Hablando de TI

Recientemente han ocurrido una serie de ataques a nivel internacional que comprometen seriamente la seguridad de Internet como un todo. Si a esto sumamos los ataques de Anonymous, las historias de WikiLeaks con sus fugas de información, los ataques patrocinados por “países” y los robos de identidades, pareciera que los ciudadanos de a pie podemos hacer poco por defendernos.

Pero muchos de estas calamidades cuentan con un punto en común: los delincuentes logran acceso a la información gracias a una política de protección mala o poco severa, ya sea de un usuario, una empresa o una organización tan grande como el servicio diplomático de los Estados Unidos. La gran mayoría de estas brechas de seguridad ocurren por que un eslabón –el más débil– de la cadena se rompe facilmente.

¿De que sirve que su compañía contrate a la mejor consultora de seguridad para desarrollarle políticas de seguridad estrictas, si los empleados anotan la contraseña de acceso a la red en un post-it que fijan en el monitor?

Si los usuarios tomamos conciencia de los peligros y actuamos para defender nuestra información haremos mucho más difícil el trabajo de los a veces mal llamados Hackers. Aquí va una lista de recomendaciones que puede implementar desde ahora para mejorar su seguridad y la de sus datos:

1. Utilice contraseñas fuertes, únicas y difíciles de adivinar: Evite usar contraseñas fáciles de adivinar como nombres de familiares, mascotas, que cualquier conocido o un hacker habilidoso puede obtener de datos en la red. Lo mejor es usar contraseñas largas que combinen letras números y símbolos, y no repetir estas contraseñas en todos los servicios que se usen. Usar familias de contraseñas, todas diferentes pero relacionadas, suele ser la mejor opción para aquellos que les cuesta recordar muchas contraseñas. Cámbielas con cierta frecuencia.
2. Cuidado con la información que publica: Evite mostrar datos de más en redes sociales. Retire de Facebook y otros servicios datos como el año y ciudad de nacimiento, publique pocas fotos de su casa y de su trabajo –de ser posible ninguna– o de los lugares que frecuentemente visite. Evite colocar datos exactos de la familia y de su vida
3. Revise las aplicaciones a las que les da acceso en redes sociales: Evite usar aplicaciones en Twitter o Facebook que realmente no necesite. Retos, calendarios adicionales, juegos en línea y muchos otros programas logran acceso a datos personales que usted sólo revela a sus amigos, y que en manos de un desarrollador poco escrupuloso podrían llevar a un ataque de su cuenta.
4. Revise siempre que está dando sus datos de usuario y contraseña en los sitios reales y use siempre la conexión segura: asegúrese que la dirección en la barra del navegador sea la que realmente usted quiere visitar y seleccione en las preferencias de sus redes sociales el uso de conexiones seguras (https)
5. No haga clic en todos los enlaces que le llegan. Si está disponible active en las preferencias el visualizar completo las direcciones “recortadas” y haga clic sólo en enlaces enviados por personas confiables. Si la red social que usa no se lo permite, hay añadidos (plug-ins) para los principales navegadores que le muestran los enlaces completos con sólo poner el cursor sobre ellos.
6. Evite acceder a redes sociales, sitios de correo y bancos desde PC que no le pertenecen. La mayoría de los supuestos “hackers” que actuan en casas, empresas y entornos reducidos, lo que hacen es instalar programas malintencionados que capturan contraseñas, nada digno de un cerebro del más alto nivel, más bien un truco de bajo nivel. Evite usar sitios web que requieren identificación en lugares como cibercafes o PC compartidas.
7. Mantenga su antivirus al día. Esta es una de las medidas más básicas y que muchos a veces ignoran. Mantener el antivirus al día puede evitar infecciones de programas maliciosos que buscan robar contraseñas y nombres de usuarios.

Si sigues estos sencillos consejos y aplicas un poco de precaución lógica, amigo lector harás muy difícil que al hablar de ataques de hackers desde estas páginas esté realmente hablandodeti.

Otros

Los ataques de Anonymous, las revelaciones en la red de wikileaks, la revolución jazmín, las amenazas terroristas y las revueltas de Londres están configurando un mundo donde probablemente termine imponiéndose el concepto chino de Internet supervisada, usando como argumentos la seguridad nacional y hasta el bien de la humanidad.

Hasta ahora Internet había logrado imponer un modelo de sociedad futura que parecía basado en una Utopia, pero que permitía soñar. Incluso los problemas que acarreaban Spammers y creadores de virus parecían solucionables, con una buena dosis de trabajo.

Pero al momento que los anarquistas comenzaron a usar la red para crear caos, que los ciudadanos empezaron a organizarse en la red tan bien como para tumbar regímenes, y en general que las redes sociales se extendieron de modo importante y se volvieron cada vez más inmediatas, las cosas se han empezado a complicar. El mundo occidental y democrático, defensor a ultranza de los derechos humanos, ha empezado a dejar de ver la Internet como un derecho que se debe disfrutar “totalmente”, sin restricciones. Una cosa pensaban en el Reino Unido cuando los egipcios se organizaban usando twitter para quitarse de encima a Mubarak y su régimen, y una cosa muy distinta cuando los jóvenes se animaron a protestar en Londres y otras ciudades. Si al embajador del Reino Unido en Egipto, por dar un ejemplo, le intervenían su Blackberry la respuesta de la Real Diplomacia del Reino no se hubiera hecho esperar. Pero cuando se habló de intervenir Facebook, Twitter y el Blackberry Messenger para frenar las protestas, no hubo repercusiones importantes. Ya se sabe que Obama cuenta con un botón rojo –que no es un botón—para apagar Internet –o al menos parte de ella—en su país en caso de emergencia, y es seguro de que no es el único país donde están pensando en soluciones parecidas.

Y mientras aumentan los ataques de Anonymous, mientras los Indignados sigan usando tecnología, y los gobiernos se preparen para atacarse entre sí en la red, estaremos cada vez más cercanos a que en el mundo se de un movimiento de gobiernos buscando restringir, o al menos intervenir y supervisar, la red y los mensajes que por ella viajan, al mejor estilo chino. Quizás entonces, China encuentre así otro rubro más de exportación: la de expertos en censura.

Ojala y que pase algo que permita cambiar esta realidad que nos acerca al modelo censurador que se está gestando, y yo pueda seguir hablandodeti querido lector, sin que nadie nos censure.

Otros

La situación de la empresa nipona es desesperada. Sony, que otrora enfrento a todos los rivales de fabricación de electrónica y salió bien librada, enfrenta a un gigante invisible que la golpea sin cesar. Ya se pierden de cuenta los ataques a Sony en este año, y aún nadie termina de contabilizar las perdidas que esto produce.

Sony, empresa conocida por contar con prácticas corporativas muy afinadas, enfrenta a un colectivo intangible. Los tribunales y las demandas poco sirven para enfrentar esta amenaza. Productos de gran calidad y tecnología de punta en los dispositivos, poco pueden hacer por la marca. Una guerra de precios no tiene sentido. Las armas corporativas, no tienen lugar en esta lucha.

Sony debería ante todo modificar su sistema de protección intelectual. Redituar a costa de los juegos vendidos para PS3 y del sistema en línea es posible, si se deja de lado el estricto celo de propiedad intelectual que los ha llevado a cerrar sus plataformas. Permitir que Linux corra en sus consolas PS3 no ocasiona un daño tan grande como el que enfrenta actualmente. Después debe cuidarse de actuar ante individuos, en especial hackers, como lo haría contra las corporaciones. Demandas multimillonarias, amenazas de cárcel y persecución a los que quiebren sus sistemas de seguridad, genera una solidaridad automática de todos los hackers, incluyendo los que lo hacen sólo por divertirse.

Es más, Sony debería ir un poco más allá y liberar sus interfaces para la generación de juegos, y permitir que cualquiera genere juegos para el PS3 y las otras plataformas. De hecho, si voltea hacia Apple y su AppSotre, podría tener una buena idea de como convertir en rentable, ese gesto de buena voluntad.

Por último, pero no menos importante, Sony debería contratar a los mejores “white hackers” disponibles, esos muchachos que abandonaron las andanzas de hackers y ahora ayudan a empresas, o los que siempre quebraron la seguridad de sistemas, sólo para demostrar que se podía, pero nunca cometieron delitos. Ellos son los únicos que podrían desarrollar sistemas de protección eficientes. Si yo fuera sony, ya tendría en la vista a más de una docena de ellos.

Sólo así Sony, lograrás que la gente esté hablandodeti sólo cosas buenas, lograrás que el ecosistema crezca, los hackers te dejen tranquila y hasta sacarás dinero de todo esto. Al fin y al cabo…¿quién no quiere tener un equipo Sony en casa, ya sea un PS3, un PSP, un TV, una laptop o un equipo de sonido?

Otros

Normalmente asociamos el uso de tecnología para cometer crímenes con robos de identidad, phishing y otras prácticas. Pero hay un nivel distinto, donde los criminales usan la tecnología como cualquier persona, para obtener más información sobre sus víctimas de manera sencilla, sin necesidad de contar con complicados kits de desarrollo de botnets, o con gusanos truculentos. Y es de esta amenaza, una de las más comunes, de la que más fácil es protegerse y sin embargo la mayoría de las personas suelen pasar por alto la norma básica: usar el sentido común.

La gente que insiste en colocar en su Facebook cuanta foto se toma, los que usan redes sociales como FourSquare, los que colocan en tweeter todos sus movimientos, deberían reconsiderar su actitud, y empezar a filtrar contenido, a escoger adecuadamente el momento en que liberan la información y a dejar de usar algunos servicios de geolocalización.

Para muestra de lo que puede pasar voy a remitirme al atentado terrorista de 2008 en la ciudad de Mumbai –antigua Bombay– en donde 10 terroristas paquistaníes pusieron en jaque a una ciudad de casi 20 millones de habitantes, y desbordaron a las fuerzas policiales gracias al exceso de información publicada. Durante los tres días que duro el asedio, los terroristas se fueron nutriendo de los informes d ela radio, TV y redes sociales para escapar o reaccionar ante los movimientos de las fuerzas de seguridad. Identificaban rehenes usando resultados obtenidos en Google, se nutrían de la localización de los usuarios de twitter que reportaban acciones, y aprovechaban todos los recursos que sin querer se ponían a disposición de ellos. La fiebre de los medios extranjeros por obtener entrevistas y mensajes de usuarios de twitter que estaban en el lugar de los acontecimientos seguramente llegó a costarle la vida a mas de una persona. El total de 173 muertos y 308 heridos, causados por sólo 10 personas con armas de mano –no usaron armas de destrucción masiva—habla por si sólo de la efectividad de este comando, que contaba con un centro de operaciones desde el que un terrorista monitoreaba medios para avisarles y usaba Internet para identificar posibles rehenes, como fue el caso de KR Ramamoorthy, presidente del ING Bank en India, reconocido mediante el uso de Internet. En el comando de control, el terrorista allí obtuvo su foto en Google y los describió telefónicamente al terrorista que lo apresó.

Todo este escenario de caos se prolongó por tres días gracias a la información en vivo que obtenían los terroristas, lo que en buena medida nos da una idea de que no siempre es conveniente colgar en la Internet toda nuestra información. Y es que hay veces que es mejor evitar que otros estén hablandodeti y de lo que haces.

Otros

Para celebrar las primeras 170.000 páginas servidas en hablandodeti.com –y en vista del gran centimetraje y atención obtenidas por el tema de seguridad en estos días—estaré llevando a cabo una serie de entrevistas a expertos de seguridad que nos permitan forjarnos una mejor idea del panorama tan complejo que representa la seguridad en la actualidad. En este primer tema Christian Linacre, experto de seguridad de Microsoft trata el tema de los ataques a los sitios web.

Después de los ataques a twitter y facebook de las semanas pasadas, he tropezado con dos dueños de páginas web que me han confiado lo agradecidos que están de no tener un sitio web de gran alcance para no ser víctima de este tipo de ataques.

Y es que los ataques de denegación de servicios –que ahora se realizan de manera distribuida—son de los más sencillos, pero al mismo tiempo más efectivos. Digamos que el gran punto aquí es conseguir una gran red de computadoras que permita ejecutar el ataque. Los métodos para enfrentar un ataque de este tipo tampoco han variado mucho: determinar las direcciones de las máquinas que están realizando el ataque y bloquear el tráfico que desde allí proviene.

Para conocer más de cómo un sitio web puede protegerse de estos ataques, charlamos con Christian Linacre, Gerente de las Iniciativas de Seguridad y Privacidad de Microsoft Latinoamérica, a quien pregunte sobre la forma en que Microsoft defiende sus sitios. Linacre destaca dos piezas fundamentales en la estrategia de Microsoft para protegerse de este tipo de ataques y que pueden servir de guía a las corporaciones que quieran aumentar la seguridad de sus propios sitios web. La primera estrategia es contar con una plataforma altamente virtualizada para optimizar de manera sencilla el manejo de cargas. Esta estrategia le permite a Microsoft contar con “miles” de servidores virtuales entre los cuales repartir la carga minimizando los efectos del ataque. La segunda estrategia pasa por tener una red inteligente, dotada de filtros y controles, en cortafuegos inteligentes, capaces de detectar este tipo de anomalías y aislarlas de manera automática.

Linacre está seguro de que esto no es una solución perfecta, pero destaca que hasta ahora ha resultado muy efectiva.

Respuestas a la crisis

Pero si un sitio web –a pesar de las medidas preventivas que pueda haber tomado—cae en un ataque de este estilo lo primero que debe hacer es analizar el tráfico para intentar determinar las direcciones IP de donde proviene el mayor tráfico y rechazar toda comunicación que provenga de ellas, sin siquiera analizar si el contenido es válido. Muchos sistemas de seguridad –conocidos como sistemas de detección de intrusos—tienen esta funcionalidad implementado según señala Linacre

A pesar de que muchos usuarios puedan pensar que mientras se está en un ataque las empresas proceden a buscar al culpable para anularlo, generalmente este es un pso que ocurre después, en una investigación forense digital, que busca determinar el origen de los ataques, para desde allí determinar el posible culpable. Con las grandes redes de computadoras zombie que existen –las botnet—esto es cada vez más complicado de realizar.
Los computadores infectados que son usados para estos ataques, pueden llegar a ser aislados del resto de la Internet en acuerdos con los proveedores de acceso, así que resulta conveniente evitar que los computadores se infecten. Linacre señala que además de las medidas comúnmente divulgadas de mantener actualizado y protegido el PC, hay ciertos hábitos que pueden ayudar a las empresas y los individuos a mantener a sus PC s fuera de estos ataques. Mantener actualizada la PC y contar con una solución de seguridad actualizada genera un entorno seguro, que puede ser optimizado con medidas tan simples como mantener apagados los PC mientras no se usen, ya que en horas no laborables suelen suceder muchos de los intentos de intrusión. Además si el PC se encuentra infectado y no se ha detectado la infección, este hábito ayudará a disminuir el efecto de los criminales.

Por supuesto que las acciones a tomar con los proveedores de acceso, dependen de cada país, su legislación y los acuerdos existentes, pero en caso de que la red de una empresa esté infectada y participe en un ataque, las consecuencias podrían ser quedar totalmente desconectado, lo que puede implicar un gran costo.

Por último Linacre recomienda a las empresas que tienen iniciativas en la web susceptibles de ser atacadas, que cuenten con un hosting seguro. Si lo hacen con terceros, el recomienda exigir ver los planes de contingencia del mismo, para saber que harán en caso de un ataque de este estilo y si estarán en capacidad de enfrentarlo. Si hospedan su sitio web en computadoras internas, deben tener más precauciones, incluyendo versiones estáticas del sitio que se puedan colocar en línea y software de detección de intrusos que les permita reaccionar en caso de estar bajo ataque, y seguir entonces hablandodeti con sus clientes.

Otros

Parecía una mañana cualquiera. El tráfico en la autopista no me hacía presagiar nada anormal. Llegando al trabajo y arreglando las ideas para trabajar, recibo una interrupción telefónica antes de las 9:00 am –algo que pocas veces sucede, ya que sólo @lidiapinto tiene la fe suficiente para creer que los periodistas existen antes de esa hora—se trataba de @lindriago con el primer mensaje de alerta. Tras un breve intercambio de cortesías –las usuales y acostumbradas entre nosotros dos, que son una especie de handshake lingüístico—disparó su preocupación: llevaba rato intentando conectarse a Twitter y no podía.

No bien hube llegado a mi oficina –sólo minutos después de la conversa con @lindriago– y @tutudominguez me recibió con un sonoro “no hay twitter en ningún lado” le comente que efectivamente no habia podido entrar en Ubertwitter pero que había que verificar que tipo de falla se estaba presentando. Minutos más tarde, y mientras aún tipeaba la contraseña en mi PC y Windows iba hasta Seattle a pedir autorización de arranque –esa debe ser la razón de que tarde tanto—la misma @tutudominguez me confirmó lo más temido: amigos de Australia y Whateverland –no recuerdo de donde, pero era lejos con ganas—le confirmaban que no había twitter. Tragedia Mundial.

Esa mañana mi ciclo de preparación para el trabajo fue más corto. No puedo negar que twitter rebajó a FaceBook en mi, a una aplicación para cuando tengo más tiempo libre, así que ese día al abrir facebook antes que twitter –ritual religioso que ejecuto unas tres o cuatro veces al día—sentí que me faltaba algo.

No sabía en ese momento qué se estaba desayunando @huguito. Ni idea de los pobres mortales que quedarían sin trabajo por no leer a @justinomora o @josemanuelr. O que cosa útil podrían decir @modulor, @nuneznoda o @jamaldo, con sus buenas intervenciones. Y si eso es así imaginense desconocer la última actuación en twitter del gordo @fmonroy o su escudero @antonioduarte55 (algún dia me explicas hermano, quienes son los otros 54 mortales que se llaman como tu). Aunque pensándolo bien a ambos mejor les queda el papel de @ElQuijote y @SanchoPanza, donde el escudero debería ser el gordo Fran.

Ni siquiera pude ver si @vaness169 escribió algo nuevo en su blog, si @francispedrotti salió al trabajo o si @pequiscarter abordó de nuevo un autobús para pasar en él, la mitad del fin de semana. Tampoco podía saber si @skyrider4 estaba haciendo ñoquis o presentando una entrevista en @ElNacional. Pero a @lofrito si lo ví, apenas minutos después.

En fin se trato de un día muy extraño, un día en que muchos nos vimos obligados a trabajar por culpa de un ataque DDoS (De Desgraciados o Sinvergüenzas).

Fdo.
@aleon1969

Otros