4to Seminario de Segu-Info
Protegiendo mi
Identidad
Si no soy yo, ¿sos vos?
Los Cazadores de Mitos de la Seguridad
Federico Pacheco
Elitech – [email protected]
4to Seminario de Segu-Info
Temario
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
Definiciones
Mitos sobre los Antivirus
Mitos sobre los Firewalls
Mito del usuario común
Mitos sobre los Backups
Mito de las Fork Bombs
Mito de los alcances del hacking
Mitos de la Seguridad Física
Mito del origen del bug informático
Mitos sobre Hotmail y MSN
Mito del usuario de Linux
Mito del usuario de Windows
Mitos sobre las Políticas de Seguridad
Mitos Históricos
Mitos sobre el Spam
Mitos sobre la Seguridad Técnica
•
•
•
•
•
•
•
•
•
•
•
•
•
•
Mitos sobre la protección por la conexión
Mitos y Hoaxes
Mitos sobre la Criptografía
Mito de los Cajeros Automáticos
Mitos sobre la seguridad en el gobierno
Norteamericano
Mitos sobre “el dios” Google
Mitos sobre la impunidad de los gobiernos y el
uso de Internet
Mitos sobre la impunidad de las grandes
empresas
Mito del usuario engañado por Windows
Mitos del Análisis Forense Informático
Mito de la solución de fallas en Linux
Mitos sobre el panorama actual
Conclusiones
Referencias
4to Seminario de Segu-Info
Definiciones
4to Seminario de Segu-Info
Mitos sobre los Antivirus
• “Mi antivirus está al día, no puede entrar ningún virus”
– ¡Primero aparece el virus, y DESPUES la solución!
• “Los que hacen los virus son los mismos que hacen los
antivirus”
– ¡Claro! Y si trasciende la empresa pierde millones por imagen
• “Tener varios antivirus es la solución”
– ¿Alguien testeó cada aplicación en relación con otra?
• “No abro archivos adjuntos, estoy seguro”
– Un virus puede ingresar simplemente por estar online, por
pendrives y por otros medios
4to Seminario de Segu-Info
Mitos sobre los Firewalls
• “Tengo un Firewall por Software, no corro peligro”
– Ah… ¿Las aplicaciones no tienen errores?
– ¿Y el resto de los peligros?
• “Tengo un Firewall por Hardware, no corro peligro”
– Muy bien ¿Y que creen que hay dentro del hardware?
– ¿Y el resto de los peligros?
• “Combino software y hardware y me mantengo
actualizado. Problema solucionado”
– Aparece mayor complejidad en el diseño del filtrado
– Los ataques pueden aparecer por canales válidos
4to Seminario de Segu-Info
Mito del usuario común
• “Mi PC no le interesa a nadie, no hay peligro”
– Ok, la mía sola, no. Pero miles como la mía e
infectadas formarían una perfecta red zombie
– Como usuario corriente, soy una presa más fácil
que una gran empresa
– Con solo violar mi privacidad ya estoy expuesto a
un ataque a mi identidad
4to Seminario de Segu-Info
Mitos sobre los Backups
• “Mi backup está al día, puedo restaurar el
sistema sin peligro. Estoy seguro”
– Los virus también pueden estar en los backups
– El tiempo suele ser tirano al restaurar backups
• “Hago backup de todo, si pasa algo lo tengo
resguardado. Puedo estar seguro”
– ¿Lo pruebo cada tanto?
– ¿Tengo definido un método de backup?
4to Seminario de Segu-Info
Mito de las Fork Bombs
• “Las fork bombs son cosa del pasado”
– Mayo 2007: Tema candente en la blogosfera y Kriptopolis
– En Linux (bash)
• Ejemplo: “:(){ :|:& };:”
• Prevención: limitar el número máximo de procesos por usuario
– En Windows (BAT)
:s
start 0%
goto :s
4to Seminario de Segu-Info
Mito de los alcances del hacking
•
“Todo lo que sea electrónico es hackeable”
–
Enero 2008
• Grave fallo en routers hogareños. El exploit funciona incluso cuando el usuario ha cambiado la
contraseña por defecto
–
Enero 2008
• Posibles vulnerabilidades las nuevas aeronaves Boeing 787 a través de las redes para pasajeros
–
Marzo 2008
• El gobierno holandés emite un aviso sobre un problema de seguridad del chip RFID de NXP
Semiconductors. Existen más de 1.000 millones de tarjetas con este chip en todo el mundo.
–
Marzo 2008
• Aparecen pruebas de seguridad contra los marcapasos modernos basados en el control por RF
–
Marzo 2008
• A 8 meses de su salida, crackearon BD+ (sistema de protección de Blu-Ray) que se dijo que
tardaría 10 años en romperse
4to Seminario de Segu-Info
Mitos de la Seguridad Física
• “Combinar protección física y electrónica es infalible”
–
“Scanner de huella dactilar de cerraduras y notebooks inviolables según su
fabricante”
• Se pudo violar utilizando un molde de la huella hecho en látex y en gel balístico
• También se consiguió utilizando una fotocopia en papel blanco sobre el escáner
–
“Alarmas por sensor térmico para detectar personas en una habitación”
• Se pudo violar el sistema visitiendo un traje ignífugo de bombero
• También funcionó colocarse detrás de un cristal
–
“Alarmas con sensor de movimiento por ultrasonidos”
• Se pudo violar el sistema utilizando una sábana que absorbía la señal del RF
• También se pudo engañar al sensor moviéndose extremadamente despacio
• Fuente:
–
Cazadores de Mitos (Discovery Channel, Episodio 59) – Agosto 2006
4to Seminario de Segu-Info
Mito del origen del bug informático
•
“Un fallo provocado por una polilla dentro una de las primeras computadoras
del mundo (Mark II - 1945) es el origen del término BUG”
–
Ciertamente una polilla quedó atrapada en un relé provocando un error de
funcionamiento. Se lee: “1545 Relay #70 Panel F (moth) in relay. First actual case of
bug being found”
–
Según el texto, el término “bug” para indicar errores ya existía
–
Este fue sin embargo el primer caso en que mencionaba un insecto de verdad
–
En un manual de electricidad de 1896 dice: “El término bug se utiliza para indicar un
fallo en el funcionamiento de aparatos eléctricos”
–
Originalmente procedía de la telegrafía y también se utilizaba en las compañías
teléfonicas para referirse al ruido en las líneas
4to Seminario de Segu-Info
Mitos sobre Hotmail y MSN
• “Hotmail se cierra”
–
¿Quien cerraría un negocio tan grande y rentable?
• “Hotmail se hace pago”
–
Hotmail ya tiene un servicio pago (Windows Live Hotmail Plus)
• “Hotmail es inseguro y fácil de hackear”
–
Lo que es fácil de hackear son los usuarios, no Hotmail
• “MSN se hace pago”
–
La confianza de millones de usuarios por ser gratuito vale mas que el pago
por un servicio
• “Los sitios que dicen quien nos borró o bloqueó en el MSN son reales”
–
–
Para ver quien nos borró, no hace falta ningún sitio especial
Ver quien nos bloqueó no es posible a ciencia cierta
4to Seminario de Segu-Info
Mito del usuario de Linux
• “Estoy seguro porque uso Linux”
– Linux también tiene bugs (y MAS que Windows)
– Usar Linux no es lo mismo que usar BIEN Linux
– La ingeniería social es independiente del S.O.
– La falsa sensación de seguridad es mas peligrosa
que cualquier amenaza
4to Seminario de Segu-Info
Mitos del usuario de Windows
• “Tengo todos los parches, estoy seguro”
– No todos los ataques se producen por errores del sistema
– A veces no está disponible el parche adecuado a tiempo
• “No uso Outlook ni Internet Explorer, estoy seguro”
– Puede ayudar, pero también hay errores en otros
4to Seminario de Segu-Info
Mitos sobre las Políticas de Seguridad
• “En la empresa no necesito políticas, la seguridad es un tema técnico”
–
Sin dirección ni objetivo, no hay criterios para resolver problemas técnicos
–
Las políticas de seguridad declaran la dirección de una organización para
mantener la información segura y dictan el objetivo
• “Políticas escritas. Trabajo finalizado”
–
Si las personas no saben acerca de ellas, su función y aplicación, son igual
de útiles que el ángel guardián de los Kennedy
–
Es necesario tener estándares para explicar cómo se deben cumplir las
políticas y reducir los tiempos de implementación
–
No se debe olvidar el análisis de riesgo
4to Seminario de Segu-Info
Mitos sobre el Spam
• “Mi dirección es secreta. Estoy protegido.”
– El servidor de mail tiene mi dirección
– Mis contactos tienen mi dirección
– Cualquiera podría incluirme en cadenas, listas y suscripciones
• “Utilizo una dirección para recibir spam. Estoy mas tranquilo.”
– Resuelve el problema de las verificaciones de existencia de cuenta
– Puede canalizar mucho spam de manera eficiente
• “Mi proveedor de mail tiene sistema Antispam. Estoy
completamente protegido.”
– Muchos falsos positivos (listas, grupos)
– En general solo se marcan los mails (**SPAM**, # Posible Spam #)
4to Seminario de Segu-Info
Mitos sobre el Spam
• “Utilizo recepción con autorización inicial. Estoy protegido.”
– Es muy tedioso al principio para todos los que nos escriben
– Puede traer problemas con los sistemas automáticos de listas y
suscripciones
– Una vez autorizado, el filtrado es muy eficiente
• “Los captchas para evitar el spam en los sitios web son
infalibles”
– Febrero 2008
• En una semana cayeron los sistemas de captchas de Google y Windows
Live Mail para evitar la creación de cuentas con bots
– Investigación: http://www.websense.com/securitylabs/blog
4to Seminario de Segu-Info
Mitos de la Seguridad Técnica
• “Solo los expertos son un problema para la seguridad”
–
El daño lo puede causar cualquiera que sepa utilizar:
•
•
•
•
Un Buscador (¿Google?)
Herramientas de enumeración (las hay online)
Un scanner de vulnerabilidades y puertos
Un framework de explotación de vulnerabilidades
• “Estoy seguro, utilizo scanners de vulnerabilidades y no encuentro
fallas”
–
Estas herramientas auditan respecto a una base de conocimiento
–
Existen otras técnicas de búsqueda de vulnerabilidades (Ej: Fuzzing)
–
La ingeniería social supera las barreras técnicas
4to Seminario de Segu-Info
Mitos sobre la protección por la
conexión
• “Utilizo conexión Dial-UP, no debo preocuparme tanto”
– Es cierto que los usuarios de banda ancha están mas expuestos
– Sin embargo, en algún momento solo existían conexiones
telefónicas, y también había intrusiones
– Hay que tener mas precaución con las actualizaciones del sistema
y antivirus (menos tiempo online)
• “Estoy seguro porque mi ISP me brinda protección”
– ¿Delegarían totalmente su seguridad a un tercero?
– Viendo la realidad, esos sistemas no parecen ser tan eficientes
– ¿Es verdadera protección o un bonito truco de marketing?
4to Seminario de Segu-Info
Mitos y Hoaxes
• Definición: Hoax
– Mensaje de correo electrónico con contenido falso o engañoso
– Normalmente parece provenir de una fuente seria y fiable
• Objetivos:
– Obtener direcciones de correo y datos personales
– Confundir a la opinión pública
– Otros tantos…
• Primer hoax
– Asunto: Good Times
– Fecha: Diciembre 1994 (casi al tiempo del spam)
– Tema: Alertaba sobre un supuesto virus que podía borrar el disco
4to Seminario de Segu-Info
Mitos y Hoaxes
•
Gatos Bonsai (Bonsai Kitten)
•
Sodium Laureth Sulfate en el Shampoo
•
En Taiwan comen fetos humanos
•
Llamadas de cierto número de teléfono para apropiarse de una línea
•
Ya eres HIV Positivo: jeringas infectadas en lugares públicos
•
Solidaridad con Brian
•
Ayuda a Cleto, el niño colombiano con "Elefantiasis Cumerdi"
•
Robo de órganos: despertar en una bañera con cicatrices
•
Saltemos todos para enderezar el eje de la tierra
•
Libro de geografía de USA enseña que el Amazonas es área internacional
4to Seminario de Segu-Info
Mitos de Hoaxes no tan míticos
• Deforestacion del Amazonas
–
Lo negativo: Es cierto, pero hay formas más serias de protestar
–
Lo positivo: Al menos se genera conciencia
–
La organización Greenpeace lleva adelante diversas campañas
• Mujer nigeriana condenada a morir apedreada por estar embarazada
soltera
–
Lo negativo: El caso fue cierto, la protagonista era Safiya Tudu
–
Lo positivo: Safiya fue absuelta ese mismo año
–
La campaña oficial de Amnesty International finalizó en marzo de 2002
4to Seminario de Segu-Info
Mitos de Hoaxes Literarios
• El poema “Instantes” es de Jorge Luis Borges
– Maria Kodama desmintió la autoría
– Investigación de Iván Almeida: Borges Studies on Line. J. L. Borges
Center for Studies & Documentation
• El poema “La marioneta” es de Gabriel García Márquez
– El mismo García Márquez expresó en 1999: "Lo que más me puede
matar es la vergüenza de que alguien crea que de verdad fui yo
quien escribió una cosa tan cursi“
– García Marquez fue periodista, editor y escritor, pero NO poeta
4to Seminario de Segu-Info
Mitos sobre la Criptografía
• “El algoritmo RSA, desarrollado en 1978, fue el primer sistema de
cifrado asimétrico”
–
–
1973: El matemático Clifford Cocks llegó a la misma conclusión que los
creadores de RSA
Su trabajo fue considerado “alto secreto” por el gobierno británico y su
contenido no se hizo público ni se patentó
• “Es seguro utilizar MD5 y SHA-1 para verificar integridad de archivos”
–
2005: Estudios de la Universidad de Shandong (China) demostraron que se
pueden obtener colisiones fácilmente en algoritmos MD5 y SHA-1
• “Con el nivel de criptografía actual estamos seguros por años”
–
Septiembre 2007: Investigaciones recientes revelan que con computadoras
cuánticas ejecutando el algoritmo de Shor (demostrado por IBM) se podrían
calcular claves públicas de algoritmos asimétricos
4to Seminario de Segu-Info
Mito sobre los Cajeros Automáticos
• “Los cajeros automáticos son sistemas seguros”
– Febrero 2008
• Un fallo técnico en los cajeros del Northern Bank (Irlanda)
permitió a 7.500 clientes, durante 4 meses, retirar efectivo
(más de medio millón de euros) que no se reflejó en sus
cuentas
• El problema se debió a una actualización mal realizada en la
conexión entre los cajeros y el sistema nacional de
procesamiento
• “Algunos cajeros automáticos usan Windows”
– Una imagen vale mas que mil palabras
4to Seminario de Segu-Info
Mito sobre los Cajeros Automáticos
Un pop-up vale mas que mil palabras
4to Seminario de Segu-Info
Mito sobre los Cajeros Automáticos
Febrero 2008: Red Link - Rosario (Santa Fe)
Fuente: http://flickr.com/photos/bolche
Un ejemplo Argentino vale mas que mil palabras
4to Seminario de Segu-Info
Mito sobre los Cajeros Automáticos
Un Blue Screen vale mas que mil palabras
4to Seminario de Segu-Info
Mito sobre los Cajeros Automáticos
Otro Blue Screen que vale mas
que las otras mil palabras
4to Seminario de Segu-Info
Mitos sobre la seguridad en el gobierno
Norteamericano
•
“Los sistemas de la Casa Blanca y el Pentágono son los mas seguros del mundo”
•
Marzo 2008
–
Por un problema en el filesystem de los mail servers de la Casa Blanca se perdieran un millón de
mensajes en dos años y medio
•
•
•
Septiembre 2007
–
•
El ejercito popular de liberación chino penetró en la red del Pentágono
Junio 2007
–
•
Se atribuyó a la migración de Lotus Notes a Microsoft Exchange (2002)
En los ’90 un fallo similar hizo perder los emails enviados por gente cuyo nombre empezaba con “D”
Crackers provocan que 1500 máquinas del Departamento de Defensa queden inutilizadas
Fuentes
–
http://www.infobae.com - http://www.cnn.com - http://www.ft.com
4to Seminario de Segu-Info
Mitos sobre “el dios” Google
•
“Google es la empresa más cool de Internet”
–
Cada día crece más la percepción de que Google sabe demasiado sobre uno
–
Hace algunos años se acusaba a Microsoft de monopolizar, Google está haciendo lo
mismo
–
Su colaboración con la censura de China no fue de agrado para la comunidad
–
Sus servicios individuales o combinados pueden ser peligrosos para nuestra privacidad
• Google Desktop, Web Accelerator, GMail, Web History, iGoogle
• Google Maps, Google Earth, Google Documents, Google Toolbar
–
Mantiene muchas empresas cautivas por medio de sus ganancias
• Muchos negocios dependen del posicionamiento en su buscador
• Mucha gente gana dinero por medio de Google Ads
–
Compró casi 40 empresas en 7 años
–
En síntesis
• Googledependencia
Además dan recomendaciones
extremas sobre las contraseñas
4to Seminario de Segu-Info
Mitos sobre la impunidad de los
gobiernos y el uso de Internet
• “El acceso a sitios de noticias y videos ha sido bloqueado por
autoridades de Beijing para evitar difundir imágenes de
manifestaciones en el Tíbet”
• Marzo 2008
–
Las protestas han sido violentamente reprimidas por el ejército y la policía
China, causando estupor a nivel mundial
–
Los videos en YouTube eran las únicas imágenes en las que se podían ver
las disputas de Lhasa (capital del Tíbet)
–
China tiene largo historial de censuras a sitios de Internet
• Fuentes
–
–
Google News, YouTube blocked in China amid Tibet riots (InfoWorld)
BBC Report on Tibet Protest 2008 (BBC via YouTube)
4to Seminario de Segu-Info
Mitos sobre la impunidad de las grandes
empresas
• “Sony/BMG coloca rootkits en sus CDs de música”
• Septiembre 2007
–
La empresa tenia antecedentes en distribuir rootkits como protección
anticopia
–
F-Secure detectó que las memorias flash USM-F con lector de huellas
digitales, instalan un driver que oculta una carpeta en el disco
–
Esta carpeta y los archivos no son visibles a las API comunes, pero sí a
través de la línea de comandos.
–
Incluso pareciera poder ocultarse de los antivirus
–
También se publicó una comparativa entre este rootkit y el anterior
• Fuente: http://www.f-secure.com/weblog/
4to Seminario de Segu-Info
Mito del usuario engañado por Windows
• “Windows hace cosas sin que el usuario se de cuenta”
• Septiembre 2007
–
El portal Microsoft Watch ha revelado que Windows Update está
actualizando algunos componentes sin notificar al usuario
–
Fuentes: http://windowssecrets.com - http://www.microsoft-watch.com
• Noviembre 2007
–
–
Bruce Schneier denuncia que el generador de números pseudo aleatorios
“Dual EC DRBG” (basado en curvas elípticas) diseñado por NSA, presenta
una debilidad utilizada como “backdoor”
Este algoritmo lo incorpora Windows Vista en el Service Pack 1
–
Fuente: http://www.schneier.com/blog
4to Seminario de Segu-Info
Mitos del Análisis Forense Informático
• “Si apago la PC ya no se pueden recuperar datos de la RAM”
• Febrero 2008
– Un estudio de la Universidad de Princeton explica que las
memorias RAM no son tan volátiles
– Según el estudio, se puede recuperar el contenido incluso varios
segundos después de apagar un equipo
• Fuente: http://citp.princeton.edu/memory
• Datos recuperados de la RAM a 5, 30, 60 y 300 seg. de apagado
4to Seminario de Segu-Info
Mito de la solución de fallas en Linux
• “En GNU/Linux los parches aparecen muy rápidamente”
• Febrero 2008
– Grave problema de seguridad en el kernel de Linux
– Distrowatch publicó un resumen con el tiempo de respuesta que de
algunas distribuciones populares:
•
•
•
•
•
•
Debian
Fedora
Slackware
Mandriva
Red Hat / Ubuntu
CentOS
0 horas
8 horas
12 horas
19 horas
27 horas
37 horas
4to Seminario de Segu-Info
Mitos sobre el panorama actual
• “No importa todo esto, porque el panorama es alentador”
4to Seminario de Segu-Info
Un mito más y nos vamos…
“Walt Disney está congelado”
4to Seminario de Segu-Info
Conclusiones
• Muchos mitos se basan en la opinión pública, que no
es la mejor referencia en seguridad informática
• Debemos tener cuidado con lo que proviene del
“amigo de un amigo”
• Siempre es bueno verificar las fuentes de
información
• Al final ya lo había dicho Shakespeare (1564-1616):
– “Ser lo que soy, no es nada sin la seguridad”
4to Seminario de Segu-Info
¡Gracias por su
atención!
4to Seminario de Segu-Info
Referencias Online
• http://es.wikipedia.org
• http://www.error500.net
• http://www.barrapunto.com
• http://www.rompecadenas.com.ar
• http://www.kriptopolis.org
4to Seminario de Segu-Info
Licencia de uso: Creative Commons 2.5 Argentina
http://creativecommons.org/licenses/by-nc-sa/2.5/ar/
Ud. puede:
 Copiar, distribuir, exhibir, y ejecutar la obra
 Hacer obras derivadas
Bajo las siguientes condiciones:
Atribución. Debe atribuir la obra en la forma especificada por
el autor
No Comercial. No puede usar esta obra con fines comerciales.
Compartir Obras Derivadas Igual. Si altera, transforma, o crea
sobre esta obra, sólo podrá distribuir la obra derivada
resultante bajo una licencia idéntica a ésta.
Descargar

Diapositiva 1