Protegiendo mi Identidad Si no soy yo, ¿sos vos?

1. Protegiendo mi Identidad Si no soy yo, ¿sos vos? Los Cazadores de Mitos de la Seguridad FALSO VERDADERO Federico Pacheco Elitech – federicop@elitech.com.ar

2. Definiciones Mitos sobre los Antivirus Mitos sobre los Firewalls Mito del usuario común Mitos sobre los Backups Mito de las Fork Bombs Mito de los alcances del hacking Mitos de la Seguridad Física Mito del origen del bug informático Mitos sobre Hotmail y MSN Mito del usuario de Linux Mito del usuario de Windows Mitos sobre las Políticas de Seguridad Mitos Históricos Mitos sobre el Spam Mitos sobre la Seguridad Técnica Mitos sobre la protección por la conexión Mitos y Hoaxes Mitos sobre la Criptografía Mito de los Cajeros Automáticos Mitos sobre la seguridad en el gobierno Norteamericano Mitos sobre “el dios” Google Mitos sobre la impunidad de los gobiernos y el uso de Internet Mitos sobre la impunidad de las grandes empresas Mito del usuario engañado por Windows Mitos del Análisis Forense Informático Mito de la solución de fallas en Linux Mitos sobre el panorama actual Conclusiones Referencias Temario

3. Definiciones

4. “Mi antivirus está al día, no puede entrar ningún virus” ¡Primero aparece el virus, y DESPUES la solución! “Los que hacen los virus son los mismos que hacen los antivirus” ¡Claro! Y si trasciende la empresa pierde millones por imagen “Tener varios antivirus es la solución” ¿Alguien testeó cada aplicación en relación con otra? “No abro archivos adjuntos, estoy seguro” Un virus puede ingresar simplemente por estar online, por pendrives y por otros medios Mitos sobre los Antivirus FALSO FALSO FALSO FALSO

5. “Tengo un Firewall por Software, no corro peligro” Ah… ¿Las aplicaciones no tienen errores? ¿Y el resto de los peligros? “Tengo un Firewall por Hardware, no corro peligro” Muy bien ¿Y que creen que hay dentro del hardware? ¿Y el resto de los peligros? “Combino software y hardware y me mantengo actualizado. Problema solucionado” Aparece mayor complejidad en el diseño del filtrado Los ataques pueden aparecer por canales válidos Mitos sobre los Firewalls FALSO FALSO FALSO

6. “Mi PC no le interesa a nadie, no hay peligro” Ok, la mía sola, no. Pero miles como la mía e infectadas formarían una perfecta red zombie Como usuario corriente, soy una presa más fácil que una gran empresa Con solo violar mi privacidad ya estoy expuesto a un ataque a mi identidad Mito del usuario común FALSO

7. “Mi backup está al día, puedo restaurar el sistema sin peligro. Estoy seguro” Los virus también pueden estar en los backups El tiempo suele ser tirano al restaurar backups “Hago backup de todo, si pasa algo lo tengo resguardado. Puedo estar seguro” ¿Lo pruebo cada tanto? ¿Tengo definido un método de backup? Mitos sobre los Backups FALSO FALSO

8. “Las fork bombs son cosa del pasado” Mayo 2007: Tema candente en la blogosfera y Kriptopolis En Linux (bash) Ejemplo: “:(){ :|:& };:” Prevención: limitar el número máximo de procesos por usuario En Windows (BAT) :s start 0% goto :s Mito de las Fork Bombs FALSO

9. “Todo lo que sea electrónico es hackeable” Enero 2008 Grave fallo en routers hogareños. El exploit funciona incluso cuando el usuario ha cambiado la contraseña por defecto Enero 2008 Posibles vulnerabilidades las nuevas aeronaves Boeing 787 a través de las redes para pasajeros Marzo 2008 El gobierno holandés emite un aviso sobre un problema de seguridad del chip RFID de NXP Semiconductors. Existen más de 1.000 millones de tarjetas con este chip en todo el mundo. Marzo 2008 Aparecen pruebas de seguridad contra los marcapasos modernos basados en el control por RF Marzo 2008 A 8 meses de su salida, crackearon BD+ (sistema de protección de Blu-Ray) que se dijo que tardaría 10 años en romperse Mito de los alcances del hacking VERDADERO

10. “Combinar protección física y electrónica es infalible” “Scanner de huella dactilar de cerraduras y notebooks inviolables según su fabricante” Se pudo violar utilizando un molde de la huella hecho en látex y en gel balístico También se consiguió utilizando una fotocopia en papel blanco sobre el escáner “Alarmas por sensor térmico para detectar personas en una habitación” Se pudo violar el sistema visitiendo un traje ignífugo de bombero También funcionó colocarse detrás de un cristal “Alarmas con sensor de movimiento por ultrasonidos” Se pudo violar el sistema utilizando una sábana que absorbía la señal del RF También se pudo engañar al sensor moviéndose extremadamente despacio Fuente: Cazadores de Mitos (Discovery Channel, Episodio 59) – Agosto 2006 Mitos de la Seguridad Física FALSO

11. “Un fallo provocado por una polilla dentro una de las primeras computadoras del mundo (Mark II - 1945) es el origen del término BUG” Ciertamente una polilla quedó atrapada en un relé provocando un error de funcionamiento. Se lee: “1545 Relay #70 Panel F (moth) in relay. First actual case of bug being found” Según el texto, el término “bug” para indicar errores ya existía Este fue sin embargo el primer caso en que mencionaba un insecto de verdad En un manual de electricidad de 1896 dice: “El término bug se utiliza para indicar un fallo en el funcionamiento de aparatos eléctricos” Originalmente procedía de la telegrafía y también se utilizaba en las compañías teléfonicas para referirse al ruido en las líneas Mito del origen del bug informático FALSO

12. “Hotmail se cierra” ¿Quien cerraría un negocio tan grande y rentable? “Hotmail se hace pago” Hotmail ya tiene un servicio pago (Windows Live Hotmail Plus) “Hotmail es inseguro y fácil de hackear” Lo que es fácil de hackear son los usuarios, no Hotmail “MSN se hace pago” La confianza de millones de usuarios por ser gratuito vale mas que el pago por un servicio “Los sitios que dicen quien nos borró o bloqueó en el MSN son reales” Para ver quien nos borró, no hace falta ningún sitio especial Ver quien nos bloqueó no es posible a ciencia cierta Mitos sobre Hotmail y MSN FALSO FALSO FALSO FALSO FALSO

13. “Estoy seguro porque uso Linux” Linux también tiene bugs (y MAS que Windows) Usar Linux no es lo mismo que usar BIEN Linux La ingeniería social es independiente del S.O. La falsa sensación de seguridad es mas peligrosa que cualquier amenaza Mito del usuario de Linux FALSO

14. “Tengo todos los parches, estoy seguro” No todos los ataques se producen por errores del sistema A veces no está disponible el parche adecuado a tiempo “No uso Outlook ni Internet Explorer, estoy seguro” Puede ayudar, pero también hay errores en otros Mitos del usuario de Windows FALSO FALSO

15. “En la empresa no necesito políticas, la seguridad es un tema técnico” Sin dirección ni objetivo, no hay criterios para resolver problemas técnicos Las políticas de seguridad declaran la dirección de una organización para mantener la información segura y dictan el objetivo “Políticas escritas. Trabajo finalizado” Si las personas no saben acerca de ellas, su función y aplicación, son igual de útiles que el ángel guardián de los Kennedy Es necesario tener estándares para explicar cómo se deben cumplir las políticas y reducir los tiempos de implementación No se debe olvidar el análisis de riesgo Mitos sobre las Políticas de Seguridad FALSO FALSO

16. “Mi dirección es secreta. Estoy protegido.” El servidor de mail tiene mi dirección Mis contactos tienen mi dirección Cualquiera podría incluirme en cadenas, listas y suscripciones “Utilizo una dirección para recibir spam. Estoy mas tranquilo.” Resuelve el problema de las verificaciones de existencia de cuenta Puede canalizar mucho spam de manera eficiente “Mi proveedor de mail tiene sistema Antispam. Estoy completamente protegido.” Muchos falsos positivos (listas, grupos) En general solo se marcan los mails (**SPAM**, # Posible Spam #) Mitos sobre el Spam FALSO VERDADERO FALSO

17. “Utilizo recepción con autorización inicial. Estoy protegido.” Es muy tedioso al principio para todos los que nos escriben Puede traer problemas con los sistemas automáticos de listas y suscripciones Una vez autorizado, el filtrado es muy eficiente “Los captchas para evitar el spam en los sitios web son infalibles” Febrero 2008 En una semana cayeron los sistemas de captchas de Google y Windows Live Mail para evitar la creación de cuentas con bots Investigación: http://www.websense.com/securitylabs/blog Mitos sobre el Spam VERDADERO FALSO

18. “Solo los expertos son un problema para la seguridad” El daño lo puede causar cualquiera que sepa utilizar: Un Buscador (¿Google?) Herramientas de enumeración (las hay online) Un scanner de vulnerabilidades y puertos Un framework de explotación de vulnerabilidades “Estoy seguro, utilizo scanners de vulnerabilidades y no encuentro fallas” Estas herramientas auditan respecto a una base de conocimiento Existen otras técnicas de búsqueda de vulnerabilidades (Ej: Fuzzing) La ingeniería social supera las barreras técnicas Mitos de la Seguridad Técnica FALSO FALSO

19. “Utilizo conexión Dial-UP, no debo preocuparme tanto” Es cierto que los usuarios de banda ancha están mas expuestos Sin embargo, en algún momento solo existían conexiones telefónicas, y también había intrusiones Hay que tener mas precaución con las actualizaciones del sistema y antivirus (menos tiempo online) “Estoy seguro porque mi ISP me brinda protección” ¿Delegarían totalmente su seguridad a un tercero? Viendo la realidad, esos sistemas no parecen ser tan eficientes ¿Es verdadera protección o un bonito truco de marketing? Mitos sobre la protección por la conexión FALSO FALSO

20. Definición: Hoax Mensaje de correo electrónico con contenido falso o engañoso Normalmente parece provenir de una fuente seria y fiable Objetivos: Obtener direcciones de correo y datos personales Confundir a la opinión pública Otros tantos… Primer hoax Asunto: Good Times Fecha: Diciembre 1994 (casi al tiempo del spam) Tema: Alertaba sobre un supuesto virus que podía borrar el disco Mitos y Hoaxes

21. Gatos Bonsai (Bonsai Kitten) Sodium Laureth Sulfate en el Shampoo En Taiwan comen fetos humanos Llamadas de cierto número de teléfono para apropiarse de una línea Ya eres HIV Positivo: jeringas infectadas en lugares públicos Solidaridad con Brian Ayuda a Cleto, el niño colombiano con "Elefantiasis Cumerdi" Robo de órganos: despertar en una bañera con cicatrices Saltemos todos para enderezar el eje de la tierra Libro de geografía de USA enseña que el Amazonas es área internacional Mitos y Hoaxes FALSOS

22. Deforestacion del Amazonas Lo negativo: Es cierto, pero hay formas más serias de protestar Lo positivo: Al menos se genera conciencia La organización Greenpeace lleva adelante diversas campañas Mujer nigeriana condenada a morir apedreada por estar embarazada soltera Lo negativo: El caso fue cierto, la protagonista era Safiya Tudu Lo positivo: Safiya fue absuelta ese mismo año La campaña oficial de Amnesty International finalizó en marzo de 2002 Mitos de Hoaxes no tan míticos VERDADERO VERDADERO

23. El poema “Instantes” es de Jorge Luis Borges Maria Kodama desmintió la autoría Investigación de Iván Almeida: Borges Studies on Line. J. L. Borges Center for Studies & Documentation El poema “La marioneta” es de Gabriel García Márquez El mismo García Márquez expresó en 1999: "Lo que más me puede matar es la vergüenza de que alguien crea que de verdad fui yo quien escribió una cosa tan cursi“ García Marquez fue periodista, editor y escritor, pero NO poeta Mitos de Hoaxes Literarios FALSO FALSO

24. “El algoritmo RSA, desarrollado en 1978, fue el primer sistema de cifrado asimétrico” 1973: El matemático Clifford Cocks llegó a la misma conclusión que los creadores de RSA Su trabajo fue considerado “alto secreto” por el gobierno británico y su contenido no se hizo público ni se patentó “Es seguro utilizar MD5 y SHA-1 para verificar integridad de archivos” 2005: Estudios de la Universidad de Shandong (China) demostraron que se pueden obtener colisiones fácilmente en algoritmos MD5 y SHA-1 “Con el nivel de criptografía actual estamos seguros por años” Septiembre 2007: Investigaciones recientes revelan que con computadoras cuánticas ejecutando el algoritmo de Shor (demostrado por IBM) se podrían calcular claves públicas de algoritmos asimétricos Mitos sobre la Criptografía FALSO FALSO FALSO

25. “Los cajeros automáticos son sistemas seguros” Febrero 2008 Un fallo técnico en los cajeros del Northern Bank (Irlanda) permitió a 7.500 clientes, durante 4 meses, retirar efectivo (más de medio millón de euros) que no se reflejó en sus cuentas El problema se debió a una actualización mal realizada en la conexión entre los cajeros y el sistema nacional de procesamiento “Algunos cajeros automáticos usan Windows” Una imagen vale mas que mil palabras Mito sobre los Cajeros Automáticos FALSO VERDADERO

26. Mito sobre los Cajeros Automáticos Un pop-up vale mas que mil palabras

27. Mito sobre los Cajeros Automáticos Febrero 2008: Red Link - Rosario (Santa Fe) Fuente: http://flickr.com/photos/bolche Un ejemplo Argentino vale mas que mil palabras

28. Mito sobre los Cajeros Automáticos Un Blue Screen vale mas que mil palabras

29. Mito sobre los Cajeros Automáticos Otro Blue Screen que vale masque las otras mil palabras

30. “Los sistemas de la Casa Blanca y el Pentágono son los mas seguros del mundo” Marzo 2008 Por un problema en el filesystem de los mail servers de la Casa Blanca se perdieran un millón de mensajes en dos años y medio Se atribuyó a la migración de Lotus Notes a Microsoft Exchange (2002) En los ’90 un fallo similar hizo perder los emails enviados por gente cuyo nombre empezaba con “D” Septiembre 2007 El ejercito popular de liberación chino penetró en la red del Pentágono Junio 2007 Crackers provocan que 1500 máquinas del Departamento de Defensa queden inutilizadas Fuentes http://www.infobae.com - http://www.cnn.com - http://www.ft.com Mitos sobre la seguridad en el gobierno Norteamericano FALSO

31. “Google es la empresa más cool de Internet” Cada día crece más la percepción de que Google sabe demasiado sobre uno Hace algunos años se acusaba a Microsoft de monopolizar, Google está haciendo lo mismo Su colaboración con la censura de China no fue de agrado para la comunidad Sus servicios individuales o combinados pueden ser peligrosos para nuestra privacidad Google Desktop, Web Accelerator, GMail, Web History, iGoogle Google Maps, Google Earth, Google Documents, Google Toolbar Mantiene muchas empresas cautivas por medio de sus ganancias Muchos negocios dependen del posicionamiento en su buscador Mucha gente gana dinero por medio de Google Ads Compró casi 40 empresas en 7 años En síntesis Googledependencia Mitos sobre “el dios” Google FALSO Además dan recomendaciones extremas sobre las contraseñas

32. “El acceso a sitios de noticias y videos ha sido bloqueado por autoridades de Beijing para evitar difundir imágenes de manifestaciones en el Tíbet” Marzo 2008 Las protestas han sido violentamente reprimidas por el ejército y la policía China, causando estupor a nivel mundial Los videos en YouTube eran las únicas imágenes en las que se podían ver las disputas de Lhasa (capital del Tíbet) China tiene largo historial de censuras a sitios de Internet Fuentes Google News, YouTube blocked in China amid Tibet riots (InfoWorld) BBC Report on Tibet Protest 2008 (BBC via YouTube) Mitos sobre la impunidad de los gobiernos y el uso de Internet VERDADERO

33. “Sony/BMG coloca rootkits en sus CDs de música” Septiembre 2007 La empresa tenia antecedentes en distribuir rootkits como protección anticopia F-Secure detectó que las memorias flash USM-F con lector de huellas digitales, instalan un driver que oculta una carpeta en el disco Esta carpeta y los archivos no son visibles a las API comunes, pero sí a través de la línea de comandos. Incluso pareciera poder ocultarse de los antivirus También se publicó una comparativa entre este rootkit y el anterior Fuente: http://www.f-secure.com/weblog/ Mitos sobre la impunidad de las grandes empresas VERDADERO

34. “Windows hace cosas sin que el usuario se de cuenta” Septiembre 2007 El portal Microsoft Watch ha revelado que Windows Update está actualizando algunos componentes sin notificar al usuario Fuentes: http://windowssecrets.com - http://www.microsoft-watch.com Noviembre 2007 Bruce Schneier denuncia que el generador de números pseudo aleatorios “Dual EC DRBG” (basado en curvas elípticas) diseñado por NSA, presenta una debilidad utilizada como “backdoor” Este algoritmo lo incorpora Windows Vista en el Service Pack 1 Fuente: http://www.schneier.com/blog Mito del usuario engañado por Windows VERDADERO

35. “Si apago la PC ya no se pueden recuperar datos de la RAM” Febrero 2008 Un estudio de la Universidad de Princeton explica que las memorias RAM no son tan volátiles Según el estudio, se puede recuperar el contenido incluso varios segundos después de apagar un equipo Fuente: http://citp.princeton.edu/memory Datos recuperados de la RAM a 5, 30, 60 y 300 seg. de apagado Mitos del Análisis Forense Informático FALSO

36. “En GNU/Linux los parches aparecen muy rápidamente” Febrero 2008 Grave problema de seguridad en el kernel de Linux Distrowatch publicó un resumen con el tiempo de respuesta que de algunas distribuciones populares: Debian 0 horas Fedora 8 horas Slackware 12 horas Mandriva 19 horas Red Hat / Ubuntu 27 horas CentOS 37 horas Mito de la solución de fallas en Linux VERDADERO

37. “No importa todo esto, porque el panorama es alentador” Mitos sobre el panorama actual FALSO

38. Un mito más y nos vamos… “Walt Disney está congelado” FALSO

39. Muchos mitos se basan en la opinión pública, que no es la mejor referencia en seguridad informática Debemos tener cuidado con lo que proviene del “amigo de un amigo” Siempre es bueno verificar las fuentes de información Al final ya lo había dicho Shakespeare (1564-1616): “Ser lo que soy, no es nada sin la seguridad” Conclusiones FALSO

40. ¡Gracias por su atención!

41. http://es.wikipedia.org http://www.error500.net http://www.barrapunto.com http://www.rompecadenas.com.ar http://www.kriptopolis.org Referencias Online

42. Licencia de uso:Creative Commons 2.5 Argentina • http://creativecommons.org/licenses/by-nc-sa/2.5/ar/ • Ud. puede: • Copiar, distribuir, exhibir, y ejecutar la obra • Hacer obras derivadas • Bajo las siguientes condiciones: • Atribución. Debe atribuir la obra en la forma especificada por el autor • No Comercial. No puede usar esta obra con fines comerciales. • Compartir Obras Derivadas Igual. Si altera, transforma, o crea sobre esta obra, sólo podrá distribuir la obra derivada resultante bajo una licencia idéntica a ésta.