Seguridad y sostenibilidad

El pasado lunes publiqué un post en el Blog de Seguridad de INTECO, en el que introducía brevemente un concepto que creo que en un futuro puede ser una de las estrellas del mundo de la seguridad: la sostenibilidad aplicada a la seguridad de la información. ¿Qué os parece el planteamiento? ¿Qué fallos le veis? Espero vuestros comentarios.

Agua y seguridad

A veces, me encuentro con personas que ponen cara de extrañeza cuando les hablas de mezclar el mundo de la seguridad informática con el de la seguridad "tradicional". Sin embargo, día tras día surgen ejemplos que ponen de manifiesto la importancia de avanzar en esa fusión.

El último caso lo encontramos en Noruega, en el sistema de suministro de agua potable de Oslo. Parece ser que se podía acceder a través de Bluetooth al sistema de control y suministro de agua, utilizando la contraseña 0-0-0-0. Esa sencilla clave, la segunda clave numérica más utilizada según algunos estudios, permitía que cualquiera, símplemente con un móvil con bluetooth, pudiera acceder al sistema, interrumpir el suministro, alterar la presión... En definitiva, tener el control del suministro de agua de la capital de Noruega.

Este sólo es un ejemplo más de que el mundo físico y el electrónico cada vez están más interrelacionados, y de que ya no basta con la seguridad física para proteger apropiadamente las infraestructuras críticas. No obstante, tampoco debemos caer en la tentación (propia del sector TIC, por otra parte) de pensar que ahora lo que cuenta es la seguridad informática, y olvidarnos de la seguridad física o pensar que las preocupaciones al respecto deben ser menores. La verdad es que no es una labor sencilla, por mucho que ahora contemos con una Ley y un Real Decreto que regulan estos aspectos. Y no por el hecho en sí de balancear ambos mundos, sino por tratar de hacer confluir los intereses de dos perfiles profesionales muy diferentes, que nunca se han entendido y que ahora tienen que trabajar en equipo, superando sus egos y prejuicios. ¿Seremos capaces de proteger adecuadamente nuestras infraestructuras físicas? ¿O la próxima noticia contará alguna historia sobre el riesgo que ha sufrido una capital española? Al menos, esperemos que en ese caso no haya sido por mantener las claves de acceso por defecto...

Certificados y confianza

La noticia de que una nueva entidad de certificación, DigiNotar, ha sido comprometida ha acrecentado las dudas acerca del sistema PKI y, por ende, acerca de los elementos sobre los que se fundamenta la seguridad hoy en día. ¿Podemos seguir confiando en el SSL, en el "candadito" del navegador? Ayer mismo Hispasec publicaba, en su una-al-dia, una breve pero clara relación de los incidentes de seguridad más importantes sufridos por el sistema PKI en los últimos tiempos, con un mensaje preocupante al final: esto sólo acaba de empezar. ¿La situación es realmente tan preocupante como parece?

En cualquier caso, creo que no estaría de más hacer un pequeño análisis de los últimos incidentes. Del correspondiente a GlobalSign todavía no se sabe mucho, ya que está bajo investigación. También lo está el de DigiCert, pero en este caso tenemos un análisis bastante interesante sobre la intrusión, muy instructivo y recomendable. Del primero de ellos no hay un análisis tan detallado, pero se puede resumir en que el atacante entró en la RA (autoridad de registro) a través de internet, y en ella estaban almacenadas las claves necesarias para emitir los certificados contra la CA (autoridad de certificación).

Viendo los hechos, a mi me parece claro un aspecto: el nivel de automatización y ejecución on-line de todo el proceso es excesivamente alto. Por un lado, porque no se requiere autenticación fuerte basada en token físico (tarjeta criptográfica) para la emisión de un certificado. Por otro, porque tampoco da la sensación de que se requiera la intervención humana expresa para proceder a dicha emisión. Y por último, porque un equipo que sólo actúa una vez al año (como mucho) como es una CA raíz jamás debería estar no ya conectado a la red, sino siquiera encendido.

Dicho esto, no creo que el sistema PKI esté en peligro... pero sí que me parece necesaria una migración rápida a soluciones SSL-EV. Para los profanos, los certificados SSL-EV son los que "colorean de verde" la barra del navegador. El EV significa "validación extendida", o dicho de otra forma, verificación rigurosa de la identidad del solicitante antes de emitir el certificado. Por tanto, no es un cambio tecnológico, sino procedimental: las RAs tienen la obligación de emitir "manualmente" los certificados, ya que se deben verificar un montón de datos para autenticar fehacientemente al solicitante del certificado antes de emitirlo.

Obviamente, siempre será imprescindible cumplir las especificaciones de seguridad que contienen las normas que regulan el mundo de las PKIs... y más si se está certificado en ellas por una tercera parte confiable. Esa tercera parte, que acredita el correcto cumplimiento, es quien garantiza la viabilidad de todo el sistema, y desde mi punto de vista debería ser a quien se exijan responsabilidades si se demuestran incumplimientos importantes no identificados. Es cierto que esto supone una gran responsabilidad para los auditores, pero... ¿Acaso no es ésa su función?

Este blog sigue abierto

Hace más de mes y medio que no publicaba nada en el blog. Una excusa podría ser que he estado de vacaciones (ójala hubieran durado todo ese tiempo), otra la jornada intensiva (y la dedicación del tiempo libre al ámbito no-profesional), pero la verdad es que sólo serían excusas. El motivo real no tengo muy claro cuál era, salvo que me estaba replanteando el encaje del blog dentro de mi nuevo status profesional.

A partir de ahora voy a dirigir la línea de negocio de Control Corporativo y Cumplimiento Legal de Nextel en la zona Norte. Por un lado me voy a encargar del desarrollo de negocio en torno al diseño e implantación de modelos de control interno corporativo (COSO, CobiT, etc.), y por otro voy a asumir la labor de potenciar las áreas de negocio relacionadas con la legislación tecnológica (tanto las ya maduras como la LOPD o la LFE -firma electrónica-, como las más "nuevas" como ENS, ENI o Infraestructuras Críticas). Un reto profesional que asumo con mucha ilusión, pero también consciente del esfuerzo e implicaciones que puede suponer.

Y una de esas implicaciones era, precisamente, la neutralidad de este blog. Teniendo en cuenta que asumo unas funciones de mayor perfil comercial y de promoción e impulso de los servicios que ofrecemos desde Nextel, no tenía claro si iba a ser capaz de mantener un tono suficientemente neutro a la hora de posicionarme en los temas que trato en el blog. En más de una ocasión he caído en la tentación de "vender" los planteamientos de mi empresa, y no me gustaría que el blog se acabase convirtiendo en una herramienta de marketing o algo similar. Así que he estado dándole muchas vueltas, releyendo algunos post y tratando de ver cuáles pueden ser los límites que no debo cruzar.

Finalmente, he llegado a una conclusión: es posible continuar. Quizás me tenga que pensar más lo que escribo, o tenga que ser especialmente escrupuloso con el tono de ciertas críticas, pero creo que es posible mantener la neutralidad mínima requerida. Así que ya siento haber escrito tanto para acabar repitiendo el título del post, pero necesitaba explicarme:

Este blog sigue abierto.

La estrategia española de seguridad

Hace tres semanas pudimos conocer la Estrategia Española de Seguridad, el documento que recoge el planteamiento estratégico de seguridad previsto para los próximos 10 años. En él se analizan las amenazas y riesgos a nuestra seguridad, se identifican las líneas de respuesta y se definen los mecanismos de coordinación. En la práctica, se identifican las principales líneas de acción previstas para los próximos años en relación a las distintas amenazas identificadas en el documento.

Para todo aquél que no quiera analizar a fondo el documento, también existe la opción de revisar otro documento en el que se analiza dicha estrategia, comparándola además con las estrategias de seguridad de Estados Unidos, Reino Unido, la Unión Europea y la OTAN. Este documento es el Análisis comparativo de la estrategia española de seguridad, elaborado por el Instituto Español de Estudios Estratégicos.

No es mi intención hacer un análisis exhaustivo de dicho documento, pero sí destacar algunos aspectos que me parecen interesantes desde el punto de vista de la temática de este blog. El primero de ellos es que el desarrollo legislativo no es una línea de acción especialmente significativa, pero aparece citada en torno al crimen organizado y sobre todo en relación a las ciberamenazas. Parece que este sea el ámbito con mayores carencias legislativas, lo cual hace prever la futura aparición de nuevas leyes de carácter tecnológico en los próximos años.

Otro de los aspectos más destacable es la aparición de continuas referencias a las infraestructuras críticas. Se identifica la vigilancia y protección de las infraestructuras críticas por parte de los diferentes cuerpos de seguridad como una de las líneas de acción frente al terrorismo, así como la necesidad de gestionar los riesgos derivados de la participación de empresas extranjeras en la gestión de las infraestructuras críticas como una de las líneas de acción en torno a la inseguridad económica y financiera. También figura su protección como una de las líneas de acción encaminadas a proteger las líneas y redes de abastecimiento energético, pero sobre todo aparecen reseñadas en relación a la protección frente a las ciberamenazas y como uno de los elementos a proteger en sí mismos. Hace referencia al CNPIC y al Plan Nacional de Protección de las Infraestructuras Críticas, a la incidencia de los ciberataques sobre dichas infraestructuras, pero sobre todo incide en la necesidad de coordinación entre los agentes públicos y privados.

Por último, uno de los aspectos que más me han llamado la atención es la poca relevancia aparente que tiene el Esquema Nacional de Seguridad dentro de dicho documento. En torno a la ciberseguridad se identifican distintas líneas de acción de carácter público, centradas en la interconexión entre administraciones y la identidad digital (certificados electrónicos y DNIe), y se identifica el desarrollo del ENS como otra de ellas. No obstante, me parece destacable que se cite la necesidad de realizar auditorías que verifiquen la seguridad de los sistemas, ya que permite soñar con un futuro reforzamiento de este aspecto, que "anime" a las administraciones públicas a tomarse más en serio este tema.

En definitiva, un documento interesante que creo que debe ser conocido por cualquier que se mueva en este sector. Al menos, para poder anticipar por dónde pueden venir los futuros movimientos...

Ya no basta con ser como la mujer del césar

Seguro que todos hemos oído que en seguridad, como la mujer del césar, no sólo basta con ser honrado, también hay que parecerlo. Unas buenas medidas de seguridad no sólo tienen que ser eficaces, sino que tienen que parecerlo. El efecto disuasorio de la apariencia de seguridad no es en absoluto despreciable, y de hecho es una medida preventiva bastante eficiente. Y si no, que se lo pregunten a los instaladores de alarmas (que siempre colocan el cartel de "alarma conectada") o a los que colocan cámaras de seguridad "falsas".

La discusión entre cuál de los dos factores es más importante (y por tanto, cuál primar) tampoco es trivial, aunque el análisis es fácil de entender. La apariencia de seguridad es una medida de seguridad preventiva, que reduce la probabilidad de ocurrencia de un ataque (no de cualquier incidente, sólo de los malintencionados). Por contra, la seguridad eficaz pero no aparente puede ser una medida de seguridad preventiva, detectiva o reactiva, en función de lo cual va a reducir la probabilidad de ocurrencia del incidente en el primer caso o el impacto del mismo (directamente en el caso reactivo e indirectamente en el detectivo)en los restantes. Por tanto, primar uno u otro dependerá sencillamente de nuestro análisis de riesgos y de qué tipo de amenazas queramos mitigar.

Sin embargo, a día de hoy creo que no basta con tener en cuenta estos dos factores. Hay un tercer factor que cada día cobra más importancia a la hora de valorar una medida de seguridad: la fiabilidad de sus resultados. Es un factor que no es nuevo (que se lo pregunten a los fabricantes de IDS y los problemas causados por falsos positivos/negativos), pero que cada día cobra más importancia. La confiabilidad de las medidas de seguridad está relacionada con su sostenibilidad, y busca la certeza de que los resultados ofrecidos se puedan garantizar a lo largo del tiempo. De poco vale un buen control de accesos si no somos capaces de controlar los cambios que realizamos en su configuración, de forma que a la hora de la verdad no podamos asegurar si durante un ataque funcionó como queríamos que lo hubiera hecho.

El problema es que, a día de hoy, la mayor parte de los sistemas de seguridad (físicos, lógicos, o del tipo que sean) no están preparados para garantizar su fiabilidad a lo largo del tiempo. ¿Cuántos armarios son capaces de identificar unívocamente cada llave de acceso? ¿Cuántos firewalls son capaces de guardar la trazabilidad completa de los cambios de configuración sufridos? ¿Cuántos sistemas de ficheros están preparados para realizar auditorías periódicas de su contenido? Si alguien pone en duda la fiabilidad de las medidas de seguridad que tenemos dispuestas... ¿Estamos preparados para contestar?