Cleaning the NTP Pool: Detecting and Mitigating NTP-Sourced IPv6 Scanning
Este artículo presenta una metodología para detectar y caracterizar servidores de NTP Pool que recolectan direcciones de clientes IPv6 activos para reconocimiento y escaneo, lo que llevó a la identificación de 22 servidores maliciosos y cambios de política posteriores por parte de las entidades involucradas.
Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo
Imagina el internet como una ciudad gigante y bulliciosa donde cada dispositivo tiene una dirección única, como un número de casa. En la versión más antigua de esta ciudad (IPv4), las calles estaban congestionadas y era fácil caminar por cada manzana, llamar a cada puerta y ver quién estaba en casa. Pero en la nueva y masiva expansión de la ciudad (IPv6), las calles son tan largas y los números de las casas son tan aleatorios y cambian constantemente que es casi imposible encontrar a alguien simplemente adivinando. Necesitarías un mapa que se actualice cada segundo.
Para mantener sus relojes sincronizados, la mayoría de los dispositivos en esta ciudad no solo adivinan la hora; le preguntan a un cronometrador central llamado el NTP Pool. Piensa en el NTP Pool como una enorme torre de reloj gestionada por voluntarios donde cualquiera puede instalar un reloj y ofrecer la hora al vecindario. Debido a que es muy popular, millones de dispositivos piden la hora a estos relojes cada día. El problema es que, cuando un dispositivo pide la hora, tiene que mostrar su "número de casa" (su dirección IP) para que el reloj sepa a dónde enviar la respuesta. Este artículo explora un truco astuto donde algunas personas están usando estos relojes voluntarios no solo para dar la hora, sino para anotar secretamente los números de las casas de todos los que pasan por allí, y luego usar esa lista para ir a tocar puertas que de otro modo no habrían encontrado.
El atraco a la torre del reloj
En este estudio, los investigadores Erik Rye y Robert Beverly decidieron investigar un fenómeno extraño que llamaron "back-scanning" (escaneo inverso). Sospechaban que algunos de los relojes voluntarios en el NTP Pool estaban actuando como espías. Así es como funciona el truco: un dispositivo pide la hora a un reloj. El reloj ve la dirección del dispositivo, la anota y luego —en lugar de solo devolver la hora— comienza a enviar sondas a esa dirección para ver qué servicios están funcionando en ella. Es como un panadero amable que, después de que le preguntas la hora, comienza secretamente a revisar si tu casa tiene una puerta con llave, una cámara de seguridad o una caja fuerte oculta, todo porque entraste en su tienda.
Para atrapar a estos espías, los investigadores prepararon una trampa ingeniosa. Crearon una computadora "probadora" especial que envió miles de solicitudes al NTP Pool. Pero aquí está la magia: cada una de las solicitudes provenía de un número de casa nuevo, falso y de un solo uso (llamado "nonce"). Estos números eran aleatorios y nunca se volvían a usar. Los investigadores luego esperaron para ver si alguien llamaba a la puerta de estas casas falsas.
Si un reloj solo estaba haciendo su trabajo, respondería con la hora y olvidaría el número de la casa falsa. Pero si un reloj era un espía, anotaría ese número falso y más tarde enviaría una sonda a él. Dado que la casa falsa no existía realmente, la única forma en que una sonda pudiera llegar a ella era si el reloj (o alguien conectado a él) había guardado el número y estaba buscando activamente.
Lo que encontraron
A lo largo de un año, los investigadores enviaron alrededor de 2.45 millones de estas solicitudes falsas a 2,335 servidores NTP diferentes. Encontraron que 22 de esos servidores estaban, de hecho, actuando como espías. Estos 22 servidores se agruparon en cuatro "clústeres" distintos de comportamiento:
- Los de toque ligero: Un grupo de servidores principalmente enviaba un solo "ping" (una comprobación básica para ver si el dispositivo está vivo) a las direcciones falsas. Eran curiosos, pero no profundizaban.
- Los de gran impacto: El grupo más activo, al que los investigadores denominaron Clúster 2, era una operación masiva. Utilizaron 8 servidores NTP para recolectar direcciones, pero luego lanzaron una enorme campaña de escaneo utilizando más de 3,000 direcciones IP diferentes para llamar a las puertas. No solo revisaron si la puerta estaba abierta; intentaron acceder a 572 tipos diferentes de cerraduras (puertos TCP) y 9 tipos diferentes de llaves (puertos UDP). Buscaban cosas específicas como servidores web, herramientas de control remoto y bases de datos.
- Los lobos solitarios: Otros dos grupos eran mucho más pequeños, con solo un servidor cada uno, pero también realizaban escaneos. Uno enviaba pings y el otro intentaba acceder a un puerto de depuración específico de Android.
Los investigadores notaron algo interesante sobre el tiempo. Para los "de toque ligero", tomó unos 14 horas en promedio comenzar el escaneo después de ver una nueva dirección. Los "de gran impacto" tardaron un poco más, unas 22 horas, pero una vez que comenzaban, no se detenían. Algunos de estos escaneos continuaron durante más de un mes, revisando repetidamente las mismas direcciones.
El "por qué" y el "quién"
Los investigadores rastrearon al dueño del grupo de escaneo más grande (Clúster 2). Resultó ser una firma de seguros de ciberseguridad. Cuando los investigadores les preguntaron al respecto, la firma fue franca: admitieron que estaban usando el NTP Pool específicamente para conocer direcciones IPv6 activas con el propósito de realizar un escaneo inverso. Afirmaron que lo hacían con "fines defensivos", específicamente para ayudar a calcular el riesgo para sus clientes de seguros. Argumentaron que saber qué dispositivos existen ayuda a comprender el panorama de amenazas.
Sin embargo, los investigadores señalaron un problema importante: las personas cuyos dispositivos estaban siendo escaneados no sabían que esto estaba sucediendo. La mayoría de estos dispositivos son pequeños aparatos integrados (como termostatos inteligentes o sensores IoT) que simplemente piden automáticamente la hora al NTP Pool. Nunca dieron su consentimiento para ser escaneados. Además, la firma de seguros utilizaba una mezcla de servidores en la nube que eran difíciles de identificar. Aunque la firma admitió que alrededor del 40% de su infraestructura de escaneo carecía de registros de identificación (rDNS) y afirmó haber corregido esas entradas específicas, no añadieron registros de identificación a sus servidores NTP. Además, ni sus servidores NTP ni sus servidores de escaneo alojan una página web para explicar quiénes son o cómo optar por no participar, aunque un redireccionamiento en su dominio proporciona algo de información.
Las consecuencias
Este descubrimiento puso de relieve un "área gris" en la ética de internet. Si bien llamar a una puerta para ver si hay alguien en casa no suele ser un delito, hacerlo secretamente usando un truco para encontrar direcciones que se suponía debían estar ocultas es éticamente turbio. Los investigadores no se limitaron a señalar el problema; comenzaron a trabajar con los administradores del NTP Pool para solucionarlo.
Actualmente están construyendo un sistema para integrar su método de detección directamente en el sistema de puntuación del NTP Pool. En el futuro, si un servidor de reloj voluntario es atrapado realizando un "back-scanning", el sistema bajará automáticamente su puntuación, lo que significa que dejará de recibir tráfico y eventualmente será expulsado del pool. Los investigadores también compartieron una lista de los malos actores con el NTP Pool, y la firma de seguros involucrada aceptó hacer sus operaciones más transparentes corrigiendo los registros de identificación faltantes en sus servidores de escaneo, aunque los servidores NTP mismos permanecen sin identificar.
La conclusión
Este artículo demuestra que incluso en un mundo donde se supone que encontrar dispositivos es difícil, existen formas ingeniosas de engañar al sistema. Al utilizar la confianza depositada en un servicio de cronometría voluntario, algunas entidades pudieron construir un mapa de los dispositivos más elusivos del internet. El estudio sugiere que, aunque estos escaneos puedan tener fines de seguridad o de seguros, elponen por la falta de consentimiento de los propietarios de los dispositivos. La solución no es cerrar el NTP Pool, sino hacerlo más inteligente, asegurando que los relojes voluntarios sigan siendo precisamente eso: relojes, y no espías secretos.
¿Ahogado en artículos de tu campo?
Recibe resúmenes diarios de los artículos más novedosos que coincidan con tus palabras clave de investigación — con resúmenes técnicos, en tu idioma.