Riesgos de exposición de metadatos

El equipo de seguridad de un proveedor de investigación clínica estaba orgulloso de sus controles de protección de datos: los datos de los pacientes de los ensayos clínicos estaban cifrados en reposo y en tránsito, los controles de acceso se gestionaban de forma estricta y el registro de auditoría era exhaustivo. Un investigador de seguridad que realizaba una prueba de penetración autorizada encontró una vulnerabilidad importante de divulgación de información que no tenía nada que ver con los datos protegidos en sí: las respuestas de la API del proveedor contenían encabezados HTTP detallados que revelaban la versión del motor de base de datos, el framework de ORM utilizado, el sistema operativo del servidor y la arquitectura interna de servicios. Su almacenamiento de archivos de acceso público contenía documentos de protocolos de ensayos clínicos cuyos metadatos (nombres de autores, organización, clasificación interna del documento e historial de versiones) revelaban la identidad del patrocinador del ensayo y detalles del protocolo que no se habían divulgado públicamente. Los mensajes de error que devolvía la aplicación incluían nombres completos de tablas de la base de datos, estructuras de columnas y, en algunos casos, parámetros de consulta. Los datos de los ensayos clínicos estaban bien protegidos. Los metadatos que los rodeaban revelaban el patrocinador del ensayo, la estructura del protocolo, la infraestructura técnica y suficientes detalles de la superficie de ataque como para reducir drásticamente el esfuerzo necesario para explotar cualquier vulnerabilidad existente en el entorno.

¿Cuál es realmente el problema del riesgo de exposición de metadatos?

Los metadatos son datos sobre datos: la información contextual, estructural y técnica que describe, sitúa y respalda los datos principales sin ser ella misma los datos principales. En el ámbito de la seguridad de la información, los metadatos abarcan los encabezados de respuesta HTTP que describen las características del servidor y de la aplicación, las propiedades de los documentos que registran la autoría y el origen organizativo, los metadatos del sistema de archivos que registran el historial de acceso y el contexto de creación, las estructuras de las respuestas API que revelan esquemas de bases de datos y arquitecturas de servicios, los mensajes de error que exponen la estructura de las consultas y el funcionamiento interno del sistema, y toda la gama de información contextual que las aplicaciones y los sistemas generan junto con sus resultados de datos principales.

La importancia de los metadatos para la seguridad se debe a su densidad de información en relación con su prioridad en la gobernanza. Los metadatos suelen contener información más valiosa desde el punto de vista operativo para un atacante que los propios datos principales, no porque los datos principales carezcan de importancia, sino porque los metadatos suelen proporcionar la información de reconocimiento que hace viable atacar los datos principales. La versión de un motor de base de datos revelada en un encabezado HTTP le indica a un atacante qué CVE investigar. La versión de un framework en un mensaje de error le indica qué vulnerabilidades de inyección y de deserialización probar. Una clasificación interna de un documento en una propiedad del archivo revela lo que la organización considera sensible y qué documentos priorizar en un escenario de exfiltración. Nada de esta información son los datos principales que los programas de seguridad están diseñados para proteger, pero permite un acceso más eficiente a esos datos.

La dimensión de privacidad de los metadatos es igual de importante y se reconoce cada vez más en las orientaciones regulatorias. El momento y la frecuencia de las visitas de un paciente a un portal de atención médica revelan patrones de comportamiento que pueden dejar entrever problemas de salud sin exponer registros clínicos concretos. Los metadatos de las comunicaciones cifradas (quién se comunicó con quién, cuándo, con qué frecuencia y durante cuánto tiempo) pueden revelar patrones de relaciones, estructuras organizativas e información de comportamiento que el cifrado del contenido estaba diseñado para proteger. Las marcas de tiempo de acceso a archivos, los datos de ubicación incrustados en fotografías y los identificadores de dispositivos en los registros de las aplicaciones son categorías de metadatos con implicaciones para la privacidad, con independencia de los datos que describen.

Los riesgos de exposición de metadatos se concentran en cinco categorías de exposición específicas en los entornos de los proveedores:

Divulgación en los encabezados de respuesta HTTP: metadatos del servidor y de la aplicación devueltos en los encabezados de respuesta HTTP que revelan el motor de base de datos, el framework, el sistema operativo y la arquitectura interna de servicios a cualquiera que inspeccione las respuestas
Metadatos de documentos y archivos: identidad del autor, organización, clasificación interna e historial de versiones incrustados en las propiedades de los documentos que se distribuyen junto con su contenido
Mensajes de error detallados: respuestas de error de la aplicación que incluyen la estructura de las consultas a la base de datos, nombres de tablas, seguimientos de pila y detalles internos del sistema visibles para los usuarios que provocan condiciones de error
Divulgación en la estructura de las respuestas de API: respuestas API que revelan el esquema de la base de datos, la estructura de relaciones y los modelos de objetos internos mediante patrones coherentes de nomenclatura de campos y de respuesta
Exposición de los metadatos de los registros: registros de aplicaciones que contienen información contextual sensible (identificadores de usuario, tokens de sesión, parámetros de consulta y detalles de enrutamiento interno) que queda expuesta por configuraciones erróneas de la infraestructura de registro

Por qué es importante

La exposición de metadatos es relevante para TPRM porque representa una categoría de divulgación de información que resulta prácticamente invisible para las evaluaciones centradas en la protección de los datos principales. Una evaluación que confirma el cifrado de los datos, los controles de acceso y el registro de auditoría cubre los controles de protección de los datos principales. Normalmente no evalúa si los encabezados HTTP revelan la infraestructura técnica, si las propiedades de los documentos revelan la clasificación interna o si los mensajes de error exponen la estructura de la base de datos. Los metadatos que un atacante usa para planificar un ataque contra el entorno del proveedor son los metadatos que la evaluación de seguridad del proveedor quizá nunca haya examinado.

La dimensión del reconocimiento técnico es el riesgo más directamente relevante para un atacante. Un atacante que identifica la pila tecnológica de un proveedor objetivo mediante la inspección de los encabezados HTTP, el análisis de los mensajes de error y el examen de la estructura de las respuestas API ha reducido considerablemente el esfuerzo de desarrollo de su ataque. En lugar de probar a ciegas contra un entorno desconocido, puede investigar las CVE conocidas de las versiones específicas reveladas, desarrollar métodos de explotación ajustados a las versiones de framework identificadas y priorizar las vulnerabilidades con más probabilidades de ser explotables según la arquitectura revelada. Los controles de los datos principales siguen vigentes. El ataque se volvió más eficiente gracias a los metadatos.

Para los profesionales de TPRM, la evaluación de la exposición de metadatos añade una dimensión que pocas evaluaciones estándar cubren: preguntar no solo si los datos están protegidos, sino si la información que rodea los datos en el entorno del proveedor está debidamente controlada. Esto es especialmente relevante en el caso de los proveedores que exponen API externas, distribuyen documentos a los clientes y operan interfaces web en las que los encabezados HTTP y los mensajes de error son visibles para cualquiera que tenga un navegador y herramientas de desarrollo.

Dónde se equivocan la mayoría de los equipos

La falla más constante es tratar la gobernanza de los metadatos como una consideración secundaria frente a la protección de los datos principales. Las organizaciones que invierten mucho en cifrar los datos, controlar el acceso a los datos y monitorear el acceso a los datos quizá nunca hayan examinado lo que sus sistemas revelan sobre sí mismos a través de los metadatos que rodean los datos. Los encabezados HTTP son visibles para cualquier navegador. Las propiedades de los documentos son accesibles para cualquier usuario que abra un archivo. Los mensajes de error son visibles para cualquier usuario que provoque un error. Estas son las divulgaciones de información que pasan por alto los programas estándar de protección de datos.

La segunda falla es no incluir la divulgación de metadatos en el alcance de las pruebas de penetración. Una prueba de penetración que evalúa los controles de acceso, las vulnerabilidades de inyección y los mecanismos de autenticación puede no examinar específicamente qué información se divulga a través de los encabezados HTTP, los mensajes de error y los metadatos de los documentos. La divulgación de metadatos es un riesgo que facilita el reconocimiento más que un riesgo de explotación directa, y los objetivos de prueba centrados en el reconocimiento deben incluirse explícitamente en el alcance de la prueba.

Tratar la gobernanza de los metadatos como secundaria frente a la protección de los datos principales: los metadatos suelen contener información más útil desde el punto de vista operativo para un atacante que los datos protegidos
Encabezados HTTP sin evaluar: la divulgación de las versiones del servidor y del framework no está incluida en el alcance de la evaluación de seguridad
Metadatos de los documentos sin gobernar: la identidad del autor y la clasificación interna en las propiedades de los documentos no se eliminan antes de la distribución
Mensajes de error sin evaluar: las respuestas de error detalladas no están incluidas en el alcance de las pruebas de seguridad
Divulgación de metadatos fuera del alcance de las pruebas de penetración: la recopilación de información de reconocimiento a través de los metadatos no es un objetivo de prueba definido

Cómo se ve una buena práctica

Los programas maduros de gobernanza de los metadatos tratan la divulgación de información a través de los metadatos con la misma intencionalidad que la divulgación de información a través de los datos: eliminan o suprimen los encabezados HTTP que identifican el servidor, implementan mensajes de error genéricos que no exponen el funcionamiento interno del sistema, eliminan los metadatos de los documentos antes de distribuirlos e incluyen la evaluación de la divulgación de metadatos en los programas de pruebas de seguridad.

Refuerzo de los encabezados HTTP: se eliminan de los encabezados de respuesta HTTP los identificadores de la versión del servidor, la versión del framework y la pila tecnológica
Manejo genérico de errores: los errores de la aplicación se devuelven a los usuarios como mensajes genéricos, sin la estructura de la base de datos, detalles de las consultas ni seguimientos de pila
Eliminación de los metadatos de los documentos: el autor, la organización, la clasificación interna y el historial de versiones se eliminan de los documentos antes de su distribución externa
Minimización de la estructura de las respuestas de API: respuestas API diseñadas para divulgar la información mínima necesaria en lugar de modelos de objetos completos
Divulgación de metadatos en el alcance de las pruebas de penetración: inspección de los encabezados HTTP, análisis de los mensajes de error y evaluación de los metadatos de los documentos como objetivos de prueba definidos

Herramientas

Gobernar la exposición de metadatos requiere tanto los controles técnicos para eliminar o suprimir los metadatos identificativos como las herramientas de prueba para evaluar lo que se está divulgando actualmente.

Encabezados de seguridad HTTP: OWASP Secure Headers Project, SecurityHeaders.com

OWASP Secure Headers Project ofrece orientación sobre qué encabezados HTTP deben eliminarse o reforzarse para evitar la identificación del servidor y la divulgación de información. SecurityHeaders.com ofrece una evaluación gratuita de la configuración de los encabezados HTTP de cualquier sitio web de acceso público. Para los profesionales de TPRM, ejecutar un análisis de SecurityHeaders.com sobre las aplicaciones de un proveedor expuestas al exterior proporciona una evaluación inmediata y sin necesidad de acceso de la divulgación de información en los encabezados HTTP, información visible para cualquier cliente HTTP sin ninguna autenticación.

Gestión de los metadatos de los documentos: Microsoft Purview, herramientas de metadatos de Adobe Acrobat

Las herramientas de eliminación de metadatos de documentos eliminan o censuran el autor, la organización, la clasificación interna y el historial de versiones de los documentos antes de distribuirlos. Las aplicaciones de Microsoft Office incluyen funciones integradas de inspección y eliminación de metadatos. La función de saneamiento de Adobe Acrobat elimina los metadatos y el contenido oculto de los PDF. Para los profesionales de TPRM, preguntar si el proveedor elimina los metadatos de los documentos que distribuye a los clientes o a terceros constituye una pregunta específica sobre la gobernanza de los metadatos de los documentos.

Pruebas de seguridad de API: 42Crunch, Burp Suite, OWASP ZAP

Las herramientas de pruebas de seguridad de API evalúan la divulgación de información a través de las respuestas API, comprobando si las respuestas revelan el esquema de la base de datos, los modelos de objetos internos o detalles de implementación mediante patrones coherentes de nomenclatura de campos y de estructura de las respuestas. Para los profesionales de TPRM, preguntar si las pruebas de seguridad de API incluyen la evaluación de la divulgación de información a través de la estructura de las respuestas y del análisis de los encabezados constituye la pregunta específica sobre objetivos de prueba que tengan en cuenta los metadatos.

Desafíos de gobernanza

El desafío de gobernanza de los metadatos es el problema de su omnipresencia. Todos los sistemas, aplicaciones y documentos de un entorno generan metadatos como efecto secundario de su funcionamiento normal: no se crean intencionalmente como un riesgo de divulgación, sino que se acumulan de forma continua mediante actividades rutinarias. Suprimirlos exige configurar deliberadamente cada sistema que los genera: servidores HTTP configurados para suprimir los encabezados de versión, gestores de errores de las aplicaciones configurados para devolver mensajes genéricos, herramientas de creación de documentos configuradas para eliminar metadatos y frameworks de API configurados para minimizar el nivel de detalle de las respuestas. Estas configuraciones deben aplicarse y mantenerse en un entorno diverso de sistemas y aplicaciones.

Para los programas de TPRM, el enfoque práctico de gobernanza consiste en incluir la evaluación de la divulgación de metadatos en los requisitos de pruebas de seguridad de los proveedores, preguntando específicamente si los encabezados HTTP, los mensajes de error y los metadatos de los documentos se evalúan como parte del programa de pruebas de seguridad del proveedor. La disponibilidad de herramientas gratuitas como SecurityHeaders.com también permite a los profesionales de TPRM realizar una evaluación rápida y sin acceso de la configuración de los encabezados HTTP expuestos al exterior de un proveedor, antes de cualquier evaluación formal o junto con ella.

Ejecutar SecurityHeaders.com sobre las URL externas del proveedor: evaluación gratuita, inmediata y sin acceso de la divulgación en los encabezados HTTP
Preguntar si la divulgación de metadatos está en el alcance de las pruebas de penetración: encabezados HTTP, mensajes de error y metadatos de documentos como objetivos de prueba definidos
Preguntar por la gestión de los metadatos de los documentos: si se eliminan los metadatos de los documentos que se distribuyen a los clientes
Preguntar por el nivel de detalle de los mensajes de error: si los errores de la aplicación devuelven mensajes genéricos o detalles que exponen el sistema
Incluir la divulgación de metadatos en la evaluación de seguridad de los proveedores como dimensión estándar, junto con la protección de los datos principales

Si usted forma parte de un equipo pequeño

Ejecute SecurityHeaders.com sobre la URL principal del proveedor expuesta al exterior antes de su próxima reunión de evaluación. El análisis tarda treinta segundos y revela la configuración de los encabezados HTTP, en concreto qué encabezados que identifican el servidor y el framework están presentes en la respuesta. Esa información le indica de inmediato si el proveedor ha abordado la divulgación de metadatos HTTP o si su API externa y su aplicación web están difundiendo su pila tecnológica a cualquiera que ejecute el mismo análisis. Luego, pregunte si la gestión de los metadatos de los documentos y el nivel de detalle de los mensajes de error están en el alcance de sus pruebas de penetración. Tres preguntas, un análisis gratuito y una señal significativa inmediata.

Ejecutar SecurityHeaders.com sobre las URL externas principales del proveedor antes de la evaluación
Preguntar si se eliminan los metadatos de los documentos antes de su distribución externa
Preguntar si los mensajes de error devuelven respuestas genéricas o detalles que exponen el sistema
Preguntar si la divulgación de metadatos está incluida en el alcance de las pruebas de penetración

Qué exigir

Pregunte directamente:

«¿Han evaluado la información que se divulga a través de los encabezados de respuesta HTTP de sus aplicaciones expuestas al exterior? En concreto, ¿los encabezados de sus servidores y aplicaciones revelan el motor de base de datos, la versión del framework o el sistema operativo del servidor a cualquier cliente HTTP?»

«¿Los mensajes de error de sus aplicaciones devuelven a los usuarios respuestas de error genéricas o incluyen la estructura de la base de datos, detalles de las consultas o seguimientos de pila que exponen el funcionamiento interno del sistema?»

«¿Eliminan los metadatos (autor, organización, clasificación interna e historial de versiones) de los documentos que distribuyen a los clientes? ¿La gestión de los metadatos de los documentos forma parte de su programa de seguridad de la información?»

Evidencia que debe esperar

Revisión de la configuración de los encabezados HTTP: encabezados que identifican el servidor suprimidos
Configuración del manejo de errores: mensajes de error genéricos sin detalles del sistema
Proceso de gestión de los metadatos de los documentos: eliminación antes de la distribución externa
Inclusión de la divulgación de metadatos en el alcance de las pruebas de penetración

Ejecute SecurityHeaders.com sobre la URL principal del proveedor al mismo tiempo que plantea estas preguntas. El resultado del análisis aporta una evidencia independiente de la configuración de los encabezados HTTP que ninguna respuesta a un cuestionario puede sustituir. Un proveedor cuyos encabezados revelan la versión del servidor y el framework en el resultado del análisis ha respondido a la primera pregunta con una evidencia más fiable que cualquier autodeclaración.

Cómo demostrarlo

La exposición de metadatos se aborda en la Guía de pruebas de OWASP en lo relativo a la divulgación de información, en CWE-200 (exposición de información sensible a un actor no autorizado) y en las orientaciones generales de configuración segura de NIST SP 800-53. Demostrar la debida diligencia requiere evidencias de que la divulgación de metadatos se evaluó como una dimensión de seguridad diferenciada.

Resultados del análisis de SecurityHeaders.com de las aplicaciones del proveedor expuestas al exterior
Evidencia de la configuración de los encabezados HTTP: encabezados que identifican el servidor suprimidos
Evaluación del manejo de errores que confirma respuestas de error genéricas
Evidencia de la gestión de los metadatos de los documentos
Confirmación del alcance de las pruebas de penetración, incluida la evaluación de la divulgación de metadatos

Conclusión clave

Los datos estaban protegidos. Los metadatos contaron la historia que el cifrado estaba diseñado para impedir. La versión del servidor, desde el encabezado HTTP. El framework, desde el mensaje de error. El esquema de la base de datos, desde la estructura de la respuesta API. La clasificación interna, desde la propiedad del documento. Nada de eso eran los datos protegidos. Todo ello fue el reconocimiento que hizo mucho más eficiente atacar los datos protegidos. La gobernanza de los metadatos es la disciplina que cierra la brecha entre proteger la información y proteger el contexto de la información. Los controles de los datos principales cubren los datos. Los controles de los metadatos cubren todo lo que los rodea. Evaluar solo los controles principales deja sin gobernar el contexto que los rodea, y el contexto es lo primero que leen los atacantes.