| Artículos | 01 JUN 2001

"Los hackers buscan cualquier PC disponible en alguna red"

Tags: Histórico
George Kurtz, CEO de Foundstone y autor de "Hacking Exposed"
Sean Captain.
Desde el robo de información de tarjetas de crédito hasta los ataques a Microsoft, pasando por los virus con nombre de bella tenista, los piratas informáticos están forzando al mundo a plantearse el problema de la seguridad de sus sistemas. PCWorld.com ha hablado con George Kurtz, CEO de la consultora de seguridad Foundstone y coautor del libro “Hacking Exposed”, sobre las amenazas de seguridad y las estrategias defensivas, tanto para usuarios particulares como para los grandes sitios de comercio electrónico y las compañías de software.

Actualmente oímos hablar mucho sobre los hackers, pero ¿a qué peligro está expuesto realmente un usuario particular desde su casa?
- Creo que los usuarios domésticos están definitivamente expuestos a un riesgo cada vez mayor, especialmente los que disponen de conexiones permanentes a Internet a través de ADSL y los cablemodems. Los hackers no buscan un ordenador específico, sino cualquier PC que parezca estar disponible en alguna de estas grandes redes.
Si tienes en tu PC algún tipo de cortafuegos o sistema de detección de intrusiones, verás que cada día hay una veintena de intentos de intrusión por parte de hackers que buscan vulnerabilidades en la máquina. Nosotros hemos trabajado con un cliente que tenía Windows NT en su casa y una red privada virtual con su oficina. El sistema NT fue utilizado para introducirse en la red privada virtual y, a través de ella, en la red corporativa.

¿Qué nivel de seguridad ofrecen las distintas versiones de Windows?
- No hay muchas formas de entrar realmente en una máquina Windows 9x si el usuario no tiene activada la característica de archivos compartidos. En general, Windows 2000 y NT suelen ser los objetivos más habituales de ataques, pero puede incrementarse su seguridad tomando medidas adicionales para bloquear los permisos de registro y archivos. En la configuración por omisión, muchos fabricantes evitan activar demasiadas opciones de seguridad para que los usuarios no se vean privados de las características que buscan. La precaución más importante es aplicar con la mayor rapidez posible los parches de seguridad desarrollados por los fabricantes.

Si los usuarios de Windows 9x desactivan la característica de compartir archivos ¿necesitan un software de cortafuegos?
- Yo seguiría recomendándoles un cortafuegos personal para Windows 9x, 2000 o NT, por el simple hecho de que es beneficioso para los usuarios saber cuándo ha habido intentos de ataque contra sus máquinas. Y también porque es un nivel adicional de protección.

¿Cuál diría usted que es el punto débil de las empresas hoy en día? ¿Cómo pueden entrar los hackers con mayor facilidad?
- El método preferido –yo diría el arma preferida- es el navegador. Si miramos cualquier sitio de comercio electrónico, ¿qué es lo primero que hacen? Abrir un agujero en su cortafuegos para que los usuarios puedan entrar en el servidor web. Y muchos de los sitios de comercio electrónico -el 95% de ellos- no están basados en proxy. Eso significa que no tienen posibilidad de monitorizar exactamente qué es lo que está pasando.
Se puede entrar en su máquina y manipular las tags HTML ocultas o los URL para obtener acceso. Por ejemplo, pongamos que entramos en un sitio web para comprar algo. Si descargamos el HTML y buscamos las tags ocultas, vemos que realmente contienen información del precio del producto. Si cambiamos ese dato de 10.000 pesetas a 1.000 y realizamos la compra, resulta que hemos comprado algo por la décima parte de su precio.

¿En qué medida deben preocuparse los usuarios por la posibilidad de que los hackers intercepten su información financiera personal cuando usan los sitios de comercio electrónico o los bancos online?
- Los hackers no se dedican a vigilar una transacción SSL de 40 bits para desencriptarla. ¿Por qué no robar números de tarjetas de crédito como ocurrió con Eggheads? La gallina de los huevos de oro está en una base de datos sin encriptar que almacena los números de las tarjetas de crédito de todos los clientes de una empresa. Así que los hackers no tienen por qué molestarse en robar datos usuario por usuario. Los tienen disponibles en esos sitios de comercio electrónico que almacenan información de sus clientes.

¿Cómo puede saber un usuario si la compañía con la que está comerciando tiene unas políticas de seguridad sólidas? ¿Hay algún tipo de certificación de seguridad?
- Creo que los usuarios deberían exigir algún tipo de política de privacidad y seguridad a los sitios que visitan o con los que hacen transacciones, obteniendo al menos algún detalle de sus estrategias en cuanto a seguridad. ¿Emplean encriptación? ¿Utilizan cortafuegos? ¿Se someten a auditorías independientes?
Si alguna vez entra en un sitio en el que no se comenta nada acerca de la seguridad, es bastante probable que no le estén prestando la suficiente atención. Creo que la certificación por parte de terceras compañías va a ser cada vez más crítica para los consumidores en los próximos años, para que entiendan realmente qué está haciendo cada web para proteger su seguridad.

¿Qué es lo que motiva a los hackers hoy en día? ¿Quieren robar información corporativa? ¿Pretenden hacer declaraciones políticas? ¿O simplemente lo hacen por diversión?
- Cualquiera de esas cosas es válida. Vemos algunos piratas que tienen como objetivo ciertas organizaciones. Buscan código fuente. Hay mucho código fuente disperso por Internet porque las compañías han visto comprometida su seguridad. También les motiva el hecho de utilizar a esas organizaciones como punto de partida para lanzar otros ataques, o para ponerlas en evidencia.
Y también hay otros que simplemente se dedican a “pescar”. Son el tipo de hackers que tiran el anzuelo y automáticamente se ponen a analizar lo que encuentran. Y cuando hallan algo interesante, le sacan provecho.

En el ataque que sufrió Microsoft el pasado otoño ¿se vio comprometido algún código fuente?
- Nosotros estuvimos bastante involucrados en aquello, así que no le puedo facilitar muchos detalles. Lo que Microsoft comunicó públicamente fue que la gente tuvo acceso al código, pudo verlo, pero que no se hicieron ningún tipo de cambios ni modificaciones. Si se modifica ese código y se coloca en una “puerta trasera”, cualquier tipo de software que se comercialice tiene problemas de seguridad. De ahí el enorme miedo que tenía Microsoft.

Contenidos recomendados...

Comentar
Para comentar, es necesario iniciar sesión
Se muestran 0 comentarios
X

Uso de cookies

Esta web utiliza cookies técnicas, de personalización y análisis, propias y de terceros, para facilitarle la navegación de forma anónima y analizar estadísticas del uso de la web. Consideramos que si continúa navegando, acepta su uso. Obtener más información