versiones de cualquier aplicación. Es difícil mantener una instalación estable que no altere el curso de las operaciones sin comprometer la seguridad. Aunque nos desviamos del tema, habrá que dejar este tema para otra ocasión.



Nuevo reto: eludir los análisis en entornos virtuales

Ahora nos cruzamos al lado oscuro: ¿cómo pueden los atacantes eludir los análisis en entornos virtuales? Vamos a responder en unas notas muy breves a este reto propuesto. 

Una manera de eludir este tipo de comprobaciones es que el código malware, cuando se descargue en el entorno virtual, ralentice su arranque. De esta forma transcurre el tiempo mientas que el código maligno se propaga, instala y se ejecuta en sus objetivos reales de la organización. Cuando el departamento de ciberseguridad concluya el análisis del entorno virtual puede que sea demasiado tarde y el malware se haya reubicado en los sistemas.

Otra técnica programada en el malware es que éste, antes de ejecutarse, pueda verificar si se encuentra confinado en un entorno virtual donde será descubierto; o, por el contrario, si se encuentra en el entorno abierto de la organización, como cabría esperar. El malware, para comprobar dónde está, realiza conexiones a través de los puertos abiertos de la red. Si consigue establecer comunicación con un servidor externo deducirá que no se encuentra en un entorno virtual, del cual, además podrá descargar código adicional para desarrollar el ataque. Cuando está en un entorno virtualizado, puede que éste no le permita establecer esa conexión al exterior. En este caso el malware se queda inactivo, tratando de pasar como confiable y pueda pasar el filtro. De esta forma puede alcanzar su objetivo.

Comprobamos como los ciberdelincuentes encuentran constantemente las estrategias para evitar se detectados por los sistemas más sofisticados y complejos de defensa, como los ATD. Todavía queda mucho por conocer de estos sistemas y las relaciones con otros. Habrá que dedicarles más tiempo en otra ocasión.

Conclusión


La dificultad de los equipos vistos reside en el ajuste de los análisis.

Cada nueva versión y modelo proporcionan nuevas funcionalidades que se integran o amplían con las existentes. En el portafolio de la empresa un año aparecen productos individuales y al año siguiente se venden integrados en uno único.

El cliente puede decidir cambiar aspectos de su negocio, modificar los servicios y la infraestructura TI. Estas situaciones alteran constantemente la arquitectura de seguridad que se diseñó originalmente. La revisión es continua, no sólo por los sofisticados ataques que ocurren cada día, las herramientas de seguridad mejoradas; sino que también, para adaptarse a los nuevos cambios que implementan los clientes. 

Referencias

CCN-CERT Centro Criptológico Nacional. “CCN-STIC-401 Glosario y Abreviaturas”.

Gartner Glossay La investigación y evaluación de productos que realiza Gartner debe ser la primera fuente de consulta para conocer aquellos que tienen más impacto tecnológico.

En la Sala de Lecturas, Reading Room, de SANS Institute se pueden leer los artículos más destacados sobre ciberseguridad.

Cisco Cyber Threat Defense.

McAfee Advanced Threat Defense

Fotografías y esquemas de L. F. Real. Iconos diseñados por Kameleon

L. F. Real