Canal Encubierto Temporal

Un canal encubierto temporal es una subclase de canal encubierto en la que la información viaja no en valores almacenados, sino en el tiempo de los eventos. Dos procesos, un emisor y un receptor, comparten un recurso cuyo uso es observable: una conexión de red, un disco o un procesador. El emisor codifica el mensaje modulando cuándo ocurren los eventos o cuánto duran. El receptor observa el flujo de eventos, mide los intervalos y decodifica el mensaje. Ningún byte se escribe donde otro proceso pueda leerlo. La señal existe solo en el patrón de los tiempos.

El concepto sigue la historia general de los canales encubiertos. La investigación sobre el problema del confinamiento, a comienzos de los años setenta, demostró que un proceso puede filtrar información aunque tenga prohibida formalmente la comunicación. Criterios posteriores para sistemas de confianza, como el TCSEC estadounidense, convirtieron el análisis de canales encubiertos, incluidos los temporales, en una parte obligatoria de la evaluación de sistemas de alta garantía. Las evaluaciones formales suelen exigir identificar estos canales, estimar su ancho de banda y reducir su capacidad donde importa, no eliminarlos por completo.

Dos propiedades distinguen a esta clase. Primero, ambas partes suelen tener acceso legítimo al recurso compartido, así que el control de acceso habitual no puede cerrar el canal: el recurso sigue cumpliendo su función mientras transporta la señal oculta. Segundo, el ruido degrada la señal. Cualquier retraso aleatorio entre emisor y receptor, como el jitter de red, las interrupciones de planificación o la carga concurrente, puede corromper un bit. Por eso los canales temporales son mucho más lentos que los de almacenamiento, y los emisores sacrifican velocidad por redundancia.

Emisor y receptor acuerdan de antemano un esquema de codificación y luego usan un flujo compartido de eventos como portador. Las codificaciones más habituales:

Cualquier flujo de eventos observable que dos partes puedan influir y medir puede convertirse en un canal temporal. Las familias más conocidas:

• Tráfico de red: retardos modulados entre paquetes TCP/IP, ritmo de consultas DNS o ráfagas de ping. El cifrado no oculta ese ritmo, porque los datos ocultos están en el tiempo y no en el contenido.
• Dispositivos de almacenamiento: un proceso mantiene el cabezal sobre una pista y otro mide la latencia de búsqueda. Es el ejemplo clásico de la literatura de investigación.
• Procesador y memoria: procesos que comparten recursos se ralentizan entre sí de forma medible. Sobre esto se apoyan varios ataques microarquitectónicos modernos.
• Flujos interactivos: intervalos entre pulsaciones, eventos de ratón o tiempos de la cola de impresión. Cualquier flujo con marcas de tiempo que un tercero también pueda observar puede modularse.

Un canal encubierto de almacenamiento deja pruebas que un inspector puede revisar: un campo de cabecera con un valor extraño, un paquete de longitud inusual o un atributo de archivo que cambia. Un canal temporal no deja ningún valor. La señal existe solo en las diferencias entre tiempos de eventos, y la inspección de contenido no las ve, porque el contenido es perfectamente normal.

Los sistemas normales ya presentan mucha variación temporal: jitter de red, congestión, pausas humanas. Un canal temporal se oculta en ese ruido, así que la detección debe ser estadística. Hay que establecer una línea base de la distribución de los intervalos entre eventos y marcar regularidades sospechosas o patrones improbables. Demostrar que un canal temporal no existe es prácticamente imposible. El objetivo realista es mantener su ancho de banda muy bajo y sus patrones lo bastante visibles como para que no sean útiles.

El ancho de banda frente al sigilo es el compromiso clave. Un canal que envía bits rápido produce un ritmo antinatural que destaca frente al comportamiento humano y de las aplicaciones. Un emisor paciente, limitado a unos pocos bits por minuto, se mezcla con la variación de fondo, pero necesita días para mover un archivo significativo. Los defensores usan el mismo compromiso: los límites de velocidad y el ruido añadido obligan al emisor a un régimen lento, mientras las líneas base y la detección de anomalías encarecen el rápido.

Como el portador es actividad legítima, las contramedidas combinan la observación estadística con medidas que degradan el propio canal:

• Análisis estadístico de tráfico: detecta regularidad tipo metrónomo que no producen los usuarios reales.
• Detección de anomalías conductuales: los perfiles por usuario captan desviaciones sostenidas de transferencias lentas.
• Limitación de velocidad: restringe la frecuencia de eventos y hace lentas las transferencias grandes.
• Controles de ruido y planificación: la planificación aleatoria dificulta al receptor leer la señal del emisor.
• Reducción de rutas compartidas: las listas de permitidos y el filtrado de salida eliminan los recursos que necesita el canal.

Las reglas estadísticas de la funcionalidad de detección de amenazas internas trabajan sobre el mismo tipo de eventos registrados. La consola del administrador puede agrupar los paquetes de red enviados en intervalos de un segundo a diez minutos, de modo que una ráfaga corta destaca frente a una línea base tranquila.

Empiece por los canales que podrían transportar un ritmo oculto: flujos de red, de almacenamiento e interactivos. Las líneas base necesitan un periodo de actividad normal para aprender, así que conviene configurarlas antes de un incidente y no después.

Un canal temporal suele usarlo alguien que ya está dentro: una amenaza interna con acceso legítimo. Por eso el monitoreo debe cubrir los canales que las personas realmente usan.

Lectura recomendada: Fuga técnica de información: ¿qué es y cómo protegerse?.