El air gap es un freno, no una cámara acorazada: la RAM puede susurrar

Desenchufas el cable, apagas el wifi, cierras la sala con llave: ¿está por fin a salvo el ordenador? Un artículo académico sobre un ataque llamado RAMBO, que filtra secretos de ordenadores con air gap mediante señales de radio encubiertas, sugiere que la respuesta sincera es «más seguro, no seguro».

Lo que muestra realmente la investigación

El trabajo es del Dr. Mordechai Guri, responsable del Offensive Cyber Research Lab, según The Hacker News. La idea es que el código malicioso de una máquina infectada y aislada manipula las operaciones de memoria para que los buses de memoria emitan señales de radio. Esas señales llevan datos codificados. El artículo de arXiv cifra la fuga de datos en 1000 bits por segundo.

Es lento, y no conviene hacerse el distraído. Pero una contraseña, una clave de cifrado o un documento breve no necesitan banda ancha. Además, el ataque no es una vía de entrada: el malware ya tiene que estar en la máquina y, como en otros ataques contra equipos con air gap, hace falta un receptor al alcance. El artículo no le quita valor al air gap. Lo que ataca es la creencia de que el air gap es absoluto.

El aislamiento reduce el riesgo, y eso está bien

Un air gap es, según la definición de manual, una máquina sin ninguna interfaz de red conectada a otras redes. Esa definición habla de redes. La física no la lee. La memoria, los cables y las CPU son electrónica, y la electrónica irradia.

RAMBO tampoco es un caso aislado. Otros trabajos académicos tratan de cables Ethernet usados como antenas, de señales wifi encubiertas de ordenadores con air gap captadas a varios metros y de canales electromagnéticos que un infiltrado o un espía cercano podría leer con un móvil o un portátil. Cuando la misma familia de ataques no deja de producir variantes, parece menos una curiosidad y más una categoría.

Nuestra opinión: la reacción correcta no es el pánico ni el «¿y a mí qué, si antes necesita malware?». La primera infección es justo lo que los entornos con air gap están diseñados para evitar, así que dar por hecho que no puede ocurrir es el punto débil. Los equipos de seguridad deberían tratar el air gap como una capa fuerte entre varias, no como la excusa para saltarse las demás.

A quién le toca preocuparse y qué hacer

La mayoría de los lectores no debería perder el sueño. Si tu modelo de amenazas es el ransomware o el phishing, esta investigación está muy abajo en tu lista. Importa para el reducido grupo de sistemas en los que el aislamiento es el control principal: gestión de claves, redes industriales o gubernamentales sensibles, cualquier cosa cuya filtración sería catastrófica.

Para esos casos, defendemos tres hábitos. Primero, añadir los canales laterales físicos al modelo de amenazas, junto a los de red y USB. Segundo, pensar en la distancia y el apantallamiento: estos ataques dependen de que haya un receptor cerca, así que importa quién puede acercarse. Tercero, invertir en detección. Un artículo del IEEE monta un laboratorio con hardware de bajo coste precisamente porque no había conjuntos de datos públicos para detectar la exfiltración por radio basada en RAM. Eso indica que los defensores van por detrás de los atacantes en los datos de que disponen y que la monitorización aún es inmadura.

Hay también una lección más discreta sobre el exceso de confianza. «Con air gap» se usa a menudo en las auditorías para zanjar la conversación. Debería ser el comienzo de una pregunta: aislado de qué y frente a quién.

Nuestro veredicto

Conserva tus air gaps. Siguen siendo una de las formas más baratas de apartar del cuadro a la mayoría de los atacantes. Pero deja de llamarlos garantías. Si un sistema es lo bastante valioso como para aislarlo, lo es también para preguntarse cómo podría seguir hablando con alguien que esté cerca con un receptor. La respuesta de RAMBO es incómoda: con más facilidad de la que te gustaría.