Weblog de JaCkSecurity

Hace unos 6 años atrás, conocí a un docente auditoría de sistemas y comercio electrónico de una universidad de renombre local (Perú), quien nos dijo (a mí y a otro especialista) que jamás sería posible enseñar seguridad informática en un aula universitaria, como carrera. Hasta ahora, no recuerdo con claridad sus argumentos, pero lo que sí recuerdo es lo que ví este domingo en la Av. 28 de Julio en Lima: una universidad parece haber lanzado su carrera de ingeniería en esta actividad laboral.

Al parecer, UTP sería la primera universidad en lanzarse con tan ambiciosa iniciativa.

Aunque es posible que la currícula sea readaptada con el tiempo, no quería dejar de marcar mi curiosidad por uno de cursos, llamado así “Redes Autoprotegidas”, ¿le suena a Ud. familiar ese nombre?.

De cualquier manera, si esta casa universitaria es la primera en ofrecer una carrera de este tipo (al menos en Perú), estarían -sin duda- robándole ventaja al sueño de muchas otras instituciones educativas que andan en la búsqueda de algo muy similar. Si el docente que conocí tenía o no razón, lo mejor sería tener sus argumentos, si algún docente universitario cree tener esos argumentos, sería interesante que los comparta.

CTO
JaCkSecurity
Conocimiento, Conciencia y Consultoría

El día que fui a un iStore, uno de los comentarios marketeros del vendedor fue: “este sistema es libre de virus”. Por misericordia, no le refuté ni un gramo. Pero, él notó mi lenguaje corporal, y readaptó su idea “no, por lo menos, hasta ahora”. Añadió: “En realidad, todavía no se han escrito virus para Mac, como a diferencia de otro sistema (ni lo menciona)”.

No dudo que este sea el típico comentario de ventas que use un vendedor de Mac. Pero, eso no me preocupa, pues finalmente NO ES por el marketing de ventanilla que uno se deja llevar, sino mas bien por la propia comunidad (Mac tiene una muy grande).

Estoy convencido que esas comunidades no hablan lo mismo que me dijo aquel vendedor, menos ahora que tantos hoyos de seguridad se han regado por la red acerca del software de Apple, muchos de ellos muy serios.

Sin embargo, es difícil de entender cómo un criminal puede haber llegado a la conclusión que una oferta de AV Free para Mac le sería favorable para cazar víctimas. ¿es la comunidad de usuarios de Mac sicológicamente vulnerable a estas patrañas como lo son los usuarios de PC, al menos parte de ella?

Si es así, el marketing de las casas de AV han logrado traspasar la fronteras de los usuarios de Mac. ¿quizás los usuarios nuevos de Mac, ex-usuarios de PCs hayan quemado más de un nodo de su cerebro con el concepto de los AV?

Me pregunto si lo mismo puede pasar con todo lo demás, que puede ser mejor o diferente (en mucha o poca manera). Esto sería como haber creado un trapdoor o bug perpetuo en la menta del consumidor sin importar cuán vulnerable de verdad sean.

La ley de la oferta y la demanda por malware disfrazado de AV para Mac, lo dirá.

CTO
JaCkSecurity
Conocimiento, Conciencia y Consultoría

No sabemos cuántos medios hayan cubierto este torneo, ¿quizás alguno del país origen del torneo? no lo sabemos, pero lo que sí sabemos es que un peruano lo ganó. Por supuesto, hubiera sido mejor que haya sido un argentino (sección aclarada abajo por un miembro de ekoparty), ya que el evento ekoparty fue 100% esfuerzo argentino, pero aprovechemos la conyuntura y reconozcámoslo “PERÚ ESTÁ DE MODA”, y tal parece hay argumentos para ello.

JACKSECURITY extiende su reconocimiento al ahora dueño de la GANZÚA, el mayor premio del torneo de hacking ekoparty.

(sección corregida por un miembro de ekoparty abajo) En el evento de más de 300 invitados, como latinos, además de los argentinos, sólo hubieron dos peruanos, un chileno, y dos colombianos que radicaban en Panamá. Cuatro fueron los premiados, el primero fue un compatriota. Nos enorgullece señalar también, que Andrés fue el primer lugar en el CTF que realizamos para SANS hace unos meses atrás.

Aprovechamos también para extender nuestras felicitaciones a los organizadores de este evento, hemos recibido referencias muy gratas de su esfuerzo y dedicación al promover su ya famosa ekoparty.

JaCkSecurity
Conocimiento, Conciencia y Consultoría

La generación Y es la expresión del nuevo tipo de reto que los gestores de seguridad afrontarán en breve. Su naturaleza trasciende el potencial gerencial y técnico. Quizás por ello, no he visto aún a nadie estudiar este nuevo problema. Sin duda escapa nuestra actual comprensión de la seguridad informática.

Centrándonos en el tema, lejos están los días en que un empleado u operario (ahora llamado colaborador) era revestido de todo el material y herramientas necesarias para su labor. En el transcurso de los últimos años, hemos visto cómo los colaboradores empezaban a hacer uso de sus propias herramientas (software) para la labor. Ud. ha sido testigos y quizás -hasta- protagonista- de instalaciones de software no legal sopretexto de ser necesario para la labor y hasta para seguir operando el negocio (y para ahorrarle unos millones).

Aunque lo anterior sólo parecía afectar a terceros (la BSA y amigos), lo cierto es que el problema ahora sí que toca las puertas de los negocios. En el presente, muchos empleados disponen de dispositivos de almacenamiento portátil (de su propio pecunio) -felizmente todavía visibles-, en los que no sólo viajan datos personales del empleado, sino que -hasta- información confidencial o secreta de su empleador. ¿cuál es su argumento? Singularmente, muy parecido: es necesario para la labor (con mayor flexibilidad y rapidez).

Sin embargo, al respecto de lo señalado en el párrafo anterior, ha quedado claro que desconectar la bahía USB de las PCs/Macs es el peor exceso que un oficial de seguridad puede cometer contra la flexibilidad de los negocios de su compañía, por el sólo hecho que exihibe riesgos tan terribles como el antes señalado. Así que, discutir al respecto es sólo una pérdida de tiempo y quizás hasta dinero (con esas soluciones endpoint, que últimamente afloran).

Mejor que eso, piense más profundamente al respecto del problema: imagine cuántos dispositivos computacionales con capacidad de almacenamiento y transmisión inalámbrica podrá introducir en la oficina -en unos cuantos años en el futuro- un colaborador sin usted siquiera poder notarlo y menos fiscalizarle. No olvide añadir también esta variable: ergonomía, recuerde que la ergonomía y la calidad del ambiente de trabajo, muy defendido hoy, nos invita a permitir a nuestro colaborador a traer dispositivos diversos que en buena cuenta le permitan hacer uso de ese derecho o atributo tácito (¿escuchar música, las noticias, ver TV?). ¿acaso usted mismo (el oficial de seguridad) no escucha música mientras trabaja? ¿cómo llegó esa música a su PC? ¿se la obsequió RRHH?

No desaproveche el ejercicio mental anterior, “vaya carburando su mente de GenX”, porque en breve tendrá en su oficina a la siguiente generación, la mini avalancha de esta nueva forma de trabajar. Ellos por su inherente facilidad hacia el uso de la tecnología (tech-savvy) serán portadores de tecnología de punta con capacidades más y más altas cada vez (y con tamaños menos pretenciosos, visibles y detectables).

¿Será la solución “una de tipo tangencial” como señala nuestro título? ¿tangencial sobre qué o sobre quienes?

Con este artículo, esperamos haberle ayudado un poco, antes de añadir más hw/sw de seguridad para el 2009. Si necesita algo más de ayuda, cuente con nosotros.

CTO
JaCkSecurity
Conocimiento, Conciencia y Consultoría