Se acerca una fecha límite que se ha ido gestando a lo largo de tres años en December 31, 2020. Será entonces cuando Adobe deje de ofrecer soporte para Flash. Entonces, ¿qué implica esto para el departamento de TI de una organización y para todos nosotros como personas?
Esto significa que debe actuar con precaución, ya que las vulnerabilidades de seguridad que presenta actualmente Flash no se resolverán en la versión « January 1». Y hay muchos delincuentes ahí fuera esperando para aprovecharse de ellos. Esto es lo que necesita saber para proteger a su organización y a usted mismo.
¿Ha sido Flash realmente seguro en algún momento?
Cuando Steve Jobs escribió su ya famoso artículo « : Reflexiones sobre Flash» (se abre en una nueva pestaña) en 2010, supuso la sentencia de muerte de una aplicación que, en el momento álgido de su popularidad, se ejecutaba en casi mil millones de dispositivos. Cabe señalar que, en el rechazo de Jobs hacia Flash, la seguridad era solo uno de los diversos problemas que le planteaba la aplicación.
Desde entonces, muchos sitios web han recurrido a HTML5 para ofrecer contenidos animados e interactivos, por lo que el número de usuarios de Flash ha ido disminuyendo progresivamente. Además, los fabricantes de navegadores han adoptado estándares abiertos y la mayoría ha bloqueado la ejecución de Flash debido a las numerosas vulnerabilidades de seguridad que puede generar.
No obstante, sigue habiendo una gran cantidad de Flash —o fragmentos del mismo— en los sistemas operativos, en sitios web, como parte de aplicaciones empresariales tras el cortafuegos de la empresa y en los ordenadores de los usuarios.
¿Qué hacía que Flash fuera tan vulnerable a los problemas de seguridad?
No es solo Flash el que ha tenido una trayectoria accidentada en materia de seguridad. A lo largo de los años, Adobe ha lanzado al mercado numerosos productos con fallos de seguridad, según Boyd White, director de gestión técnica de cuentas de Tanium.
En cuanto a Flash, afirma: «Creo que se diseñó, ante todo, como una herramienta funcional y que Adobe, sencillamente, no parecía dar prioridad a la seguridad». Se les reprendió, al igual que se hizo con Microsoft hace unos 25 años. «Sin embargo, Adobe Flash nunca implementó los controles necesarios para lanzar productos que impidieran la explotación remota».
Varias adquisiciones realizadas por Adobe también contribuyeron a este enfoque desordenado.
«Flash era, en un principio, un producto totalmente diferente», añade White. «Por lo tanto, cuando se hereda un código fuente, lo único que se intenta es que funcione».
White ofrece una visión general técnica sobre cómo gestionar el fin del soporte técnico de Flash en este aviso de vulnerabilidad de « » (se abre en una nueva pestaña) en la comunidad de Tanium.
¿Por qué aumentan los riesgos de Flash tras el fin del soporte técnico?
Los riesgos son más graves, ya que, una vez que finalice el soporte técnico, las vulnerabilidades existentes nunca se subsanarán. Además, Flash lleva mucho tiempo entre nosotros, por lo que hay ejemplos por todas partes. Por ejemplo, cuando instala Windows 10 en un ordenador nuevo, siguen quedando restos de él en el sistema operativo. Basta con que un atacante astuto convenza a un usuario desprevenido para que haga clic en algo que ejecute una biblioteca de enlaces dinámicos (DLL) vulnerable y latente en un equipo, y voilà: ejecución remota de código.
Resulta complicado localizar y eliminar todas las instancias de código que ya no se desean en un sistema. A menudo, los programas de desinstalación no consiguen eliminar todos los restos. Pueden dejar archivos DLL, ejecutables, claves del Registro o permisos. Por lo tanto, aunque utilice un desinstalador de Flash, es posible que siga teniendo problemas.
¿Existen aún usos legítimos para Flash?
Sin duda, aún quedan algunos usos legítimos de Flash. Por ejemplo, es posible que algunas aplicaciones de generación de informes de planificación de recursos empresariales (ERP) utilicen Flash. Las organizaciones pueden optar por desinstalar Flash allí donde no sea necesario y mantenerlo allí donde exista una función que no pueda realizarse con otra aplicación.
Sin embargo, esto complica el proceso y aumenta los riesgos. No resulta fácil realizar un seguimiento de todos los usuarios de una aplicación. Los clientes de Tanium pueden utilizar el módulo « » (Deploy ) (se abre en una nueva pestaña) para eliminar Adobe Flash, al tiempo que ofrecen a los usuarios la opción de notificar al departamento de TI si tienen un uso legítimo. Esto limita su exposición al riesgo.
En lo que respecta a la seguridad, no existe la perfección. Sin embargo, cuanto más Adobe Flash elimine de su entorno, más seguro será.
Cuatro consejos para minimizar los riesgos de Flash en su entorno
Teniendo en cuenta que no existe una única estrategia o táctica perfecta para gestionar Flash, le recomendamos que utilice:
- Encuestas: Realice una encuesta en cada departamento de su empresa sobre el uso y las necesidades que tienen en relación con Flash. También puede realizar una encuesta entre los desarrolladores de aplicaciones web y los responsables de seguridad de la información empresarial (BISO). En las encuestas, siempre resulta complicado conseguir que la gente responda, pero haga hincapié en que una brecha de seguridad provocada por Flash perjudicará la reputación y las operaciones de la empresa.
- Tanium Deploy y Patch: Para los clientes de Tanium, nuestros módulos Deploy y Patch (se abre en una nueva pestaña) pueden ayudar a detectar y corregir vulnerabilidades de Flash.
- Tanium Comply: Los clientes de Tanium deben seguir realizando análisis en busca de vulnerabilidades utilizando Tanium Comply (se abre en una nueva pestaña). Si se detectara una nueva vulnerabilidad de Adobe Flash tras el fin de la vida útil del producto, Tanium Comply se actualizará y le ayudará a localizar y realizar un seguimiento de los sistemas vulnerables.
- Desinstaladores de empresas de confianza: Asegúrese de comprobar que su organización haya eliminado todo el software relacionado con Flash, no solo la aplicación básica de Flash. Esto incluye el desinstalador de Adobe Flash.
Los riesgos de Flash irán disminuyendo progresivamente
Según White y otros expertos, la identificación y corrección de las vulnerabilidades de Flash se prolongará durante meses, si no años.
«Hasta que los sistemas operativos se hayan rediseñado por completo, seguirán existiendo vestigios en los sistemas de muchas organizaciones», afirma White. «Pero los riesgos serán mucho menores con el paso del tiempo».
Mientras tanto, tanto las organizaciones como las personas deben mantenerse alertas. Por ejemplo, preste atención a determinadas extensiones de archivo, como .swf (archivo Shockwave), que indican que se trata de un archivo Flash. Cualquier enlace que invite al usuario a «hacer clic aquí» en un programa Flash constituye potencialmente un intento de suplantación de identidad ( ) que puede introducir malware en su dispositivo o en la red corporativa.
Las aplicaciones no compatibles no son un problema exclusivo de Adobe Flash
White advierte de que el fin de la vida útil (EOL) de una aplicación y el cese de su soporte técnico no son un problema exclusivo de Flash. Una vez que un producto deja de comercializarse, siempre existe la posibilidad de que presente vulnerabilidades no identificadas. Por lo tanto, cuando finaliza el soporte técnico, estas vulnerabilidades pueden ser objeto de ataques de forma indefinida, ya que no existe ningún parche para ellas —y nunca lo habrá—.
«La repercusión mediática en torno al fin del soporte técnico de Flash supone una buena oportunidad para reflexionar sobre cómo gestiona usted las aplicaciones y el fin de la vida útil de los sistemas operativos en general», afirma White. «No hace falta que sea una aplicación muy conocida para que brinde oportunidades a los malintencionados».
Las grandes organizaciones utilizan cientos, si no miles, de aplicaciones que probablemente llegarán al final de su vida útil en algún momento. Y cuando una empresa se fusiona con otra o la adquiere, ello aumenta la magnitud y la complejidad de este problema. La amenaza que esto supone puede ser enorme.
«Creo que la moraleja de la historia se reduce a las medidas básicas de seguridad informática», afirma White. «Sepa qué hay en su red y por qué». «Si no dispone de esa visibilidad, sin duda corre un riesgo».
Y esto resulta aún más urgente en el caso de las fusiones y adquisiciones. Sería imprescindible conocer cómo es la pila de software de la empresa adquirida y qué riesgos en materia de seguridad o rendimiento podría heredar su organización.
«Cuando se decide dejar de utilizar una aplicación, o cuando esta alcanza el fin de su vida útil (EOL), las consecuencias en materia de seguridad van mucho más allá de la función que el software desempeñaba originalmente», añade White.
Independientemente de la situación empresarial de su empresa, la plataforma Tanium permite localizar y eliminar software obsoleto o que supone un riesgo, como Adobe Flash, de forma mucho más rápida y sencilla que con los métodos tradicionales.
«Tanium ofrece la visibilidad y el control que resultan tan esenciales para gestionar las aplicaciones de sus dispositivos, con el fin de garantizar que sean seguras y funcionen con la mayor eficiencia posible», afirma White. «Flash no es más que el último ejemplo, pero vigilar de cerca el software de los dispositivos es una necesidad constante y esencial para cualquier organización digital».
Para obtener instrucciones paso a paso sobre cómo localizar y desinstalar Adobe Flash Player mediante Tanium, consulte el artículo de White titulado « » (se abre en una nueva pestaña) en la comunidad de Tanium.
