El código informático más sensible del mundo es vulnerable a los ataques. Un nuevo método de cifrado puede ayudar

Hoy en día, las filtraciones de datos no son sorpresas raras: son un ritmo semanal. Desde registros de clientes filtrados hasta códigos fuente robados, nuestras vidas digitales siguen saliendo a la luz.

Los servicios de Git son especialmente vulnerables a las amenazas de ciberseguridad. Se trata de plataformas de alojamiento en línea que se utilizan ampliamente en la industria de TI para desarrollar software de forma colaborativa y albergan la mayor parte del código informático del mundo.

La semana pasada, los hackers según se informa robó alrededor de 570 gigabytes de datos de un servicio git llamado GitLab. Los datos robados estaban asociados con importantes empresas como IBM y Siemens, así como con organizaciones gubernamentales de Estados Unidos.

En diciembre de 2022, Los piratas informáticos robaron el código fuente. de la empresa de TI Okta que estaba almacenado en repositorios en GitHub.

Los ciberatacantes también pueden insertar silenciosamente código malicioso en proyectos existentes sin el conocimiento del desarrollador. Estos llamados Ataques a la «cadena de suministro de software» han convertido las herramientas de desarrollo y los canales de actualización de los servicios git en objetivos de alto valor.

Como explicamos en un nuevo documento de conferencianuestro equipo ha desarrollado una nueva forma de hacer que los servicios de Git sean más seguros, con muy poco impacto en el rendimiento.

El patrón oro

Ya sabemos cómo mantener las conversaciones privadas: los servicios de mensajería seguros como Signal y WhatsApp utilizan cifrado de extremo a extremo, que bloquea los mensajes en su dispositivo y solo los desbloquea en el dispositivo del destinatario. Esto protege los datos incluso si la plataforma de servicio es pirateada, por lo que se considera el estándar de oro para proteger los datos.

Pero los servicios de Git, que son ampliamente utilizados por las principales empresas tecnológicas y nuevas empresas, actualmente no utilizan cifrado de extremo a extremo. Lo mismo ocurre con la mayoría de las otras herramientas que utilizamos para trabajar juntos, como los documentos compartidos.

Debido a que los servicios de Git permiten que una gran cantidad de colaboradores trabajen en el mismo proyecto al mismo tiempo, los códigos de software que alojan se escriben y actualizan constantemente a un ritmo muy rápido. Esto hace que el uso de cifrado estándar sea poco práctico. Hacerlo consumiría demasiado ancho de banda para transmitir todos los datos incluso para un cambio de palabra y haría que los servicios fueran muy ineficientes.

Pero nuestro nuevo método de cifrado supera este desafío.

Lograr un equilibrio importante

El método que hemos desarrollado utiliza lo que se conoce como «cifrado a nivel de caracteres». Esto significa que sólo las ediciones de un código de software almacenado en el servicio git se tratan como datos nuevos que deben cifrarse, en lugar del código completo.

Piense en ello como cifrar los cambios rastreados en un documento de Word, en lugar de una nueva versión cada vez.

Este método logra un equilibrio importante. Mantiene el código actualizado privado y seguro al tiempo que reduce la cantidad de comunicación entre el usuario y los servicios de git, así como la cantidad de almacenamiento requerido.

Es importante destacar que este nuevo método también es compatible con los servicios git existentes, lo que facilita su adopción por parte de las personas. Tampoco interfiere con otras funciones de los servidores git, como alojamiento, ahorro de ancho de banda e indexación, por lo que las personas pueden seguir usando estos servidores como lo harían normalmente, solo con el beneficio adicional de seguridad adicional.

Una Internet cifrada de extremo a extremo más amplia

Esta nueva herramienta es actualmente gratuita y código abierto para todos los usuarios. Se puede instalar fácilmente como un parche cuando se utilizan servicios de git y se ejecutará en segundo plano cuando los usuarios accedan a los servicios de git como antes.

Pero este es sólo el punto de partida para un cambio más amplio hacia la colaboración en línea protegida por el cifrado de extremo a extremo.

Es posible ampliar las mismas garantías a documentos, hojas de cálculo y archivos de diseño compartidos, pero requerirá investigación e inversión sostenidas.

Una complicación para garantizar la seguridad es administrar las claves de cifrado o las credenciales para que los usuarios descifren los datos cifrados. Afortunadamente, nuestro investigaciones previas nos muestra cómo crear un sistema de almacenamiento en la nube seguro que permitirá a los usuarios almacenar sus credenciales de forma segura.

Igual de importante es que debemos equilibrar la seguridad con el cumplimiento y la rendición de cuentas. Las universidades, hospitales y agencias gubernamentales deben conservar y, en algunos casos, proporcionar acceso legal a ciertos datos. Cumplir con estas obligaciones, sin debilitar el cifrado de extremo a extremo, nos empuja a investigar nuevas técnicas.

El objetivo no es el secreto a toda costa, sino controles verificables que respeten tanto la privacidad como el Estado de derecho.

No necesitamos una Internet completamente nueva para llegar allí. Necesitamos actualizaciones pragmáticas que se ajusten a las herramientas que la gente ya utiliza, junto con garantías claras y demostrables.

La mensajería demostró que el cifrado de extremo a extremo puede alcanzar miles de millones. El código y los archivos en la nube son los siguientes, y con una investigación continua y una inversión específica, el resto de nuestra colaboración diaria puede seguir.

Así que, dentro de poco, es de esperar que pueda trabajar en un documento compartido con colegas con la tranquilidad de que también cuenta con un estándar de seguridad de primera.

Este artículo se republica desde La conversación bajo una licencia Creative Commons. Lea el artículo original.