El efecto WannCry

En el momento de escribir estas pocas líneas, aún es incierto el alcance del reciente ataque de ransomware Wannacry, y aunque ya hay muchas empresas afectadas alrededor del globo, aún no es claro el objetivo final de este ataque “si hubo objetivo” adicional al económico o la estimación en pérdidas económicas de las compañías o personas que vieron perdida su “valiosa” información, sin embargo a priori podemos comentar algunas circunstancias que condujeron a que esta serie de eventos desafortunados tuviera el final que estamos apreciando…

Ya varios medios culpando a la NSA quien diseñó herramientas que utilizaron exploit sobre 0 day que luego en su momento Microsoft parcho (MS17-010) “Ya hay demasiados conocidos en solo dos líneas…!), pueden ver el algo del detalle tecnico en:

http://www.darkreading.com/attacks-breaches/wannacry-rapidly-moving-ransomware-attack-spreads-to-74-countries/d/d-id/1328874?

La creación de estas herramientas de por sí, es ya una grave amenaza, pero perderlas fue simplemente la cereza que le faltaba al pastel, lo demás es consecuencia lógica de esta receta...

La falta de políticas claras de actualizaciones de equipos en redes corporativas es otro de los ingredientes, y aunque alguien haya tenido la sensatez de escribir las políticas, si éstas son un saludo a la bandera y en las compañías los administradores tienen demasiado trabajo y por culpa de esto están dejando de hacer su verdadero trabajo, aquí están las consecuencias…. las herramientas existen hace años, la mayoría de las organizaciones tienen al menos un servidor WSUS, pero ¿ De verdad lo están usando como deberían ?, ¿ se toman el tiempo y ejecutan el debido proceso de actualizar su parque informático con la responsabilidad que la tarea implica ?, o ¿ tienen el WSUS o cualquier otra herramienta, solo para sacar los informes que copian a auditoría y que en realidad nadie detalla…?

Ahora como es costumbre aparecerán los consultores y las firmas de soluciones de seguridad a hacer su agosto, en una cacería de brujas que se repite de tanto en tanto, a buscar culpables, chivos expiatorios a los que hay que despellejar vivos y usar sus huesos para sobre ellos acabar de decorar las ofertas de productos milagrosos que nos podrían haber salvado de este debacle, junto con sus consultorías de miles de dólares que ofrecen mediante el uso de metodologías copiadas de la NASA y dos o tres project managers, para concluir lo que todos sabemos al interior de IT, pero que también servira dentro de las medidas de contención en muchas de las organizaciones, al estilo de… contratamos una consultoría para que diagnostiquen el estado de nuestros procesos de seguridad (si los hay)... o invertimos en seguridad comprando la solución X o Y..., cuando el problema de fondo puede ser nuestra inexistente o precaria cultura de seguridad.

Las políticas y procedimientos seguro ya los tenemos, políticas de respaldo, procedimientos de actualizaciones de software (y firmware..?), políticas de antimalware, políticas de acceso y uso de Internet, procedimientos de control de cambios, uno o dos WSUS, software antivirus, Antispam, listas de bloqueo, etc,etc,etc Es hora no solo de tener los procedimientos y políticas sino de hacer que se cumplan.

No necesitamos más productos milagrosos (o si..?), ni necesitamos costosas consultorías que nos digan lo que todos sabemos, necesitamos trabajar, usar y mejorar lo que ya tenemos, en la mayoría de los casos, no es un problema de herramientas, ni de diagnósticos milagrosos, para la mayoría de las organizaciones que sean afectadas, sería una buena oportunidad para dejar de buscar chivos expiatorios y exorcizar  nuestros propios demonios  y poner en orden la casa; para poder justificar, si algo pasa siempre se podrán esgrimir los clásicos argumentos... que no tenemos X o Y solución, que hay que invertir más en Seguridad (que siempre es cierto), que nos falta gente, etc,etc.

Actualizare estas líneas en la medida que tengamos noticias del real alcance de este ataque y sus consecuencias, pero lo que sí es cierto es que la seguridad tiene hoy más visibilidad que nunca, lastimosamente debido a estas malas noticias y a las que vendrán más adelante y cada vez más seguidas, pero es tiempo de aprovechar estos momentos coyunturales para establecer la seguridad con la importancia que se merece

Update (16/05) Según reportes de algunos medios son más de 130.000 afectados en más de 100 países, no hay claridad de quien o quienes realizaron el ataque pero es claro que fue un esfuerzo coordinado de un equipo de personas, siguen infectandose equipos, aunque la solución pasa por instalar las actualizaciones en los sistemas vulnerables.... Como consecuencia natural ya hay al menos una versión diferente del mismo ataque circulando por la red, de la cual ya empezaron a reportar miles de víctimas...! así que el panorama no mejora, al parecer en algunas compañías optaron por "esperar" a ver que pasa y la seguridad no es una prioridad, estamos viviendo en una sociedad digital que utiliza cada vez más un sin número de servicios que lastimosamente están soportados sobre esquemas de seguridad caducos o inservibles.

A futuro vendrán otros ataques, cada vez van a ser más sofisticados, se pueden alimentar de la información que perdió la NSA o solo usar esta información para inspirarse y hallar maneras más eficientes de vulnerar la seguridad, en cualquier caso ya está probado que si este tema que en una sociedad hiperconectada la explotación de una vulnerabilidad es maravillosamente sencilla y contundente

IoT y el último adios a nuestra privacidad

Gracias a la conexión a internet de todo y todos, el IoT y la necesidad casi patológica de la gente de compartir en redes sociales absolutamente toda su vida e información, incluyendo la que no debería ser compartida, la privacidad sigue un camino en donde se volverá solo una utopía, un lejano recuerdo de las épocas en donde internet era para buscar algo que uno necesitaba, donde internet era el producto y no donde nuestra información es el producto como pasa hoy en día, nuestra información es la mina de oro que explotan los grandes de internet para seguir llenando sus arcas de dinero a expensas nuestras, como retribución recibimos servicios “gratuitos” como un servicio de correo, una aplicación de redes sociales, un buscador o un repositorio de fotos. 

La búsqueda en este mar de datos que crece a pasos agigantados ayudado por nuestros clicks, los Like’s y las búsquedas que hacemos todos los días, se ha refinado ayudando a mejorar tecnologías como Big Data, minería de datos e inteligencia artificial con las que los dueños de nuestros datos (que ya no somos nosotros mismos al aceptar usar esos servicios "gratuitos"  hacen mercadeo selectivo para poder presentarnos a medida que hacemos uso de las diferentes herramientas avisos personalizados y correos con servicios de temas asociados a nuestra vida personal o profesional, un “mejor servicio” según argumentan los grandes de internet mientras comercian con nuestra privacidad, con nuestros amores y desamores, con nuestras enfermedades, con nuestra afiliación política, sexual o nuestros gustos culinarios, da tristeza que una corporación para la que no somos sino algunos megas de información conozca o crea conocer, más de nuestra vida, que nuestra pareja, nuestros hijos y nuestros verdades amigos “y no hablo de los conocidos de las redes sociales, mal etiquetados como amigos”.

En la medida que el IoT consiga conectar más de nuestros dispositivos vamos a poder disfrutar de más servicios pero también vamos a perder lo poco que queda de nuestra privacidad, los dispositivos para mejorar el dormir, para hacer ejercicio, para desplazarnos, para desarrollar nuestras tareas laborales, de estudio o de entretenimiento podrán dibujar un esquema completo de nuestras actividades, reacciones, sentimientos, salud, gustos, sueños y esperanzas que estarán en la base de datos de alguno (o varios) de los grandes de internet y que los usaran como una mercancía que se vende al mejor postor, para hacer de todo lo que nos representa como humanos nos muestre como un cliente potencial de algún bien o servicio y todo ello sin nuestra intervención ni conocimiento, en la medida en que la explotación de esta información mejore, los algoritmos  estadísticos, el análisis predictivo y todas las tecnologías de análisis de datos mejoren, ya dejamos de ser nosotros mismos, seremos un porcentaje de acierto en alguna herramienta de análisis de datos que estará a la disposición de las compañías que pagan millones de dólares por saber cuándo y a donde vamos de vacaciones, cual es la comida favorita de nuestro perro o de nuestra pareja, o cuando será probable que tengamos algún periodo de ansiedad causado por el efecto colateral del medicamento para nuestra gastritis, los escenarios imaginables con casi infinitos pero el resultado será el mismo, hasta nuestra libertad de elegir se reduce drásticamente cuando un tercero sabe que necesitamos, cuando lo necesitamos y cuanto estaremos dispuestos a pagar por ello y además tiene la posibilidad de presentar su oferta directo a nuestros ojos, a través de nuestro computador, celular, Tablet, reloj, etc, etc.

Para los que amamos y trabajos en temas de seguridad el panorama además se vuelve aún más complejo, cualquier dispositivo conectado a internet, genera de manera automática preocupaciones no solo desde el punto de vista de la privacidad sino desde el punto de vista de la seguridad, los casos de hacking de carros, televisores, relojes inteligentes y dispositivos de salud (por mencionar solo algunos) ya son voz populi y se expandirán irremediablemente a todos los demás dispositivos imaginables que se conecten a internet con efectos difíciles de predecir, que pueden pasar por el robo de nuestra información, suplantaciones de identidad y fraudes financieros, hasta la muerte (si creen que exagero, que pasaría si vas a 50 kilómetros en tu vehículo y alguien decide acelerarlo al máximo y de paso dejarte sin frenos...?), los estándares del IoT están en desarrollo y crecimiento (al final de 2006 habían 2 billones de dispositivos conectados y se estima que para el año 2020 suban a 200 Billones, según intel), pero al igual que paso en sus primeros años con los grandes de la informática, al llevar dispositivos conectados a internet la seguridad no será uno de las prioridades sobre todo cuando la guerra de precios y el afán de llegar al público presione a los fabricantes de electrodomésticos y nuevos dispositivos a integrarlos a la red a la mayor brevedad posible.

http://www.intel.com/content/dam/www/public/us/en/images/iot/guide-to-iot-infographic.png

La gente del común deberá preocuparse “por fin” de este tipo de características de los nuevos dispositivos si no quieren que toda la información generan y recolectan estos dispositivos además de terminar como datos de los grandes de internet, terminen en manos criminales que obtengan también beneficios de ellos, para los profesionales de la seguridad nuevamente los retos solo hacen incrementarse y las ayudas no son muchas, la explosión que generara la IoT no facilita la seguridad que este tipo de dispositivos debería garantizar y a nivel corporativo los riesgos deberán evaluarse de manera correcta para implementar los controles adecuados, así pues, mientras estrenamos nuestros últimos gadget’s démosle de paso un último adiós a lo que aún quedaba de nuestra privacidad.

SOA ISO 27001

Señores luego de muchos meses en donde no agregue entradas a mi blog, retomo con el tema de la ISO 27001 versión 2013, a raíz de un proyecto en el cual estoy participando estuve buscando en internet algunas plantillas que me permitieran registrar realizar la declaración de aplicabilidad o el Statement Of Applicability de la ISO 27001, y claro que encontré algunas hojas que me sirvieron mucho, sin embargo decide usarlas de base y crear una que permitiera registrar la existencia o no de algunos de los controles dentro de esta evaluación inicial y que me permitiera generar de manera automática un par de graficas (con dos versiones de presentación cada una) a suerte de dashboard para mostrar a nivel gerencial y que fueran fáciles de interpretar y entender.

La evolución natural de este tipo de herramientas en una organización que de manera seria y comprometida se lanza a implementar este estándar con todas sus implicaciones es avanzar y usar algún software que permita esta misma tarea de manera más sencilla, llevando histórico mensual o bimensual de la evolución y quizás con algún repositorio de datos que permita almacenar por control las evidencias del cumplimiento de los mismos, políticas, procedimientos e instructivos y facilitar la generación de reportes o entregables cuando la auditoria interna o la de certificación decida solicitarlos, este tipo de solución debería ser en web (a título personal me pregunto porque aún existen en las compañías soluciones cliente servidor…?), debería ser una solución integrada con un sistema de autenticación centralizada como un LDAP o para ser un poco más exacto que cumpla con los RFC 2251, RFC 2256, RFC 2829 y un par de otros RFC (solo para que los usuarios de Windows no crean que esto lo invento Microsoft cuando en realidad el Active Directory de Microsoft es solo una “popular” de las muchas implementaciones de este protocolo) y tener un módulo de administración en donde se puedan definir con los permisos correspondientes los usuarios de las partes interesadas incluyendo alta gerencia y Auditoria, y por supuesto debería ser una solución de software libre, ¿ no es mucho pedir o sí..?

Algunas aplicaciones de software libre en esta linea son "ERAMBA" www.eramba.org/tag/isms y "VERINICE" https://verinice.com/en/product/ 

No he tenido la oportunidad de trabajar con ninguna de ellas, pero sus caracteristicas y documentación dejan ver que son soluciones que cubrirían las necesidades de cualquier compañia, como siempre habría que prestar un poco de atención el tema de soporte, pero incialmente son de alcance muy difrenete a un simple assessment.

El archivo, esta entonces sin ningún tipo de protección y por supuesto son libres de usarlo y distribuirlo, pero también quedan con la obligación moral de si lo mejoran, compartirlo, recuerden el conocimiento debe ser libre y es para compartirlo. Hay algunas oportunidades de mejora para ser una solución tan “simple” como agregar una columna en donde quede registrada el área encargada de implementar el control y generar una gráfica de este cumplimiento por responsable, o generar reportes más detallados por dominio, etc, sin embargo más allá de esto tampoco la hoja de cálculo nos facilita mayores controles, así que les dejo algunas imagenes del archivo y sus graficas y si a alguien le interesa me puede escribir y con gusto se los envio por correo.

                                           Figura 1: Entrada de datos validado por lista

 

Figura 2: Grafia de Implementación de Controles

 

Figura 3: Cumplimiento ISO 27001 por Dominio 

Archivo disponible aqui: SOA 27001:2013 

Hacking Cars

En anteriores reflexiones ya cuestionábamos la inseguridad implícita en el naciente internet de las cosas, dentro de los avances modernos, uno de los que más pueden cambiar el mundo son los vehículos autónomos, que hacen parte del concepto de ciudad inteligente, que traen muchas mejoras, que permiten de manera inteligente y apoyadas en información en tiempo real desde disminuir el tiempo de los recorridos, disminución de accidentes de tránsito, ahorros en consumo de combustible, utilizando la información para transitar por las  mejores y más rápidas rutas, hasta aislar a los pasajeros del mundo real por medio de tecnologías de inmersión en ambientes recreados como una lejana y no muy concurrida playa incluyendo los sonidos ambientales, para que los pasajeros olviden el stress de la vida cotidiana durante el tiempo que demore su viaje, GPS, reconocimiento de comandos por voz, cámaras, sensores de movimiento, radares, la posibilidad de que estos autos transiten de manera autónoma , sin un conductor humano al mando del vehículo es otra de sus características que ya lleva tiempo en prueba y para la cual algunas ciudades han comprometido fechas bastante cercanas de aprobación oficial con la cual podrán rodar por las calles.

Los adelantos tecnológicos de los que harán uso y la necesidad de interactuar con el entorno los conectan con internet de donde extraer y cargan gran parte de la información con la que interactúan (estado del tráfico, clima, embotellamientos, música, asistencia, etc), pero esta misma característica los hacen inseguros, la implementación de las conexiones a internet y el análisis de esta información para la toma de decisiones implica que tengan algún sistema operativo encargado de orquestar toda la operación necesaria, software con capacidad de analizar y correlacionar cientos de datos en tiempo real para con ello de manera programada tomar acciones en consecuencia implica de hecho una lógica que puede a través del software puede ajustarse o porque no cambiarse….

Además de las consideraciones propias de temas de responsabilidad en casos de accidentes, del análisis de si es bueno o malo (conductores sin empleo, bajas de ventas de vehículos, etc), y entrando al tema que nos interesa, la seguridad del vehículo vista desde el punto de vista de los diferentes elementos que componen el auto y de la inseguridad que es innata en cualquier sistema lo convierten en una red de computadores hackeable

http://www.forbes.com/sites/andygreenberg/2013/07/24/hackers-reveal-nasty-new-car-attacks-with-me-behind-the-wheel-video/

En 2010 y 2011 investigadores de la Universidad de Washington y de la UC de San Diego publicaron como resultado de su investigación los siguientes dos documentos

Experimental Security Analysis of a Modern Automobile

http://www.autosec.org/pubs/cars-oakland2010.pdf

Comprehensive Experimental Analyses of Automotive Attack Surfaces

http://www.autosec.org/pubs/cars-usenixsec2011.pdf

En estos documentos los investigadores demuestran como un hacker puede comprometer la seguridad del vehículo sin necesidad de tener acceso físico al mismo, demostrando que el hacker puede obtener acceso a través de Bluetooth, remote KEYLESS Enry, RFID’s Sistema de monitoreo de la presión de las llantas, WiFi y de comunicaciones dedicadas de rango corto, pero que también se pueden acceder con sistemas de rango largo (Mayores a un Kilómetro) como GPS, radios satelitales, radio digital y canales de trafico de mensajes.

http://motherboard.vice.com/blog/how-easily-can-a-moving-car-be-hacked

El nivel de seguridad según varios de los investigadores sería el de los primeros computadores conectados a Internet, esto sumado a los resultados de los investigadores dan un panorama de lo inseguro que puede ser transitar en uno de estos vehículos. Bloquear los frenos o estrellar un vehículo a alta velocidad se distancia un poco de la inseguridad que conocemos en los sistemas en donde las pérdidas son enormes, pero en donde rara vez como consecuencia directa de estas acciones una o varias personas están en riesgo de perder la vida, pero al colocar nuestra integridad física, nuestra vida o la de nuestra familia a depender de las acciones o reacciones de sistemas que han demostrado muchas vulnerabilidades explotables de manera tanto local como remota es otro nivel y en ninguno de los casos es una decisión trivial, aumentar la complejidad en un sector como el automotor en donde la normatividad es laxa incluyéndoles las no pocas preocupaciones de la seguridad informática cambia el horizonte y nos obliga a re-pensar todo el modelo, normas, leyes y demás de todo el sector del transporte.

Sin embargo desde mi punto de vista n auto de al menos una tonelada que puede desplazarse a más de 150 kilometros por hora con nuestra familia adentro controladó por miles de componentes cuya seguridad es muy pobre..... no es una buena combinación o si...?

El internet de las cosas apoyará a la obsolescencia programada?

Apreciados lectores, luego de algunos meses de ausencia motivados por la terminancoión de mis estudios, reromamos el blog y hablaremos de una de las tendencias que esta tomando mucho auge que es el Internet de las cosas, una de las vertientes más interesantes de los últimos tiempos, ya habíamos revisado algunas implicaciones de seguridad, pero dado la amplitud de esta tendencia seguramente solo estamos viendo la punta del Iceberg, el hecho de que una impresora (por mencionar un elemento de uso diario de millones de personas, aunque podemos hablar de los focos de la luz, etc) venga programada para dejar de imprimir al alcanzar un número determinado de páginas no solo es un atentado contra la calidad de los productos, sino contra el cliente que confía en una marca que destruye su propio valor con estas prácticas, sino que apoya el consumismo (que ya sabemos que está causando enormes prejuicios a nuestro planeta), la calidad del producto ya no tiene nada que ver con el ciclo de vida del mismo, simplemente cuando el fabricante quiera termina el servicio del producto.

El internet de las cosas le va a dar a la obsolescencia programada un argumento muy complicado de debatir y seguramente los fabricantes están ajustando sus argumentos apoyados en ello (algunos de ellos puede que ya lo hayan hecho)

La seguridad en el internet de las cosas será el nuevo argumento (alguien quiere discutir con ello ? o mejor puede alguien refutar convincentemente este solido argumento), el hecho de que nuestros elementos de uso diario se puedan conectar a internet para labores de actualizaciones, labores administrativas, control remoto y otras, solo será un caldo de cultivo para que las vulnerabilidades permeen un mercado que esta apenas en pañales y al cual le hace falta mucha madurez. Ya hace años existen los web site que permiten ver sin conocimiento de los dueños las cámaras web, será cuestión de navegar y ver si ya están disponibles, los sensores de humo, la neveras, etc.

Tal como habíamos apuntado en una entrada anterior, la implementación del protocolo TCP/IP en elementos que relativamente recién llegan a internet generaran muchas vulnerabilidades de seguridad, y el usuario común preocupado más por la funcionalidad que por la seguridad no las tendrá en cuanta hasta que sea demasiado tarde para la privacidad de su entorno o de su información confidencial, los exploits serán más complejos de diseñar (no de utilizar), habrá que saltar de la Nevera al televisor de este a la table o al PC´s y en alguno de ellos o en todos estará diseminado el tesoro de la información, privada, cuentas bancarias, reportes de salud, etc. El entorno puede terminar volviendo el entorno del hogar (con múltiples fabricantes, múltiples dispositivos y múltiples usuarios tan o más complejo que los entornos empresariales, con la desventaja que en estos últimos el uso de las tecnologías de seguridad es un requisito ampliamente conocido y utilizado (sin entrar en el detalle de la efectividad), las herramientas de exploit que avanzan más rápido que las de seguridad ofrecerán muy seguramente algunas que puedan escanear todo el entorno y abrirse paso por los diferentes dispositivos seleccionado los más fáciles de vulnerar y seguramente cubriendo las huellas apoyándose en los otros dispositivos, podemos en este punto imaginar varios escenarios a cuál de ellos más horrorizaste que el anterior, que nos vean en ropa interior viendo TV puede darle más susto al espectador ilegal que al despistado usuario, pero que de ahí revisen nuestro celular o que se lleven la base de datos de clientes de nuestra laptop corporativa es otra cosa, pero seguramente está más ceca de lo que prevemos.

Las dudas son muchas, como se manejara la seguridad de estos dispositivos, y quien les dirá a los fabricantes que yo quería tener mi impresora para regalársela funcionando a alguno de mis nietos, si dejaran de sacar las actualizaciones de seguridad mucho antes de que la calidad del dispositivo haga evidente que se debe cambiar…?.

La tarea de seguridad solo sigue ampliándose, sino que evidentemente cada vez se hace más compleja (sin contar con la poca ayuda de los usuarios), el modelo deberá migrar de manera lógica y natural a que no compres nada, solo alquilas los elementos durante el tiempo que tendrán soporte por el fabricante y el  los reemplazara por las nuevas versiones sin costo…. (amanecerá y veremos), este nuevo modelo que se vislumbra a futuro permitía a los fabricantes retomar sus productos y generar ahorros en materia prima, ahorros que de corazón espero que nos pasen a nosotros como usuarios. Y no habrá obsolescencia programada porque todo tendrá fecha de expiración, incluyéndonos a nosotros cuando la cibernética, la robótica y la nanotecnología nos eliminen nuestras falencias pero que hagan al hombre cada día más un producto con fecha de expiración.

Queda una alternativa para aquellos de la vieja escuela, un televisor no tiene por qué ser tan inteligente debe ser solo un televisor que lo pueda agar cuando yo quiera al igual que la mayoría de los elementos que empiezan a ser la estrella del internet de las cosas…..No hay que ser alarmista pero en mi casa todas las cosas que compremos serán medio tontas y verificare que sean fáciles de desconectar…..y ustedes….?

La especialización nueva tendencia

La intrusión de la que fue objeto Adobe en días pasados y que según los medios afecta la información de cerca de 3 millones de sus clientes y el código fuente de varios de sus productos estrella, entre ellos el popular Adobe Acrobat, ha levantado las alarmas acerca de las consecuencias que puede tener, algunos analistas de seguridad recomiendan la cancelación de las tarjetas de crédito que se usaron para realizar negocios con Adobe, ante la posibilidad de que se vean comprometidas, y alertan sobre las posibilidades de que se presenten múltiples ataques de 0 Day, aprovechando el análisis que del código fuente pueden hacer los hackers, dado que este tipo de ataques es muy exitoso y de que son pocas las contramedidas disponibles, es un panorama bastante oscuro para Adobe.

Aunque según las estadísticas del sitio http://datalossdb.org que registra las brechas de seguridad de las compañías con el número de registros afectados, está lejos de ser una de las más grandes en número de registros comprometidos, en estas estadísticas hay tres compañías con más de 100 millones de registros comprometidos, el hecho de que se puedan presentar ataques de 0 Day en un producto tan popular como adobe Acrobat es altamente sensible y aumenta el número de posibles atacados a cientos de millones de usuarios que usan el producto como el lector y generador por default de archivos en formato PDF, las consecuencias de este tipo de ataques solo se pueden suponer y habrá que esperar cómo evoluciona el incidente.

En este punto las soluciones de DLP (Data Loss Prevention) toman relevancia, su implementación y configuración son dispendiosas pero en ambientes hetereogeneos en donde controlar el flujo puede ser complejo, una buena solución da una visibilidad indispensable para saber quien, como y donde se accede a nuestros datos criticos y poder evaluar si los accesos son correctos desde el punto de vista del negocio

Pueden surdir en este punto varias preguntas adicionales acerca de las consecuencias del incidente de Adobe ¿ Si por el contrario el conocimiento del código fuente se utiliza para diseñar Advanced Persitent Threat (APT) enfocados como parte de un ataque más dirigido en donde el incidente de Adobe no es el final de la amenaza sino un eslabón más ?.

¿ Si en un par de años se descubre que luego de todo el humo mediático a raíz de este incidente, que al final quedará relegado como una noticia más acerca de fallas de seguridad y nadie se percata de que hacia parte de un plan más complejo y elaborado para hacerse a la información de alguna compañía o gobierno ?

¿ Que pueden hacer por la seguridad las compañías que no tienen los recursos financieros y tecnológicos con los que cuentan compañías como Adobe ?

Los ataques son cada vez más especializados y dirigidos, los ataques generalizados siguen sobre las plataformas con mayor número de usuarios como las tiendas de aplicaciones y el correo electrónico, en donde se hacen evidentes economías de escala, pero las APT y los ataques dirigidos son más comunes de lo que parece y los intentos de pasar las barreras de seguridad de objetivos claramente identificados con cada vez más usuales, ¿ nuestras empresas estarán preparadas para este nuevo foco de ataques…?

Las fallas de seguridad son cada vez más comunes y más críticas y las nuevas regulaciones de seguridad, como las que están proponiendo en la Unión Europea exige que las compañía las reporten, con ello los usuarios comunes pueden saber en cual compañía su información fue comprometida y tomas las medidas del caso para disminuir el efecto del compromiso sufrido, mientras que las personas que trabajamos en seguridad vemos como se incrementan las regulaciones y con ellas los controles necesarios para atenderlas, y se incrementan así mismo las inversiones, la infraestructura necesaria, las capacitaciones en nuevas herramientas, la colaboración con los órganos de control y  se incrementa también la especialización necesaria para poder comprender y contener las nuevas amenazas de este mundo globalizado.

Prism, PUMA o Ambos...?

En una entrada anterior, en donde realizábamos algunas reflexiones acerca de la perdida de la privacidad en Internet, titulada ¿El fin de la Privacidad? Nos cuestionábamos hacia donde se dirigía la privacidad de nuestros datos publicados en línea (lamentablemente la mayoría de los datos publicados de manera consciente por nosotros mismos), las respuestas a algunos de estos cuestionamientos no se han hecho esperar, han varias noticias recientes que nos muestra el camino que está tomando nuestra privacidad, para el caso de los estados unidos las filtración del programa llamado “PRISM” de la agencia nacional de seguridad de los Estados Unidos (NSA) realizada por Edward Snowden que trabajo como contratista para la CIA, en donde revelo que con este programa se realizan operaciones de vigilancia sobre los principales servicios de internet

http://www.enter.co/vida-digital/el-escandalo-por-prism-sigue-su-curso-mientras-la-indignacion-crece-en-internet/

Hasta el programa Colombiano llamado “PUMA” que es una evolución de un sistema que ya está en uso y que se llama “Esperanza” que funciona dentro del búnker de la fiscalía en Bogotá

http://www.enter.co/colombiadigital/puma-el-prism-colombiano/

En donde el gobierno utilizara recursos del orden de los 100.000 Millones de pesos para implementar controles a información que viaja por internet, apoyados en parte por decretos como el 1704 del 15 de Agosto de 2012 expedido por el ministerio de las tecnologías de la información y las comunicaciones, en donde palabras más, palabras menos autorizan la interceptación legal de las comunicaciones como un mecanismo de seguridad pública y definen en esta línea los deberes de los diferentes proveedores de redes y servicios de telecomunicaciones. A estos hechos recientes donde queda claro que lo que hagamos en internet no es privado se suman las ya conocidas fallas de seguridad de los mismos sitios en donde de manera inocente acude la mayoría de la gente a dejar su información personal (para el uso de los gobiernos respectivos, sin cuestionar si sus intenciones son altruistas o no), la más reciente de la red social FaceBook en donde el fallo de seguridad expuso la información de 6 millones de personas (que comparados con los más de mil millos de usuarios puede ser una cifra no muy significativa)

http://www.elespectador.com/tecnologia/articulo-429560-brecha-de-seguridad-facebook-expuso-informacion-de-6-millones-de

En algunos foros especializados en donde se discuten este tipo de temas, se ha llegado a predecir incluso que en un futuro, vamos a tener que pagar un impuesto para poder garantizar la privacidad de alguna de nuestra propia información, mientras el centro de datos “espionaje” de la NSA queda en medio de un desierto en Utah con lo mejor de la tecnología e infraestructura necesaria para gestionar un Yottabytes de datos  http://www.wired.com/threatlevel/2012/03/ff_nsadatacenter/

Estas noticias que son del conocimiento general, nos dan una buena idea de cuál va a ser la evolución de la privacidad en internet, las perspectivas no son halagadores desde el punto de vista de la privacidad y las opciones de los usuarios de los servicios son cada vez muy limitadas, y últimamente se restringen básicamente a aceptar las condiciones de uso de los servicios en donde queda implícito que el gobierno puede interceptar y utilizar nuestra información con el propósito de protegernos o negarse a aceptar las condiciones y simplemente no usar los servicios. Las asociaciones de protección de la privacidad tienen amplias campañas solicitando apoyo para detener estas loables iniciativas del gobierno (caso PRIM) y tocara esperar la reacción de los colombianos (que al parecer somos menos preocupados por las implicaciones de estas leyes).

 Un poco al margen de esta discusión acerca de la conveniencia de que los gobiernos nos protejan de nosotros mismos, desde el punto de vista de la tecnología surgen también algunas inquietudes, quien supervisa que el uso de la información sea el correcto, y como ya conocemos la idiosincrasia de  nuestra querida patria, quien va a supervisar al que supervisa…?, como se garantizara que esas herramientas que permiten monitorear en tiempo real las telecomunicaciones y que cada vez son más comunes, no terminen en manos de la delincuencia organizada y sirvan para acabar de oscurecer el panorama de la ya precaria seguridad de las comunicaciones electrónicas (nuevamente aquí sin entrar en las reflexiones de quien tiene la culpa de estas condiciones). Las reflexiones son muchas, las condiciones cambiantes de la tecnología deberían facilitar la seguridad de nuestra información en la red y no facilitar que la información se exponga (con motivos validos o no).

Dispositivos Moviles y Smartphones, algunas reflexiones

En un artículo anterior hablamos de la convergencia como una tendencia natural en el mundo de la tecnología, y de los móviles como el gadge por excelencia, y la evolución de las tecnologías nos ha mostrado de manera más clara este camino, los pronósticos son fáciles de hacer, smartphones cada vez más potentes en hardware, pantallas más grandes (no demasiado en lo personal creo que el límite de 5 pulgadas es el adecuado, para las pantallas más grandes son incomodas de utilizar), procesadores con más core y más memoria RAM para la utilización de las diferentes plataformas, por el lado de los sistemas operativos las tendencias están claras (por el momento) y los nuevos jugadores llegan a un mercado saturado y con ecosistemas muy fuertes, los líderes indiscutibles son Android y IOS, los nuevos jugadores como Ubuntu y otros antiguos como BlackBerry y Windows Phone, siguen en la lucha (windows phone tiene mucho potencial de mercadeo y un ecosistema desde la PC que está intentando llevar a Windows Phone y los usuarios de BB son muy fieles a la marca).

Lo que nos depara el futuro será mucho malware para móviles de las plataformas más populares (cualesquiera que están sean y con lógica por dedicación de recursos), la plataforma más popular será la que tenga más malware diseñado para ella, con un panorama tan complejo puede perderse fácilmente el norte, pero hay un fenómeno detrás de esto que no es muy claro para la mayoría de los usuarios, pero que ha surgido desde las empresas en donde las políticas de traiga su propio dispositivo (Bring Youy Own Device BYOD) ha generado para las empresas un escenario más complejo que el de los usuarios individuales, los dispositivos móviles, empezando por los teléfonos inteligentes se empezaron a colar en los escenarios corporativos con bastante rapidez, de mano de los gerentes y presidentes que dadas sus necesidades de movilidad vieron en ellos unos excelentes aliados de sus jornadas de trabajo, pero para las áreas de IT se empezaron a volver una piedra en el zapato, a sus ya complejos escenarios de infraestructura y telecomunicaciones hubo que sumarles el soporte, mantenimiento y requerimientos especiales de estos dispositivos, muchas áreas de IT, tuvieron que usar su sentido común para soportar dispositivos que no tenían para su trabajo diario, y a los cuales debían dar soporte de manera eficiente.

Cuando el número de dispositivos paso de ser un par, a ser varias docenas el problema se expandió de manera exponencial, y las soluciones de administración de dispositivos móviles (MDM Mobile Device Management) se empezaron a popularizar, estas soluciones que permiten registrar (o enrolar para usar el anglicismo que están popularizando sus creadores) dispositivos de diferentes sistemas operativos y administrarlos de manera centralizada y remota (gracias a los necesarios planes de datos que requieren las funcionalidades de la mayoría de estos dispositivos para un uso eficiente), lo que permite autorizar o no, el uso de determinados aplicativos a determinadas horas y en determinados lugares, ya hay más de cien fabricantes de soluciones de este estilo, pero las soluciones lideres serán las que administraran en un futuro no muy lejano la mayoría de los dispositivos de nuestras compañías y mucho más importante aún, facilitaran la administración de la seguridad de los dispositivos en si mismos y de la información que se genere, almacene y transmita  a través de ellos.

Movil Device Management

Las consideraciones de seguridad en estos dispositivos están surgiendo y evolucionando a la par de la madures de los sistemas operativos que las manejan, y es allí en donde debemos hacer seguimiento e interesarnos en la manera en que la seguridad evoluciona, el malware para las plataformas móviles es muy alto, y en un futuro cuando muchas de nuestras aplicaciones corporativas se muevan completamente al mundo móvil, apalancados en las necesidades de movilidad de los usuarios y en la anywhere computing, allí es donde la seguridad dejara de ser en su mayoría perimetral y en menor proporción móvil y esta tendencia se revertirá por completo, esto acarreara el rompimiento de viejos paradigmas y nuevos e interesantes retos para las herramientas con las que se realizan las labores de seguridad en nuestras compañías, el flujo de la información confidencial de nuestras compañías dejara de reposar en el file server y la mayoría de datos reposaran en los teléfonos de nuestros funcionarios , al lado de los archivos de música y de las fotos del último paseo, allí, en donde es más complejo llevar el control tendremos que librar las batallas por conservar la seguridad de los datos corporativos sin impactar ni la disponibilidad, ni la integridad ni la confidencialidad de la información personal que estará almacena en ellos.

Las herramientas que facilitan este tipo de administraciones, se integraran con las demás de nuestra plataforma y empezaran a crecer (mientras la otras herramientas de administración empezaran a decrecer proporcionalmente en la medida que los dispositivos móviles se tomen el protagonismo y se conviertan en el gadget por excelencia), estos jugadores se afianzaran en el mercado y maduraran junto con esta tendencia, lo que supondría que serán soluciones perfectamente integradas y maduras que facilitan las labores de administración y soporte de esta creciente capa de nuestra infraestructura

 Los retos para la industria son grandes, y para las compañías aún más grandes, al fin que los usuarios comunes y ajenos a estos detalles técnicos lo que están pidiendo es "la posibilidad de trabajar cuando y desde donde quieran con uno o varios dispositivos de la empresa o personales y con la seguridad garantizada" que al fin de cuentas no es mucho pedir o sí...?

¿El fin de la Privacidad?

Luego de algunas semanas sin poder publicar retomo las reflexiones del blog con un tema de mucha importancia como es la privacidad, y aunque ya habíamos mencionado el termino en algunas de las reflexiones hechas en artículos anteriores del blog, el tema de la privacidad esta por fin llamando la atención no solo de los expertos sino de la gente del común, los cambios en las políticas de la privacidad realizados en las redes sociales y en el buscador de Google el año pasado, llamaron la atención de todo el mundo, los recientes cambios de las políticas de la red Instagram consiguieron que esta perdiera un  número importante de usuarios cuando anuncio que legalmente podía vender las imágenes que los usuarios habían subido a la red

http://enter.co/tag/polemica-de-instagram/

https://www.eff.org/search/site/instagram

Las organizaciones de defensa de la privacidad se pronunciaron ampliamente, el fracaso de las leyes SOPA/PIPA y sumado al suicidio de Aaron Swartz activista de Internet quien a los 14 años ya era coautor de las especificaciones de RSS, han enmarcado una lucha más abierta por la defensa de la libertad de Internet y la privacidad como base de la misma, sin embargo los desarrollo de las nuevas tecnologías que buscan prestar mejores servicios basados en el conocimiento de nuestros gustos y preferencias invaden nuevamente "de buena voluntad" nuestra ya mermada privacidad, en la feria de Electrónica de Consumo (CES) que se llevo a cabo en la ciudad de las Vegas hace unos días nos mostraban los últimos televisores inteligentes que no solo reaccionan a las señales realizadas por el usuario utilizando para ello una cámara sino que con esta misma cámara pueden vernos...los propósitos iniciales de este nuevo uso de los televisores son mercadeo selectivo, pero el uso final de esta nueva funcionalidad puede empezar a difundirse entre las pocas regulaciones que protegen nuestra privacidad y los contratos legales que nadie lee, pero que todos aceptamos en el uso de estas nuevos dispositivos y aplicaciones tecnológicas.

Ya hace algunos meses existe un malware llamado PlaceRaider que de manera inadvertida para el usuario a través de su celular toma fotografías y las sube a la nube con otra información como fechas, horas y localización (ayudados por el infaltable GPS) para luego generar imágenes en tres dimensiones de los sitios en donde está el usuario víctima del malware, el desarrollo fue de un equipo de la universidad de Indiana en Estados Unidos en conjunto con el Naval Surface Warfare Center en Crane, Indiana, pero se especula que puede terminar en el  mercado negro y terminar destinada al espionaje (industrial, militar o individual) de hecho ya se consigue en Internet.

http://www.infosecisland.com/blogview/22505-PlaceRaider-3D-Visual-Malware-from-Military-Research.html

http://grupogeek.com/2012/10/02/placeraider-un-malware-para-android-que-toma-y-sube-fotografias-sin-tu-permiso/

El gadget tecnológico por excelencia puede ser ya nuestro peor enemigo en temas de privacidad, si a esto le sumamos que nuestro televisor (y  muy seguramente le seguirán los demás electrodomésticos como la nevera o el horno microondas) pueda espiarnos  cuando estamos en la intimidad de nuestro hogar, y que las redes sociales en las que muchos suben las fotos de su vida diaria y pasan horas compartiendo con sus "amigos" aspectos de su vida familiar, social, laboral y sentimental puedan dispones de nuestra información a su antojo, oscurece del todo el panorama, las leyes son y serán siempre muy lazas y la jurisprudencia nunca avanzara a la par de los avances tecnológicos, lo que nos dejara siempre desprotegidos.

En la medida que la tecnología se tome partes más cotidianas de nuestra vida y nos ayude con las tareas que realizamos a diario, las mismas funcionalidades que la hacen atractiva para su uso, la hacen a la vez peligrosa para nuestra privacidad, sin una legislación clara sobre el uso de la información que se recoge de nosotros y con los claros riesgos de seguridad que son implícitos en la implementación de estas nuevas tecnologías, nuestra privacidad está ahora más que nunca en riesgo. La pregunta es ¿que vamos a hacer para proteger nuestra privacidad?, las respuestas pueden ser muchas; desde no hacer nada… total puede que no me importe que me vean sentado en pijama  en el sofá de mi casa con mi familia viendo televisión, o la posición más extrema que es aislarse de estas nuevas funcionalidades, que no solo es demasiado radical sino que perderíamos funcionalidades que pueden ayudarnos en nuestra vida diaria, la respuesta está en medio y puede tener muchos matices, sin embargo es nuestra responsabilidad estar consciente de los riesgos que nuestra privacidad tiene en el mundo moderno.

Aunados a estos esfuerzos hay que ser muy precavidos con la información que de nosotros mismos publicamos en linea, puede que no se necesite investigar mucho de nuestra vida, si ya nosostros mismos nos encargamos de revelarlo todo.. como se puede ver en el siguiente video
http://www.youtube.com/watch?v=rtZuErkLH50