El auge de la Wi-Fi está categóricamente asentado ya en nuestra sociedad. Desde cafeterías, restaurantes, centros comerciales, ayuntamientos, aeropuertos, hoteles, etc.. ofrecen conexión a internet gratis mediante una señal wireless sin contraseña y de tenerla la facilitan sin miramientos.
Esto es una gran ventaja y nos permite estar “enchufados” a la red, tanto con nuestro portátil personal, del trabajo, nuestra tablet, o nuestro smartphone sin “quemar” los MB de nuestra tarifa de datos en el caso de que la tuviéramos (hoy en día casi todo el mundo).
Por tanto, podemos usar esta conexión para conectarnos a las ansiadas y admiradas redes sociales, conectar a nuestro blog para publicar nuestro último post, etc.
Pero no nos emocionemos tan rápidamente. Este tipo de conexiones pueden ser veraces, y destinadas a un buen uso pero pueden estar infestadas con algún avispado amigo de lo ajeno, provisto con Firesheep. ¿Pero que es Firesheep?
Firesheep, es una herramienta (addon) para Firefox la cual captura todo el tráfico de una red Wi-Fi, teniendo la habilidad de robar las “cookies” que se generan cada vez que nos logueamos en una red social (por ejemplo). Así podías robar la identidad del prójimo y acceder a su cuenta. Por supuesto es algo ilegal. Esta utilidad hará unos dos años que salió, y aprovechaba que el usuario no tuviera activado el cifrado SSL.
Por tanto, girando en torno al cifrado SSL vamos a seguir una serie de rutinas básica de seguridad para no ser “secuestrados”.
Activar acceso SSL a nuestras redes sociales.
Es imperativo irnos a las opciones de configuración de nuestras redes sociales y activar el cifrado SSL. Para que así al navegar, podamos observar en la cabecera de nuestro navegador “htppS://”
También nuestro correo ha de estar bajo “https://” para evitar las “garras” de Firesheep. Normalmente Gmail y otros servicios de correo por web, ofrecen ya activada la funcion https pero en clientes de correos llámese Outlook o Thunderbird, podemos haber configurado la cuenta sin las opciones de seguridad SSL ó sin tener la contraseña cifrada.
Extensiones que fuerzan la conexión SSL.
Existen extensiones para diferentes navegadores que pueden ayudarnos a mantener conexiones seguras de forma general, ya que el intentar configurar todos los servicios que usamos para que usen conexiones cifradas puede llegar a desesperarnos.
Estas extensiones ayudarán a mantener el https bajo las webs mas reconocidas, como Twitter,Amazon, Facebook, etc.
Las extensiones mas usadas son:
Chrome: KB SSL Enforcer
Firefox: Force-TLS o HTTPS Everywhere
Opera: Redirect to HTTPS
Internet Explorer: Para variar el navegador del gigante informático, sólo ofrece configurarlo entre sus opciones, pero sitio por sitio.
VPN: Virtual Private Network.
Este sistema protege y aisla el tráfico, creando un canal de comunicación muy seguro. Se cifra mediante IPsec (ó SSL) el cual hace que cada paquete que se intercambia con el otro extremo de la conexión sea cifrado. Por tanto, levantamos con este método, una barrera más para que no intercepten nuestra información, ni roben nuestras cookies, ni nuestras contraseñas.
Gestión de blogs, Webs o foros.
Por supuesto si eres administrador de algún sitio web, foro, blog, etc… es recomendable activar los puntos anteriormente mencionados. Siempre usando HTTPS, para evitar que nos hurten nuestros datos, o secuestren nuestras sesiones.
Para WordPress, existe un complemento llamado WordPress HTTPS que nos fuerza a usar HTTPS en la página de administración.
Estos pasos no son, para nada, de una dificultad elevada y todo el mundo podría protegerse un poquito más por sí misma, y no dar tantas facilidades. No hay que dejarse llevar por la emoción de encontrarse una Wi-Fi libre, porque simplemente, una Wi-Fi libre puede haber sido creada única y exclusivamente para el robo de información.
En estos tiempos donde las redes sociales se han tomado nuestras vidas, es de nuestra responsabilidad la seguridad de información privada, aquí tienes algunos consejos.
Muchas veces a la hora de crear una cuenta para algún sitio, el mismo formulario nos recomienda que utilicemos una contraseña que alterne letras minúsculas, mayúsculas, números y símbolos.
Hoy, gracias al gráfico podremos entender su motivo, y es que mientras más alternemos el uso de los caracteres más costoso será para un hacker desencriptar nuestra contraseña.
Sin dudas las contraseñas son un componente muy importante para todos, y es muy importante que la misma sea segura.
Este año el Día Internacional de Internet Seguro, que se celebra el ocho de febrero, tendrá el lema “Internet es algo más que un juego, es tu vida”, y pretende educar a los internautas sobre los peligros existentes en la red.
El evento se celebrará en más de 60 países de todo el mundo, intentando mostrar como nuestra presencia en la web, las redes sociales, los juegos online, etc, puede influir en nuestras vidas reales.
Para Juan Romero, su fundador, “se trata, sobre todo, de evitar situaciones que puedan poner en riesgo la seguridad de nuestros hijos y la de toda la familia”, “Y no hablamos solo del ordenador, sino también del móvil. Porque muchos de estos aparatos disponen de Internet, por lo que los adolescentes pueden conectarse en cualquier momento y lugar, sin la necesaria supervisión de los padres”.
En su blog, Thomas Baekdal señala los métodos con los que una contraseña puede ser revelada:
El hacker pregunta por tu contraseña estafando al sistema de alguna forma.
El hacker lo averigua. A la gente le gusta las frases sencillas para poder recordarlas. Como el día de nacimiento.
El hacker decide realizar un ataque masivo. Simplemente se dedica a escribir todas las contraseñas posibles al mismo tiempo relacionadas con la persona en cuestión.
El hacker ataca a un tercero con una lista de palabras comunes.
El hacker usa un diccionario de aproximación usando un diccionario completo de palabras y accede a la red.
Departamentos de tecnología informática animan a la gente a usar complejas contraseñas para que sean dificiles de desbloquear. El problema se encuentra en que la gente los escribe en una hoja de papel. La clave está en utilizar más de una palabra común. Tres palabras comunes se convierten para el hacker en una tarea imposible.
Usando estas indicaciones Baekdal calcula que adivinar la contraseña llevaría al hacker aproximadamente:
2.537 años a través de un ataque común.
1.163.859 años utilizando un método de ataque masivo.
39. 637.240 años usando un diccionario de ataques.
Respecto al proveedor, lo que debe hacer es asegurar la red:
Ganando tiempo retrasando los intentos para iniciar la sesión. En lugar de permitir a la gente inscribirse otra vez y otra, puede añadir cinco segundos de retraso entre cada intento.
Añadir un periodo de sanción si la persona ha tecleado el password incorrectamente más de diez veces. Esta acción complica la tarea del hacker también. Sumando tiempo de retraso el proveedor protege al usuario y lo recompensa si sigue un método para el uso de palabras.
Actualmente, las organizaciones están saturadas de información puesto que los datos crecen continuamente de manera exponencial. Asimismo, cada día se anuncia o lanza al mercado una nueva tecnología con la promesa de reducir los costos al hacer negocios, ser más convenientes y oportunos.
“Debido al estancamiento y las reducciones de presupuestos de tecnología, es indispensable que las organizaciones obtengan mayor valor por sus inversiones en TI”, dijo Wilson Grava, Vicepresidente de Symantec para América Latina. “Cuando las organizaciones comprenden los desafíos, riesgos y amenazas, pueden planear e implementar iniciativas tecnológicas estratégicas como la virtualización, seguridad móvil, encriptación, las copias de seguridad y recuperación, el archivado y el cómputo en nube para proteger y administrar su información de manera más eficiente”.
Seguridad en Internet – Tendencias para 2011
Continuarán los Ataques a la Infraestructura Crítica: Hacia finales del 2010 Stuxnet – una amenaza creada específicamente para modificar el comportamiento de sistemas de hardware y generar daños en el mundo físico- tuvo un gran impacto en los sectores que utilizan sistemas de control industrial. Este hecho marcó una nueva era en cuanto a ataques informáticos y es muy probable que aquellos cibercriminales que siguieron de cerca esta amenaza hayan aprendido la lección y en 2011 veamos otros ataques direccionados a infraestructuras críticas. Con un inicio lento, se espera que la frecuencia de este tipo de ataques se incremente.
Los Ataques Segmentados y las Vulnerabilidades de Día-Cero Serán más Comunes: Este año, Hydraq, también conocido como Aurora, fue un buen ejemplo de un tipo de amenaza creciente, altamente segmentada, que busca infiltrarse en organizaciones específicas en un tipo particular de sistemas de cómputo, explorando vulnerabilidades de software hasta ese momento desconocidas. Los cibercriminales han usado estas brechas de seguridad durante muchos años pero las amenazas altamente segmentadas han ganado terreno, por lo que se prevé el surgimiento de más vulnerabilidades de día cero para los próximos 12 meses en comparación con los años anteriores.
Más Dispositivos Móviles y Nuevos Modelos de Seguridad de TI: El uso de dispositivos móviles como smartphones está creciendo a un ritmo acelerado. Gartner prevé que, al final de 2010, 1,200 millones de personas estén usando celulares con acceso a Internet e IDC estima que a final del 2010, los dispositivos Android y AppleiIOS tengan 31 por ciento de participación de mercado global. En 2011 se espera un aumento en las amenazas dirigidas a dispositivos móviles ya que el uso de éstos seguirá creciendo. Tomando en cuenta esta tendencia es probable que los dispositivos móviles se vuelvan una de las principales fuentes de pérdida de datos confidenciales en 2011.
Mayor Adopción de Tecnologías de Encriptación: El aumento de uso de dispositivos móviles de la empresa no sólo significa que será necesario enfrentar algunos desafíos para mantener accesibles y seguros esos equipos y los datos confidenciales contenidos en ellos, sino que las empresas también deberán cumplir varias regulaciones asociadas a la protección de datos y privacidad. En 2011 veremos que las organizaciones llevarán a cabo un acercamiento más proactivo para proteger los datos, como la adopción de tecnologías de encriptación para cumplir con los patrones de conformidad y evitar las multas y daños que la violación de datos pueda causar a las marcas.
Surgimiento de una Nueva Frontera en Ataques Motivados por Fines Políticos: En un estudio reciente de Symantec sobre la protección de infraestructura crítica, más del 50% de las empresas entrevistadas afirmó tener sospecha o certeza de ser víctimas de ataques con objetivos políticos específicos. En el pasado, los ataques motivados por cuestiones políticas caían en la categoría de espionaje cibernético o de ataques DoS (Denial of Service o negación de servicio) contra servicios Web. Symantec cree que Stuxnet es posiblemente sólo el primer indicador altamente visible de lo que se llamaría guerra cibernética que viene de tiempo atrás. En 2011 es probable que veamos más señales de acciones de lucha por controlar armas digitales.
Almacenamiento – Tendencias para 2011
El Siguiente Paso de la Virtualización: La virtualización ha sido uno de los más grandes cambios en 2010 y continuará influyendo en TI en el año 2011. Las empresas en todo el mundo están logrando los beneficios de la virtualización al reducir el número de servidores en sus entornos. Aunque la virtualización disminuye los costos de servidores, las organizaciones se están dando cuenta de que simultáneamente se incrementan los costos de administración y sin un plan para proteger estos entornos, no pueden obtener el retorno total de la inversión. La capacidad para realizar copias de seguridad y recuperar aplicaciones y datos de los entornos físicos y virtuales con una única solución permitirá a las organizaciones reducir los costos generales de TI y la complejidad.
Brecha en la Recuperación de Desastres en Entornos Virtuales: El número de solicitudes y la cantidad de datos en entornos virtuales aumentarán notablemente en 2011. La Encuesta 2010 de Symantec sobre Recuperación Ante Desastres reveló que, en caso de un desastre, 60 por ciento de los datos de una organización que se almacena en entornos virtuales no puede recuperarse porque las organizaciones no han implementado tecnologías de protección de datos. Considerando que el nivel de protección de las máquinas virtuales debe ser similar al que los clientes tienen en los entornos físicos, las organizaciones deben implementar tecnologías para garantizar que sus datos críticos en entornos virtuales estén a salvo de toda clase de riesgos.
El Año de Administrar Mejor la Información: Los administradores de almacenamiento deben desechar la mentalidad de ‘acumulador compulsivo’ y categorizar la información más importante en 2011. El casi infinito nivel de retención de datos está haciendo que los gastos de almacenamiento se disparen, que los tiempos de recuperación sean extensos y que existan pesadillas en e-Discovery en las organizaciones de todos los tamaños. En 2011, las organizaciones volverán a evaluar sus necesidades de retención y automatizarán su estrategia de administración de la información para mantener copias de seguridad de 30 a 60 días, archivar almacenamiento a largo plazo y eliminar todo lo demás.
Aumenta el Almacenamiento en Nube: Las tecnologías en la nube cambiarán considerablemente la forma en que se prestan los servicios en 2011. Más organizaciones aprovecharán las nubes públicas y privadas a medida que están más disponibles. Cuando nos aproximamos al 2011, las empresas necesitan administrar los recursos de almacenamiento de información por lo que surgirán herramientas para administrar este nuevo entorno complejo de almacenamiento y para que los administradores de TI puedan comprender mejor y capturar información sobre los datos no estructurados que residen en ella. Esto les permitirá utilizar plenamente los beneficios de la nube.
Derecho a elegir: Equipos, Software y Nube: Mientras el software continúa impulsando la innovación, en 2011 habrá nuevos modelos como respuesta a las necesidades de los clientes para facilitar las operaciones de TI. El cómputo en la nube, los dispositivos y servicios hospedados son ejemplos de modelos cada vez más atractivos que proporcionarán a las organizaciones flexibilidad y facilidad para su implementación.
Consolidación y Centros de Datos de Siguiente Generación: La consolidación es la prioridad del sector de TI y las organizaciones deben redefinir la infraestructura de sus centros de datos en 2011 para administrar las presiones, reducir costos y proteger los datos. Si la consolidación implica un movimiento físico, virtualización, desmantelamiento o cualquier combinación de estos aspectos, las organizaciones necesitan administrar los riesgos y la complejidad de la consolidación de los centros de datos. Además, las organizaciones deben garantizar la protección y disponibilidad de la información y las aplicaciones para evitar interrupciones no planeadas en la productividad y la pérdida de datos. No es un secreto que en 2011, la consolidación será un tema prioritario.
Proteger y Administrar los Datos en Redes Sociales: La forma en que las organizaciones colaboran se modificará en 2011. Hoy hemos visto que las empresas ya han comenzado a aprovechar más las redes sociales para mejorar la comunicación y la productividad en los negocios. A medida que esta tendencia crece, las áreas de TI deberán prepararse y comprender cómo proteger y administrar estas aplicaciones para recuperar y encontrar la información empresarial que se comunica o transmite a través de estos medios. El archivado de medios o redes sociales se volverá más importante a medida que las empresas aprovechen su poder para fortalecer neg
Ahora que las corporaciones intentan averiguar cómo sacar el mejor partido a las herramientas que les proponen las redes sociales, un grupo de análisis TI ha presentado un ranking en el que posiciona los principales riesgos que estas páginas web pueden representar para las empresas.
El estudio, que señala los principales riesgos frente a los que deben prepararse las empresas cuando utilicen las redes sociales, ha sido presentado por ISACA, una organización con 43 años de trayectoria y que era conocida hasta ahora por Information Systems Audit y Control Associatos.
John Pironti, miembro del comité de certificación de ISACA, señaló que la mayor parte de los ejecutivos han tenido en cuenta algunos de los riesgos, pero pocos de ellos han tomado en consideración todos ellos. “Los responsables de las empresas están intentando averiguar qué hacer en torno a todo esto. Creo que las empresas están asustadas, como siempre ocurre cuando se enfrentan a una nueva tecnología. Aunque también es cierto que, esta vez, están teniendo un comportamiento distinto. Saben que no pueden ignorarlo, puesto que no pueden parar su uso y pasar a otra cosa. Son conscientes de que deben apostar por ello, pero ¿saben cómo hacerlo de manera segura?”, se pregunta este responsable.
Los principales riesgos son el malware y los virus; el robo de marcas y la falta de control sobre los contenidos corporativos. Además, también existen otras complicaciones, como el no cumplimiento de las regulaciones de la propia empresa sobre sus contenidos.
Pironti ha querido dejar claro que, con este estudio, ISACA no está animando a las empresas a que dejen de utilizar las herramientas Web 2.0 o que no apuesten por las redes sociales. Lo que pretenden es que se introduzcan en este mundo con los ojos bien abiertos, para no dejar pasar sus beneficios, pero sin olvidar sus riesgos.
Además, añadió que la mayor parte de los riesgos recaen en los usuarios, que no entienden que su comportamiento pueda afectar a sus empresas. Pironti señaló que las corporaciones necesitan formar a sus usuarios para que no pongan en peligro la seguridad de la empresa o dañar la imagen de la misma e, incluso, hacerla vulnerable a un ataque de malware.
Lo cierto es que es necesario que los trabajadores entiendan, tanto con el beneplácito o sin él de sus empresas, utilizan las redes sociales como Facebook o Twitter, que hay una línea divisoria entre lo personal y lo profesional. Además, las empresas deben establecer líneas claras sobre qué tipo de información puede compartirse y cuál debe quedarse dentro de la compañía.
En cualquier caso, Pironti afirma que los ejecutivos de las empresas deben estar alerta y saber que los trabajadores utilizan las redes sociales y las herramientas que implican para proteger mejor los intereses de la compañía. Y es que, no pueden saber todo lo que se dice sobre su empresa si no tienen a una persona encargada de prestar atención al tema.
Así lo aseguró el director de Seguridad de la Información y Prevención del Fraude de Telefónica, Manuel Carpio, antes de ofrecer la conferencia “Los nuevos retos de la seguridad en las comunicaciones con las que se enfrenta la sociedad“, organizada por el Colegio de Ingenieros de Telecomunicaciones de Canarias con motivo del Día de las Telecomunicaciones y de la Sociedad de la Información.
La inexistencia de unidades de medición de la seguridad en Internet, lo que no significa que no exista seguridad en la red; la protección de los menores ante el uso de las redes sociales, o la “biodegradación” de los datos subidos a la “nube” para impedir su uso pasado un determinado tiempo son algunos de los retos en los que se trabaja en la actualidad.
Sobre este último, Carpio explicó que para garantizar la privacidad, la Universidad de Washington ha desarrollado una tecnología de datos biodegradable en Internet a la que han bautizado como “Vanish“, como el detergente, y que mediante unos sistemas criptográficos “permite que los datossubidos se vayan biodegradando de tal forma que nadie los pueda recuperar pasado un tiempo“.
Manuel Carpio aludió también a la “hipocresía socialmente aceptada” que existe sobre la cesión de los datos personales en Internet, sobre todo a través de las redes sociales.
Así, afirmó que a veces hay personas “dispuestas a vender sus datos por un plato de lentejas, incluso a cambio de dinero“, para acceder a un determinado contenido en Internet y, a la misma vez, “se sienten muy heridos si sus datos son mal tratados“.
Otro de los asuntos en los que trabaja el sector de las telecomunicaciones es el de la seguridad en el denominado “Internet de las cosas“, término que, según explicó Manuel Carpio, alude al hecho de que las cosas puedan hablar entre ellas sin intervención de los humanos, algo que ya ocurre, como demuestra el dato de que el 12% de las comunicaciones en Internet se realizan entre máquinas, no entre personas.
Así ocurría en 2007, por lo que en la actualidad estas cifras se han incrementado y serán mayores en el futuro, de ahí que sean necesarias nuevas formas de seguridad para que las máquinas, que cada vez tendrán mayor capacidad de inteligencia y comunicación entre ellas sin intervención humana, sean capaces de tomar decisiones sin que afecten a los humanos.
Securelist.es, la nueva web de Kaspersky Lab, ofrece información actualizada y muy completa sobre aquellas amenazas de Internet que están activas, y explica cómo evitarlas. El portal incluye diferentes secciones con artículos informativos y análisis, blogs, una enciclopedia de seguridad informática y descripciones de malware, así como un amplio glosario de términos.
El nuevo portal Securelist.es es una evolución de Viruslist.es, la web de análisis sobre amenazas informáticas de Kaspersky Lab. Entre otras cosas, incluye un blog con un sistema que permite a los visitantes puntuar lo que han leído, y otro sistema que genera descripciones de cualquier programa malicioso que se detecta de forma inmediata. Securelist.es también cuenta con una sección completamente nueva llamada Internal Threat, que trata sobre las amenazas internas que pueden surgir dentro de una corporación y cómo se pueden combatir.
Securelist.es reúne información sobre malware, spam y amenazas internas, y ha sido elaborada a partir de los especialistas más importantes en seguridad informática de la industria. Con este portal Kaspersky Lab ha intentado alejarse del estilo tan académico de Viruslist, creando una web más interactiva y con mayor gancho para sus usuarios. El contenido de la página procede de analistas de Kaspersky Lab, aunque también incluye contribuciones de otros especialistas de la industria que aportarán su amplio conocimiento sobre el negocio de la seguridad de la información.
Las redes sociales ofrecen hoy mucho más que oportunidades de relacionarse entre amigos, encuentros casuales y amorosos. Las redes sociales proliferaron y se especializaron en distintos campos.
Tomemos como ejemplo Linkedin. Hoy es una excelente herramienta para búsqueda de profesionales en el mercado. Bastante útil para el departamento de RRHH y empresas de hunting. También en Facebook se puede identificar fácilmente las comunidades de intereses profesionales y, a partir de ellas, identificar profesionales, consultores especialistas en determinadas cuestiones, etc.
Haciendo foco en el tema de la seguridad de la información, es un hecho que muchas empresas bloquean el acceso a las redes sociales desde sus ambientes corporativos. Los riesgos que justifican tal decisión están asociados a la confidencialidad de la información corporativa y de la productividad de los empleados.
Existe la percepción de que si dejáramos que los empleados accedan libremente a las redes sociales, podríamos comprometer su desempeño al largo del día. Un tiempo atrás, el debate era si se debería o no conceder acceso a internet a los empleados. El hecho es que con el desarrollo y la popularización de los móviles con acceso a internet y las aplicaciones específicas para acceso a las redes sociales, el bloqueo a estas webs en las computadoras de la empresa no impedirá el acceso a los empleados que quieran ingresar a las redes sociales. Seguramente, no será bloqueando el acceso a las webs que se asegurará la productividad de los empleados.
Como sucede con cualquier nueva tecnología, la primera reacción es la de bloquear el acceso a ella hasta que se entiendan los riesgos relacionados y los beneficios inherentes. Se está viviendo esa fase en relación a las redes sociales. Gradualmente, las empresas van a entender los beneficios de utilizar esas herramientas disponibles y crearán mecanismos para minimizar los riesgos, de forma que, en poco tiempo, el acceso será tan natural como es hoy hacer una búsqueda en Google.
