canal encubierto

En seguridad informática , un canal encubierto es un tipo de ataque que crea la capacidad de transferir objetos de información entre procesos que, según la política de seguridad informática, no deberían tener permitido comunicarse . El término, acuñado en 1973 por Butler Lampson , se define como canales "no destinados en absoluto a la transferencia de información , como el efecto del programa de servicio en la carga del sistema ", para distinguirlos de los canales legítimos que están sujetos a los controles de acceso de COMPUSEC . ^{[ 1 ]}

Un canal encubierto se denomina así porque está oculto a los mecanismos de control de acceso de los sistemas operativos seguros, ya que no utiliza los mecanismos legítimos de transferencia de datos del sistema informático (normalmente, lectura y escritura) y, por lo tanto, no puede ser detectado ni controlado por los mecanismos de seguridad que sustentan los sistemas operativos seguros. Los canales encubiertos son extremadamente difíciles de instalar en sistemas reales y, a menudo, se pueden detectar mediante la monitorización del rendimiento del sistema. Además, presentan una baja relación señal-ruido y bajas tasas de datos (normalmente, del orden de unos pocos bits por segundo). También se pueden eliminar manualmente con un alto grado de seguridad de los sistemas seguros mediante estrategias de análisis de canales encubiertos bien establecidas.

Los canales encubiertos son distintos de las explotaciones legítimas de canales, con las que a menudo se confunden. Estas explotan sistemas pseudoseguros de baja seguridad mediante técnicas como la esteganografía o incluso métodos menos sofisticados para ocultar objetos prohibidos dentro de información legítima. El uso indebido de canales legítimos mediante esteganografía no constituye, específicamente, una forma de canal encubierto.

Los canales encubiertos pueden atravesar sistemas operativos seguros y requieren medidas especiales para su control. El análisis de canales encubiertos es la única forma comprobada de controlarlos. Por el contrario, los sistemas operativos seguros pueden prevenir fácilmente el uso indebido de canales legítimos, por lo que es importante distinguirlos. El análisis de canales legítimos en busca de objetos ocultos a menudo se presenta erróneamente como la única contramedida eficaz contra el uso indebido de canales legítimos. Dado que esto implica el análisis de grandes cantidades de software, ya en 1972 se demostró su impracticabilidad. ^{[ 2 ]} Sin estar informados de esto, algunos son inducidos a creer erróneamente que un análisis "gestionará el riesgo" de estos canales legítimos.

El uso de retrasos entre paquetes transmitidos a través de redes informáticas fue explorado por primera vez por Gray Girling ^{[ 5 ]} para la comunicación encubierta. Este trabajo motivó muchos otros estudios para establecer o detectar una comunicación encubierta y analizar las limitaciones fundamentales de tales escenarios.

Cosas cotidianas, como la existencia de un archivo o el tiempo empleado en un cálculo, han servido como medio de comunicación para canales encubiertos. Estos canales no son fáciles de detectar debido a la gran cantidad de medios que utilizan y a su frecuente uso.

Dos técnicas relativamente antiguas siguen siendo los métodos estándar para localizar posibles canales encubiertos. Una funciona analizando los recursos de un sistema y la otra a nivel del código fuente.

La posibilidad de canales encubiertos no se puede eliminar, ^{[ 2 ]} aunque se puede reducir significativamente mediante un diseño y análisis cuidadosos.

La detección de un canal encubierto puede dificultarse utilizando características del medio de comunicación del canal legítimo que los usuarios legítimos nunca controlan ni examinan. Por ejemplo, un programa puede abrir y cerrar un archivo siguiendo un patrón específico y programado que otro programa puede detectar, y dicho patrón puede interpretarse como una secuencia de bits, formando así un canal encubierto. Dado que es improbable que los usuarios legítimos verifiquen los patrones de apertura y cierre de archivos, este tipo de canal encubierto puede permanecer indetectable durante largos periodos.

Un caso similar es el port knocking . En las comunicaciones habituales, el momento de las solicitudes es irrelevante y no se controla. El port knocking le da importancia.

Handel y Sandford presentaron una investigación donde estudian los canales encubiertos dentro del diseño general de los protocolos de comunicación de red. ^{[ 6 ]} Emplean el modelo OSI como base para su desarrollo, en el cual caracterizan los elementos del sistema que tienen potencial para ser utilizados para ocultar datos. El enfoque adoptado tiene ventajas sobre estos porque considera estándares en lugar de entornos o arquitecturas de red específicos.

Su estudio no pretende presentar esquemas esteganográficos infalibles. Más bien, establece principios básicos para la ocultación de datos en cada una de las siete capas del modelo OSI . Además de sugerir el uso de los campos reservados de las cabeceras de los protocolos (fácilmente detectables) en las capas superiores de la red, también proponen la posibilidad de canales de temporización que impliquen la manipulación de CSMA/CD en la capa física.

Su trabajo identifica méritos de canales encubiertos como:

• Detectabilidad: El canal encubierto debe ser detectable únicamente por el destinatario previsto.
• Indistinguibilidad: El canal encubierto debe carecer de identificación.
• Ancho de banda: número de bits de ocultación de datos por uso del canal.

Su análisis de canales encubiertos no considera aspectos como la interoperabilidad de estas técnicas de ocultación de datos con otros nodos de la red, la estimación de la capacidad del canal encubierto ni el efecto de la ocultación de datos en la red en términos de complejidad y compatibilidad. Además, la generalidad de las técnicas no se justifica plenamente en la práctica, ya que el modelo OSI no existe como tal en los sistemas funcionales.

Girling analizó por primera vez los canales encubiertos en un entorno de red. Su trabajo se centró en las redes de área local (LAN), en las que identificó tres canales encubiertos evidentes (dos de almacenamiento y uno de sincronización). Esto demostró ejemplos reales de las posibilidades de ancho de banda para canales encubiertos simples en LAN. Para un entorno LAN específico, el autor introdujo la noción de un espía que monitorea las actividades de un transmisor específico en la LAN. Las partes que se comunican de forma encubierta son el transmisor y el espía. Según Girling, la información encubierta puede comunicarse a través de cualquiera de las siguientes formas evidentes:

1. Al observar las direcciones a las que se dirige el transmisor, si el número total de direcciones a las que puede dirigirse un remitente es 16, existe la posibilidad de una comunicación secreta con 4 bits para el mensaje secreto. El autor denominó a esta posibilidad canal de almacenamiento encubierto, ya que depende de lo que se envía (es decir, a qué dirección se dirige el remitente).
2. De igual modo, el otro canal de almacenamiento encubierto obvio dependería del tamaño de la trama enviada por el remitente. Para los 256 tamaños posibles, la cantidad de información encubierta descifrada a partir de un tamaño de trama sería de 8 bits. Este escenario también se denominó canal de almacenamiento encubierto.
3. El tercer escenario presentado utiliza la presencia o ausencia de mensajes. Por ejemplo, "0" para un intervalo de tiempo de mensaje impar, "1" para uno par.

El escenario transmite información encubierta mediante una estrategia de "envío en el momento", por lo que se denomina canal encubierto temporizado. El tiempo de transmisión de un bloque de datos se calcula en función del tiempo de procesamiento del software, la velocidad de la red, el tamaño de los bloques de red y la sobrecarga del protocolo. Suponiendo que se transmiten bloques de diversos tamaños en la LAN, la sobrecarga del software se calcula en promedio y se utiliza una nueva evaluación del tiempo para estimar el ancho de banda (capacidad) de los canales encubiertos.

Centrándose en las cabeceras IP y TCP del conjunto de protocolos TCP/IP, un artículo publicado por Craig Rowland propone técnicas adecuadas de codificación y decodificación mediante el uso del campo de identificación IP, el número de secuencia inicial TCP y el número de secuencia de acuse de recibo. ^{[ 7 ]} Estas técnicas se implementan en una sencilla utilidad escrita para sistemas Linux con núcleos de la versión 2.0.

Rowland proporciona una prueba de concepto , así como técnicas prácticas de codificación y decodificación para la explotación de canales encubiertos mediante el conjunto de protocolos TCP/IP. Estas técnicas se analizan considerando mecanismos de seguridad como la traducción de direcciones de red (NAT) de los cortafuegos .

Sin embargo, la indetectabilidad de estas técnicas de comunicación encubierta es cuestionable. Por ejemplo, en el caso de que se manipule el campo del número de secuencia del encabezado TCP, se adopta un esquema de codificación tal que cada vez que se comunica de forma encubierta el mismo alfabeto, se codifica con el mismo número de secuencia.

Además, el uso del campo de número de secuencia, así como el campo de acuse de recibo, no se pueden especificar para la codificación ASCII del alfabeto del idioma inglés como se propuso, ya que ambos campos tienen en cuenta la recepción de bytes de datos pertenecientes a paquetes de red específicos.

Después de Rowland, varios autores en el ámbito académico publicaron más trabajos sobre canales encubiertos en el conjunto de protocolos TCP/IP, incluyendo una plétora de contramedidas que abarcan desde enfoques estadísticos hasta aprendizaje automático . ^{[ 8 ] [ 9 ] [ 10 ] [ 11 ]} La investigación sobre canales encubiertos de red se superpone con el dominio de la esteganografía de red , que surgió más tarde.

• Vigilancia informática y de redes : Monitorización de la actividad informática o de la red. 
• Ataque de canal lateral : Cualquier ataque basado en información obtenida de la implementación de un sistema informático. 
• Esteganografía : ocultar mensajes dentro de otros mensajes. 
• Canal subliminal – Canal criptográfico encubierto 
• Datos de cable : formato de la información de red tal como se transmite. 

• Canales de temporización: una explotación temprana de un canal de temporización en Multics .
• Una herramienta de canal encubierto oculta datos en IPv6 , SecurityFocus, 11 de agosto de 2006.
• Raggo, Michael; Hosmer, Chet (2012). Ocultación de datos: Exponiendo datos ocultos en multimedia, sistemas operativos, dispositivos móviles y protocolos de red . Syngress Publishing. ISBN 978-1597497435.
• Lakshmanan, Ravie (2020-05-04). "Nuevo malware salta dispositivos aislados de la red convirtiendo las fuentes de alimentación en altavoces" .
• Un curso online abierto sobre canales encubiertos (GitHub)

• Gray-World - Equipo de Investigación de Código Abierto  : Herramientas y Documentos
• Centro de Operaciones de Redes Sigilosas - Sistema de Apoyo a las Comunicaciones Encubiertas