La existencia de 5 vulnerabilidades de seguridad en el estándar TETRA, utilizado ampliamente por entidades como la Policía Federal Argentina y otras fuerzas de seguridad, es preocupante y podría tener graves implicaciones para la seguridad y privacidad de la información confidencial.
Una puerta trasera intencional, si se confirma, podría haber permitido a personas no autorizadas acceder a información sensible y comprometer la integridad del sistema de comunicaciones.
Esto podría poner en riesgo las operaciones de seguridad y facilitar la interceptación de comunicaciones críticas, lo que es un problema muy serio.
Cuando se descubren vulnerabilidades en sistemas críticos como TETRA, es fundamental que las autoridades y los proveedores del sistema tomen medidas inmediatas para abordar y corregir estas fallas de seguridad.
Además, se debe notificar a los usuarios afectados y se deben implementar medidas para proteger la información confidencial y salvaguardar la integridad del sistema.
Es importante estar atento a las actualizaciones y parches de seguridad proporcionados por los fabricantes y seguir las mejores prácticas en cuanto a seguridad en el uso de sistemas de comunicación críticos como TETRA. La colaboración entre expertos en seguridad, proveedores y usuarios es esencial para garantizar que estos sistemas se mantengan seguros y resistentes a posibles amenazas.
Estas vulnerabilidades en el estándar TETRA, denominadas colectivamente como TETRA:BURST y descubiertas por Midnight Blue en 2021. La retención de esta información hasta ahora es preocupante, ya que podría haber dejado a los usuarios del sistema TETRA expuestos a posibles amenazas sin que lo supieran.
La falta de evidencia concluyente sobre la explotación de estas vulnerabilidades en la naturaleza hasta la fecha es una noticia relativamente positiva. Sin embargo, es importante recordar que la ausencia de pruebas no garantiza que las vulnerabilidades no hayan sido explotadas. Si estas vulnerabilidades son reales, existe la posibilidad de que actores malintencionados puedan haber utilizado esta información de manera discreta sin dejar rastro.
Es crucial que los responsables de la seguridad y los proveedores de sistemas TETRA tomen medidas inmediatas para abordar estas vulnerabilidades y proteger a los usuarios de posibles ataques. Además, es fundamental informar a los usuarios afectados y proporcionar actualizaciones y parches de seguridad para mitigar los riesgos potenciales asociados con estas vulnerabilidades.
La seguridad de las comunicaciones en entidades gubernamentales y sectores de infraestructura crítica es de suma importancia, por lo que es esencial que se tome en serio cualquier posible amenaza a la integridad y confidencialidad de la información transmitida a través de sistemas como TETRA.
El trabajo conjunto entre expertos en seguridad y las partes involucradas ayudará a fortalecer la protección y la confianza en el uso continuo de esta tecnología.
La seguridad de las comunicaciones en sistemas críticos como TETRA es de vital importancia, especialmente en un contexto en el que grupos cibercriminales pueden estar involucrados y la información confidencial podría estar en riesgo.
La gravedad de las vulnerabilidades descubiertas y su potencial explotación pueden tener repercusiones significativas en la seguridad nacional y la privacidad de las comunicaciones de entidades gubernamentales y fuerzas de seguridad.
Depender exclusivamente de un proveedor privado, como Motorola u otros fabricantes, para garantizar la seguridad y sustentabilidad frente a una brecha puede ser un enfoque riesgoso.
Es esencial que las entidades y agencias gubernamentales de Latinoamérica tomen medidas urgentes para validar la veracidad de las vulnerabilidades reportadas y para realizar pruebas internas y auditorías independientes.
Trabajar con expertos en seguridad y realizar pruebas internas puede ayudar a determinar la verdadera magnitud de las vulnerabilidades y garantizar que las soluciones implementadas sean efectivas para proteger el sistema TETRA de posibles ataques.
Además, contar con procesos de auditoría y revisión periódicos es crucial para mantener un alto nivel de seguridad y mitigar posibles riesgos en el futuro.
Es importante que los gobiernos y las entidades involucradas tomen en serio la seguridad de sus sistemas de comunicaciones y que implementen medidas proactivas para fortalecer la protección contra posibles brechas o ataques cibernéticos.
La colaboración entre el sector público y privado, en la medida en que ambas partes sean transparentes y confiables, también puede ser beneficiosa para abordar estos desafíos de seguridad de manera efectiva.
La seguridad cibernética es una preocupación global, y todos los esfuerzos deben hacerse para proteger la integridad y confidencialidad de las comunicaciones en Latinoamérica y en cualquier otra región.
El estándar Terrestrial Trunked Radio (TETRA) fue desarrollado y estandarizado por el Instituto Europeo de Normas de Telecomunicaciones (ETSI) en 1995.
Desde entonces, ha sido ampliamente adoptado en más de 100 países como un sistema de comunicación por radio utilizado por entidades gubernamentales y fuerzas de seguridad, especialmente como un sistema policial fuera de los Estados Unidos.
Además, TETRA se ha implementado para controlar y gestionar sistemas esenciales de infraestructura crítica, como redes eléctricas, gasoductos y vías férreas.
La popularidad de TETRA se debe a su confiabilidad, seguridad y capacidades avanzadas de comunicación.
Como estándar de comunicación digital, TETRA ofrece características como comunicaciones de voz y datos seguras, capacidad para grupos de usuarios, notificaciones de emergencia, servicios de ubicación y más.
Estas características lo convierten en una opción atractiva para entidades que requieren una comunicación eficiente y segura, especialmente en situaciones críticas y de emergencia.
Dado que TETRA se utiliza en sistemas esenciales como el control de infraestructuras críticas y la comunicación policial, es imperativo que se tomen medidas adecuadas para abordar y corregir las vulnerabilidades de seguridad reportadas.
La seguridad y protección de la información en estos contextos son cruciales para garantizar el bienestar y la seguridad de la población, así como el funcionamiento efectivo de los servicios esenciales.
La utilización de radios basadas en el estándar TETRA en múltiples infraestructuras críticas en los Estados Unidos y en varias fuerzas de seguridad de Argentina resalta aún más la importancia de abordar las vulnerabilidades de seguridad en este sistema de comunicación.
La presencia de TETRA en servicios públicos de electricidad, agencias estatales de control fronterizo, refinerías de petróleo, plantas químicas, sistemas de transporte público, aeropuertos internacionales y bases militares muestra su relevancia en sectores cruciales para el funcionamiento de la sociedad y la seguridad nacional.
En el caso de Argentina, donde se enfrenta el problema del narcotráfico, la criticidad de asegurar una comunicación confiable y segura para las fuerzas de seguridad es central. La información sensible relacionada con operaciones y estrategias de seguridad debe protegerse de cualquier posible brecha o acceso no autorizado.
Ante la gravedad de las vulnerabilidades de seguridad reportadas en TETRA y su posible explotación, es fundamental que tanto los Estados Unidos como Argentina tomen medidas urgentes para validar y abordar estas fallas en sus sistemas de comunicación. La colaboración entre las agencias gubernamentales, las fuerzas de seguridad y los expertos en seguridad cibernética será esencial para asegurar la confidencialidad e integridad de las comunicaciones en estos contextos críticos.
Además, es vital que se realicen auditorías internas y pruebas de seguridad para garantizar que el sistema TETRA sea lo más resistente posible frente a posibles amenazas, especialmente en situaciones donde la seguridad pública está en juego.
El hecho de que el sistema TETRA esté respaldado por una colección de algoritmos criptográficos patentados y secretos es una práctica común en la industria de las comunicaciones para proteger la seguridad del sistema.
La utilización de algoritmos criptográficos es fundamental para garantizar la confidencialidad, autenticidad e integridad de las comunicaciones, especialmente en entornos críticos como infraestructuras y fuerzas de seguridad.
El paquete de algoritmos de autenticación TETRA (TAA1) y el paquete de algoritmos de cifrado TETRA (TEA) desempeñan un papel esencial en la autenticación y en el cifrado de las comunicaciones en la interfaz aérea del sistema TETRA.
Al mantener estos algoritmos como secretos comerciales bajo estrictos acuerdos de no divulgación (NDA), el objetivo es evitar que información sensible caiga en manos equivocadas y se protejan las comunicaciones de posibles amenazas externas.
Sin embargo, también es importante considerar que mantener los algoritmos criptográficos en secreto puede plantear ciertas preocupaciones sobre la transparencia y la capacidad de revisión independiente de la seguridad del sistema.
La seguridad por oscuridad (security through obscurity), basada únicamente en mantener secretos los detalles del diseño del sistema, no se considera una estrategia robusta por sí sola. En la comunidad de seguridad, se prefiere la idea de que los sistemas de seguridad sean resistentes incluso si sus algoritmos son conocidos, esto se conoce como seguridad por diseño.
Una práctica recomendada es que, aunque se mantengan ciertos aspectos específicos del diseño del sistema como secretos comerciales, se permita una revisión independiente por parte de expertos en seguridad y agencias gubernamentales para asegurar que el sistema TETRA sea seguro y resistente a posibles ataques.
La revisión y la colaboración entre expertos y entidades involucradas pueden ayudar a identificar posibles vulnerabilidades y mejorar la seguridad del sistema de comunicación TETRA.
El hecho de que Midnight Blue haya descubierto cinco deficiencias en los algoritmos TAA1 y TEA, con distintos niveles de gravedad, es motivo de preocupación.
Estas vulnerabilidades, que van desde baja a crítica en su severidad, pueden permitir “ataques prácticos de intercepción y manipulación por parte de adversarios activos y pasivos”.
Cuando se trata de sistemas de seguridad y criptografía, cualquier vulnerabilidad, incluso de baja gravedad, puede ser explotada y llevar a consecuencias indeseables.
La capacidad de un adversario para interceptar o manipular las comunicaciones en un sistema de comunicación crítico como TETRA podría tener implicaciones graves para la seguridad y la privacidad de la información transmitida a través de este medio.
Es fundamental que los proveedores y responsables de la seguridad de TETRA aborden de manera inmediata y efectiva estas deficiencias identificadas por Midnight Blue. Se deben tomar medidas para corregir y parchar las vulnerabilidades descubiertas, y se debe notificar a los usuarios afectados para que puedan tomar medidas de seguridad adicionales.
Además, es importante considerar la realización de pruebas y auditorías adicionales por parte de expertos en seguridad independientes para asegurarse de que el sistema esté protegido de futuras vulnerabilidades.
La seguridad de las comunicaciones en infraestructuras críticas y fuerzas de seguridad es de máxima importancia, y se deben emplear todas las medidas necesarias para garantizar su integridad y confidencialidad.
Las vulnerabilidades mencionadas en los identificadores CVE-2022-24400, CVE-2022-24401, CVE-2022-24402, CVE-2022-24403 y CVE-2022-24404 son preocupantes, ya que exponen el sistema TETRA a una serie de riesgos de seguridad significativos.
CVE-2022-24400: Esta vulnerabilidad en el algoritmo de autenticación permitiría a los atacantes establecer la clave de cifrado derivada (DCK) en 0, lo que comprometería gravemente la seguridad del sistema.
CVE-2022-24401: Esta falla en el generador de flujo de claves de Air Interface Encryption (AIE) basado en la hora de la red podría permitir ataques de Oracle de descifrado, lo que podría comprometer la confidencialidad de las comunicaciones.
CVE-2022-24402: La presencia de una puerta trasera en el algoritmo TEA1 que reduce la clave original de 80 bits a un tamaño de clave que se puede romper fácilmente con fuerza bruta en minutos es una vulnerabilidad crítica.
CVE-2022-24403: El diseño débil del esquema criptográfico utilizado para ofuscar las identidades de radio es otra preocupación importante, ya que podría permitir a los atacantes eliminar el anonimato y rastrear a los usuarios.
CVE-2022-24404: La falta de autenticación de texto cifrado en AIE puede permitir ataques de maleabilidad, lo que podría afectar la integridad de las comunicaciones.
El impacto de estas vulnerabilidades dependerá en gran medida de cómo las organizaciones utilicen TETRA y qué algoritmo criptográfico esté implementado. Sin embargo, en general, estas vulnerabilidades podrían exponer a los usuarios y sistemas a la interceptación, manipulación y seguimiento de las comunicaciones, lo que podría tener consecuencias graves, especialmente en sectores críticos como fuerzas de seguridad y sistemas de infraestructura esenciales.
Es crucial que los responsables de la seguridad de TETRA y las organizaciones que lo utilizan tomen medidas inmediatas para abordar y corregir estas deficiencias de seguridad.
Se deben implementar parches y actualizaciones para mitigar los riesgos y garantizar que las comunicaciones se mantengan seguras y protegidas.
Además, la colaboración con expertos en seguridad y la realización de pruebas rigurosas serán fundamentales para fortalecer la seguridad del sistema TETRA y proteger la confidencialidad e integridad de las comunicaciones.
Las vulnerabilidades CVE-2022-24401 y CVE-2022-24402 son particularmente preocupantes y pueden tener consecuencias graves para la seguridad de las comunicaciones y los sistemas industriales que utilizan TETRA.
CVE-2022-24401: El ataque de descifrado de Oracle que revela comunicaciones de texto, voz o datos sin conocer la clave de cifrado es una vulnerabilidad crítica. Esto podría permitir a los atacantes obtener acceso no autorizado a la información confidencial transmitida a través del sistema TETRA y comprometer gravemente la privacidad y la seguridad de las comunicaciones.
CVE-2022-24402: La posibilidad de que los atacantes inyecten tráfico de datos que se utiliza para monitorear y controlar equipos industriales, aprovechando la vulnerabilidad en el algoritmo TEA1, es una amenaza significativa para la seguridad de los sistemas industriales y la infraestructura crítica. Estos equipos industriales son fundamentales para el funcionamiento de muchas industrias y pueden ser objetivos atractivos para ciberataques que buscan causar interrupciones y daños.
La explotación de estas vulnerabilidades podría tener un impacto desastroso en la seguridad y operatividad de los sistemas que utilizan TETRA, especialmente en entornos críticos como infraestructura, servicios públicos y fuerzas de seguridad.
Es fundamental que los proveedores y responsables de la seguridad de TETRA aborden de manera inmediata estas deficiencias de seguridad y tomen medidas para proteger los sistemas afectados.
La colaboración con expertos en seguridad y la implementación de medidas adicionales de protección y monitoreo serán cruciales para mitigar los riesgos asociados con estas vulnerabilidades.
Además, se debe informar y sensibilizar a los usuarios afectados sobre las medidas de seguridad que deben tomar para proteger sus sistemas y datos de posibles ataques.
La seguridad cibernética es un desafío continuo y requerirá esfuerzos constantes para mantener la integridad y confidencialidad de las comunicaciones y sistemas en uso.
Las vulnerabilidades CVE-2022-24401 y CVE-2022-24402, que permiten el descifrado de tráfico y la inyección de tráfico malicioso en sistemas basados en TETRA, podrían tener consecuencias devastadoras, especialmente cuando se trata de infraestructuras críticas como subestaciones eléctricas.
Si un atacante logra descifrar el tráfico y luego inyecta tráfico malicioso en el sistema, podría tener la capacidad de realizar acciones peligrosas, como abrir interruptores automáticos en subestaciones eléctricas. Esto podría conducir a eventos de apagón, similares al impacto del malware Industroyer (también conocido como CrashOverride), que causó un histórico apagón en Ucrania en 2016.
El impacto de tal ataque podría ser masivo y causar una interrupción significativa en el suministro de energía eléctrica, lo que afectaría no solo a la infraestructura en cuestión sino también a usuarios y empresas que dependen de esos servicios.
Ante la gravedad de estas vulnerabilidades, es imperativo que se tomen medidas urgentes para abordarlas y mitigar los riesgos asociados. Esto incluye la corrección de las vulnerabilidades a través de parches y actualizaciones, así como la implementación de medidas adicionales de seguridad para proteger los sistemas de posibles ataques.
Además, es esencial que las organizaciones responsables de la infraestructura crítica y las fuerzas de seguridad estén alerta y preparadas para enfrentar posibles ciberataques. Esto implica contar con planes de respuesta a incidentes, monitoreo constante de la red y la colaboración con expertos en seguridad cibernética para mejorar la resiliencia y proteger la integridad de los sistemas.
La seguridad cibernética en infraestructuras críticas es un desafío continuo y debe tratarse con la máxima seriedad para garantizar la seguridad y el bienestar de la sociedad en general.
La vulnerabilidad en el cifrado TEA1 (CVE-2022-24402) es el resultado de un debilitamiento intencional, sería una cuestión muy seria y preocupante. El debilitamiento intencional del cifrado se conoce como “backdoor” (puerta trasera), y esto implicaría que la debilidad en el algoritmo de cifrado fue incorporada deliberadamente con el propósito de permitir el acceso no autorizado o facilitar la interceptación de comunicaciones.
Una puerta trasera intencional en un algoritmo criptográfico comprometería significativamente la seguridad del sistema y podría exponerlo a amenazas graves. Dado que TETRA se utiliza en infraestructuras críticas y fuerzas de seguridad, una vulnerabilidad intencional en el cifrado TEA1 podría tener consecuencias desastrosas, permitiendo a los atacantes inyectar tráfico malicioso y realizar acciones peligrosas en sistemas industriales.
Si se confirma que esta debilidad es resultado de un debilitamiento intencional, se plantearían serias cuestiones éticas y de seguridad. La confianza en el sistema TETRA y en los proveedores responsables de su seguridad podría verse comprometida, y se requerirían investigaciones y medidas legales y regulatorias para abordar el problema.
En tales casos, la transparencia y la revisión independiente son esenciales para garantizar la seguridad y la confianza en los sistemas críticos.
La seguridad criptográfica debe basarse en algoritmos confiables y bien diseñados, y cualquier intento de debilitar la seguridad con fines maliciosos sería altamente cuestionable y condenable desde una perspectiva de seguridad cibernética.
Teniendo en cuenta todas las vulnerabilidades identificadas y su posible impacto en la seguridad de las comunicaciones de las fuerzas de seguridad, así como en la privacidad y los derechos de los ciudadanos involucrados en temas legales y colaborando con dichas fuerzas, es esencial tomar medidas significativas para proteger la integridad del sistema TETRA en Argentina.
Formar una junta agnóstica de expertos en seguridad sería un enfoque adecuado y responsable para abordar estas preocupaciones. Una junta de expertos independientes, con conocimientos en seguridad cibernética y criptografía, podría llevar a cabo evaluaciones exhaustivas del sistema TETRA, identificar y corregir vulnerabilidades, y garantizar que las comunicaciones sean seguras y confidenciales para todas las partes involucradas.
Además, Motorola y otras partes interesadas deberían trabajar en estrecha colaboración con la justicia para asegurar que el sistema cumpla con los más altos estándares de seguridad y que se tomen medidas para proteger los derechos y la privacidad de las personas que se comunican a través de este sistema.
La seguridad cibernética y la protección de la información son de suma importancia en el contexto de las fuerzas de seguridad y la justicia, ya que cualquier vulnerabilidad podría tener consecuencias graves.
Garantizar la sustentabilidad del sistema y la confianza de todas las partes interesadas es fundamental para mantener un entorno seguro y confiable en el uso de TETRA en Argentina.
La transparencia y la colaboración con expertos en seguridad serán clave para abordar los desafíos y proteger la seguridad de la comunicación en el país.
Por Marcelo Lozano – General Publisher IT CONNECT LATAM
Lea más sobre Ciberseguridad en;
Ciberseguridad: 1 estudio revela que empresas globales son las que más invierten
2da Conferencia Cumbre de Asuntos Cibernéticos
RDP (CVE-2023-24905) el protocolo diabólico