El senador Wyden impulsa una investigació de la FTC sobre Microsoft per vulnerabilitats de ransomware

El senador nord-americà Ron Wyden ha demanat formalment a la Comissió Federal de Comerç (FTC) que investigui Microsoft pel que descriu com a "negligència greu en ciberseguretat" després d'un atac de ransomware contra el proveïdor d'atenció mèdica Ascension. La preocupació del senador se centra en com les configuracions de programari predeterminades de Microsoft presumptament van exposar les xarxes d'infraestructures crítiques a atacs.

El desencadenant: la bretxa de l'ascens i les vulnerabilitats tècniques

• Resum de l'incident: L'any passat, Ascension, un important sistema sanitari, va ser afectat per un atac de ransomware dut a terme pel grup conegut com a Black Basta , que va afectar gairebé 5,6 milions de persones . La violació va incloure el robatori de dades, així com la interrupció dels registres mèdics electrònics.
• Vector inicial: Un contractista que treballava per a Ascension va fer clic en un enllaç maliciós descobert a través del motor de cerca Bing de Microsoft. Aquest clic va desencadenar reaccions en cadena que van permetre als atacants explotar els valors predeterminats insegurs del programari de Microsoft.
• Debilitat del programari per defecte: Segons la carta del senador, el programari de Microsoft inclou configuracions per defecte perillosament insegures. Un problema clau és la compatibilitat amb el xifratge RC4 dins del protocol d'autenticació Kerberos. RC4 és un xifratge antic considerat insegur per la investigació criptogràfica. Tot i que està obsolet en molts sistemes moderns, en el cas de Microsoft va romandre habilitat per defecte. Això va permetre als atacants utilitzar una tècnica coneguda com a Kerberoasting per extreure les credencials del compte de servei de l'Active Directory.

Especificitats tècniques: Kerberoasting, xifratges per defecte i debilitats explotables

• Explicació de Kerberoasting: En un entorn d'Active Directory, els comptes de servei amb noms principals de servei (SPN) sol·liciten tiquets de Kerberos. Si aquests tiquets estan xifrats amb xifratges febles com ara RC4, un atacant pot obtenir el tiquet i, a continuació, realitzar atacs fora de línia (per exemple, força bruta o criptoanàlisi) per recuperar les credencials o els secrets de text sense format del compte de servei. En aquest cas, l'oficina de Wyden afirma que la violació va utilitzar aquests tiquets protegits per RC4.

Al·legacions normatives i polítiques

• La crítica del senador Wyden va més enllà d'una simple bretxa. En la seva carta de quatre pàgines al president de la FTC, Andrew Ferguson, presenta Microsoft com a persona amb un problema sistèmic: una "cultura de ciberseguretat negligent" augmentada pel seu quasi monopoli sobre els sistemes operatius empresarials. Wyden utilitza un llenguatge metafòric agut, qualificant Microsoft d'"un incendiari que ven serveis d'extinció d'incendis a les seves víctimes".
• La carta afirma que les configuracions predeterminades de Microsoft (és a dir, l'habilitació del xifratge heretat i insegur per defecte, les polítiques de contrasenya indulgents) han debilitat amb el temps les proteccions de base en moltes organitzacions, especialment les del sector sanitari i les infraestructures crítiques. El suggeriment és que la negligència en els valors predeterminats i la configuració no és només un problema de TI, sinó una preocupació per la seguretat nacional.

Resposta de Microsoft

• Reconeixement que RC4 és antiquat i que Microsoft desaconsella el seu ús "en la manera com dissenyem el nostre programari i en la documentació que oferim als clients". L'empresa afirma que menys del 0,1% del seu trànsit encara utilitza RC4. Tanmateix, Microsoft també expressa la seva preocupació pel fet que la desactivació completa i immediata de RC4 podria causar problemes de compatibilitat amb els entorns existents.

Avaluació de riscos de seguretat

• Superfície d'atac i conseqüències en cascada: Quan els proveïdors de programari permeten un xifratge feble per defecte o polítiques de contrasenya febles, ofereixen una "opció fàcil" als atacants. Fins i tot els administradors de sistemes que coneixen la seguretat poden heretar configuracions que permeten RC4 o credencials febles, sobretot en entorns on la continuïtat i la compatibilitat heretada són molt valorades.
• Explotacions de vulnerabilitats: Els atacs de kerberoasting no són especulatius; són coneguts, documentats i s'han utilitzat amb èxit en múltiples incidents de violació de seguretat. Un cop compromeses les credencials del compte de servei, els atacants poden moure's lateralment, escalar privilegis i accedir a actius sensibles. En entorns sanitaris, això pot incloure dades personals de salut, dispositius mèdics d'IoT i infraestructures crítiques.
• Implicacions normatives i de confiança: Com que Microsoft està profundament integrat en moltes infraestructures crítiques i entorns empresarials, els errors en la configuració de la seguretat per defecte traslladen automàticament la càrrega de la defensa a les organitzacions que poden no tenir experiència, recursos o visibilitat per detectar aquestes debilitats. El dany a la reputació i el risc de responsabilitat són substancials.

Implicacions reguladores

• L'al·legació del senador Wyden planteja preguntes importants sobre la responsabilitat del producte , la configuració de seguretat per defecte i la responsabilitat del proveïdor . Fins a quin punt els proveïdors de programari han de ser considerats responsables dels defectes insegurs?
• Eines reguladores com l'autoritat de la FTC per investigar "actes o pràctiques injustes o enganyoses" es poden aplicar a la negligència en matèria de seguretat del programari. Si es descobreix que Microsoft ha estat negligent, això podria establir un precedent sobre com es regulen les configuracions predeterminades, els estàndards de xifratge i els requisits de contrasenya en el programari d'ús generalitzat.
• També hi ha una qüestió normativa més àmplia: seguretat per defecte vs. seguretat per opció . La posició de Wyden implica que els valors per defecte haurien de pecar de més segurs, amb una major força de contrasenya, la desaprovació d'algoritmes criptogràfics febles i configuracions segures integrades, no com a opcions opcionals.

La carta del senador Wyden a la FTC destaca una confluència de ciberseguretat, regulació i responsabilitat corporativa. La violació d'Ascension és més que un incident únic; serveix com a cas pràctic de com els errors de programari àmpliament utilitzats, els estàndards de xifratge febles i la compatibilitat heretada es poden combinar per precipitar atacs a gran escala contra infraestructures crítiques.

A mesura que Microsoft comença a eliminar gradualment els xifrats insegurs i a publicar directrius, la pregunta central continua sent si els mecanismes reguladors exigiran canvis més ràpids, imposaran millors valors per defecte i responsabilitzaran els proveïdors de permetre el risc. Aquest assumpte mereix un examen minuciós, no només per part d'investigadors de seguretat, sinó també dels reguladors, els clients empresarials i el públic en general.