El tráfico web cifrado puede delatar información sensible

Los resultados del estudio I Know Why You Went to the Clinic (realizado por Brad Miller, A.D.Joseph y J.D.Tygar de la Universidad de California en Berkeley y Ling Huang de Intel Labs) muestra que observando el tráfico web cifrado e identificando las pautas, es posible saber qué páginas ha visitado una persona en un sitio web, lo que da indicios de su vida privada. El informe será presentado el 16 de julio en el Privacy-Enhancing Technology Forum en Amsterdam.

Casi todos los sitios web que intercambian datos sensibles utilizan tecnología SSL/TLS (Secure Sockets Layer/Transport Security Layer), que cifra los datos intercambiados entre el ordenador de una persona y un servidor. Los datos son ilegibles, pero los investigadores desarrollaron un ataque de análisis de tráfico que hace posible identificar qué páginas individuales en un sitio web ha visto una persona con un 80% de precisión. Investigaciones anteriores habían demostrado que era posible hacer tal análisis, pero la tasa de precisión fue sólo del 60 por ciento.

Se evaluó la efectividad del ataque utilizando 6.000 páginas web de 10 sitios web: la Clínica Mayo, Wells Fargo, Planned Parenthood, Kaiser Permanente, Bank of America, Vanguard, ACLU, Legal Zoom, Netflix y YouTube. El estudio de las vistas de páginas cifradas de sitios web médicos, por ejemplo, “tienen el potencial de desvelar si un procedimiento pendiente es una apendectomía o un aborto, o si una medicación crónica es para diabetes o Sida”, según han descrito.

“Estos tipos de distinciones y otros pueden formar la base para discriminación o persecución y representar una oportunidad fácil para publicidad dirigida de productos que los consumidores están muy motivados para comprar”, según el estudio.

Para ejecutar un ataque de análisis de tráfico, un adversario tendría que poder identificar las pautas del tráfico cifrado de un sitio web particular, así como poder observar el tráfico web de la víctima. Los suministradores de software y las operadoras tendrían visibilidad de los flujos de datos de los usuarios, escribieron. Una forma de frustrar tal análisis es una defensa por “ráfagas”, que implica la modificación del tamaño de los paquetes de datos en un intento de hacer el tráfico menos vulnerable al reconocimiento de pautas, dicen.

Un paquete de bloques de defensa “lineal” ejecuta múltiplos de 128, mientras que uno “exponencial” lo ejecuta a potencias de dos. Otro enfoque es la fragmentación aleatoria de paquetes, que ofrece la ventaja de no generar datos adicionales.

“La defensa por ráfagas ofrece mayor protección, operando entre la capa TCP y la capa de la aplicación, para rellenar ráfagas contiguas de tráfico hasta límites predefinidos determinados únicamente por cada sitio web”, informa el estudio. La defensa por ráfagas permite un compromiso natural entre coste y prestaciones, ya que menores límites resultarán en una mayor privacidad, pero a costa de un incremento de rellenos”.

Hay no obstante complicaciones que pueden dificultan la identificación de pautas en tráfico web cifrado. Por ejemplo, diferentes sistemas operativos, dispositivos y posición de los dispositivos pueden hacer que el tráfico web parezca más diverso y difícil de identificar.

El estudio asume también que una persona está navegando en la web en una única pestaña en su navegador web. No está claro para los investigadores cuánto más tráfico podría ser generado por otras pestañas abiertas y si se podría separar.

Esas condiciones podrían impactar también el cómo defenderse de un ataque, ya que “condiciones realistas pueden contribuir sustancialmente a una defensa efectiva”.