Security Art Work

Sin haber acabado aún -espero- la serie de posts dedicada a seguridad sectorial, quiero comenzar con este artículo una nueva serie: la serie GOTO. Muchas entradas de este y otros blogs no generan casi debate (tenemos una información, la estructuramos para convertirla en un post, estamos todos de acuerdo con el contenido del mismo -o no, pero nadie lo dice-, y vuelta a empezar). Eso obviamente es bueno para un libro, pero no para un blog, donde lo que se busca es debatir y polemizar, que cada uno exponga sus opiniones (buenas o malas, pero siempre respetables) y así, entre todos, aprender cosas nuevas y analizar puntos de vista diferentes a los nuestros. Con esta idea surge la serie GOTO, porque… ¿qué hay más polémico que la instrucción GOTO plantada en el código de un programa? Realmente podríamos haber titulado la serie RISC vs. CISC, vi vs. emacs, Unix vs. Windows… y así un largo etcétera, pero hemos decidido llamarla GOTO (si alguien prefiere otro nombre, que lo proponga, que de eso se trata).

Dentro de esta serie, vamos a hablar hoy de los Consultores; más concretamente, de los Consultores de Seguridad, aunque imagino que los comentarios podrían extrapolarse a cualquier otro tipo de consultor: RRHH, financiero… Para mí, al menos hasta hace unos años, un consultor -simplificando- era alguien que sabía mucho de un tema concreto, de forma que podía ayudar enormemente a resolver problemas tanto por el conocimiento de la materia a tratar como, en muchos casos, del negocio en sí. En resumen, un perfil muy valorado en cualquier organización, sin importar si era externo o interno a la misma.

Hoy en día, por desgracia, creo que hay pocos puestos tan degradados como el de consultor; cualquiera que se ponga una corbata, googlee durante media hora e incluya en una conversacion términos como “alineación”, “sinergia”, “la nube”, “2.0” o “forlayos”, como diría el gran Fuckowski, es un consultor. Consultor, ¿de qué? De forlayos, obviamente… Ser consultor no es conocer tres términos de moda, unirlos en un informe y presentarlo a Dirección: es aportar soluciones reales y eficientes a una organización que tiene un problema.

Para colmo del absurdo, ya se distingue entre consultores “junior” y “senior”; sinceramente, creo que hablar de consultor junior es lo mismo que hablar de becario senior: no es más que un oxímoron. ¿Cómo narices se puede ser consultor junior? ¿Quién le otorga la experiencia necesaria para llamarse “consultor”? ¿Un libro? ¿Una página web? Por favor, seamos serios: para ser consultor se necesita conocer muy bien la materia sobre la que se trabaja, y aparte tener unos cuantos añitos de experiencia trabajando con la misma… que no me venga un pipiolo imberbe, con una tarjeta donde pone “Consultor” de una gran multinacional, porque estoy riéndome una semana. O peor, llorando, cuando me toca implantar lo que ese “consultor”, cuyas únicas herramientas de trabajo en su corta carrera han sido Word y Powerpoint, ha decidido que es lo mejor para un cliente es poner en marcha un sistema de sinergias alineadas con la nube, o algo así. Por favor, recuerda que Word o Powerpoint son plataformas tecnológicas en la que todo funciona a la primera, hasta el Single Sign On o las PKIs, pero el mundo real no es tan bonito… creo que todos conocemos ejemplos similares, ¿no?

¿Y de quién es culpa esta situación? Creo que, en parte, de todos nosotros; por un lado, están las grandes consultoras que todos conocemos (sí, yo también estoy pensando en esa misma). Multinacionales a las que les viste mucho un chavalín con la carrera recién acabada, encorbatado y que se haya leído un libro de seguridad; le regalan unas tarjetas donde pone “Consultor” y a partir de ahí su hora cuesta más de noventa euros. Total, si luego algo no va, el trabajo lo ha hecho esa consultora, no el “consultor” concreto, y cualquier cosa que una multinacional haga sin duda es correcta, ¿verdad? :) Por otro lado, están los clientes que se creen ciegamente lo que dice el consultor, sin plantearse en muchos casos si es o no lógico. ¿Que la solución a nuestros problemas es cambiar la máquina de café? Sin problemas: la cambiamos, dejamos constancia por escrito para cuando venga el auditor (auditores, material para otro post de la serie) y asunto arreglado. ¿Por qué lo hemos hecho? Porque lo dijo el consultor… ¿Sirve para algo? ¿Ha mejorado nuestra organización? ¡Seguro! Si lo dijo el consultor…

Por supuesto, existen consultores “de verdad”, no importa si en multinacionales, pequeñas empresas o como freelances. De los que conocen muy bien algo y te ayudan a aplicarlo en tu organización, de una forma ordenada, asumible y por supuesto integrada con tu negocio; ¿frases bonitas? por supuesto, pero no más de las necesarias, y sobre todo frases con sentido. Es decir, soluciones de verdad para problemas de verdad. A todos estos consultores, a los de verdad, va dedicado este primer post de la serie… ahora, a discutir un rato: ¿qué opinais?

Para la construcción de la topología de una red de caja negra se emplean herramientas como Traceroute; seguro que la conocen. Esta herramienta emplea el campo TTL o tiempo de vida de la cabecera IP para averiguar por qué dispositivos de red pasan los paquetes hasta llegar al host destino.

La aplicación manda 3 paquetes con TTL valor 1 hacia la máquina objetivo; cuando estos paquetes llegan al primer dispositivo intermedio, éste decrementa el TTL en 1, pasando a valer 0, y es descartado notificándonos mediante un paquete ICMP tipo 11 Time Exceeded. La siguiente vez se enviará con TTL valor 2, posteriormente con valor 3… así hasta llegar a la máquina destino, la cual no contestará con el Time Exceeded.

Lo más importante para una auditoría de seguridad son los últimos saltos que nos permitirán obtener la topología de la red que se está auditando. Ahora bien, seguramente nos habrá ocurrido que en ocasiones los resultados obtenidos no son los correctos puesto que llegado a un firewall de la red no conseguimos poder avanzar hasta el host; incluso dependiendo del programa que empleemos los resultados son distintos. Esto es debido a combinación de las reglas de filtrado de los firewalls y los protocolos empleados por cada programa “traceroute”.

[Read more…]

Corre el año 2006, si no recuerdo mal, y empieza la revolución en las redes domésticas de acceso a internet. La mayoría de las nuevas instalaciones de internet domésticas pasan de utilizar el “obsoleto” cable para “innovar” en la tecnología WIFI. Se acabaron los cables, ya no tocará pelear porque éste tiene que atravesar toda la casa para llegar a una única habitación, y por fin mi portátil será… ¡¡¡portátil!!!

Por supuesto, estas redes supusieron un nuevo eslabón en la cadena de la seguridad informática y un nuevo filón para los atacantes. Su seguridad evolucionó desde redes sin contraseña, a redes con clave WEP, WPA, WPA2 hasta la actualidad en la que la configuración más segura recomendable es WPA2-PSK+AES. No voy a explicar aquí cada una de las siglas, ya que queda claro que para eso está disponible cualquier buscador, aunque voy a poner fácil una de las búsquedas: WEP

¿Les ha sorprendido el resultado de la búsqueda? 10 entradas en la primera página; la wikipedia, siempre disponible, la asociación de internautas y 8 entradas sobre como romper la clave WEP, !con vídeo explicativo incluido! Quizá no les haya sorprendido, pero cuando vi los resultados de la búsqueda por primera vez a mi sí me sorprendió, sobre todo la entrada relacionada con Imagenio y las claves utilizadas por Telefónica ¿Cómo es posible que sabiendo que la protección con clave WEP es altamente insegura lo pongan todavía más fácil utilizando claves que ni siquiera son totalmente aleatorias, y en la que únicamente se deben completar unos pocos caracteres alfanuméricos? ¿No les parece un ejercicio de poco sentido común y dejadez?

Las deficiencias de seguridad de WEP son relativamente antiguas, por lo que seguro que pueden encontrar multitud de entradas explicando cómo romperlo, cómo utilizarlo e incluso cómo mitigar sus defectos en caso de que sean ustedes uno de esos usuarios que dispone de una red inalámbrica de este operador. La cuestión es: ¿existen medidas para mitigar esta situación de forma sencilla por parte de los operadores que ofrecen este tipo de conexiones a los usuarios domésticos, o estamos hablando de un esfuerzo desproporcionado? Creo que ya he respondido anteriormente: no veo mucho problema en modificar la generación de una clave realmente aleatoria basada en unas medidas de seguridad suficientes, ni tampoco consigo encontrar ningún impedimento técnico para incorporar una clave WPA en lugar de una WEP, pero tirando de ironía, quizá esto sea demasiado complicado o induzca a unos costes exagerados que no se pueden abordar…

El problema fundamental es que este tipo de situaciones me hacen plantearme cuestiones que, aunque parecen claras desde mi punto de vista, la experiencia me demuestra que no son compartidas:

1. ¿Sólo es importante la seguridad de nuestros sistemas?
2. ¿No es importante la seguridad de nuestros usuarios o clientes?
3. ¿Le importa realmente la seguridad al mundo en general, o sólo somos unos pocos idealistas intentando hacer al mundo ver lo fundamental de este concepto ahora y en el futuro?
4. ¿Es necesario un código deontológico en el sector relacionado con la seguridad de la información y los sistemas?

Ustedes, ¿qué opinan? ¿Tenemos la batalla ganada, perdida, o seguimos con las espadas en alto?

Desde hace unos años utilizamos a diario billetes de euro. Aunque todos los expertos coinciden en que falsificar estos billetes es difícil, seguramente por nuestras manos ha pasado, sin nosotros saberlo, algún que otro billete falso, imitaciones en muchos casos tan perfectas que únicamente prestando mucha atención -o siendo un experto- podríamos haberlas detectado. Los billetes más falsificados han sido los de 20 y 50 euros (en especial los primeros), aunque con la crisis se empiezan a falsificar también billetes más pequeños, y por tanto más fáciles de “colocar”.

Vamos a comentar en este post algunas de las medidas de seguridad de los billetes de euro que a diario circulan por Europa; y para empezar, es necesario hablar del papel del billete de euro. Está compuesto principalmente de fibras de algodón, material con una alta resistencia física, y por tanto de larga duración; este algodón es tratado para obtener una pasta a la que se añaden medidas de seguridad adicionales (fibrillas, colorante, etc.). A simple vista, podemos observar que este papel presenta carteo (el sonido característico del papel moneda), y pasando el dedo o la uña por el billete podemos notar que la tinta es más o menos gruesa en función de la zona del billete; esta última medida de seguridad es debida a la impresión calcográfica del billete en su anverso, técnica de imprenta costosa (no suele ser habitual para el falsificador disponer de una prensa con esta tecnología) que proporciona al billete un relieve característico de hasta 0,14 mm. de altura

Otra característica de seguridad son las marcas de agua. La marca de agua es una representación en el papel que se incorpora al mismo durante su fabricación; está formada por partes de diferente grosor, con lo que a contraluz los rayos atraviesan la parte más delgada con mayor facilidad, dando lugar a tintes claros, frente a los tintes oscuros de la parte más gruesa; en los euros existen tres marcas de agua: multitonal, electrotipo y de código de barras. Observando el billete al trasluz, podemos observar una imagen y la cifra que indica el valor del billete.

El hilo de seguridad de los billetes de euro es una tira de material sintético de aproximadamente un milímetro de grosor, empotrada en el papel durante su fabricación y cruzándolo transversalmente; al mirar el billete a contraluz se puede leer su valor y la palabra “EURO” (en mayúsculas) sobre una banda oscura.

Los billetes también incorporan holografía; en los billetes de 50 o más euros se utiliza un parche holográfico, mientras en los de menor valor se utiliza la banda. Al girar el billete la imagen cambia, alternando entre la cifra que indica su valor y el símbolo “€” (billetes menores) y este símbolo y una puerta o ventana (billetes de mayor valor).

También apreciables a simple vista son los motivos de coincidencia del billete. En una esquina del billete aparecen impresos en ambas caras trazos discontínuos que se complementan y forman la cifra que indica el valor del billete; estos trazos pueden observarse al trasluz, debiendo encajar ambas partes a la perfección para formar la cifra. Si ambas partes llegan a superponerse, o existe espacio libre entre ellas, estaremos ante una falsificación.

La banda iridiscente es una banda impresa en el reverso de los billetes de bajo valor, visible en función de la incidencia de la luz; al girar el billete, podremos apreciar en ella el valor del billete y el símbolo “€” (ojo, esta banda no guarda relación con la banda holográfica de la que hemos hablado antes).

Las tintas también son una característica de seguridad del euro. En los billetes de valor igual o superior a 50 euros se utiliza tinta ópticamente variable, una tinta cara que cambia de color al girar el billete; con esta tinta se imprime el valor del billete en la esquina del reverso. Adicionalmente, diferentes partes de todos los billetes de euro se imprimen con tinta ultravioleta, no perceptible a simple vista pero sí bajo este tipo de luz, de la misma forma que las fibrillas luminiscentes. Éstas son fibras sintéticas incorporadas al proceso de fabricación del papel, no perceptibles a simple vista pero sí bajo luz ultravioleta. Se encuentras distribuidas irregularmente por toda la superficie del billete, y son de color rojo, verde o azul.

Finalmente, ya para acabar, es importante que sepamos que todos los billetes de euro incorporan la firma del presidente del Banco Central Europeo (Willem F. Duisenberg o Jean-Claude Trichet); cualquiera de estas firmas es válida. Obviamente, esta medida es la más fácil de falsificar de todas las expuestas con anterioridad, pero ahí está…

Casi todas estas medidas de seguridad son perceptibles a simple vista, salvo las relativas a tinta ultravioleta; además de todas ellas, los billetes incorporan otras salvaguardas que ni se ven ni se tocan tan directamente, por lo que aunque son de utilidad para detectar billetes falsos, no lo son tanto en nuestro día a día. No se trata de analizar exhaustivamente cada billete de los que pasan por nuestras manos, sino simplemente de prestar un poco de atención y, ante la más mínima duda, comprobar la presencia de las medidas de seguridad que hemos expuesto aquí. Se trata de medidas que, conociéndolas con un mínimo detalle, nos pueden ayudar a evitar algún que otro disgusto a la hora de que “nos cuelen” billetes falsos. O eso esperamos :)

Esta es una pregunta que suele surgir con frecuencia en organizaciones que ya tienen uno o más sistemas de gestión implantados, y abordan un proyecto de implantación de SGSI. ¿Integramos, o los “llevamos por separado”? Nuestra experiencia nos dice que hay enfoques muy diversos a la hora de enfrentarse a esta pregunta.

Algunos clientes tienen claro desde el principio que quieren que su SGSI esté integrado con el Sistema de Gestión que ya tienen implantado, otros que prefieren mantenerlos independientes, y otros que aunque parten de un planteamiento definido, resistencias dentro de la organización (los responsables de los sistemas de gestión ya implantados, en ocasiones) o la detección de sinergias aprovechables les hacen cambiar de opinión. Tengo que decir que nosotros, como S2 Grupo, siempre recomendamos integrar el SGSI con cualquier Sistema de Gestión que se encuentre ya implantado, y ahora veremos porqué.

Es (para nosotros) obvio que de la integración de varios Sistemas de Gestión se obtienen muchos beneficios, y prueba de ello en la propia ISO 27001, en relación a un Sistema de Gestión de Calidad y un Sistema de Gestión Medioambiental, se indica que:

[Read more…]

Dentro de la serie dedicada a seguridad sectorial, vamos a tratar hoy brevemente aspectos de seguridad en hoteles y establecimientos similares. El principal reto al que nos enfrentamos al hablar de seguridad en hoteles es el propio negocio del sector: la continua fluctuación de viajeros que entran, salen o se alojan en el hotel, 24 horas al día y 365 días al año. Este enorme trasiego de personas define unas amenazas características a la seguridad hotelera: por un lado, las que afectan a la integridad de las personas que hay en el hotel (tanto huéspedes como trabajadores), y por otro las que afectan a la información asociada a los viajeros: protección de datos de carácter personal, medidas antiterroristas… No hablaremos de otra amenaza común, pero aparentemente asumida por todas las cadenas hoteleras: el hurto de pequeños objetos (toallas, pilas, ceniceros…) en la habitaciones por parte de los propios huéspedes.

Desde el punto de vista de las amenazas contra la integridad de las personas, sin duda en los hoteles la principal de ellas es el incendio; si en cualquier ubicación un incendio es preocupante, lo es más todavía en los hoteles, debido a tres características de estos centros: el desconocimiento por parte de los huéspedes de las instalaciones y vías de evacuación, la cantidad de personas que puede haber durmiendo en el momento de producirse un incendio y, por último, las dimensiones globales del hotel y por tanto la cantidad de personas en su interior. Para minimizar riesgos relativos a incendios, en todos los hoteles existen vías de evacuación diseñadas y señalizadas según normativa, así como indicaciones de las mismas en las habitaciones del hotel. Es más que recomendable, al llegar a la habitación, pegarle un vistazo a estas indicaciones y hacernos una idea de qué deberíamos hacer en caso de incendio; como se suele decir, nunca pasa nada, pero cuando pasa es el peor momento para ponernos a leer las indicaciones, buscar las salidas de emergencia, etc.

En lo que respecta a la información de los viajeros, sin duda lo más llamativo del sector es el libro registro y los datos enviados diariamente a las FFCCSE para detectar posibles fugados, terroristas, etc. Todos los hoteles (además de hostales, campings…) están obligados a mantener un libro registro de viajeros, por el decreto Decreto 1513/1959 de 18 de agosto, a rellenar una ficha con los datos de cada viajero mayor de 16 años que se aloje en el hotel (manteniendo dichas fichas para su posterior consulta por parte de la Policía, si así se requiriera) y a enviar el parte de viajeros, dentro de las 24 horas siguientes al hospedaje, a las FFCCSE (habitualmente, Cuerpo Nacional de Policía). Obviamente, este envío se puede realizar a la antigua usanza (imprimimos los partes, o los rellenamos a mano, y nos los llevamos a la comisaría más cercana) o, más adecuado al S.XXI, a través de una página web del CNP habilitada a tal efecto (https://w3.policia.es/). Al menos en teoría, la Policía debe revisar esta información y, si se encuentra alojada en el hotel alguna persona en busca y captura, actuar en consecuencia; hay muchas leyendas en torno a estas actuaciones, pero lo cierto es que quien tenga la desgracia de llamarse como un terrorista, un fugado o un mafioso, por poner unos ejemplos, puede llevarse más de un susto cuando se encuentra durmiendo en el hotel…

Sin entrar en temas de este nivel, pero también referente a los problemas relativos a la información de los viajeros, nos encontramos la protección de datos de carácter personal que debe realizarse en el hotel, al igual que en cualquier otro centro, pero con un condicionante: los hoteles son lugares en los que son habituales encuentros “secretos”, no tanto para tratar temas ilegales, sino para cerrar acuerdos comerciales, políticos, citas sentimentales -con una pareja que no es la habitual-, etc. Aunque cualquier hotel tiene una política de seguridad que comprende, entre otros aspectos, la protección de los datos de sus clientes, y por supuesto ningún empleado nos va a revelar el nombre de los huéspedes del hotel, en la práctica no resulta difícil, mediante técnicas de ingeniería social, conseguir ciertos datos que, sin ser especialmente relevantes, si pueden determinar aspectos útiles para alguien que quiera conocer ciertas actividades de sus socios, competidores, empleados o parejas… “Soy fulanito de tal, quería hacer una reserva. Estuve alojado allí en septiembre, no recuerdo la fecha…”. “Sí, señor de tal, aquí lo tengo. Efectivamente, fue en septiembre, en concreto el 24…”. O “No, en septiembre no estuvo aquí, su última estancia es de marzo…”. En fin, historias truculentas, propias en algunos casos del periodismo rosa más que de la seguridad :)

Habiendo recorrido en entradas anteriores (véase I y II) aspectos del Esquema Nacional de Seguridad como su origen, su ámbito, su finalidad y los actores involucrados, en esta tercera entrada relacionada con esta temática veremos, aunque de momento sea por encima, los contenidos prácticos del mismo.

Resumen de contenidos del Esquema Nacional de Seguridad

Los puntos destacados a continuación pretenden ser los conceptos más importantes que introduce, desde mi punto de vista, el Esquema Nacional de Seguridad. Incluimos los artículos donde se alude al concepto descrito, pero tengamos presente que alguna de estas ideas se recoge no solo en un artículo concreto, sino a lo largo de todo el documento.

[Read more…]

(La entrada de hoy es la quinta colaboración de Francisco Benet, que como ya les hemos comentado anteriormente es un amigo de algunos de nosotros —y familia de algún otro— que tiene gran experiencia en la gestión e integración de sistemas, protección de datos de carácter personal y evaluación de soluciones de integración de software y hardware, entre otros aspectos. Esperamos que les guste.)

Para empezar, todo este ’embrollo’ debe comenzar, cómo no, con la generación de una política, que esté en consonancia con la Política de Clasificación de la Información (ver estas dos entradas sobre el tema). Hay que destacar que un aspecto crítico en todo este jaleo es el aspecto legal, ya que el documento en sí mismo puede tener unos aspectos legales importantes que constituyen el principal handicap (y que veremos más adelante).

Por tanto, en la definición de dicha política esta altamente implicado el departamento legal, tanto para definir los periodos de retención, como para poder traducir todos los requerimientos legales en la definición del par categoría del documento-período de retención. Otros participantes deberán ser Dirección y el Responsable de Seguridad, como responsables y encargados de implantar y hacer cumplir dicha política (aunque la figura puede ser otra). Otro de los principales problemas que no debemos olvidar es la destrucción de la información no necesaria; esto deberá estar plasmado en la política.

[Read more…]