Security Art Work

Corre el año 2006, si no recuerdo mal, y empieza la revolución en las redes domésticas de acceso a internet. La mayoría de las nuevas instalaciones de internet domésticas pasan de utilizar el “obsoleto” cable para “innovar” en la tecnología WIFI. Se acabaron los cables, ya no tocará pelear porque éste tiene que atravesar toda la casa para llegar a una única habitación, y por fin mi portátil será… ¡¡¡portátil!!!

Por supuesto, estas redes supusieron un nuevo eslabón en la cadena de la seguridad informática y un nuevo filón para los atacantes. Su seguridad evolucionó desde redes sin contraseña, a redes con clave WEP, WPA, WPA2 hasta la actualidad en la que la configuración más segura recomendable es WPA2-PSK+AES. No voy a explicar aquí cada una de las siglas, ya que queda claro que para eso está disponible cualquier buscador, aunque voy a poner fácil una de las búsquedas: WEP

¿Les ha sorprendido el resultado de la búsqueda? 10 entradas en la primera página; la wikipedia, siempre disponible, la asociación de internautas y 8 entradas sobre como romper la clave WEP, !con vídeo explicativo incluido! Quizá no les haya sorprendido, pero cuando vi los resultados de la búsqueda por primera vez a mi sí me sorprendió, sobre todo la entrada relacionada con Imagenio y las claves utilizadas por Telefónica ¿Cómo es posible que sabiendo que la protección con clave WEP es altamente insegura lo pongan todavía más fácil utilizando claves que ni siquiera son totalmente aleatorias, y en la que únicamente se deben completar unos pocos caracteres alfanuméricos? ¿No les parece un ejercicio de poco sentido común y dejadez?

Las deficiencias de seguridad de WEP son relativamente antiguas, por lo que seguro que pueden encontrar multitud de entradas explicando cómo romperlo, cómo utilizarlo e incluso cómo mitigar sus defectos en caso de que sean ustedes uno de esos usuarios que dispone de una red inalámbrica de este operador. La cuestión es: ¿existen medidas para mitigar esta situación de forma sencilla por parte de los operadores que ofrecen este tipo de conexiones a los usuarios domésticos, o estamos hablando de un esfuerzo desproporcionado? Creo que ya he respondido anteriormente: no veo mucho problema en modificar la generación de una clave realmente aleatoria basada en unas medidas de seguridad suficientes, ni tampoco consigo encontrar ningún impedimento técnico para incorporar una clave WPA en lugar de una WEP, pero tirando de ironía, quizá esto sea demasiado complicado o induzca a unos costes exagerados que no se pueden abordar…

El problema fundamental es que este tipo de situaciones me hacen plantearme cuestiones que, aunque parecen claras desde mi punto de vista, la experiencia me demuestra que no son compartidas:

1. ¿Sólo es importante la seguridad de nuestros sistemas?
2. ¿No es importante la seguridad de nuestros usuarios o clientes?
3. ¿Le importa realmente la seguridad al mundo en general, o sólo somos unos pocos idealistas intentando hacer al mundo ver lo fundamental de este concepto ahora y en el futuro?
4. ¿Es necesario un código deontológico en el sector relacionado con la seguridad de la información y los sistemas?

Ustedes, ¿qué opinan? ¿Tenemos la batalla ganada, perdida, o seguimos con las espadas en alto?

Desde hace unos años utilizamos a diario billetes de euro. Aunque todos los expertos coinciden en que falsificar estos billetes es difícil, seguramente por nuestras manos ha pasado, sin nosotros saberlo, algún que otro billete falso, imitaciones en muchos casos tan perfectas que únicamente prestando mucha atención -o siendo un experto- podríamos haberlas detectado. Los billetes más falsificados han sido los de 20 y 50 euros (en especial los primeros), aunque con la crisis se empiezan a falsificar también billetes más pequeños, y por tanto más fáciles de “colocar”.

Vamos a comentar en este post algunas de las medidas de seguridad de los billetes de euro que a diario circulan por Europa; y para empezar, es necesario hablar del papel del billete de euro. Está compuesto principalmente de fibras de algodón, material con una alta resistencia física, y por tanto de larga duración; este algodón es tratado para obtener una pasta a la que se añaden medidas de seguridad adicionales (fibrillas, colorante, etc.). A simple vista, podemos observar que este papel presenta carteo (el sonido característico del papel moneda), y pasando el dedo o la uña por el billete podemos notar que la tinta es más o menos gruesa en función de la zona del billete; esta última medida de seguridad es debida a la impresión calcográfica del billete en su anverso, técnica de imprenta costosa (no suele ser habitual para el falsificador disponer de una prensa con esta tecnología) que proporciona al billete un relieve característico de hasta 0,14 mm. de altura

Otra característica de seguridad son las marcas de agua. La marca de agua es una representación en el papel que se incorpora al mismo durante su fabricación; está formada por partes de diferente grosor, con lo que a contraluz los rayos atraviesan la parte más delgada con mayor facilidad, dando lugar a tintes claros, frente a los tintes oscuros de la parte más gruesa; en los euros existen tres marcas de agua: multitonal, electrotipo y de código de barras. Observando el billete al trasluz, podemos observar una imagen y la cifra que indica el valor del billete.

El hilo de seguridad de los billetes de euro es una tira de material sintético de aproximadamente un milímetro de grosor, empotrada en el papel durante su fabricación y cruzándolo transversalmente; al mirar el billete a contraluz se puede leer su valor y la palabra “EURO” (en mayúsculas) sobre una banda oscura.

Los billetes también incorporan holografía; en los billetes de 50 o más euros se utiliza un parche holográfico, mientras en los de menor valor se utiliza la banda. Al girar el billete la imagen cambia, alternando entre la cifra que indica su valor y el símbolo “€” (billetes menores) y este símbolo y una puerta o ventana (billetes de mayor valor).

También apreciables a simple vista son los motivos de coincidencia del billete. En una esquina del billete aparecen impresos en ambas caras trazos discontínuos que se complementan y forman la cifra que indica el valor del billete; estos trazos pueden observarse al trasluz, debiendo encajar ambas partes a la perfección para formar la cifra. Si ambas partes llegan a superponerse, o existe espacio libre entre ellas, estaremos ante una falsificación.

La banda iridiscente es una banda impresa en el reverso de los billetes de bajo valor, visible en función de la incidencia de la luz; al girar el billete, podremos apreciar en ella el valor del billete y el símbolo “€” (ojo, esta banda no guarda relación con la banda holográfica de la que hemos hablado antes).

Las tintas también son una característica de seguridad del euro. En los billetes de valor igual o superior a 50 euros se utiliza tinta ópticamente variable, una tinta cara que cambia de color al girar el billete; con esta tinta se imprime el valor del billete en la esquina del reverso. Adicionalmente, diferentes partes de todos los billetes de euro se imprimen con tinta ultravioleta, no perceptible a simple vista pero sí bajo este tipo de luz, de la misma forma que las fibrillas luminiscentes. Éstas son fibras sintéticas incorporadas al proceso de fabricación del papel, no perceptibles a simple vista pero sí bajo luz ultravioleta. Se encuentras distribuidas irregularmente por toda la superficie del billete, y son de color rojo, verde o azul.

Finalmente, ya para acabar, es importante que sepamos que todos los billetes de euro incorporan la firma del presidente del Banco Central Europeo (Willem F. Duisenberg o Jean-Claude Trichet); cualquiera de estas firmas es válida. Obviamente, esta medida es la más fácil de falsificar de todas las expuestas con anterioridad, pero ahí está…

Casi todas estas medidas de seguridad son perceptibles a simple vista, salvo las relativas a tinta ultravioleta; además de todas ellas, los billetes incorporan otras salvaguardas que ni se ven ni se tocan tan directamente, por lo que aunque son de utilidad para detectar billetes falsos, no lo son tanto en nuestro día a día. No se trata de analizar exhaustivamente cada billete de los que pasan por nuestras manos, sino simplemente de prestar un poco de atención y, ante la más mínima duda, comprobar la presencia de las medidas de seguridad que hemos expuesto aquí. Se trata de medidas que, conociéndolas con un mínimo detalle, nos pueden ayudar a evitar algún que otro disgusto a la hora de que “nos cuelen” billetes falsos. O eso esperamos :)

Esta es una pregunta que suele surgir con frecuencia en organizaciones que ya tienen uno o más sistemas de gestión implantados, y abordan un proyecto de implantación de SGSI. ¿Integramos, o los “llevamos por separado”? Nuestra experiencia nos dice que hay enfoques muy diversos a la hora de enfrentarse a esta pregunta.

Algunos clientes tienen claro desde el principio que quieren que su SGSI esté integrado con el Sistema de Gestión que ya tienen implantado, otros que prefieren mantenerlos independientes, y otros que aunque parten de un planteamiento definido, resistencias dentro de la organización (los responsables de los sistemas de gestión ya implantados, en ocasiones) o la detección de sinergias aprovechables les hacen cambiar de opinión. Tengo que decir que nosotros, como S2 Grupo, siempre recomendamos integrar el SGSI con cualquier Sistema de Gestión que se encuentre ya implantado, y ahora veremos porqué.

Es (para nosotros) obvio que de la integración de varios Sistemas de Gestión se obtienen muchos beneficios, y prueba de ello en la propia ISO 27001, en relación a un Sistema de Gestión de Calidad y un Sistema de Gestión Medioambiental, se indica que:

[Read more…]

Dentro de la serie dedicada a seguridad sectorial, vamos a tratar hoy brevemente aspectos de seguridad en hoteles y establecimientos similares. El principal reto al que nos enfrentamos al hablar de seguridad en hoteles es el propio negocio del sector: la continua fluctuación de viajeros que entran, salen o se alojan en el hotel, 24 horas al día y 365 días al año. Este enorme trasiego de personas define unas amenazas características a la seguridad hotelera: por un lado, las que afectan a la integridad de las personas que hay en el hotel (tanto huéspedes como trabajadores), y por otro las que afectan a la información asociada a los viajeros: protección de datos de carácter personal, medidas antiterroristas… No hablaremos de otra amenaza común, pero aparentemente asumida por todas las cadenas hoteleras: el hurto de pequeños objetos (toallas, pilas, ceniceros…) en la habitaciones por parte de los propios huéspedes.

Desde el punto de vista de las amenazas contra la integridad de las personas, sin duda en los hoteles la principal de ellas es el incendio; si en cualquier ubicación un incendio es preocupante, lo es más todavía en los hoteles, debido a tres características de estos centros: el desconocimiento por parte de los huéspedes de las instalaciones y vías de evacuación, la cantidad de personas que puede haber durmiendo en el momento de producirse un incendio y, por último, las dimensiones globales del hotel y por tanto la cantidad de personas en su interior. Para minimizar riesgos relativos a incendios, en todos los hoteles existen vías de evacuación diseñadas y señalizadas según normativa, así como indicaciones de las mismas en las habitaciones del hotel. Es más que recomendable, al llegar a la habitación, pegarle un vistazo a estas indicaciones y hacernos una idea de qué deberíamos hacer en caso de incendio; como se suele decir, nunca pasa nada, pero cuando pasa es el peor momento para ponernos a leer las indicaciones, buscar las salidas de emergencia, etc.

En lo que respecta a la información de los viajeros, sin duda lo más llamativo del sector es el libro registro y los datos enviados diariamente a las FFCCSE para detectar posibles fugados, terroristas, etc. Todos los hoteles (además de hostales, campings…) están obligados a mantener un libro registro de viajeros, por el decreto Decreto 1513/1959 de 18 de agosto, a rellenar una ficha con los datos de cada viajero mayor de 16 años que se aloje en el hotel (manteniendo dichas fichas para su posterior consulta por parte de la Policía, si así se requiriera) y a enviar el parte de viajeros, dentro de las 24 horas siguientes al hospedaje, a las FFCCSE (habitualmente, Cuerpo Nacional de Policía). Obviamente, este envío se puede realizar a la antigua usanza (imprimimos los partes, o los rellenamos a mano, y nos los llevamos a la comisaría más cercana) o, más adecuado al S.XXI, a través de una página web del CNP habilitada a tal efecto (https://w3.policia.es/). Al menos en teoría, la Policía debe revisar esta información y, si se encuentra alojada en el hotel alguna persona en busca y captura, actuar en consecuencia; hay muchas leyendas en torno a estas actuaciones, pero lo cierto es que quien tenga la desgracia de llamarse como un terrorista, un fugado o un mafioso, por poner unos ejemplos, puede llevarse más de un susto cuando se encuentra durmiendo en el hotel…

Sin entrar en temas de este nivel, pero también referente a los problemas relativos a la información de los viajeros, nos encontramos la protección de datos de carácter personal que debe realizarse en el hotel, al igual que en cualquier otro centro, pero con un condicionante: los hoteles son lugares en los que son habituales encuentros “secretos”, no tanto para tratar temas ilegales, sino para cerrar acuerdos comerciales, políticos, citas sentimentales -con una pareja que no es la habitual-, etc. Aunque cualquier hotel tiene una política de seguridad que comprende, entre otros aspectos, la protección de los datos de sus clientes, y por supuesto ningún empleado nos va a revelar el nombre de los huéspedes del hotel, en la práctica no resulta difícil, mediante técnicas de ingeniería social, conseguir ciertos datos que, sin ser especialmente relevantes, si pueden determinar aspectos útiles para alguien que quiera conocer ciertas actividades de sus socios, competidores, empleados o parejas… “Soy fulanito de tal, quería hacer una reserva. Estuve alojado allí en septiembre, no recuerdo la fecha…”. “Sí, señor de tal, aquí lo tengo. Efectivamente, fue en septiembre, en concreto el 24…”. O “No, en septiembre no estuvo aquí, su última estancia es de marzo…”. En fin, historias truculentas, propias en algunos casos del periodismo rosa más que de la seguridad :)

Habiendo recorrido en entradas anteriores (véase I y II) aspectos del Esquema Nacional de Seguridad como su origen, su ámbito, su finalidad y los actores involucrados, en esta tercera entrada relacionada con esta temática veremos, aunque de momento sea por encima, los contenidos prácticos del mismo.

Resumen de contenidos del Esquema Nacional de Seguridad

Los puntos destacados a continuación pretenden ser los conceptos más importantes que introduce, desde mi punto de vista, el Esquema Nacional de Seguridad. Incluimos los artículos donde se alude al concepto descrito, pero tengamos presente que alguna de estas ideas se recoge no solo en un artículo concreto, sino a lo largo de todo el documento.

[Read more…]

(La entrada de hoy es la quinta colaboración de Francisco Benet, que como ya les hemos comentado anteriormente es un amigo de algunos de nosotros —y familia de algún otro— que tiene gran experiencia en la gestión e integración de sistemas, protección de datos de carácter personal y evaluación de soluciones de integración de software y hardware, entre otros aspectos. Esperamos que les guste.)

Para empezar, todo este ’embrollo’ debe comenzar, cómo no, con la generación de una política, que esté en consonancia con la Política de Clasificación de la Información (ver estas dos entradas sobre el tema). Hay que destacar que un aspecto crítico en todo este jaleo es el aspecto legal, ya que el documento en sí mismo puede tener unos aspectos legales importantes que constituyen el principal handicap (y que veremos más adelante).

Por tanto, en la definición de dicha política esta altamente implicado el departamento legal, tanto para definir los periodos de retención, como para poder traducir todos los requerimientos legales en la definición del par categoría del documento-período de retención. Otros participantes deberán ser Dirección y el Responsable de Seguridad, como responsables y encargados de implantar y hacer cumplir dicha política (aunque la figura puede ser otra). Otro de los principales problemas que no debemos olvidar es la destrucción de la información no necesaria; esto deberá estar plasmado en la política.

[Read more…]

Dentro de los posts dedicados a la seguridad en las eléctricas (que a su vez se engloba en la serie de Seguridad Sectorial, que todos seguís atentamente en este blog :), toca el turno de los aspectos relativos al transporte, transformación y distribución de la energía para hacerla llegar al usuario final (véase entradas anteriores: [Introducción][Producción][Control]).

El transporte de energía eléctrica se realiza desde las centrales productoras, que hemos comentado en un anterior post, hasta las centrales de transformación, donde se modifican las características para distribuir la energía hasta el usuario final. En esta etapa de transporte se utilizan líneas de alta tensión, con una distribución geográfica muy extensa, lo que ya de entrada implica varios riesgos considerables: por un lado, los relativos a la falta de vigilancia de las líneas (robos, hurtos, sabotajes…) y por otro los relativos a las amenazas naturales (desde tomentas eléctricas hasta desprendimientos que puedan comprometer la línea). El primero de estos grupos no suele ser habitual, a pesar de que las condiciones —por ejemplo, el aislamiento— lo favorezcan, debido por un lado debido a la peligrosidad de las instalaciones (¿quién se atreve a meter mano en una torreta de alta tensión?) y por otro a la escasa repercusión que estos actos tendrían a nivel social: si se produce un ataque a una línea que la deja inutilizada, se distribuiría energía desde otra central. En lo que respecta a amenazas naturales, las instalaciones implicadas en el transporte suelen ser robustas, incorporando desde protecciones contra rayos hasta elementos estructurales frente a avalanchas, por lo que sólo fallarían en el caso de problemas de relativa magnitud.

Una vez llega la energía a la central de transformación, se modifican sus características para hacerla llegar, a través del proceso de distribución, hasta el usuario final. En estas centrales, que pueden estar ubicadas en lugares muy diversos en cuanto a seguridad, el principal problema con el que nos podemos encontrar (aparte de los sabotajes o el vandalismo y de las amenazas de origen natural, comunes a casi todo el proceso) es el robo o hurto de material: se trata de estaciones automatizadas, sin presencia humana habitual, y en ocasiones muy aisladas, lo que las convierte en un objetivo fácil de los ladrones (por ejemplo, es común el robo de cobre o material de trabajo para su venta posterior).

Finalmente, ya transformada la energía, se hace llegar al usuario final a través de la distribución, basada de nuevo en una infraestructura similar al transporte (torretas y elementos de conducción), y por tanto con problemas; en esta etapa, quizás una de las mayores amenazas es el robo en las instalaciones finales de distribución, ubicadas habitualmente en núcleos urbanos pero sin personal en ellas, y en cuyo interior encontramos material equivalente al de las centrales de transformacion.

Por supuesto, en todo este proceso existe un componente de seguridad que no hemos nombrado hasta ahora: la protección de las personas frente a accidentes causados por la energía eléctrica. No obstante, y dado que considero que se trata de un tema más de Prevención de Riesgos Laborales que de Seguridad, de momento no profundizaremos en este tema (¿algún experto en PRL leyendo el blog que quiera aportarnos algo?).

Espero que esta “subserie” de entradas sobre el sector eléctrico les haya resultado de interés. En la próxima entrada de la serie, cambiamos de sector radicalmente. Espero que también les parezca interesante.

Muchas veces hemos oído el termino bastión o bastionar un servidor en una red DMZ. Este término es empleado cuando a una configuración por defecto de una instalación en un servidor se le realizan modificaciones para fortalecer la seguridad del sistema. A muchos de ustedes les vendrá a la mente Bastille en entornos RedHat.

Dichas modificaciones suelen estructurarse comúnmente en tres etapas:

• La primera etapa se centra en cerrar los puertos de aquellos servicios que escuchan por defecto y que no se requieren para las necesidades solicitadas para dicho servidor.
• La segunda etapa consiste en fortalecer la configuración de los servicios que si se necesitan mediante la restricción de los usuarios que pueden acceder a los servicios, restricción de ordenes que pueden realizar, control y filtrado de los datos que se le envían al servidor (XSS, SQL injection, etc), política de actualizaciones…
• La tercera etapa se centra en instalar el servidor en la red DMZ, la cual dispone de un firewall que restringe el acceso de las máquinas externas hacia la DMZ.

[Read more…]

En el entorno científico-tecnológico, con un buen nombre se tienen más probabilidades de llegar a algún sitio. Piénsese en el “método de la burbuja” como algoritmo de ordenación, en la “partícula de dios” (bosón de Higgs), en la computación cuántica o en la nanotecnología. Marketing científico, podríamos llamarlo. Viene esto a cuento de que, la semana pasada, asistí a la Jornada de Inteligencia Computacional Aplicada al Negocio, organizada por el ITI y me llamó la atención los nombres tan atractivos que tienen los tipos de algoritmos de que se trata en este campo: redes neuronales, inteligencia de enjambre, computación evolutiva… son nombres que inspiran.

Una de los ponentes, Arthur Kordon, de Dow Chemical, presentó una clasificación de las diferentes ramas de la Inteligencia Computacional que me resultó bastante esclarecedora y que paso a comentar de manera muy resumida. Algunas de estas técnicas son utilizadas en los sistemas de detección y protección de seguridad de la información. Ya hablaremos de ello.

Agentes inteligentes.
Se construyen diferentes agentes especializados, con un (micro)comportamiento y un objetivo definido en términos locales y emergen (macro)patrones de comportamiento en el nivel más alto del sistema. En otras palabras, definimos el comportamiento de partes simples del sistema y esperamos a que el resultado se muestre en un comportamiento global deseable.

Inteligencia de enjambre.
De nuevo, se definen agentes simples o boids, todos iguales, que interactúan localmente entre sí y con el entorno y que, sin que se haya definido un control centralizado, hacen emerger un comportamiento inteligente global y auto-organizado que consigue optimizar el sistema.

Computación evolutiva (algoritmos genéticos, entre otros).
Se expresan las ecuaciones para modelar un fenómeno en forma de algoritmos y se realiza una simulación evolutiva haciéndolos competir para alcanzar una solución óptima, a base de la recombinación de sus características y la selección de aquellos que tienen mejor comportamiento.

Lógica difusa.
Se consigue la optimización del control de un sistema complejo mediante el uso de sensores con variables no binarias, expresadas en términos cercanos a los usados por los seres humanos (difusos) y la aplicación de reglas de inferencia que utilizan esos valores “difusos”.

Redes neuronales.
Se consigue el modelado automático y el aprendizaje suministrando datos experimentales a una red que simula el funcionamiento de un cerebro animal (quizás decir humano sea decir demasiado).

Máquinas de soporte vectorial.
Se consigue la clasificación de datos mediante sistemas de modelado automático que aprenden a base de datos experimentales y se aproximan a la optimización de manera automática.

En general, se podría decir que todos estos métodos tienen en común la aceptación de que se renuncia a una solución exacta y analítica del sistema y se deja en manos de la auto-organización la obtención de una solución razonablemente buena del problema. Es una especie de imitación de los sistemas evolutivos naturales. En cierto modo, obtenemos una solución sin entender en el nivel macro cómo se llega a ella. Nos ocurre lo mismo, por ejemplo, cuando somos capaces de entender el funcionamiento de una neurona, pero no el de los procesos cerebrales de alto nivel. ¿No es inquietante?

En las conferencias de enise que les comenté en la pasada entrada, celebradas los pasados 27, 28 y 29 de octubre en León, tuve la suerte de asistir a una conferencia que, como ya he comentado en un post anterior, me gustó especialmente.

Habló D. José Manuel Maza, magistrado del tribunal supremo. Una persona que emana personalidad por los cuatro costados y que dijo muchas cosas en muy poco tiempo. Entre otras cosas habló de lo lejos que están las leyes que aplican los magistrados de la realidad del momento en el que nos encontramos, y de lo atados de manos que se encuentran en muchas ocasiones con el código penal que nos ha tocado vivir.

Hizo un comentario que me llamó mucho la atención: D. José Manuel estaba un poco disgustado porque había tenido que ausentarse de su puesto en un momento en el que se iba a debatir la postura que se tenía que adoptar, en general, con los asuntos relacionados con las redes P2P y la pornografía infantil.

[Read more…]