Los 10 Mandamientos de la Seguridad Informática
En nuestros días, la sociedad se encuentra informatizada en gran medida. Muchas de nuestras actividades cotidianas las realizamos online. Los delincuentes, lamentablemente, también forman parte de la sociedad y para poder seguir llevando a cabo sus robos y estafas han tenido que modernizarse. Todo tipo de delitos virtuales se suceden a diario, sustrayendo millones de dólares por año a personas de todo el mundo, que pecan de una inocencia extrema a la hora de operar una computadora. Evitar caer en sus garras no es fácil: requiere rigor y constancia. Aquí tengo el gusto de compartirles un articulo publicado en la revista de tecnología e informática dattamagazine donde se exponen, las diez leyes que reducirán al mínimo la posibilidad de que seamos víctima de los cyber delincuentes.
1.Cuidaras la seguridad del sistema Operativo:
Elegir el sistema operativo (S.O) adecuado según la importancia y confidencialidad de los datos a almacenar en el equipo es vital. Si la información es crítica, lo ideal es emplear Sistemas Operativos muy seguros (como OpenBSD) o bastante seguros (GNU/Linux) y evitar a toda costa los menos fiables (todos los de la familia Windows, particularmente Vista y los anteriores a Windows 2000). Se debe eludir la utilización de cuentas privilegiadas, como Administrador o root, a las que sólo se recurrirá para instalar software o cambiar la configuración del sistema. Para las tareas de uso diario, debe emplearse una cuenta de usuario común, sin “superpoderes”. Todas las cuentas deben tener siempre contraseña y la misma contará con al menos 8 caracteres de largo y contendrá tanto letras como números, rehuyendo siempre al empleo de palabras que se hallen en el diccionario. Lo conveniente es usar directamente frases clave. En inglés, son conocidas como “passphrases” y un ejemplo típico sería algo así: “ 3 3 t i g r e s c o m e n d e 3 3 p l a t o s detrigo”. Ocurre que hasta una contraseña aleatoria, pero de únicamente ocho caracteres de longitud, se encuentra expuesta a ser vulnerada en pocas horas mediante un ataque de fuerza bruta. Pero inclusive al equipo más poderoso de la actualidad le llevaría años crackear por fuerza bruta una contraseña de 30 caracteres de longitud.
2.Aplicaras regularmente las actualizaciones de seguridad.
Hasta los S.O. más seguros tienen vulnerabilidades. Lo que los hace confiables no es solamente una baja cantidad de errores explotables, sino también la velocidad de sus desarrolladores para implementar una solución lo más rápidamente posible una vez que los mismos han sido detectados. Los S.O. de la familias *BSD y GNU/Linux suelen publicar actualizaciones de seguridad en forma diaria. Microsoft libera parches para sus S.O. bastante más esporádicamente. En cualquier caso, es responsabilidad del administrador del sistema controlar regularmente si se disponen de actualizaciones de seguridad para su correspondiente S.O. y aplicar las que sean indispensables. Nunca es buena idea configurar al equipo para que instale las actualizaciones de manera automática. Siempre es preferible que se nos notifique y poder elegir el momento en que se realiza la instalación de los parches e, incluso, excluir algunos en particular si no los necesitamos o no deseamos actualizar algún paquete determinado por razones de estabilidad.
3.Emplearas chequeadores de integridad, antivirus y antispyware.
Los usuarios de todos los S.O., pueden beneficiarse con los chequeos de integridad. Los programas o scripts que llevan a cabo esta labor son capaces de detectar cualquier modificación sobre un archivo o lote de archivos. Modificaciones inesperadas sobre documentos o, lo que es peor, sobre archivos del sistema revelarán la presencia de un malware o una intrusión no autorizada. En cambio, la utilización de antivirus y antispyware es imprescindible solamente para los usuarios de Windows. No es que no existan virus para otros S.O. como GNU/Linux, por ejemplo, pero la cantidad de virus reconocidos para esta familia de Sistemas Operativos se encuentra alrededor de los ochocientos, mientras que los virus para Windows ya han superado el medio millón. El antispyware también es fundamental para los usuarios de los S.O. de Microsoft, si buscan garantizar su privacidad. Multitud de programas gratuitos para Windows que se descargan por Internet instalan subrepticiamente programas ocultos que estudian nuestros hábitos y comunican esa información a sus creadores, quienes la convierten en valiosos datos estadísticos. Luego, se comercializan por mucho dinero a distintas empresas dedicadas al marketing y la publicidad.
4.Cifrarás la información sensible.
Nunca debe almacenarse información crítica, como contraseñas, números de cuentas bancarias o de tarjetas de crédito, o cualquier otro tipo de datos confidenciales sin haber tomado la precaución de cifrarlos. Hay diversas maneras, algunas más sencillas (y, por lo tanto, menos seguras) y otras más sofisticadas. Lo importante es elegir los métodos a aplicar de manera acorde a la confidencialidad de dichos datos. Para guardar contraseñas, por ejemplo, existen diversos paquetes de software (incluso software de código abierto) que permiten resguardar en un único archivo, cifrarlos con una contraseña maestra, todas las cuentas de usuario que se necesiten junto con las correspondientes credenciales de acceso. Dado que es pésima idea usar la misma clave en más de un website o servicio, la cantidad de usuarios y contraseñas que tiene una persona promedio es tan elevada que, sencillamente, es imposible memorizarlas todas. Nunca deben alojarse, entonces, sin ningún tipo de protección. La misma norma rige para los documentos con información sensible. Si no se dispone de otra solución mejor, lo mínimo que se puede hacer es preservar la información sensible en un archivo ZIP o RAR codificado con contraseña o frase clave.
5.Usarás sólo modos seguros de acceder al e-mail.
Si se dispone de una conexión permanente de banda ancha a Internet, y nuestro proveedor de correo ofrece el servicio de Webmail, lo mejor es utilizar directamente dicho servicio y no instalar ningún cliente de correo. Proveedores de Webmail como Google o Yahoo brindan capacidad casi infinita de almacenamiento y un servicio muy fiable, optimizan la seguridad en forma constante y proveen sus propios chequeos antivirus para los archivos adjuntos. Si no se cuenta con Webmail o, de todas maneras, se desea emplear un cliente de mail para acceder a los correos fuera de línea, se deben evitar los clientes de correo inseguros (usuarios de Windows: nunca valerse del Outlook ni Outlook Express) y nunca abrir archivos adjuntos a correos de desconocidos. Hay que prestar atención aun a los correos de nuestros propios conocidos, ya que ellos pueden estar infectados y enviando virus sin saberlo. Si un familiar nos manda un correo escrito en un idioma o estilo distintos de los habituales, conviene no abrir el archivo adjunto sin analizarlo e x h a u s t i v a m e n t e.
6.Utilizarás únicamente navegadores seguros para acceder a la web.
Los usuarios de Windows deben eludir el Internet Explorer como si fuera el peor de los males. No importa la versión, inclusive las recientes son muy inseguras debido a que su problema está en la misma arquitectura con la que fue concebido y lo arrastrará generación tras generación, salvo que se reescriba nuevamente el código desde cero. Ni siquiera nos detendremos en lo incorrectamente que renderiza las páginas y la escasa compatibilidad que tiene con los estándares que rigen la web actualmente, como XHTML/CSS. Cualquiera de los otros navegadores modernos es mejor: Firefox, Opera, Safari o Chrome son todos más seguros, veloces y estables que los navegadores de Microsoft. De todas formas, esto no quita que, asimismo, tengan sus problemas de seguridad, por lo cual debemos asegurarnos de actualizarlos siempre a la última versión apenas el navegador nos notifique que se han liberado actualizaciones. Firefox, por ser el más popular en este momento, es también el más atacado por los exploiters y se le han encontrado diversas vulnerabilidades. Pero dos hechos compensan este inconveniente: los veloces tiempos de respuesta para solucionar el agujero de seguridad por parte del equipo de desarrollo de Mozilla y la posibilidad de agregarle extensiones que lo tornan mucho más fiable, como Adblock Plus o No Script. (ver: Las mejores extensiones de FireFox para mejorar tu seguridad)
7.No abrirás enlaces ni archivos sospechosos.
Tanto el SPAM que llega por mail como el que recibimos por mensajería instantánea (MSN, Yahoo Messenger, etc.) suelen contener enlaces web o archivos adjuntos. La probabilidad de que estos archivos sean maliciosos es muy elevada. Lo mismo ocurre al visitar sitios web de software pirata o portales eróticos. En algunos, se abren innumerables popups que ofrecen de manera gratuita todo tipo de programas, hasta, con un dejo de ironía, supuestos antivirus y antimalwares que, en realidad, son todo lo contrario. No hace falta aclarar que nunca se deben descargar este tipo de archivos y, de hacerlo por error, eliminarlos sin ejecutarlos. Incluso a la hora de descargar software legítimo, lo preferible es realizarlo siempre desde la página oficial de su desarrollador o desde sitios de descarga reconocidos como Download.com, y evitar otros sitios más sospechosos, algunos de los cuales solicitan un pago monetario o el envío de SMS para habilitar la descarga de programas que sus creadores distribuyen en forma gratuita.
8.Ingresarás datos críticos, sólo en sitios seguros.
Una de las maravillas de internet, es la compra electrónica. Navegar por góndolas en la web, agregando productos al carrito, y, en un par de clicks, pagar con tarjeta de crédito para recibir los productos en la puerta de la casa, es una bendición para numerosas personas. Lo mismo para los hobbistas y aficionados a la lectura, o la música, o tantas otras actividades, que pueden encargar a otros países a través de la web productos inconseguibles en sus lugares natales y recibirlos a los escasos días. Lo mismo ocurre con el Home Banking. Evitar tener que ir al banco y sufrir horas de cola para hacer un trámite, pudiendo llevarlo a cabo en minutos en nuestra computadora en la comodidad del hogar, es invaluable. Pero tantas ventajas entrañan sus riesgos. A través de la técnica conocida como phishing y otro tipo de ataques maliciosos, delincuentes podrían hacerse con nuestros números de tarjeta de crédito, o de cuentas bancarias, y provocar desastres. Pero podemos estar tranquilos siguiendo estas pocas precauciones. Nunca ir al sitio del banco o de compras electrónicas a través de un enlace recibido por mail o mensaje instantáneo. Siempre escribir la dirección en la barra del navegador o recurrir a un favorito hecho por nosotros mismos. Verificar que los sitios en los que operaremos usan HTTP Seguro (en la barra de direcciones, el protocolo que debe figurar es HTTP en lugar de HTTPS, y en la barra de estado del navegador, en la parte inferior, debe mostrarse la imagen de un candado cerrado). Si no son sitios HTTPS (”sitios seguros”), no debemos introducir allí nuestros datos. Si dichos sitios proveen un “teclado virtual” para tipear las credenciales de usuario siempre hay que emplearlo: ello nos librará del peligro de que nuestros datos sean capturados por un “keylogger”, que puede hallarse instalado en nuestro sistema si el mismo fue infectado a través de un troyano.
9.Si debes correr riesgos, usarás sandboxing.
De ser ineludible abrir un archivo sospechoso, nunca debemos hacerlo en nuestro equipo principal, aunque el análisis con uno o más antivirus indique que el mismo no está infectado. Existen varios modos de “aislar” el archivo comprometedor para poder ejecutarlo sin peligro de afectar el sistema si ocurre lo más temido. Lo más recomendable es el del uso de software de virtualización, como VMWare (propietario, aunque hay versiones gratuitas) o VirtualBox (Open Source), que emulan a una PC completa, con su disco rígido, placa de red y demás periféricos, en una ventana de nuestro Sistema Operativo anfitrión. Si estamos en la duda de si un documento de Word que recibimos contiene una información importante que estábamos esperando o un virus, lo conveniente es tener una máquina virtual de prueba, en la que seamos capaces de abrir el archivo en forma segura. En el peor de los casos, si constatamos que se trata de un archivo infectado, podemos borrar la máquina virtual o revertirla a un estado anterior a la infección por medio del sistema de “snapshots” que proveen tanto VMWare como V i r t u a l B o x.
10.Te mantendrás informado sobre nuevas maneras de vulnerar tu seguridad.
Una de las mejores formas de rehuir a dolores de cabeza es prevenir. Específicamente para quienes administran sistemas con datos críticos, tener conocimiento sobre las recientes vulnerabilidades y exploits que van surgiendo para las tecnologías que se aplican en su área es el modo de evitar que el problema nos sorprenda cuando ya es demasiado tarde. Para ello, contamos con la invaluable ayuda de diversos sitios especializados, entre los cuales podemos mencionar, puntualmente, a Secunia.com, portal danés que ya lleva siete años manteniendo al tanto a la comunidad informática sobre las diferentes vulnerabilidades que se hallan a diario en los miles de paquetes de soft que componen un sistema informático moderno. Es de gran ayuda visitar estos sitios periódicamente o suscribirse a sus feeds RSS para permanecer actualizado.
Fue originalmente publicado en: Comunidad.dragonjar.info
