¿Qué es el gusano Morris? Cómo un hombre destruyó accidentalmente la web en 1988

En noviembre de 1988, Robert Tappan Morris, hijo del famoso criptógrafo Robert Morris Sr., era un estudiante graduado de 20 años en Cornell que quería saber qué tan grande era Internet, es decir, cuántos dispositivos estaban conectados a él. Así que escribió un programa que viajaba de una computadora a otra y le pedía a cada máquina que enviara una señal a un servidor de control, lo que seguiría siendo importante.

El programa funcionó bien, demasiado bien, de hecho. Morris sabía que si viajaba demasiado rápido, podría haber problemas, pero los límites que incorporó no eran suficientes para evitar que el programa obstruyera grandes secciones de Internet, tanto copiándose a nuevas máquinas como enviando esos mensajes de vuelta. Cuando se dio cuenta de lo que estaba sucediendo, ni siquiera sus mensajes advirtieron a los administradores del sistema sobre el problema.

Su programa se convirtió en el primero de un tipo particular de ataque cibernético llamado "denegación de servicio distribuido", en el que se le dice a una gran cantidad de dispositivos conectados a internet, incluyendo computadoras, cámaras web y otros dispositivos inteligentes, que envíen mucho tráfico a una dirección en particular, sobrecargando con tanta actividad que el sistema se apaga o sus conexiones de red están completamente bloqueadas.

Como presidente del Programa Integrado de Ciberseguridad de la Universidad de Indiana, puedo informar que este tipo de ataques son cada vez más frecuentes en la actualidad. En muchos sentidos, el programa de Morris, conocido en la historia como el "gusano de Morris", establece el escenario para las vulnerabilidades cruciales y potencialmente devastadoras en lo que yo y otros hemos denominado la próxima "Internet de todo".

Desembalar el gusano Morris

Los gusanos y los virus son similares pero diferentes en una forma clave: un virus necesita un comando externo, de un usuario o un pirata informático, para ejecutar su programa. Un gusano, por el contrario, golpea el suelo corriendo solo. Por ejemplo, incluso si nunca abre su programa de correo electrónico, un gusano que se introduce en su computadora podría enviar una copia de sí mismo a todos los miembros de su libreta de direcciones.

En una época en que pocas personas estaban preocupadas por el software malicioso y nadie tenía instalado un software de protección, el gusano Morris se propagó rápidamente. Los investigadores de Purdue y Berkeley tardaron 72 horas en detener el gusano. En ese momento, infectó a decenas de miles de sistemas, aproximadamente el 10 por ciento de las computadoras que se encontraban en Internet. Limpiar la infección cuesta cientos o miles de dólares por cada máquina afectada.

En el clamor de la atención de los medios acerca de este primer evento de este tipo, la confusión fue desenfrenada. Algunos reporteros incluso preguntaron si las personas podían contraer la infección de la computadora. Lamentablemente, muchos periodistas en su conjunto no han adquirido mucho más conocimiento sobre el tema en las décadas intermedias.

Morris no estaba tratando de destruir Internet, pero los efectos generalizados del gusano hicieron que lo procesaran bajo la nueva Ley de Abuso y Fraude Informático. Fue sentenciado a tres años de libertad condicional y una multa de aproximadamente $ 10,000. Sin embargo, a fines de la década de 1990, se convirtió en un millonario de punto com - y ahora es profesor en el MIT.

Amenazas crecientes

Internet sigue estando sujeto a ataques DDoS mucho más frecuentes y más paralizantes. Con más de 20 mil millones de dispositivos de todo tipo, desde refrigeradores y automóviles hasta rastreadores de actividad física, conectados a Internet y millones más conectados semanalmente, el número de fallas y vulnerabilidades de seguridad está explotando.

En octubre de 2016, un ataque DDoS con miles de cámaras web secuestradas, a menudo utilizadas para la seguridad o monitores para bebés, cerró el acceso a varios servicios de Internet importantes a lo largo de la costa este de los EE. UU. Ese evento fue la culminación de una serie de ataques cada vez más dañinos utilizando una red de bots, o una red de dispositivos comprometidos, que fue controlada por un software llamado Mirai. El internet de hoy es mucho más grande, pero no mucho más seguro, que el internet de 1988.

Algunas cosas han empeorado. Descubrir quién está detrás de ataques particulares no es tan fácil como esperar a que esa persona se preocupe y enviar notas de disculpa y advertencias, como lo hizo Morris en 1988. En algunos casos, los que son lo suficientemente grandes como para merecer investigaciones completas, es posible identificar los culpables Finalmente, se descubrió que un trío de estudiantes universitarios creó a Mirai para obtener ventajas al jugar el Minecraft juego de ordenador.

Combatiendo Ataques DDoS

Pero las herramientas tecnológicas no son suficientes, y tampoco lo son las leyes y regulaciones sobre la actividad en línea, incluida la ley bajo la cual se acusó a Morris. Las docenas de estatutos estatales y federales sobre delitos cibernéticos en los libros aún no parecen reducir el número total o la gravedad de los ataques, en parte debido a la naturaleza global del problema.

Hay algunos esfuerzos en curso en el Congreso para permitir que las víctimas de ataques en algunos casos tomen medidas de defensa activas, una noción que viene con una serie de desventajas, incluido el riesgo de escalada, y para exigir una mayor seguridad para los dispositivos conectados a Internet. Pero el paso está lejos de ser asegurado.

Sin embargo, hay motivos para la esperanza. A raíz del gusano Morris, la Universidad Carnegie Mellon estableció el primer Equipo de Respuesta de Emergencia Cibernética del mundo, que se ha replicado en el gobierno federal y en todo el mundo. Algunos responsables de la formulación de políticas hablan de establecer una junta nacional de seguridad de la ciberseguridad para investigar las deficiencias digitales y emitir recomendaciones, como lo hace la Junta Nacional de Seguridad del Transporte ante desastres en los aviones.

Más organizaciones también están tomando medidas preventivas, adoptando las mejores prácticas en seguridad cibernética a medida que construyen sus sistemas, en lugar de esperar a que ocurra un problema y tratar de limpiar después. Si más organizaciones consideraran la ciberseguridad como un elemento importante de la responsabilidad social corporativa, ellos, y su personal, clientes y socios comerciales, estarían más seguros.

En 3001: La Odisea Final El autor de ciencia ficción Arthur C. Clarke imaginó un futuro donde la humanidad selló lo peor de sus armas en una bóveda en la luna, que incluía espacio para los virus informáticos más malignos jamás creados. Antes de que la próxima iteración del gusano Morris o Mirai haga un daño incalculable a la sociedad de la información moderna, corresponde a todos, gobiernos, empresas e individuos, establecer reglas y programas que apoyen la ciberseguridad generalizada, sin esperar otros 30 años.

Este artículo fue publicado originalmente en The Conversation por Scott Shackelford. Lee el artículo original aquí.