La semana pasada saltaba la alarma por Heartbleed (corazón sangrante), un fallo de seguridad en OpenSSL que amenazaba al 60% de las webs mundiales. El OpenSSL es el sistema de autenticación que se usa mayormente para entrar en un servicio web y asegurar que tú sigues siendo tú dos pantallas más allá. Por ejemplo, es el que mantiene tu sesión en todas las páginas de Facebook, Twitter o Google.
Cuando la página que mantiene el proyecto OPenSSL alertó del caso, el fallo ya estaba solucionado en la mayoría de servidores (los de Google y Facebook, por ejemplo) y el resto tenía ya disponible el parche para solucionar el error. Pero el tema no acababa ahí, porque lo que no se sabía cuánto tiempo alguien podía haber aprovechado el error para robar contraseñas o datos de acceso a una página.
Heartbleed, el fallo, surgió en una mejora del OpenSSL que fue incorporada en enero del 2012. El error consistía en que el programador no había especificado cuánto tiempo podía durar la transacción con el servicio y por tanto alguien podía haber tenido acceso a la memoria del servidor. Para entendernos, como si un ordenador que alojara una web hubiera tenido abierta una ventana durante un tiempo indeterminado y alguien hubiera podido echar un vistazo a lo que pasaba por allí entonces.
La gran duda viene de que nadie sabe cuánto tiempo se ha podido aprovechar este fallo y quién ha podido hacerlo, así que las empresas de internet no han encontrado nada mejor que pedir a todos sus usuarios que cambien todas sus contraseñas de los distintos servicios que usan. Curiosamente, tan solo los bancos podrían quedar al margen, porque usan protocolos más seguros que el SSL.
El fallo también cuestionaba hasta qué punto es segura la internet que conocemos y los servicios que usamos a diario. Tan solo en Canadá han detenido por el momento a un delincuente informático acusado de robar al menos las claves de 900 cuentas de Hacienda utilizando este método.
De momento, afecta solo a los servidores web, aunque algunas apps también podrían haberlo padecido siempre que se conecten (y la mayoría lo hacen) a un servicio web. Pero ya sabes que puedes saber si tu contraseña está en manos de hackers.
Heartbleed no es ni el primero ni el último de los fallos que conocerás de servicios en internet, así que la idea de cambiar de contraseñas debería ser una rutina cada cierto tiempo, unos seis meses, sugieren los expertos.
