4to Seminario de Segu-Info

Protegiendo mi Identidad

Si no soy yo, ¿sos vos?

Los Cazadores de Mitos de la Seguridad

Federico Pacheco Elitech – [email protected]

4to Seminario de Segu-Info

Temario

• • • • • • • • • • • • • • • • Definiciones Mitos sobre los Antivirus Mitos sobre los Firewalls Mito del usuario común Mitos sobre los Backups Mito de las Fork Bombs Mito de los alcances del hacking Mitos de la Seguridad Física Mito del origen del bug informático Mitos sobre Hotmail y MSN Mito del usuario de Linux Mito del usuario de Windows Mitos sobre las Políticas de Seguridad Mitos Históricos Mitos sobre el Spam Mitos sobre la Seguridad Técnica • • • • • • • • • • • • • • Mitos sobre la protección por la conexión Mitos y Hoaxes Mitos sobre la Criptografía Mito de los Cajeros Automáticos Mitos sobre la seguridad en el gobierno Norteamericano Mitos sobre “el dios” Google Mitos sobre la impunidad de los gobiernos y el uso de Internet Mitos sobre la impunidad de las grandes empresas Mito del usuario engañado por Windows Mitos del Análisis Forense Informático Mito de la solución de fallas en Linux Mitos sobre el panorama actual Conclusiones Referencias

Definiciones

4to Seminario de Segu-Info

Mitos sobre los Antivirus

4to Seminario de Segu-Info • “Mi antivirus está al día, no puede entrar ningún virus” – ¡Primero aparece el virus, y DESPUES la solución!

• “Los que hacen los virus son los mismos que hacen los antivirus” – ¡Claro! Y si trasciende la empresa pierde millones por imagen • “Tener varios antivirus es la solución” – ¿Alguien testeó cada aplicación en relación con otra?

• “No abro archivos adjuntos, estoy seguro” – Un virus puede ingresar simplemente por estar online, por pendrives y por otros medios

Mitos sobre los Firewalls

4to Seminario de Segu-Info • “Tengo un Firewall por Software, no corro peligro” – Ah… ¿Las aplicaciones no tienen errores?

– ¿Y el resto de los peligros?

• “Tengo un Firewall por Hardware, no corro peligro” – Muy bien ¿Y que creen que hay dentro del hardware?

– ¿Y el resto de los peligros?

• “Combino software y hardware y me mantengo actualizado. Problema solucionado” – Aparece mayor complejidad en el diseño del filtrado – Los ataques pueden aparecer por canales válidos

Mito del usuario común

4to Seminario de Segu-Info

• “Mi PC no le interesa a nadie, no hay peligro”

– Ok, la mía sola, no. Pero miles como la mía e infectadas formarían una perfecta red zombie – Como usuario corriente, soy una presa más fácil que una gran empresa – Con solo violar mi privacidad ya estoy expuesto a un ataque a mi identidad

Mitos sobre los Backups

4to Seminario de Segu-Info

• “Mi backup está al día, puedo restaurar el sistema sin peligro. Estoy seguro”

– Los virus también pueden estar en los backups – El tiempo suele ser tirano al restaurar backups

• “Hago backup de todo, si pasa algo lo tengo resguardado. Puedo estar seguro”

– ¿Lo pruebo cada tanto?

– ¿Tengo definido un método de backup?

Mito de las Fork Bombs

4to Seminario de Segu-Info • “Las fork bombs son cosa del pasado” – Mayo 2007: Tema candente en la blogosfera y Kriptopolis – En Linux (bash) • Ejemplo: “:(){ :|: & };:” • Prevención: limitar el número máximo de procesos por usuario – En Windows (BAT) :s start 0% goto :s

4to Seminario de Segu-Info

Mito de los alcances del hacking

• “Todo lo que sea electrónico es hackeable” – Enero 2008 • Grave fallo en routers hogareños. El exploit funciona incluso cuando el usuario ha cambiado la contraseña por defecto – Enero 2008 • Posibles vulnerabilidades las nuevas aeronaves Boeing 787 a través de las redes para pasajeros – Marzo 2008 • El gobierno holandés emite un aviso sobre un problema de seguridad del chip RFID de NXP Semiconductors. Existen más de 1.000 millones de tarjetas con este chip en todo el mundo.

– – Marzo 2008 • Aparecen pruebas de seguridad contra los marcapasos modernos basados en el control por RF Marzo 2008 • A 8 meses de su salida, crackearon BD+ (sistema de protección de Blu-Ray) que se dijo que tardaría 10 años en romperse

4to Seminario de Segu-Info

Mitos de la Seguridad Física

• “Combinar protección física y electrónica es infalible” – “Scanner de huella dactilar de cerraduras y notebooks inviolables según su fabricante” • Se pudo violar utilizando un molde de la huella hecho en látex y en gel balístico • También se consiguió utilizando una fotocopia en papel blanco sobre el escáner – “Alarmas por sensor térmico para detectar personas en una habitación” • Se pudo violar el sistema visitiendo un traje ignífugo de bombero • También funcionó colocarse detrás de un cristal – “Alarmas con sensor de movimiento por ultrasonidos” • Se pudo violar el sistema utilizando una sábana que absorbía la señal del RF • También se pudo engañar al sensor moviéndose extremadamente despacio • Fuente: – Cazadores de Mitos (Discovery Channel, Episodio 59) – Agosto 2006

4to Seminario de Segu-Info

Mito del origen del bug informático

• “Un fallo provocado por una polilla dentro una de las primeras computadoras del mundo (Mark II - 1945) es el origen del término BUG” – Ciertamente una polilla quedó atrapada en un relé provocando un error de funcionamiento. Se lee: “1545 Relay #70 Panel F (moth) in relay. First actual case of bug being found” – Según el texto, el término “bug” para indicar errores ya existía – Este fue sin embargo el primer caso en que mencionaba un insecto de verdad – En un manual de electricidad de 1896 dice: “El término bug se utiliza para indicar un fallo en el funcionamiento de aparatos eléctricos” – Originalmente procedía de la telegrafía y también se utilizaba en las compañías teléfonicas para referirse al ruido en las líneas

4to Seminario de Segu-Info

Mitos sobre Hotmail y MSN

• “Hotmail se cierra” – ¿Quien cerraría un negocio tan grande y rentable?

• “Hotmail se hace pago” – Hotmail ya tiene un servicio pago (Windows Live Hotmail Plus) • “Hotmail es inseguro y fácil de hackear” – Lo que es fácil de hackear son los usuarios, no Hotmail • “MSN se hace pago” – La confianza de millones de usuarios por ser gratuito vale mas que el pago por un servicio • “Los sitios que dicen quien nos borró o bloqueó en el MSN son reales” – Para ver quien nos borró, no hace falta ningún sitio especial – Ver quien nos bloqueó no es posible a ciencia cierta

4to Seminario de Segu-Info

Mito del usuario de Linux • “Estoy seguro porque uso Linux”

– Linux también tiene bugs (y MAS que Windows) – Usar Linux no es lo mismo que usar BIEN Linux – La ingeniería social es independiente del S.O.

– La falsa sensación de seguridad es mas peligrosa que cualquier amenaza

4to Seminario de Segu-Info

Mitos del usuario de Windows

• “Tengo todos los parches, estoy seguro” – No todos los ataques se producen por errores del sistema – A veces no está disponible el parche adecuado a tiempo • “No uso Outlook ni Internet Explorer, estoy seguro” – Puede ayudar, pero también hay errores en otros

4to Seminario de Segu-Info

Mitos sobre las Políticas de Seguridad

• “En la empresa no necesito políticas, la seguridad es un tema técnico” – Sin dirección ni objetivo, no hay criterios para resolver problemas técnicos – Las políticas de seguridad declaran la dirección de una organización para mantener la información segura y dictan el objetivo • “Políticas escritas. Trabajo finalizado” – Si las personas no saben acerca de ellas, su función y aplicación, son igual de útiles que el ángel guardián de los Kennedy – Es necesario tener estándares para explicar cómo se deben cumplir las políticas y reducir los tiempos de implementación – No se debe olvidar el análisis de riesgo

4to Seminario de Segu-Info

Mitos sobre el Spam

• “Mi dirección es secreta. Estoy protegido.” – El servidor de mail tiene mi dirección – Mis contactos tienen mi dirección – Cualquiera podría incluirme en cadenas, listas y suscripciones • “Utilizo una dirección para recibir spam. Estoy mas tranquilo.” – Resuelve el problema de las verificaciones de existencia de cuenta – Puede canalizar mucho spam de manera eficiente • “Mi proveedor de mail tiene sistema Antispam. Estoy completamente protegido.” – Muchos falsos positivos (listas, grupos) – En general solo se marcan los mails (**SPAM**, # Posible Spam #)

4to Seminario de Segu-Info

Mitos sobre el Spam

• “Utilizo recepción con autorización inicial. Estoy protegido.” – Es muy tedioso al principio para todos los que nos escriben – Puede traer problemas con los sistemas automáticos de listas y suscripciones – Una vez autorizado, el filtrado es muy eficiente • “Los captchas para evitar el spam en los sitios web son infalibles” – Febrero 2008 • En una semana cayeron los sistemas de captchas de Google y Windows Live Mail para evitar la creación de cuentas con bots – Investigación: http://www.websense.com/securitylabs/blog

4to Seminario de Segu-Info

Mitos de la Seguridad Técnica

• “Solo los expertos son un problema para la seguridad” – El daño lo puede causar cualquiera que sepa utilizar: • Un Buscador (¿Google?) • Herramientas de enumeración (las hay online) • Un scanner de vulnerabilidades y puertos • Un framework de explotación de vulnerabilidades • “Estoy seguro, utilizo scanners de vulnerabilidades y no encuentro fallas” – Estas herramientas auditan respecto a una base de conocimiento – Existen otras técnicas de búsqueda de vulnerabilidades (Ej: Fuzzing) – La ingeniería social supera las barreras técnicas

4to Seminario de Segu-Info

Mitos sobre la protección por la conexión

• “Utilizo conexión Dial-UP, no debo preocuparme tanto” – Es cierto que los usuarios de banda ancha están mas expuestos – Sin embargo, en algún momento solo existían conexiones telefónicas, y también había intrusiones – Hay que tener mas precaución con las actualizaciones del sistema y antivirus (menos tiempo online) • “Estoy seguro porque mi ISP me brinda protección” – ¿Delegarían totalmente su seguridad a un tercero?

– Viendo la realidad, esos sistemas no parecen ser tan eficientes – ¿Es verdadera protección o un bonito truco de marketing?

4to Seminario de Segu-Info

Mitos y Hoaxes

• Definición: Hoax – Mensaje de correo electrónico con contenido falso o engañoso – Normalmente parece provenir de una fuente seria y fiable • Objetivos: – Obtener direcciones de correo y datos personales – Confundir a la opinión pública – Otros tantos… • Primer hoax – Asunto: Good Times – Fecha: Diciembre 1994 (casi al tiempo del spam) – Tema: Alertaba sobre un supuesto virus que podía borrar el disco

4to Seminario de Segu-Info

Mitos y Hoaxes

• • • • • • • • • • Gatos Bonsai (Bonsai Kitten) Sodium Laureth Sulfate en el Shampoo En Taiwan comen fetos humanos Llamadas de cierto número de teléfono para apropiarse de una línea Ya eres HIV Positivo: jeringas infectadas en lugares públicos Solidaridad con Brian Ayuda a Cleto, el niño colombiano con "Elefantiasis Cumerdi" Robo de órganos: despertar en una bañera con cicatrices Saltemos todos para enderezar el eje de la tierra Libro de geografía de USA enseña que el Amazonas es área internacional

4to Seminario de Segu-Info

Mitos de Hoaxes no tan míticos

• Deforestacion del Amazonas – Lo negativo: Es cierto, pero hay formas más serias de protestar – Lo positivo: Al menos se genera conciencia – La organización Greenpeace lleva adelante diversas campañas • Mujer nigeriana condenada a morir apedreada por estar embarazada soltera – Lo negativo: El caso fue cierto, la protagonista era Safiya Tudu – Lo positivo: Safiya fue absuelta ese mismo año – La campaña oficial de Amnesty International finalizó en marzo de 2002

4to Seminario de Segu-Info

Mitos de Hoaxes Literarios

• El poema “Instantes” es de Jorge Luis Borges – Maria Kodama desmintió la autoría – Investigación de Iván Almeida: Borges Studies on Line. J. L. Borges Center for Studies & Documentation • El poema “La marioneta” es de Gabriel García Márquez – El mismo García Márquez expresó en 1999: "Lo que más me puede matar es la vergüenza de que alguien crea que de verdad fui yo quien escribió una cosa tan cursi“ – García Marquez fue periodista, editor y escritor, pero NO poeta

4to Seminario de Segu-Info

Mitos sobre la Criptografía

• “El algoritmo RSA, desarrollado en 1978, fue el primer sistema de cifrado asimétrico” – 1973: El matemático Clifford Cocks llegó a la misma conclusión que los creadores de RSA – Su trabajo fue considerado “alto secreto” por el gobierno británico y su contenido no se hizo público ni se patentó • “Es seguro utilizar MD5 y SHA-1 para verificar integridad de archivos” – 2005: Estudios de la Universidad de Shandong (China) demostraron que se pueden obtener colisiones fácilmente en algoritmos MD5 y SHA-1 • “Con el nivel de criptografía actual estamos seguros por años” – Septiembre 2007: Investigaciones recientes revelan que con computadoras cuánticas ejecutando el algoritmo de Shor (demostrado por IBM) se podrían calcular claves públicas de algoritmos asimétricos

4to Seminario de Segu-Info

Mito sobre los Cajeros Automáticos

• “Los cajeros automáticos son sistemas seguros” – Febrero 2008 • Un fallo técnico en los cajeros del Northern Bank (Irlanda) permitió a 7.500 clientes, durante 4 meses, retirar efectivo (más de medio millón de euros) que no se reflejó en sus cuentas • El problema se debió a una actualización mal realizada en la conexión entre los cajeros y el sistema nacional de procesamiento • “Algunos cajeros automáticos usan Windows” – Una imagen vale mas que mil palabras

4to Seminario de Segu-Info

Mito sobre los Cajeros Automáticos Un pop-up vale mas que mil palabras

4to Seminario de Segu-Info

Mito sobre los Cajeros Automáticos

Febrero 2008: Red Link - Rosario (Santa Fe) Fuente: http://flickr.com/photos/bolche Un ejemplo Argentino vale mas que mil palabras

4to Seminario de Segu-Info

Mito sobre los Cajeros Automáticos

Un Blue Screen vale mas que mil palabras

4to Seminario de Segu-Info

Mito sobre los Cajeros Automáticos

Otro Blue Screen que vale mas que las otras mil palabras

• • 4to Seminario de Segu-Info

Mitos sobre la seguridad en el gobierno Norteamericano

“Los sistemas de la Casa Blanca y el Pentágono son los mas seguros del mundo” Marzo 2008 – Por un problema en el filesystem de los mail servers de la Casa Blanca se perdieran un millón de mensajes en dos años y medio • Se atribuyó a la migración de Lotus Notes a Microsoft Exchange (2002) • En los ’90 un fallo similar hizo perder los emails enviados por gente cuyo nombre empezaba con “D” • • • Septiembre 2007 – El ejercito popular de liberación chino penetró en la red del Pentágono Junio 2007 – Crackers provocan que 1500 máquinas del Departamento de Defensa queden inutilizadas Fuentes – http://www.infobae.com - http://www.cnn.com - http://www.ft.com

4to Seminario de Segu-Info

Mitos sobre “el dios” Google

• “Google es la empresa más cool de Internet” – Cada día crece más la percepción de que Google sabe demasiado sobre uno – Hace algunos años se acusaba a Microsoft de monopolizar, Google está haciendo lo mismo – Su colaboración con la censura de China no fue de agrado para la comunidad – Sus servicios individuales o combinados pueden ser peligrosos para nuestra privacidad • Google Desktop, Web Accelerator, GMail, Web History, iGoogle • Google Maps, Google Earth, Google Documents, Google Toolbar – – – Mantiene muchas empresas cautivas por medio de sus ganancias • Muchos negocios dependen del posicionamiento en su buscador • Mucha gente gana dinero por medio de Google Ads Compró casi 40 empresas en 7 años Además dan recomendaciones extremas sobre las contraseñas En síntesis • Googledependencia

4to Seminario de Segu-Info

Mitos sobre la impunidad de los gobiernos y el uso de Internet

• “El acceso a sitios de noticias y videos ha sido bloqueado por autoridades de Beijing para evitar difundir imágenes de manifestaciones en el Tíbet” • Marzo 2008 – Las protestas han sido violentamente reprimidas por el ejército y la policía China, causando estupor a nivel mundial – Los videos en YouTube eran las únicas imágenes en las que se podían ver las disputas de Lhasa (capital del Tíbet) – China tiene largo historial de censuras a sitios de Internet • Fuentes – Google News, YouTube blocked in China amid Tibet riots (InfoWorld) – BBC Report on Tibet Protest 2008 (BBC via YouTube)

4to Seminario de Segu-Info

Mitos sobre la impunidad de las grandes empresas

• “Sony/BMG coloca rootkits en sus CDs de música” • Septiembre 2007 – La empresa tenia antecedentes en distribuir rootkits como protección anticopia – F-Secure detectó que las memorias flash USM-F con lector de huellas digitales, instalan un driver que oculta una carpeta en el disco – Esta carpeta y los archivos no son visibles a las API comunes, pero sí a través de la línea de comandos. – Incluso pareciera poder ocultarse de los antivirus – También se publicó una comparativa entre este rootkit y el anterior • Fuente: http://www.f-secure.com/weblog/

4to Seminario de Segu-Info

Mito del usuario engañado por Windows

• “Windows hace cosas sin que el usuario se de cuenta” • Septiembre 2007 – El portal Microsoft Watch ha revelado que Windows Update está actualizando algunos componentes sin notificar al usuario – Fuentes: http://windowssecrets.com - http://www.microsoft-watch.com

• Noviembre 2007 – Bruce Schneier denuncia que el generador de números pseudo aleatorios “Dual EC DRBG” (basado en curvas elípticas) diseñado por NSA, presenta una debilidad utilizada como “backdoor” – Este algoritmo lo incorpora Windows Vista en el Service Pack 1 – Fuente: http://www.schneier.com/blog

4to Seminario de Segu-Info

Mitos del Análisis Forense Informático

• “Si apago la PC ya no se pueden recuperar datos de la RAM” • Febrero 2008 – Un estudio de la Universidad de Princeton explica que las memorias RAM no son tan volátiles – Según el estudio, se puede recuperar el contenido incluso varios segundos después de apagar un equipo • Fuente: http://citp.princeton.edu/memory • Datos recuperados de la RAM a 5, 30, 60 y 300 seg. de apagado

4to Seminario de Segu-Info

Mito de la solución de fallas en Linux

• “En GNU/Linux los parches aparecen muy rápidamente” • Febrero 2008 – Grave problema de seguridad en el kernel de Linux – Distrowatch publicó un resumen con el tiempo de respuesta que de algunas distribuciones populares: • Debian • Fedora • Slackware • Mandriva • Red Hat / Ubuntu • CentOS 0 horas 8 horas 12 horas 19 horas 27 horas 37 horas

4to Seminario de Segu-Info

Mitos sobre el panorama actual

• “No importa todo esto, porque el panorama es alentador”

4to Seminario de Segu-Info

Un mito más y nos vamos… “Walt Disney está congelado”

4to Seminario de Segu-Info

Conclusiones

• Muchos mitos se basan en la opinión pública, que no es la mejor referencia en seguridad informática • Debemos tener cuidado con lo que proviene del “amigo de un amigo” • Siempre es bueno verificar las fuentes de información • Al final ya lo había dicho Shakespeare (1564-1616): – “Ser lo que soy, no es nada sin la seguridad”

4to Seminario de Segu-Info

¡Gracias por su atención!

Referencias Online

• http://es.wikipedia.org

• http://www.error500.net

• http://www.barrapunto.com

• http://www.rompecadenas.com.ar

• http://www.kriptopolis.org

4to Seminario de Segu-Info

4to Seminario de Segu-Info

Licencia de uso:

Creative Commons 2.5 Argentina http://creativecommons.org/licenses/by-nc-sa/2.5/ar/

Ud. puede:

 Copiar, distribuir, exhibir, y ejecutar la obra  Hacer obras derivadas

Bajo las siguientes condiciones:

Atribución. Debe atribuir la obra en la forma especificada por el autor No Comercial. No puede usar esta obra con fines comerciales. Compartir Obras Derivadas Igual. Si altera, transforma, o crea sobre esta obra, sólo podrá distribuir la obra derivada resultante bajo una licencia idéntica a ésta.