La seguridad es un tema sumamente espinoso: a medida que la tecnología abre nuevos escenarios, es habitual que su uso genere nuevas posibilidades no solo a aquellos que pretenden utilizarlos de manera lícita, sino también a aquellos que buscan explotarlos de forma ilícita.
Esto, sin duda, da origen a situaciones de índole muy contradictoria: por un lado, los usos ilícitos se comportan, en muchos sentidos, como los emprendedores: buscan nuevas áreas que colonizar y gracias a las cuales ser capaces de generar recursos. Por otro, a medida que esas áreas son explotadas, se buscan formas de evitar esos usos ilícitos, y en ese proceso continuo se genera un indudable progreso tecnológico. La ética hacker, aquellos que buscan y evidencian fallos de seguridad para notificarlos o hacerlos públicos tras haber dado un periodo prudencial para su resolución, contribuye notablemente al desarrollo de la ciencia: castigar a quien consigue vulnerar un sistema de seguridad o un cifrado supone un absurdo conceptual en sí mismo, porque gracias a su hazaña, se obtiene una mejora objetiva del sistema.
En este sentido, me gusta plantear el contrasentido que supone la mentalidad retrógrada de quienes achacan sus problemas de seguridad al desarrollo tecnológico. Cada tecnología tiene sus problemas de seguridad, y estos, en muchos casos, son obviados de manera patente. Acabo de cambiar la cerradura de mi casa, y lo primero que me ha comentado el cerrajero es que dentro de lo razonable, podía invertir lo que me diese la gana en un sistema sofisticado, que me garantizaba que se podía abrir sin necesidad de llamar demasiado la atención.
La mentalidad, en la mayoría de los casos, sugiere aquello de ponerse las zapatillas de correr cuando tú y tu amigo sois perseguidos por un león: no, no vas a conseguir correr más que un león… pero sí es posible que gracias a las zapatillas, consigas correr más que tu amigo. Si mi casa tiene sistemas de seguridad razonablemente superiores a los de mi vecino, es posible que el ladrón se incline por robar en su casa y no en la mía (principio insolidario donde los haya, y que llevaría además a una muy insana competencia) salvo que el ladrón sospeche que mi inversión en seguridad adicional está motivada por la posesión de bienes especialmente valiosos.
En el mundo físico, las observación pragmática de las paradojas de la seguridad no dejan de sorprenderme: hace unos días, tuve que recorrer varias decenas de kilómetros y perder un par de horas de trabajo para ir a firmar un documento a un sitio. ¿Firmar un documento? ¿Que seguridad real puede proporcionar el uso de una firma, perfectamente copiable por cualquiera con un mínimo de dedicación y destreza, como sistema de autenticación de un documento?
Un artículo en Wired, «The app I used to break into my neighbor’s home«, habla de toda una nueva generación de aplicaciones, como KeyMe, KeysDuplicated o Keysave, que permiten tomar fotografías de una llave, supuestamente en determinadas condiciones, archivarlas en la base de datos de la aplicación, y solicitar copias cuando sea necesario, en algunos casos con la conveniencia añadida de puntos de venta automatizados en determinados sitios en los que hacer la copia. Usando una de esas apps, el redactor del artículo consiguió, después de tener acceso durante unos instantes a las llaves de su vecino, entrar en su casa un tiempo después – en este caso, avisándole previamente de sus intenciones.
Las llaves, como tal, son un sistema de seguridad profundamente trasnochado. Cada vez que usamos un servicio de aparcacoches en cualquier restaurante, renunciamos completamente a la seguridad, sin más recurso que la confianza en la persona a la que confiamos tanto la llave de nuestro automóvil, como el acceso a la documentación que todos guardamos en el interior del vehículo y en la que se puede ver fácilmente la dirección de nuestra casa o incluso acceder a la tarjeta con la que se pueden solicitar duplicados de la llave.
En la red, por ser un entorno más reciente en el que los protocolos de seguridad no se encuentran siquiera completamente definidos, la sensación de inseguridad es mayor. ¿Pero es realmente así, o se trata simplemente de una percepción? En el fondo, una de las características de la red es que todo lo que hacemos queda recogido en algún fichero log, lo que posibilita que, en muchos casos, la trazabilidad sea mayor que en el mundo físico. Por supuesto, hay otros factores: el acceso prácticamente universal desde cualquier sitio añade dificultades de cara a la eventual persecución del delito, como lo hace también el hecho de que exista todo un mercado descentralizado y fácilmente accesible para la información robada. Por otro lado, la rápida evolución de la tecnología permite la aparición de nuevos recursos y, con ellos, también de nuevas vulnerabilidades.
Uniendo todos los factores, mi impresión es que mientras en el mundo físico hemos pasado a asumir ciertos riesgos con casi total naturalidad, en la red no lo hemos hecho aún. Lo que en el mundo físico está protocolizado por los agentes de la ley y las compañías de seguros, en la red se encuentra aún bastante menos consolidado. Por supuesto, se trata de un problema sin solución: del mismo modo que en el mundo físico no existe ni existirá nunca un sistema completamente inviolable, en la red tampoco, y se trata simplemente de intentar minimizar los riesgos razonables. Una llave o una firma en un papel no otorgan seguridad, como tampoco lo hace una contraseña, o incluso un sistema biométrico si conseguimos acceder a la información que transmite (con el problema extra de que no podemos cambiarlo tras su intercepción). La semana pasada pregunté en clase el nivel de seguridad que mis alumnos aplicaban a sus contraseñas, y a pesar de tener frente a mí una muestra sesgada de alumnos claramente más evolucionados desde el punto de vista tecnológico que la media de la población, únicamente cuatro de ellos utilizaban algún tipo de password manager, como LastPass y similares, y varios de ellos confesaron emplear «la misma contraseña para todo», aunque esta pudiese haber sido afectada por problemas de seguridad en sitios en los que la habían usado previamente.
La seguridad, por tanto, no es un problema tecnológico, sino de la condición humana, y cada escenario tecnológico tiene sus amenazas derivadas de ello. Que leamos más frecuentemente sobre problemas de seguridad en la red más que sobre esos mismos problemas en el mundo físico deriva, simplemente, de lo que es todavía noticia frente a lo que no lo es ya por mera reiteración.
(This article is also available in English in my Medium page, “Some thoughts on security«)
La mayoría de los sistemas y aplicaciones que intentan el «hogar inteligente» son fácilmente hackeables. Hay un peligro en esto que no sé hasta dónde vamos a llegar… Claro que no se puede asegurar un sistema al 100%, lo dicen los expertos, pero quizá se habla mucho de la «última tecnología» y aún no se han centrado en mejorar su seguridad.
Que la seguridad de un sistema te la da el eslabón más débil y éste suele ser la persona no lo voy a discutir. Pero nadie se va de casa sin cerrar la puerta y, aún más divertido, nadie aparca el coche sin cerrarlo con llave. Aunque no sirva en absoluto para impedir el robo, hacen que para conseguirlo sea necesario montar cierto «barullo» que hace que no pase desapercibido y cualquiera pueda avisar a la policía: un vecino, en el caso de la puerta de tu casa, o un viandante en el caso de tu coche. Se trata de un mínimo de seguridad con un componente «distribuido» del que mi impresión es que no disponemos en la red.
Lo que me escandaliza de la tecnología es que parece que primero se pone en marcha y luego nos llevamos las manos a la cabeza. Primero nos parece una gran idea conectar las centrales nucleares y luego aparece stuxnet.
¿de verdad no era previsible?
#001 albero
A un tatarabuelo mio del que solo se que se apellidaba Bayón y era muy rico, las tropas de Napoleón, en retirada a Francia, el robaron en su casa de Rueda toda su plata, a otra de mis tatarabuelas la robaron en Sierra Morena. cuando volvía a Valladolid desde Sevilla donde había ido a recoger la herencia de un pariente en Cuba. A mi abuelo, que era notario en Madrid, le robaron bienes suyos y de sus clientes que tenía depositados en una caja fuerte del Banco de España, a mis padres todos lo regalos de boda se quedaron en Madrid, mientras ello se fueron de viaje de novios al extranjero, estando fuera estallo la Guerra Civil, cuando volvieron a Madrid después de tres años, no quedaba un solo regalo de boda. A mi me han reventado una puerta en Madrid, no me robaron, porque dio la casualidad que la casa la acababa de comprar y aun estaba vacía, cambiar la puerta rota por una blindada me costo en su momento 100.000 pts. En todos los casos aun no se había inventado Internet
¿Me vas a decir a mi, que el tener la casa hiperconectada aumenta el riesgo de que me roben?
La gestión de claves no es un asunto trivial. Tener un repositorio de claves en tu PC guardado con una clave larga puede que te exponga a una perdida generalizada de información por un accidente en tu disco duro y si tienes copias de seguridad de tu disco duro, o tienes una copia en papel con el listado de todas tus claves el problema de la seguridad lo trasladas a otro lugar sin resolverlo.
En mi humilde opinión lo mejor es leerse un buen libro sobre el tema. se trata de un tema suficientemente entretenido como para pasar un buen rato. Es importante que el libro además de ameno sea escrito por un hacker y que en él se comenten los diferentes tipos de ataques que existen. Después de eso se puede optar por un sistema que parezca razonablemente práctico y seguro.
Una buena herramienta, solo es útil si además se tienen nociones de seguridad.
Enrique, yo guardo mis claves en mi ordenador en una carpeta que se llama claves.
En ella genero un fichero plano txt y lo encripo y desencripto con openssl.
cat texto.txt | gzip | openssl des3 -salt -k tuclave > texto.txt.des3
cat texto.txt.des3 | openssl des3 -d -k tuclave | gunzip > texto.txt.bak
Para borrar el fichero desencriptado uso: srm
Todo esto lo uso desde un pequeño script en bash que no contiene la clave. Esa clave la memorizo.
Para el resto de mis claves uso combinaciones de sílabas pronunciables con algunos dígitos, algunas mayúscula y algún carácter especial.
Ejemplos: tripa;flusca73 garo55+tu@xa
Fácil de inventar, fácil de recordar, y no demasiado trivial para adivinar ni localizar con fuerza bruta y diccionarios.
Enrique, has mencionado el uso de herramientas y yo me pregunto cuanta gente confía la totalidad de sus claves a una herramienta sin estudiar su código.
No hablo solo de estar expuesto a la mala fe de su creador, sino a un posible fallo cometido por ese programador.
Lo confieso, yo no he verificado el código de openssl para ver si contiene una cagada que nadie hasta ahora hubiera detectado, y si lo hiciera dudo que fuera capaz de detectar un fallo tan sutil como para sobrevivir a un uso muy generalizado.
Todos negociamos con el nivel de seguridad que aceptamos pero es mejor hacerlo con conocimiento. No existe nada que sustituya a una buena combinación de conocimiento, prudencia y sentido común.
La seguridad es sobre todo disuasoria, unas ciertas medidas de seguridad, llevan al asaltante a buscar un objetivo menos arriesgado. Pero no es de gran eficacia ante un asaltante decidido a romperla a cualquier precio. Quien tiene que cuidar de la seguridad, tiene la mente dispersa y relajada, el vigilante de seguridad se distrae, o a las once hace una pausa para comerse el bocadillo, o lo que sea. Las claves las das un día porque te vas de vacaciones, o pones la misma clave, desde el móvil a la caja fuerte, o unas el nombre de tu perro, o las tiene escritas en el movil, etc, etc, En cambio, quien quiere saltarla, está absolutamente centrado en el asunto y con toda intensidad, a la larga encontrará un punto débil.
Recuerdese que a los Blindados Candi y a las Koplovich, les robaron los propios vigilantes de seguridad, sobre el papel que mayor seguridad que eso. De todas las cárceles ha habido fugas.
Hablaré en principio de seguridad física que es la que mejor conozco
1. No existe la seguridad absoluta.
2. Como casi todo en la vida es un tema de probabilidades. Cuanto mas difícil y mas precauciones tomemos bajaremos la probabilidad de que nos roben.
3. A no ser que seas alguien especial (mucho dinero, obras de arte) el tipo de ladrón que va a por ti no es tan sofisticado, así que tranquilo.
4. Pisos: Sin duda un tema importantísimo son las puertas acorazadas. Las puertas blindadas no sirven para nada. Las acorazadas significa que el marco y a ser posible el muro también están reforzados. Si alguien quiere que le informe de cuales que me mande un privado. (Yo no las vendo!!!!).
5. Alarmas. Disminuyen la probabilidad de robo sin duda. Algunos consejos: Si los detectores de la alarma no van cableados, con un inhibidor de señal la podrían bloquear. Desde hace tiempo se ponen sistemas sin cables porque son mas baratos y rápidos de instalar. Las alarmas mejores tienen parte del sistema cableado. Si tienes un chalet el poner cámaras (que es distinto de detectores que tiran fotos) es recomendable. En un chalet depende del dinero que dispongas y hay infinidad de sistemas. Recomiendo pedir varios presupuestos y hay muchas y buenas compañías ademas de las dos grandes que todo el mundo conoce.
6. El seguro de las cosas es siempre una muy buena opción, aunque el tema del robo, lo peor es la violación de tus cosas.
7. Cajas de seguridad en las casas. Aquí es una visión muy parcial. Yo si que la pondría pero como «señuelo». Es decir dejaría dentro un par de relojes falsos y joyas falsas. La van a abrir seguro o arrancarla y perderán un tiempo valioso. Si las joyas quieres esconderlas, asegúrate de un sitio realmente distinto del tipo «en el bote de las judías». Utiliza la imaginación de verdad.
Y como dice Enrique siempre van a los sitios mas fáciles, por tanto cuanto mas tengas mas bajas la probabilidad.
#006 Me temo que el punto 3 se falso e induzca a un exceso de confianza.
Para un hacker un ordenador desprotegido representa un recurso valioso para hacer lo que no haría jamás desde su propio ordenador.
Hay muchos ejemplos pero hoy he visto uno impresionante.
Espiando tu iPhone… ¡gracias a Apple!
http://www.internautas.org/html/8427.html
Comprar un equipo con una puerta trasera instalada es suficiéntemente grave como para ponerse en lo peor. Las sospechas de pactos de los fabricantes con la NSA son algo cada vez más preocupante. Los derechos también son un bien que puede robarse y la NSA es posiblemente la entidad más lesiva que existe. La NSA tiene un ejército de hackers bien pagados y sus objetivos me temo que son inconfesables.
Un artículo interesante que acabo de leer sobre Allan Turing, el «padre» de hackeo. Nada ha cambiado en 70 años. Y con la cerrajería peor; permanece prácticamente igual desde hace siglos.
http://www.elmundo.es/ciencia/2014/07/28/53d4f9f4ca474132518b456c.html
#006
Llevo 9 años en el sector seguridad trabajando para la mayor empresa de fabricación de productos de seguridad del mundo, aunque no soy un experto, algo he aprendido estos años…
Mi intención no es crear relajación con mi punto 3, lo que quiero decir es que el tipo de ladrón muy sofisticado que se salta casi cualquier sistema de seguridad física de una casa, no es el tipo de ladrón que irá a la tuya a no ser que seas alguien con mucho dinero o con obras de arte, o que tu casa se encuentre en una de las zonas mas caras de la ciudad y por tanto tu chalet sea sospechoso de tener grandes cosas dentro.
Cuando me preguntan, siempre digo que la seguridad es un mundo y hay muchos niveles de seguridad, (te puedes gastar una fortuna en proteger una casa), por lo tanto dependiendo que tipo de casas quieras proteger habrá que elegir algo adecuado. En ningún caso digo que no haya que protegerla o que los ladrones sean tontos.
Por resumir diría que en un piso siempre una puerta acorazada grado V al menos y un sistema cableado. En un chalet la puerta da igual (a no ser que pongas ventanas con cristal anti balas y puertas acorazadas todas) y el sistema también cableado y yo si pondría cámaras de seguridad, (no detectores que toman fotos). A mi además me gustan los sistemas que echan humo e imposibilitan ver cuando salta la alarma.
Como resumen dime que quieres proteger y donde esta tu casa y te dirán lo mas adecuado.
Espero que ahora quede mas claro.
Yo hace tiempo que dejé de memorizar contraseñas, simplemente las genero aplicando una fórmula que no varía, obteniendo una contraseña específica en cada caso, sin necesidad de almacenarlas en ningún sitio.
Por ejemplo, coger las dos primeras consonantes del dominio en minúsculas, el año de nacimiento invirtiendo los dígitos, las dos últimas vocales en mayúsculas, un guión, y las tres letras de la matrícula del coche en minúsculas.
Suponiendo que hemos nacido en el 1980 y nuestro coche es HGD, aplicado aquí nos daría una contraseña del estilo de «nr0891EA-hgd», que no creo que sea muy fácil de adivinar. Lo único que hay que conocer es la fórmula.
Obviamente, cada vez que cambiemos de coche, toca regenerar :P
#009 continuas con la analogía del ladrón de casas. Yo considero que esa analogía no es válida. En una casa no sabes lo que puede contener hasta que estás dentro.
En el caso de un ordenador, puedes saber que S.O. su dirección IP y que puertos son accesibles. Para lanzar un ataque desde ese ordenador podría no hacer falta saber nada más.
Por el contrario atacar a una casa que no sabes lo que contiene si te haría considerar la relación entre riesgos y beneficios.
Una chabola estaría bien protegida con una puerta de cartón, pero incluso un ordenador pequeño puede ser objeto de un ataque.
La violación masiva de la seguridad de muchos equipos mediante estrategias que no discriminan a nadie es una práctica generalizada de hackeo.
Cuando hablamos de hackers no solo hablamos de personas aisladas aficionadas a ese noble deporte del hackeo.
Organizaciones como la NSA, Anonymous, grandes empresas, gobiernos como el chino, etc… Todos ellos hackean objetivos concretos como personas importantes y sistemas políticos, pero también hackean a simples máquinas domésticas para hacerse con sus recursos y así sumar un granito de arena a su próximo gran ataque.
#011 Disculpe pero lo que comenta no es cierto. La célebre NSA sabe perfectamente cuáles son sus objetivos preferentes y lo sabe a través del rastro que todos vamos dejando por internet:
http://www.washingtonpost.com/blogs/the-switch/wp/2013/12/10/nsa-uses-google-cookies-to-pinpoint-targets-for-hacking/
O los que confiadamente usan Tor creyendo en la inviolavilidad de sus cifrados:
http://www.genbeta.com/seguridad/la-nsa-estuvo-espiando-un-nodo-principal-de-tor
Ya ve, los hackers eligen a sus víctimas con premeditación y alevosía, nada de «estrategias que no discriminan a nadie», eso de tirar el anzuelo a boleo para ver qué pica ya pasó a la historia.
Pero realmente alguien en su sano juicio y con un mínimo de sentido común pondría todas sus claves en manos de un password manager (sea software u online)? Por favor, dígame qué proveedor de este tipo de servicio tendría la fiabilidad necesaria como para animarnos a poner en sus manos los passwords de bancos, administradores de correos, redes sociales, etc? Qué tranquilidad me proporciona dejar todas mis claves al acceso de un tercero? Si yo fuera un lammer o un phiser un password manager fraudulento sería mi herramienta perfecta.
#11
No es una analogía, solo hablo de seguridad física de casas que es la que si entiendo. El resto no opino porque no se.
Estimado Enrique,
La paradoja de la seguridad es que una empresa busca la satisfacción de su cliente, y los clientes buscan «sentirse» seguros, a.k.a. CONFIAR, de una manera similar a como los católicos aceptan los misterios de la Fe.
No se trata de tener razón sino del poder de convencer y conseguir ACEPTACIÓN.
Los hackers, por mucha ética que tengan, son un grano en el culo de quienes lejos de vender tecnología, venden confianza.
El día que los clientes compren tecnología en vez de confianza, será el día que la Iglesias queden vacía (al igual que las clínicas de homeopatía, los crece-pelos, las dietas milagro, las pulseras imantadas…)
#11 te cito Antonio «Organizaciones como la NSA, Anonymous, grandes empresas, gobiernos como el chino, etc…»
¿Anonymous?
¿No serás tu el que detuvo a su «cúpula»?
Antonio te has colado cuatro pueblos. Parece que sabes mucho de hackear, pero visto que pones a Anonymous entre la NSA y las grandes empresas y el gobierno Chino, me da que lo tuyo es todo de oídas.
Anonymous es como el yoyo o el 15M, un fenómeno social, una moda que dura hasta que llega otra. Ahora es el momento de Podemos, y no me sorprendería que Podemos termine desapareciendo y dando pie a otros «fenómenos sociales».
La sociedad internauta es camaleonica y somos legión. No le tengas miedo a una careta que se compra en el chino por lo mismo que un Yo-Yo.