TECNOLOGÍA

Una Raspberry Pi fue suficiente para un ataque de casi un año.

Un hacker se infiltró en la red informática de un centro de la NASA (otra vez) el año pasado con una minicomputadora de US$ 35, obligando a una de las agencias estadounidenses más secretas a desconectar temporalmente los sistemas de control de los vuelos espaciales del centro afectado.

El ataque comenzó en abril de 2018 y continuó durante casi un año en las redes del Jet Propulsion Laboratory (JPL) en Pasadena (California), reveló el inspector general de la NASA en un informe publicado el 18 de junio.

Para realizar su hazaña, el atacante utilizó la minicomputadora Raspberry Pi, del tamaño de una tarjeta de crédito, capaz de ejecutar Linux y que es utilizada principalmente por niños para aprender a codificar. Su tamaño y precio la convierten en una pieza atractiva de hardware para las escuelas. Y aunque es barata y pequeña, hay pocos límites de lo que puede hacer cuando se coloca en las manos correctas: desde servir a un reproductor multimedia a crear robots y dispositivos inteligentes para el hogar.

Pero la Raspberry Pi en cuestión cayó en las manos incorrectas: se conectó sin autorización al sistema del JPL y se robó unos 500 megabytes de datos, que incluyen dos archivos confidenciales. Uno de ellos contenía datos científicos obtenidos por el rover Curiosity, que se encuentra en Marte. Otro tenía datos relacionados con la ley de control de exportaciones para tecnologías que pueden ser utilizadas militarmente.

“Más importante aún, el atacante logró infiltrarse en dos de las tres redes principales del JPL”, detalla el informe. Esto se debió a que las redes de la NASA son compartidas y no segmentadas. Permitir que estos dispositivos se conecten a la red sin ser identificados o examinados adecuadamente es una falla importante en términos de seguridad operacional.

Una Raspberry Pi se trata de una placa de microchips con puertos para conectarla a una fuente de alimentación y periféricos como teclado, mouse y pantalla, entre otras posibilidades. También cuenta con una tarjeta SD, un puerto Ethernet para conectarse a internet y entrada de audio. En resumen, la placa ofrece todas las posibilidades de una computadora con la diferencia de que cuesta US$ 35 (su última versión). La Raspberry Pi 4, por ejemplo, cuenta con 4GB de memoria RAM y un nuevo cargador USB-C.

La falla provocó que la NASA temiera que el hacker pudiera introducirse desde el centro de California a otros dentro del país, incluido el Centro Espacial Johnson, en Houston, donde se encuentra la sala de control de la Estación Espacial Internacional y los vuelos estadounidenses.

Finalmente, Houston se desconectó del portal del JPL con el fin de evitar cualquier contaminación. En marzo, el centro aún no se había reconectado por completo.

El hackeo da una imagen muy pobre de la seguridad de la red del JPL. Los auditores detallaron deficiencias en la resolución de las violaciones de seguridad, retrasos en la revisión de vulnerabilidades, que no había personal capacitado ni siquiera existía la orden de informar incidentes las 24 horas del día.

Tras el informe de la Oficina del Inspector General de la NASA se emitieron 10 recomendaciones, de las cuales la NASA solo está de acuerdo con nueve y se comprometió a implementarlas entre el 30 de julio de 2019 hasta el 15 de enero de 2020. La recomendación que no va a cumplir fue la de “establecer un proceso formal y documentado de caza de amenazas” ya que se afirma que Caltech, contratista de la NASA, no se puede hacer responsable de esto.

“Es extremadamente difícil para las organizaciones grandes y complejas, como la NASA, ser perfectas para mantener la visibilidad y el control total de todos sus dispositivos”, dijo Nik Whitfield, jefe de la compañía de seguridad Panaseer, a BBC. Y añadió: “Por lo general, esto se debe a que dependen de los seres humanos para realizar un inventario continuo de todos los dispositivos conectados a la red y las vulnerabilidades”.

De todas formas, resulta curioso que el ataque se haya producido gracias a un elemento que cualquiera puede comprar por internet.