¿Es vulnerable tu cartera en Bitcoins, como recientemente se aseguraba en Rooted Con 2015, o por el contrario de lo que estamos hablando es de la vulnerabilidad de tu sistema operativo del que apenas puedes mantener el control?
Artículo publicado originalmente en Sobrebitcoin.com.
Todas las wallets funcionan con criptografía de clave pública. Esto quiere decir que hacen falta dos elementos para verificar la firma y administrar o modificar datos de la cartera: una clave pública (la dirección de destino de bitcoins en el caso de un envío) y una parte privada que debe quedar en posesión del titular de esos BTC.
La mayoría de los análisis de ciberdelincuencia en materia de Bitcoin no están enfocados en romper el cifrado de sus wallets, sino que están basadas en las deficiencias en los sistemas de almacenamiento, ya sean estos ordenadores personales o servidores remotos. Obviar este dato es muy peligroso, pues en la práctica lo que se está evidenciando no es la vulnerabilidad de Bitcoin, sino la vulnerabilidad del almacenaje.
Según publica eldiario.es, los analistas participantes del Rooted Con 2015 Yaiza Rubio y Felix Brezo, hicieron un repaso a las diferentes formas en las que pueden verse comprometidas nuestras carteras, pero lo que vamos a ver es que el resultado ofrecido por estos dos analistas sirve para cualquier otro archivo (documentos confidenciales, fotografías, etc.), luego ¿qué parte de la seguridad está fallando? ¿Bitcoin o el sistema operativo con el que trabajamos?
El almacenaje local
Una cartera almacenada en un ordenador personal que pueda ser afectado por cualquier malware es sin duda un riesgo que afecta a todos los equipos y servidores administrados por sistemas operativos de código cerrado (Windows o Mac, principalmente).
La solución propuesta por los analistas de inteligencia es el cifrado del archivo que contenga las claves privadas pero, ¿eso resuelve el problema?: no. El problema de los malwares más comunes es precisamente la facilidad que tienen para ingresar a cualquier equipo sin el consentimiento de su administrador y afectar a su núcleo, algo cuya solución más efectiva y conocida hasta el momento es el trabajo mediante un entorno multiusuario donde los usuarios reciben una serie de privilegios o permisos específicos y donde existe un control de acceso dedicado, algo que en la actualidad solo proveen los sistemas operativos Linux (Debian, Ubuntu, Fedora, etc.).
Las carteras mentales
Otra de las críticas de los analistas se centra en las carteras mentales como las de Bitaddress.org, el cual ofrece la posibilidad de proteger la clave privada con una palabra clave que el usuario pueda recordar. Esto efectivamente es un problema cuando el usuario final utiliza una palabra sencilla o que está almacenada en los miles de diccionarios de claves frecuentes que circulan por la red. En principio esto tiene una solución sencilla: verificar la identidad del titular de la cuenta, obligar al usuario a utilizar caracteres especiales, limitar las opciones de acceso con clave fallida y una prueba de Completely Automated Public Turing test to tell Computers and Humans Apart , más conocido como CAPTCHA. Esta es la solución más efectiva para nosotros a la hora de evitar lo que es un ataque de fuerza bruta de toda la vida.
El almacenamiento “en frío”
Es sin duda una de las formas de seguridad más rudimentarias y, en lo que coincidimos con los analistas, es quizá de las más seguras, ya que impide cualquier contacto con la red de los archivos que puedan recoger datos sobre nuestra clave privada. Este almacenamiento puede ser desde una memoria externa u ordenador desconectado hasta una cartera impresa en papel, de la que podemos hacer tantas copias como sea necesario.
Conclusión
En síntesis, el riesgo del robo de bitcoins no es en un problema de rotura de cifrados o del propio protocolo, sino que el problema reside en su forma de almacenamiento y que en la práctica afecta a los bitcoins o a cualquier otro archivo susceptible de ser protegido. El malware contra los equipos de almacenamiento tiene su principal medida de seguridad en el sistema operativo que elijamos, y para nosotros, Linux es la opción principal para protegerlo.
El problema no es Bitcoin, sino tu sistema operativo.