Quizá a raíz de algunos bugs descubiertos publicados recientemente, ANCEL ha mejorando su sistema de envío de SMS desde la web, incorporando el uso de captchas para proteger los ataques de fuerza bruta.
Si bien el sistema nuevo es más seguro, me gustaría reflexionar sobre un par de inconvenientes que presenta esta alternativa.
Para empezar, el viejo sistema tenía dos agujeros de seguridad:
- los PINes son numéricos y de 4 dígitos, lo cual hacía extremadamente sencillo descubrir un PIN por fuerza bruta. Bastaba con correr un script que pruebe con todos los números del 0000 al 9999, hasta encontrar el correcto. Y, con las conexiones de banda ancha disponibles hoy en día, esto puede llevar tan solo un par de horas.
- como ANCEL le cobra al receptor del mensaje (cuando le envían un mensaje desde la web) esto permitía que un usuario mal intencionado (que conociera el PIN de la víctima o hubiera perdido dos horas en adivinarlo, ver paso anterior) puediera inundar de mensajes a la víctima (también con un script) generándole molestias y un gasto considerable
Hace un par de años hice una programita en perl (similar al smsuy de gonz) con interfaz php que colgué en mi página personal para que cualquiera me pueda enviar un SMS sin tener que conocer el bendito PIN. Luego ese programa se extendió a Movistar y creció en prestaciones. Actualmente se utiliza para ubicar gente, pues permite enviar rápidamente un mensaje por SMS, email y chat (simultáneamente).
También lo usamos en el departamento informático para enviarnos SMS cuando ocurre algún problema grave con los servidores.
Pero todas estas prestaciones (que son muy útiles) quedan imposibilitadas con la incorporación de las captchas. Espero entonces que ANCEL se dé cuenta de esto y saque algún servicio para empresas que (a través de un webservice o similar) permita mantener esta funcionalidad. Una tarifa razonble y sencilla de implementar sería cobrarle a la empresa por cada SMS envíado por el webservice, en lugar de cobrárselo al destinatario.
Y al fin y al cabo, ¿no era más fácil usar PINes más largos (y alfanuméricos) en lugar de incorporar las nefastas captchas?. La respuesta es que sí, pero no hay que olvidarnos que los principales usuarios son de carne y hueso (y, por suerte, no ciegos) y para ellos es mucho más fácil tipear un numerito que recordar un PIN.
Actualización (16 Mar 2006): Gonzalo Saavedra (gonz) publicó en su blog un nuevo agujero de seguridad que encontró en el nuevo sistema de captchas.