El DNI electrónico en la banca online II

Poco ha durado la comodidad que comentaba en el anterior post sobre el uso del DNI electrónico en mi banca online. Hoy recibo una llamada para confirmarme el siguiente mensaje que venía viendo hace días:

¿Qué ventaja tiene ahora el uso del DNI electrónico sí me va a hacer falta un tercer factor?. Bien por Caixa por incrementar la seguridad online, pero me sigo preguntando. ¿qué datos hay de fraude operando con el DNIe en la banca online?. Estadísticas de fraude relacionadas con claves de entrada y tarjetas de coordenadas las conocemos, sino, echad un vistazo a cualquier de los informes publicados por S21sec. Sí, el fraude es cada vez más avanzado pero, ¿tenemos datos de fraude con el DNIe?. A día de hoy parece que no.

Mucho me temo que esto es así por el uso marginal del DNIe. Al igual que pasara con Apple hace años, que era una plataforma 'invulnerable' por su pequeña cuota de mercado en comparación a MS, hoy un producto de masas ya no es tan invulnerable. La breve historia de la tecnología nos enseña que lo mismo sucederá con el DNIe. Mientras tanto, seguiré usando el DNIe como método seguro y ágil.

Extreme bardenas XV (2012)

Domingo 1 de Julio de 2012, Arguedas:

Con JJ en la salida, ignorantes de lo que nos esperaba

La XV edición de la Extreme Bardenas fué una de las más largas y duras. Los días previos ya avisaban de poca calor -un aliado en ese desierto-, mucho polvo y más de 120 KM, la extreme más larga de la historia.

Fuente: diariodenoticias.com

Pero lo que no avisaron fué de un invitado de última hora: el cierzo. Hasta el KM30 se rodó relativamente bien, a partir de ahí, el cierzo se empezaba a notar y nos acompañó hasta el KM 106 en contra, con rachas de hasta 60KM/h. Esto hacía casi imposible rodar en solitario, se necesitaba el cobijo de grupos, pero ello también requería ser compañero y relevarse para tirar del mismo, lo que en muchas ocasiones, no se apreciaba, bien por la falta de compañerismo o lo más seguro por la falta de fuerzas para tomar los relevos.

Una cosa me llamó mucho la atención, lo que en otras ediciones se empieza a notar a partir de los últimos KM, aquí se hizo patente desde el KM 50, los grupos de bikers apenas hablaban entre sí, después del desierto reinaba el silencio.

En el avituallamiento del KM 72, ví como un grupo de unos 15 ciclistas del club arguedano -el club organizador de la prueba- se retiraban. Uno de ellos dijo: "quedan más de 50KM y con el viento en contra, a  tomar por ·$%%" mientras se retiraba. Lo que no daba muy buena espina, pero me veía con fuerzas y pensé, continuo un poco más y ya veré. De hecho, esta ha sido la edición con más retirados: 196. La frase más repetida por el walkie del juez de carrera fue, hasta Castildetierra, "la gente va muy mal, la gente va muy jodida".

Este año, el entrenamiento previo fué algo menor que el año pasado, esta fué mi rutina de junio:

Como en ediciones posteriores, la emoción de llegar a meta y superar el reto merece el esfuerzo. En el deporte como en el trabajo, hay que ser constante y mantenerse activo.

Happy biking.

5 años de navegación segura gracias a Google

SafeBrowsing, la tecnología que hay detrás de las temidas advertencias rojas, cumple 5 años.

Algunos datos de interés:

• Se detectan 9500 nuevos sitios web maliciosos cada día. Blogs personales, sitios web de pequeñas y medianas empresas o sitios creados especialmente para distribuir código malicioso.
• Unos 14.000.000 de búsquedas al día en Google muestran el aviso de sitio web comprometido.
• El presente año ha contabilizado el mayor número de sitios con phising descubiertos.

Más datos de interés relacionados, obtenidos de StopBadware:

• ¿Cómo se enteran los propietarios de que sus sitios web han sido infectados?: El 49% por casualidad a través del aviso SafeBrowsing en su navegador. El 45% son notificados por una organización (proveedor de hosting, Google, compañías de Seguridad...). 
• Sólo el 6% de propietarios nota algún comportamiento extraño en su sitio web.
• 1 de cada 5 propietarios admiten que les ha podido ocurrir por no actualizar el software de su sitio web
• 2 de cada 3 propietarios no saben como su sitio web ha sido comprometido.
• El 60% indica que soluciona por su cuenta el problema de seguridad tras consultar recursos online.
• El 5% no hace nada y creen que se solucionará.
• El 28% de propietarios de sitios web considera el cambio de hosting tras un incidente en su web.
• El 46% no le informa a su proveedor de hosting de lo sucedido.
• 3 de cada 4 que recibieron asistencia de su proveedor.

El DNI electrónico en la banca electrónica

Recientemente he empezado a usar el DNI electrónico para el acceso a la BE, que por cierto, no se le ha hecho mucha publicidad a esta forma alternativa de acceso (implementada desde el 2007) por mucha ley de impulso a la Sociedad de la Información. Pero lo cierto es que en el fondo, es una forma muy cómoda y segura de acceso a tu entorno de banca electrónica.

Al acceder en varias ocasiones con el DNIe, apareció el siguiente mensaje de mi BE:

Atención: información de su interés.

Ha accedido a ENTIDAD identificándose con un DNI electrónico u otro certificado digital admitido para ello. Si lo desea puede eliminar la posibilidad de acceder a ENTIDAD mediante clave de entrada y establecer como único y exclusivo sistema de acceso la identificación con certificado digital, beneficiándose de la seguridad. Los beneficios de esta medida de seguridad radican en que es necesario disponer del dispositivo físico, el DNIe o certificado digital, para poder acceder a ENTIDAD y que ante un hipotético robo de claves estas no podrían ser utilizadas. 

Conocemos datos estadísticos de fraude en banca electrónica a través de los métodos más comunes; robo de usuario y contraseña, tarjeta de coordenadas y métodos con segundo factor de autenticación, pero ¿se conocen datos de fraude con DNIe?, NO, y si alguién los conoce, por favor, que lo indique en los comentarios. Pero me temo que el motivo no sea por la imposibilidad de llevarlos a cabo, sino porque los accesos con DNIe en BE no superan las 2 cifras al mes.

Por ahora, sólo este motivo de seguridad podría ser un buen llamamiento al uso del DNIe, hasta que se convierta en un método de acceso moderado.

Proactividad en la gestión de incidentes de seguridad

Tarde o temprano ocurrirá, interna o externamente habrá que gestionar un incidente de seguridad y reaccionar de acuerdo a un plan, pero ¿qué plan?, ¿estamos preparados para gestionarlo correctamente o iremos dando palos de ciego?, o peor aún, ¿se querrá ocultar y actuar como si no hubiera ocurrido nada?. Esto último es lo peor que se podría hacer.

En primer lugar, pongamos algunos ejemplos de incidentes de seguridad para los cuales debiera existir un plan para su correcta gestión:

• La infraestructura ha sufrido un ataque exitoso de alguien externo.
• Fallo en la infraestructura de forma no intencionada por alguien interno
• Fuga de datos de clientes o productos
• Vulnerabilidades públicas en productos de amplio uso

Generalmente se pone poca atención en la gestión de un incidente una vez este ha ocurrido. Pero la propia ISO 27001 tiene un apartado -el punto 13- dedicado a ello. Incluso tenemos el estándar ISO 27035:2011 para la administración de incidentes de seguridad, publicado el año pasado, o el más reciente Computer Security Incidente handling guide del NIST -todavía en borrador-

Uno de los beneficios más importantes, pero en muchas ocasiones no considerado de una gestión eficiente de incidentes de seguridad es el componente económico. Disponiendo del personal técnico, ejecutivo y de comunicaciones gestionando un incidente de forma coordinada, requiere una ingente cantidad de recursos (personal y horas). Sí se está preparado, dichos recursos seran menores.

Otro beneficio está relacionado con el departamento de comunicaciones o relaciones públicas. Las noticias sobre incidentes de seguridad están a la orden del día y dañan la imagen de la organización ante actuales y potenciales clientes. Una gestión eficiente de dichos incidentes minimiza un potencial impacto negativo en el negocio.

También se contribuye a la justificación presupuestaria y de recursos, algo que suele ser muy necesario -sobre todo hoy día- para departamentos mal considerados como 'de gasto'. Y se proporciona una mayor conciencia de seguridad de la información en la cultura interna.

Finalmente otro beneficio es el tema legal. Multiples circunstancias pueden dar lugar a responsabilidades penales. Por ejemplo el hecho de haber usado recursos de una infraestructura para realizar un DDoS, usarla como puente para atacar otros sistemas, o la exposicion de datos personales y o confidenciales. Conocer qué ha sucedido y reaccionar de forma adecuada es clave para afrontar los posibles problemas legales que se puedan presentar.

(Continuará...)

Documentación de seguridad para estar al día

Auto-apunte de referencia para tener a mano y revisar con tiempo diferentes guías, borradores papers e informes sobre seguridad de los sistemas de información:

• Seguridad y controles de privacidad en sistemas de información Federales y Organizaciones (NIST draft)
• Guía para la gestión de incidentes de seguridad informáticos (NIST draft)
• Guía para realizar análisis de riesgos (NIST draft)
• Recomendaciones en Cloud Computing (NIST draft)
• Administración de contraseñas en las organizaciones (NIST draft)
• Proactive detection of network security incidents (ENISA paper)
• ¿Por qué PCI DSS es importante para tu organización? (PCI paper)
• SSL/TLS deployement best practices (Qualys Labs guide)
• Informe CISCO sobre seguridad en 2011 (Cisco report)

Proxy en entornos corporativos

El proxy en los entornos corporativos es algo que siempre genera polémica, pero fuera de toda duda estan sus beneficios sobre la protección ya no sólo de la red y su infraestructura sino también de los propios usuarios. En el ataque a RSA fué una de las buenas prácticas de seguridad reconfirmadas. No hay duda, un proxy es una capa de protección más dentro de nuestra estrategia de defensa en profundidad. Pero realmente ¿para qué es necesario un proxy?, una cuestión que aunque parezca trivial, los usuarios lo ven como algo negativo, algo que restringe su libertad y su productividad sobre todo en los tiempos de BYOD.

Un simil que leí hace tiempo sobre el papel de un proxy y que muchos usuarios entenderán de forma sencilla es el siguiente:

Un proxy es un intermediario. Intercepta los mensajes antes de enviarlos a su destino. Supongamos que quieres enviar un mensaje al presidente de los EEUU. No podrías ir directamente al presidente y entregárselo. En su lugar, tendrías que entregárselo a un intermediario, como a la agencia del servicio secreto, quién aceptaría el mensaje, y tras examinarlo y asegurarse que no contiene nada peligroso se lo haría llegar al presidente. Esto es lo que hace un proxy -acepta mensajes de salida o entrada en la red, los inspecciona en busca de contenido malicioso y cuando decide que todo está OK pasa los datos a su destino.

 Cortesía de Segu-info

Ventajas de un proxy de navegación:

• Filtro de páginas de dudoso contenido (virus, iframes, troyanos, spam...)
• Proporciona una seguridad añadida al filtrado de paquetes al actuar en capas más altas (nivel 6,7 OSI)
• Elimina la conectividad entre sistemas confiables y no confiables.
• Permite compartir acceso y optimizar recursos ( en entornos con conexiones limitadas )
• Proporciona información útil en caso de incidentes de seguridad relacionados con la navegación.

Pero también tiene otras desventajas:

• Muchas aplicaciones no están pensadas para trabajar en entornos con proxy.
• Rompe el modelo cliente/servidor lo cual es bueno para la seguridad pero malo para la funcionalidad.

Finalmente si vais a implantar un proxy hacerlo de forma segura siguiendo este checklist de pruebas.

Y vosotros qué opinais, ¿proxy o no proxy?

Código malicioso en sitios webs de descarga de películas

Eso es lo que se han/hemos encontrado muchos usuarios hoy al entrar en el portal pordescargadirecta.com. La pantalla del susto de Chrome o Firefox indicando que el sitio es una web atacante o que puede dañar tu equipo. Según el detalle de SafeBrowsing la última vez que encontró contenido sospechoso fué el día 20.

El sitio pordescargadirecta.com hace pocas semanas tuvo un incidente de seguridad el cual dejo la web inaccesible durante varios días. Cambiaron de software y  migraron a vbulletin, en este momento están con la versión 4.1.9. El mensaje anterior muestra 3 de los dominios que tenían alojado el software malicioso que se instala automáticamente en el navegador de los que visiten pordescargadirecta.com. Habría que realizar un análisis de la BBDD de pordescargadirecta.com para encontrar la inyección del código que apuntaba a estos sitios y eliminarlo, y encontrar también el método por el cual consiguieron introducirlo (generalmente con sql injection). Mäs información para actuar en estos casos.

El servicio wepawet indica en estos momentos que el sitio pordescargdirecta.com no realizada nada sospechoso. Así que lo más probable es que los administradores del sitio web ya hayan eliminado el código malicioso y será cuestión de horas hasta que Google le vuelva a dar el visto bueno.

Lo curioso de esto es que ahora todo el mundo piensa que está relacionado con el cierre de megaupload y #SOPA

Pero más curioso aún son otros sitios web involucrados en esta campaña de código malicioso

Sí eres de los que tiene cuenta en pordescargadirecta, por si acaso me iría cambiando la contraseña o asegurarme de que no la reuso en ningún otro sitio.

Desafíos raramente discutidos en la implantación de políticas de seguridad

Es simplemente genial el último post de Javier Cao titulado "Reflexiones sobre tendencias del 2011 y pronósticos del 2012" en el cual expone e interpreta los datos recopilados por Paolo Passeri.

La seguridad de la información es un campo relativamente nuevo y por ello, no es de extrañar que cueste aceptar -sobre todo en algunos entornos legacy- el papel de un responsable de seguridad y su valor en una empresa. Mi pronóstico para el 2012 es que seguiremos oyendo como los demás tildán de 'paranóicos' a todo aquel que trabaje en Seguridad, los seguirán viendo como individuos que se dedican a sacar las verguenzas y mirar debajo de las alfombras, y todavía costará relacionar esta disciplina con el core del negocio.

La seguridad es un área que requiere el análisis de una cantidad inmensa de fuentes de datos. Para asegurar algo, todos los aspectos y elementos del entorno deben ser revisados, evaluados y categorizados. La cantidad de información que compone cualquier análisis de seguridad empieza a crecer exponencialmente con las múltiples permutaciones derivadas de cada instancia identificada del riesgo potencial. Las principales piezas de la seguridad son: las personas, procesos, tecnología e instalaciones, y es todo un desafío proporcionar un marco razonable de seguridad en las organizaciones cuando el personal siga viendo a los de seguridad como enemigos y no como compañeros con un mismo objetivo; proteger los sistemas de información.

Ante ello, recomendaría a cualquier profesional de seguridad la lectura del libro: "Securing organizations impaired by employee politics apathy, and intolerant perspectives". Una lectura muy interesante para conocer los verdaderos desafíos en la implantación de un marco de seguridad en una organización; apatía, miopía, primacía e infancia.  

Este libro puede ser una revelación para algunos ya que trata conceptos que raramente son discutidos en este área, pero que son sin duda determinantes. Su lectura podrá hacer cambiar de una perspectiva de potencial víctima a un estado de conocimiento de las verdaderas causas que subyacen en la implantación de políticas de seguridad y poder comprender, y quizás influenciar, el entorno para el propósito común.

Otro año menos

Esta humilde morada cumple ya dos años. En los manuales de supervivencia en la montaña, una de las recomendaciones para no perderse antes de internarse en la parte agreste es; echar una última mirada hacia atrás. La idea de este post, como ya hice el año pasado es esa, mirar atrás y recapitular el año en lo profesional:

• Este año deje una gran empresa y un excelente equipo para iniciar una nueva aventura profesional en un proyecto muy ilusionante. 
• Durante algunos meses estuve viendo la posibilidad de trabajar fuera de España, principalmente en EEUU para conseguir experiencia internacional y 'aprender' inglés, pero el tema no cuajo, bien por mi spanglish, la dificultad de conseguir una VISA en estos tiempos, o porque no daba el perfil adecuado. 
• Este año obtuve la certificación CISSP.
• Un reto al año sigue siendo un clásico, te pone a prueba física y mentalmente.
• Me faltan 3 asignaturas y el proyecto para conseguir el BSc(hons), con tranquilidad.
• Este año empecé un proyecto en el cual..., no tengo excusa.
• Este año leí menos libros de los deseados, culpa de twitter.
• A partir de ahora realizaré algunas colaboraciones con artículos en el blog de SbD.

Pararte un momento y echar una pequeña vista atrás te da algo de perspectiva.

¡¡ FELIZ AÑO 2012 !!

La seguridad visible de la banca electrónica en España

En su día el Banco de España ya defendió al cliente ante el fraude de la banca online. Hace años, en un foro creado al efecto, el Banco de España solicito a las entidades un mínimo de requisitos para sus operaciones por internet, se les exigía requisitos como haber informado previamente al cliente y haber impartido información y asesoramiento necesarios para el uso adecuado del canal y la correcta custodia de las claves. 

El Banco de España ya afirmó que no es una práctica bancaria recomendable que el consumidor tuviera que asumir las consecuencias del fraude online él solo. Algunos de los argumentos que dió el BdE fueron:

• No todos los sistemas de la banca online son igual de seguros.
• Las entidades financieras son las que han creado la banca electrónica y las que fomentan su uso (muchas veces sin advirtir los riesgos) por la importante reducción de costes que supone.
• El fraude online es cada vez más avanzado y los sistemas de protección del banco pueden no ser los más adecuados.

No hay estadísticas públicas de que entidades son las más afectadas por el fraude online, ese dato no se conoce incluso ni entre ellas, sólo disponen datos de forma anónima. Cada entidad actúa de mejor o peor forma, o incluso no actúan en reforzar la seguridad para proteger los datos de sus clientes. Como observadores desde el exterior, podemos ver cual es la seguridad SSL de las entidades y puede que eso nos de una idea de la concienciación en seguridad de las entidades y de la diligencia en la gestión interna de la seguridad de sus sistemas.