Security Art Work

Cerramos con este post, segundo y último, el primer acercamiento al DNI-e, ahora ya hablando no de generalidades sino de la seguridad que posee y de las posibilidades que ofrece al ciudadano o la administración; para empezar, teniendo en cuenta los objetivos principales del documento (acreditar la identidad de su titular electrónicamente y posibilitar la firma electrónica), la información electrónica que almacena el chip del DNI es la siguiente:

1. Certificado electrónico de componente, que no contiene ninguna información del titular del DNIe.
2. Certificado electrónico de identificación / autenticación que permite que el titular del DNIe pueda acreditar su identidad electrónicamente.
3. Certificado electrónico reconocido para firma electrónica, que permite al titular realizar la firma electrónica de documentos.
4. Datos del titular que aparecen en la superficie de la tarjeta.
5. Huella dactilar digitalizada, una fotografía también digitalizada y el IDESP.

[Read more…]

En anteriores entradas sobre honeynets ya tratamos los diferentes tipos de honeypots y sobre las arquitecturas posibles en una red trampa. En este artículo vamos a identificar otros componentes esenciales para completar una honeynet: las herramientas de control, captura, monitorización y análisis de datos.

Como se indicó en el primer artículo, uno de los objetivos buscados a la hora de implantar una honeynet es el de analizar los vectores de ataque de la que ésta es víctima. Para alcanzar este propósito, hemos de tener en cuenta el resto de las tareas a gestionar de una honeynet y las herramientas o aplicaciones que ayudan a acometerlas.

• Control de Datos: Siempre cabe la posibilidad de que nuestra red trampa sea vulnerada por un atacante o incluso que sea utilizada para realizar desde ella otros ataques a mayor escala. Para mitigar en lo posible este riesgo, es necesario llevar a cabo un correcto control sobre los datos de entrada y salida de la honeynet. Veamos algunos mecanismos:
  • Firewall: Una de las herramientas fundamentales para realizar un correcto control de datos es un cortafuegos (p.e. IPtables). En él se deberá definir claramente el tipo y la cantidad de conexiones que se permite en nuestra red, tanto de salida como de entrada, evitando así la posibilidad de, por ejemplo, recibir o realizar ataques de fuerza bruta. También deberá estar correctamente especificado el tráfico que permitimos de una parte a otra dentro de la propia red, evitando la posibilidad de que el atacante pueda acceder a la parte de administración de la misma o incluso, si existe, a zonas de la red en producción. Todas estas restricciones deberán estar enfocadas a que el atacante disponga de un cierto grado de libertad para interactuar con nuestros honeypots, de lo contrario la honeynet no podrá cumplir con su objetivo. Finalmente, es muy recomendable realizar un control de datos por capas (p.e. cantidad de conexiones entrantes o salientes, restricción de protocolos, restricciones de ancho de banda…) en el que no exista un único punto de fallo y se pueda reaccionar a tiempo ante ataques novedosos.
  • Honeymole: Se utiliza para las granjas de honeypots. Implementa varios sensores que redirigen el tráfico a una colección centralizada de honeypots. Desarrollada y mantenida por el Chapter de Portugal de Honeynet Project.
  • Honeysnap: Herramienta usada para la extracción y análisis de datos de archivos pcap, incluidas las comunicaciones IRC. Desarrollado y mantenido por Arthur Clune del Chapter del Reino Unido.
• Captura de Datos: La captura y almacenamiento de la actividad, tanto de entrada como de salida, es una tarea fundamental en una honeynet. Un análisis de los datos, ya sea con el objetivo de la formación o aprendizaje, como si es el de analizar un posible ataque fuera de los controles habituales de la red, necesita de una buena recolección de información. Es recomendable efectuar una captura de datos a varios niveles. Podemos diferenciar entre 3 niveles diferentes y complementarios:
  • El registro del Firewall: “Logear” todo el tráfico controlado por el cortafuegos. Es el punto crítico y donde es posible obtener mayor información sobre las actividades llevadas a cabo por el atacante.
  • El tráfico de red: Captura de cada paquete, junto con su contenido (payload), que entra y sale de la red. Para esta tarea, la herramienta más indicada es un IDS (Sistema de Detección de Intrusiones), concretamente se aconseja el uso de Snort, un IDS de software libre usado masivamente por los administradores de sistemas y grupos de seguridad, y que ofrece una configuración y clasificación envidiable. Puede usarse la aplicación BASE (Basic Analysis and Security Engine) para acceder y analizar la información capturada de una forma ágil y sencilla.
  • Actividad del sistema: La captura de la actividad ocurrida en el honeypot es otra parte fundamental para la comprensión del ataque. Esta puede resultar más complicada de lo que en un principio pueda parecer ya que actualmente se utilizan conexiones cifradas. Aún así, si el honeypot lleva a cabo correctamente su cometido, la comunicación será descifrada y podrá ser analizada. Como ya comentamos en el post de la serie que trataba los diferentes honeypots, uno de los de alta interacción, Sebek, está orientado a registrar las pulsaciones de teclado del atacante directamente desde el kernel, lo que nos permite seguir de una forma muy efectiva su actividad en el honeypot.
• Monitorización de Sistemas: Para comprobar el correcto funcionamiento de nuestros sistemas en la honeynet, es muy aconsejable mantenerlos en constante monitorización. Una caída de un servidor (físico o virtual) provocada por un atacante, un aumento excesivo en el tráfico de red en una zona específica de la red, una subida de carga de CPU, memoria o una reducción del espacio de disco, son posibles síntomas de estar recibiendo un ataque efectivo sobre nuestros sistemas, por lo que estos deben estar controlados y deben ser detectados lo antes posible.
  • Nagios: Herramienta de monitorización de software libre muy popular en los entornos de administración de sistemas. Su modularidad y sencillez, a la vez que las múltiples posibilidades de monitorización que ofrece, la hacen una pieza prácticamente esencial en cualquier red. En el caso de una red trampa, más si cabe.
• Análisis de Datos: Finalmente, llegamos al objetivo por el cual se implantan y despliegan los honeypots en una red: el análisis y la interpretación de los datos y la actividad recolectados. Para ello podemos consultar todo tipo de ficheros de log creados por cada uno de los honeypots y las herramientas que se han especificado anteriormente, o tratar de centralizar los datos para un estudio mucho más cómodo y completo, pudiendo relacionar actividad y datos provenientes de diversas fuentes.
  • Prelude: Herramienta que recoge y centraliza información concreta y clasificada de los honeypots que se hayan integrado. Esta herramienta dispone de una interfaz web, Prewika, que facilita el acceso a la información recogida para posteriormente analizarla de forma rápida y sencilla. De esta forma es posible tener un centro de control del comportamiento de la honeynet donde poder analizar de una forma centralizada la información recolectada por nuestros botes de miel.
  • Capture BAT: Herramienta de análisis de comportamiento de las aplicaciones para sistemas de la familia Win32. CaptureBAT es capaz de controlar el estado del sistema durante la ejecución de aplicaciones y el procesado de documentos y que proporciona un análisis completo de cómo funciona el software, aún cuando no está disponible el código fuente. CaptureBAT monitoriza los cambios de estado del núcleo a bajo nivel y se puede utilizar con facilidad en diversas versiones y configuraciones de sistemas Win32. CaptureBAT está desarrollado y mantenido por Christian Seifert del Chapter de Nueva Zelanda de Honeynet Project.

Con esto, y a lo largo de cuatro entradas, hemos intentado analizar más o menos en profundidad los aspectos más importantes de las honeynets, serie que esperamos que les haya sido de utilidad. No obstante, si en algún punto quieren que incidamos algo más, o que expliquemos con más detalle alguna cuestión, ya saben que no tienen más que indicarlo en los comentarios.

(Entrada escrita en colaboración con Raúl Rodriguez, co-autor de la serie)

Recientemente he realizado un curso de formación online de INTECO acerca del DNI electrónico, curso que me ha animado a plantear un post sobre dicho DNI-e “para toda la familia” (esto es, sin entrar en profundidad en el detalle técnico); la información planteada aquí está obviamente extraída de este curso. Y para comenzar, vamos a recordar dos cuestiones fundamentales que se desarrollan dentro de nuestro entorno diario en cualquier parte y en cualquier lugar.

La primera cuestión es el concepto de Identidad, derecho fundamental de todos los ciudadanos y por el cual los gobiernos deben poner a nuestro alcance los medios necesarios para poder demostrar nuestra identidad tal y como declara el Art. 6 de la Declaración Universal de Derechos Humanos: “Todo ser humano tiene derecho, en todas partes, al reconocimiento de su personalidad jurídica“. La segunda de estas cuestiones hace referencia al gran avance tecnológico que hemos vivido y vivimos y por el que se han impulsado grandes cambios en diversos ámbitos como el legislativo, el social, o el económico. Gracias a las nuevas tecnologías han aparecido nuevos servicios, los usuarios cada vez más demandan un mayor acceso a la información a través de Internet, a la tramitación de cualquier tipo, mejores y más servicios tanto a nivel público como en el sector privado y así, con todo esto, surgió la necesidad de comenzar una integración completa por parte de las tecnologías de la información (TI) en todos los procesos de negocio y actividades en las organizaciones, incluida la administración pública, dando como resultado la administración electrónica (eAdministracion). Poco a poco la tramitación electrónica está tomando el relevo de la tradicional, con las ventajas que conlleva, modernizando los servicios empresariales y acercándonos cada vez más a la llamada Sociedad de la Información.

La llegada de la Ley 11/2007, de 22 de junio, de Acceso Electrónico de los Ciudadanos a los Servicios Públicos, supuso un gran impulso para el desarrollo de la eAdministracion; las administraciones comenzaron un proceso por el cual tratan de adecuar sus servicios a los requerimientos de la ley y de los usuarios. Para que la tramitación electrónica se hiciera posible, han sido necesarios nuevos desarrollos y normativas, como es el caso de la Ley 59/2003, de 19 de diciembre, de Firma Electrónica, una herramienta necesaria para la realización de cualquier trámite electrónico con las debidas garantías legales y de seguridad. Pero uno de los mayores avances, y que ha supuesto un acercamiento de las tecnologías de la información a los ciudadanos, ha sido el Documento Nacional de Identidad electrónico, que en España ya está totalmente operativo y su uso cada vez está más extendido a pesar de las largas colas que se forman para obtenerlo :D

El DNI electrónico es fundamental desde el punto de vista de la tramitación electrónica, ya que dota al ciudadano de un conjunto de herramientas y mecanismos para ayudarle a realizar de forma segura y cómoda sus trámites en la Red. Al igual que el DNI convencional, el electrónico es un documento emitido por una entidad reconocida, avalada, acreditada, certificada y apoyada por una legislación, incorporando a su vez un certificado electrónico que debe estar emitido por una entidad acreditada como emisora de certificados electrónicos o CA (Certification Authority) de identificación, de forma que podemos identificarnos tanto el mundo físico como en el electrónico. La CA es la responsable de emitir y revocar los certificados utilizados en la firma electrónica, para lo cual se emplea la criptografía de clave pública.

El DNI electrónico tiene todas las características que el DNI convencional (acredita de forma inequívoca la identidad del titular, su número figura en el 97% de las BBDD de entidades y organizaciones, es obligatorio para la expedición de otros documentos, etc.) y muchas más, puesto que tiene cabida en todo tipo de transacciones y trámites electrónicos. Por supuesto se apoya en un conjunto de leyes determinado, y la Dirección General de la Policía es la encargada de la gestión y mantenimiento de dicho documento (al igual que lo es del DNI convencional). Existe un conjunto de normativas relativas al DNI electrónico, de las que la principal es el Real Decreto 1553/2005, de 23 de diciembre, que regula el Documento Nacional de Identidad, así como sus certificados y otros aspectos.

En lo relativo al soporte físico, el DNI electrónico tiene las siguientes características:

1. Está fabricado en policarbonato, lo que le confiere una gran durabilidad y resistencia, estimada en 10 años. Como curiosidad cabe decir que el policarbonato podemos encontrarlo en lentes, se usa como materia prima para CD, DVD, cristales antibalas o escudos anti-disturbios.
2. Incorpora un chip electrónico que en su interior alberga un microprocesador, capaz de realizar operaciones y memoria, donde se almacenan los datos que contiene el DNI.
3. Dispone de todas las medidas de seguridad disponibles para este tipo de dispositivos.
4. El soporte físico incorpora un número que lo identifica de forma única, conocido como IDESP, gracias al cual cada DNI electrónico es único.

Por su parte, el chip electrónico que incorpora el DNIe presenta las siguientes características:

1. Es un chip electrónico de la familia ST19, crypto-processor de STMicroelectronics.
2. El modelo específico es el ST19WL34, incluye 34 Kbytes de EEPROM segura para almacenamiento de datos personales y 224 Kbytes de ROM de usuario para el sistema operativo y el código de programa. Los 6 Kbytes de RAM de usuario, combinados con la potencia de procesos del microcontrolador securizado de 8 bits, permiten un preprocesamiento rápido de datos y ofrece una retención de datos de al menos diez años.
3. Este chip incorpora un Procesador Aritmético Modular (MAP) de 1088 bit para criptografía de clave publica, y un motor de hardware DES.
4. Está certificado EAL4+ según el perfil de protección CEN CWA14169 por el Centro Criptológico Nacional (CNI).
5. Es un dispositivo seguro de creación de firma electrónica, de acuerdo con el artículo 24.3 de la Ley 59/2003 de Firma Electrónica.

Con esta descripción, creo que cualquiera puede hacerse una idea general (para toda la familia :) de qué es realmente su DNIe. En el próximo —y último de momento— post sobre el DNI electrónico entraremos ya en sus capacidades de seguridad, la información que contiene y el uso que se le puede dar… en breve, en este mismo blog :)

Como todos ustedes saben, día a día se suceden las alertas sobre fraude en la red, comúnmente conocido por su término inglés phishing. Para evitar que los atacantes tengan éxito es crucial, además del sentido común al navegar por la red de redes, la rápida detección de las páginas fraudulentas, para que estas puedan ser reportadas a las autoridades competentes y bloqueadas lo antes posible.

En este sentido la NFCTA (National Cyber-Forensics and Training Alliance), junto con otras organizaciones estadounidenses y empresas dedicadas al comercio electrónico como Accuity, eBay o Pay-Pal, y con el soporte tecnológico de Microsoft, han desarrollado un canal de comunicación llamado Internet Fraud Alert, con el que pretenden mitigar los efectos de las estafas bancarias y robos de identidad.

Pero, ¿en qué consiste Internet Fraud Alert?

Internet Fraud Alert es un nuevo sistema de comunicación directo y centralizado entre todas las entidades u organismos implicados en los casos de fraude en la red, incluyendo a los investigadores que descubren credenciales o números de tarjeta de crédito robadas, las entidades (ya sean bancarias o de otro tipo) con que se pueden usar las credenciales robadas, y otras entidades como proveedores de servicio y gobiernos, entre otros. También cabe destacar que este grupo no es cerrado, y las empresas y entidades interesadas e involucradas en la investigación del fraude online pueden solicitar su adhesión a Internet Fraud Alert rellenando el formulario existente en su web.

Con este canal se pretende reducir el tiempo necesario para encontrar el origen de la estafa e intentar reducir dentro de lo posible los usuarios afectados y las pérdidas económicas que puedan ocasionar. Según el Anti-Phishing Working Group, en 2009 se reportaron más de 410.000 alertas por phishing, y el número de entidades explotado por los atacantes crece de forma continuada.

Como no podría ser de otra manera, desde Security Art Work apoyamos este tipo de iniciativas que contribuyen a lograr un Internet más seguro y a mejorar la imagen de la Red como medio para realizar compras y transacciones bancarias, dos elementos que todavía generan desconfianza entre el grueso de la población.

Vía: Genbeta
Nota de prensa original: Microsoft

Los resultados de la encuesta ¿Que consideras más adecuado para tu/una organización, la certificación en ISO 27001 o en ISO 20000? que hemos tenido hasta hoy mismo han sido bastante dispares, ya que ninguna de las opciones destaca claramente por encima de las demás. Parece ganar por “una cabeza” la certificación ISO 27001 (31% de los votos), continuando con un empate técnico entre la certificación ISO 20000 y la opción de no certificar pero implantar antes una gestión en base a ITIL que un SGSI (20% de los votos cada una). En cuarto lugar se sitúa la opción de no certificar, pero implantar primero un SGSI y luego una gestión en base a ITIL (15% de los votos). Por último, un 14% de los votos no se deciden por ninguna de las anteriores opciones.

Sin olvidar el limitado número de votos (aunque, todo sea dicho, es mayor que la población en las que las grandes corporaciones de productos cosméticos fundamentan la mayoría de los resultados de las cremas que anuncian en televisión), los resultados parecen indicar que un SGSI se percibe como potencialmente más certificable, o directamente más relacionado con un “sello” ISO 27001, mientras que la gestión en base a ITIL se mantiene más “independiente” de la certificación, quizá por la menor difusión y conocimiento que hay de ISO 20000 frente a ISO 27001. Aunque esto está cambiando poco a poco, concuerda con la experiencia de S2 Grupo, en la que (en términos generales) el cliente nos plantea en primer lugar la implantación y certificación de su organización en base a la norma ISO 27001, para entrar a valorar posteriormente la gestión en base a ITIL, con o sin certificación.

Dicho esto, les dejo con una nueva encuesta, propuesta por Toni Villalón. Esperamos sus respuestas.