es

ADOBE CONNECT – PRÓXIMOS PASOS

20 de abril de 2018

Ashwin RanganAshwin Rangan, SVP, Engineering and Chief Information Officer (CIO)

Como ustedes saben la organización de la ICANN desactivó su servicio Adobe Connect en medio de la reunión ICANN61 en respuesta a problemas informados con este servicio. En forma simultánea, comenzamos a llevar a cabo nuestro análisis forense del incidente informado y comenzamos a trabajar con nuestro proveedor de servicios en la nube de Adobe, CoSo Cloud LLC, y a través de él con Adobe para obtener más información al respecto. Poco después, implementamos instancias de Zoom y WebEx para que la comunidad mantenga la colaboración y la participación remota (RP). Aquí nos encontramos ahora:

La investigación forense

Con respecto a nuestro trabajo forense, recibimos archivos de registro de la aplicación de CoSo Cloud, remontándonos a un período de un año. Los equipos de Seguridad e Ingeniería de la ICANN han examinado estos archivos de registro de la aplicación y los resultados de nuestra investigación muestran claramente "huellas de incursión" por el investigador que informó el problema. No pudimos encontrar ningún otra indicación de que alguien más identificara o aprovechara este problema. Gracias a la persona que encontró el problema nuevamente.

Trabajando estrechamente con CoSo Cloud, pudimos recrear el problema informado y entendemos las condiciones que se requieren para provocarlo. Esta información ha sido comunicada a Adobe y Adobe está trabajando para encontrar una corrección de software para abordar la causa raíz del problema.

Asimismo, hemos estado trabajando con CoSo en opciones para volver a activar Adobe Connect a la brevedad posible. Hemos identificado que hay dos vías viables para lograr este objetivo. Ellas son:

  1. Implementar una configuración protegida para eliminar explotaciones de "ataque del intermediario" al cifrar el tráfico relevante, o
  2. Implementar una corrección programática de CoSo Cloud para reducir considerablemente la ventana durante la cual el problema pueda ser explotado.

Con respecto a la primera opción, intentamos piratear la configuración protegida en un entorno de prueba la semana pasada y no pudimos hacerlo en un transcurso de 7 horas. Independientemente, CoSo Cloud y Adobe realizaron pruebas similares y confirmaron que esta configuración está protegida de la explotación del problema.

Comentarios de la comunidad y próximos pasos

Durante las últimas tres semanas, hemos estado recopilando comentarios limitados respecto de las experiencias de los usuarios con WebEx y Zoom. Hasta el momento, tenemos aportes de alrededor 200 personas, incluidos organizadores de reuniones de la organización de la ICANN y la comunidad de la ICANN. Nuestro análisis de estos comentarios indica un deseo de volver a Adobe Connect, siempre que se garantice la seguridad del servicio.

Consecuentemente, nos gustaría proponer el siguiente plan a la comunidad en general para su consideración:

  1. Nos gustaría restaurar los servicios Adobe Connect con la nueva configuración protegida y la corrección programática mencionadas anteriormente. Nuestro intento sería restaurar el servicio para el 3 de mayo. Esto nos permitiría usar Adobe Connect durante varios eventos próximos incluyendo el Taller de la Junta Directiva, la Cumbre de la Industria de la GDD y la reunión ICANN62.
  2. Una vez que Adobe publique una versión nueva del software con una corrección para este problema desde su perspectiva, y proporcione garantías de que la actualización haya sido probada correctamente, pasaremos a esa versión de Adobe Connect de manera prudente, con la ayuda de CoSo Cloud.

Creemos que este enfoque garantizará la seguridad de nuestro contenido, y de las interacciones de nuestra comunidad, a la vez que también permitirá que nuestra comunidad use las herramientas de colaboración de su preferencia.

Antes de realizar estos cambios, deseamos saber sus opiniones. ¿Qué piensan ustedes? Los invitamos a enviar sus opiniones sobre este cambio contemplado antes del 2 de mayo aquí: RP-tool@icann.org

Mientras tanto, seguiremos ofreciendo WebEx y Zoom con fines de RP y colaboración. Asimismo, continuaremos siguiendo los avances de la industria, incluida la investigación que está llevando a cabo el ALAC sobre el espacio de RP y colaboración, a fin de asegurarnos de que estemos usando herramientas seguras y rentables que sean apropiadas para nuestras necesidades.

¡Espero con ansias sus comentarios!

Ashwin Rangan
Ashwin Rangan
SVP, Engineering and Chief Information Officer (CIO)

Ashwin Rangan

Read biographyRead biography