martes, 21 de marzo de 2017

Los "idus de Marzo"

Hoy, hace un año...

Ciertos momentos clave del calendario tenían nombre propio en el pasado. Entre ellos destaca el conocido como "idus de marzo" que designaba el día 15 del mes dedicado al dios de la guerra Marte, o lo que es lo mismo, el 15 de marzo para los mortales.

Estos días eran jornadas de buenas noticias, sin embargo, los caprichos de la historia hicieron que uno de estos días el propio Julio César fuera asesinado, lo que hizo que esta fecha cambiara las tornas y pasaron a tener connotaciones negativas. Incluso Shakespeare hizo famosa la frase "¡Cuídate de los idus de marzo!".



Como cada semana, nos embarcarnos en nuestra cápsula del tiempo y retrocedemos un año, para tomar perspectiva y ver cómo hemos evolucionado en el sector de la ciberseguridad. Porque evolucionar está claro que evolucionamos, pero a veces da la impresión de que repetimos errores. Por ejemplo, hoy, hace un año, se hablaba de seguridad en telefonía móvil. Google había publicado a toda prisa un parche para una vulnerabilidad que afectaba a 275 millones de teléfonos Android, concretamente de la versión 2.2 a las 4.0, 5.0 y 5.1. 

Aunque la vulnerabilidad era nueva, estaba localizada en la misma librería que atacaba "Stagefright" y que, no se sabía por qué razón, Google no acabó de segurizarlo del todo. Tocaba, pues, instalar parches. Parches que, eso sí, no siempre llegan a todos los dispositivos Android, o no llegan a tiempo. Es esa sutil pero fundamental diferencia enter contar con un Nexus (o un Pixel), o contar con cualquier otro androide en manos de otro fabricante... por no hablar de los retrasos de las operadoras.

Los medios suecos deberían haber tenido más cuidado de los "indus de marzo" y puede que esto no les hubiera pasado. ¿A alguien le suenan los ataques contra medios de comunicación? A la orden del día, como el que el año pasado sacudió a los medios suecos, que les obligó a cerrar sus ediciones online durante unas horas, entre los 8 y las 11 de la noche. Justo antes del ataque, se abrió una cuenta en Twitter, @_notJ, cuyo primer tuit decía: "Habrá ataques en los próximos días contra el gobierno y medios suecos que difunden falsa propaganda". Parecía que estaban avisados pero esto no impidió que hubiera un segundo tuit que aseguraba: "esto ha pasado por difundir falsa propaganda".

Pero desgraciadamente no sólo los periódicos reciben ataques. También empresas de todo el mundo, eran entonces, y son hoy, víctimas cada vez más frecuentes de todo tipo de trucos de phishing para robarles datos o dinero. Una de ellas, y uno de los casos más sonados de todo 2016, fue Home Depot; la "broma" le costó casi 20 millones de dólares sólo en compensaciones para los 50 millones de clientes que vieron sus datos expuestos. En el momento del ataque, los antivirus de Home Depot llevaban 7 años sin ser actualizados y la política de contraseñas era prácticamente nula.

Otro tema que fue ampliamente comentado durante el año, y que llevó de cabeza a la comunidad de investigadores fue la base de datos de MITRE, que indexaba todas las vulnerabilidades descubiertas, funcionaba cada vez peor. Algunos investigadores propusieron una solución alternativa pero MITRE prefirió poner en marcha su propia prueba piloto que... no ha durado ni un día.

Y estos días de marzo, hace un año, nos dejaron  una noticia que nos dio esperanzas y desconfianza al mismo tiempo. Un profesor universitario y sus alumnos sacaban los colores a iOS: un 0day que permitió descifrar iMessages interceptados e, incluso, descubrir la clave para ver vídeos y fotos cifrados en iCloud. Al parecer los profesionales del futuro venían con fuerzas y eran capaces de 'sacarle fallos' al mismo Apple. Por otro lado pone la piel de gallina que el sistema que muchos usuarios consumen "porque no tiene virus" tenga fallos que pueden ser detectados por estudiantes. El ataque era de difícil reproducción y, según el profesor Matthew Green, estaba restringido a atacantes de élite, a nivel de "naciones-estado". Y, pero posible, era. Ojo con no repetir los errores del pasado.
Imagen: pixabay.com

0 comentarios:

Publicar un comentario