Todo operador de negocio que trabaja desde casa parte de una suposición fundamental. La conexión a internet que llega a su domicilio es un recurso privado. La dirección IP es, en algún sentido real, suya.
Nada de eso es cierto.
Cuando un ISP residencial asigna una dirección IP, esa dirección llega con un registro público completo adjunto. El rango al que pertenece está documentado en la base de datos RDAP de ARIN, etiquetado con la identidad del ISP y el Número de Sistema Autónomo que clasifica la conexión como servicio residencial para consumidores. Cada servidor que toca un dueño de negocio registra esa dirección y la identifica de inmediato como una red doméstica.
Los proveedores de inteligencia de IP categorizan los datos de AS y los venden a plataformas de amenazas, sistemas de prevención de fraude y corredores de datos. Una clasificación de AS residencial queda registrada en cada plataforma que toca el operador. El dueño de negocio que separó su identidad legal mediante la constitución de una LLC y el uso de agente registrado sigue transmitiendo su ubicación física desde cada conexión de negocio que realiza.
Los arrendamientos DHCP de los ISP residenciales duran semanas o meses, no horas. Un pequeño dueño de negocio que opera desde casa durante seis meses es, desde la perspectiva del registro de actividad, como si tuviera una IP estática. Investigaciones que analizaron la base de datos MaxMind GeoIP2 encontraron una precisión de geolocalización a nivel ciudad superior al 80 por ciento en conexiones fijas en Estados Unidos.
El problema estructural más profundo no es la dirección IP. Es lo que vive entre el router y el internet público.
Cada módem residencial proporcionado por un ISP de consumo ejecuta TR-069, un protocolo que le otorga al ISP acceso administrativo para instalar firmware, cambiar configuraciones, ver dispositivos conectados y ejecutar comandos en el hardware del cliente. El cliente no es dueño del módem. Lo renta. El ISP mantiene acceso persistente y bidireccional a nivel de hardware sin ningún mecanismo de auditoría disponible para el cliente.
En junio de 2024, el investigador Sam Curry documentó CVE-2024-6922, una falla de Referencia Directa a Objeto Insegura en el portal de administración de Cox Communications que permitía a partes no autenticadas llamar los mismos endpoints de API que usaban los agentes de soporte para administrar los dispositivos de los clientes. Enumeración remota de cuentas, recuperación de listas de dispositivos, reconfiguración de red y ejecución de comandos en el hardware del cliente. No se requería autenticación.
Cox corrigió la falla. Lo que Curry documentó no fue el fallo de un solo ISP. Fue una exposición estructural integrada en la arquitectura TR-069 de todas las redes residenciales. La capa de administración la opera el ISP. El cliente no tiene visibilidad sobre ella ni derecho a inspeccionarla.
La dirección domiciliaria de un operador de negocio no necesita filtrarse desde un corredor de datos para quedar disponible. Cada transacción desde una conexión residencial es un evento de divulgación.
Usted ha visto la evidencia. Ahora vea la solución. RuleDraft tiene el mapa para neutralizar estas fallas y asegurar su perímetro antes de que se conviertan en un problema.
No comments:
Post a Comment
Note: Only a member of this blog may post a comment.