La amenaza invisible de Unicode
La amenaza invisible a simple vista hace tiempo que dejó de ser una metáfora. En el mundo de la ciberseguridad aparece cada vez más una nueva técnica para camuflar comandos maliciosos: el uso de caracteres Unicode que parecen inofensivos, pero pueden cambiar por completo el sentido del código. Unicode es un estándar internacional que permite utilizar prácticamente todos los caracteres escritos del mundo. Sirve para que los textos se muestren correctamente en distintos idiomas. Pero esa misma universalidad se ha convertido en una herramienta para los atacantes.
El principal problema es que algunos caracteres parecen iguales, pero tienen códigos internos distintos. Por ejemplo, una letra del alfabeto latino puede ser visualmente idéntica a un carácter parecido de otro sistema de escritura. Así, los atacantes camuflan comandos sustituyendo caracteres habituales por otros similares, pero con un código diferente. Una persona mira la cadena y todo parece normal. El sistema la lee y ejecuta un script malicioso.
Otro truco consiste en usar caracteres de control invisibles, como los llamados bidirectional overrides. Permiten cambiar la dirección de lectura del texto. Se usan para crear código que parece seguro, pero que en realidad ejecuta partes ocultas del programa. Estos ataques se conocen como Trojan Source.
Como resultado, los usuarios e incluso los desarrolladores pueden revisar el código convencidos de que tienen delante comandos seguros, aunque la estructura interna de la cadena contenga inserciones maliciosas. Esto hace menos fiables los métodos tradicionales de revisión. Los especialistas en seguridad ya están registrando un aumento de este tipo de ataques.
Para protegerse, los desarrolladores recomiendan activar opciones estrictas en los editores de código y los compiladores, capaces de detectar caracteres sospechosos, y utilizar herramientas especiales para visualizar los elementos ocultos de Unicode. También es importante actualizar los sistemas con regularidad, ya que los fabricantes de herramientas de desarrollo van incorporando poco a poco defensas contra estas técnicas.
Unicode es una tecnología útil y necesaria, pero en manos de los atacantes se convierte en un método de engaño. Entenderlo es importante para cualquiera que programe o simplemente se preocupe por la seguridad de sus datos.
PEREC.RU
El tema parece sacado de un manual de paranoia digital: de pronto, el apacible Unicode resulta ser un agente secreto. El lector cree que va a encontrarse con estándares aburridos y, bajo el capó, empieza un espectáculo de efectos especiales.
Todo este asunto de los caracteres parecidos funciona no porque los hackers sean genios, sino porque los desarrolladores suelen fiarse más de la vista que de la máquina. El ojo ve una letra; la máquina, una instrucción para entrar a saco. Una magnífica ilustración de la credulidad de quienes creen que, si un texto parece honrado, se puede convivir con él.
Los caracteres invisibles merecen una mención aparte. Son como un funcionario que parece estar ahí, pero cuyas decisiones nadie ha visto. Los signos de control cambian la dirección del código: el efecto es casi mágico. Una persona mira una línea y el programa ejecuta otra. Una versión irónica de la contabilidad por partida doble, solo que en programación.
Ahora los fabricantes de software fingen que ya conocían el problema desde hace tiempo, aunque reaccionan como siempre: después del siguiente ataque sonado. Opciones estrictas, filtros, comprobaciones… Todo suena muy serio, pero casi siempre aparece a posteriori, cuando el daño ya está hecho.
Al usuario solo le queda confiar en las actualizaciones y en las herramientas que resaltan los caracteres invisibles. Tiene gracia que para protegerse de una amenaza haya que ver lo que no está. Pero así funciona la realidad digital: los problemas de verdad suelen ser los que mejor se camuflan.
