Seguridad

Con el uso intensivo que realizamos de nuestros teléfonos móviles, en ellos solemos instalar todo tipo de aplicaciones que nos hagan la vida más simple y organizada, nos distraigan o cualquier otra función que se nos ocurra. Es por ello que también pueden ser un nido de malware que infecte tu dispositivo y robe tus datos en segundo plano y sin que notes nada raro.

A la hora de dejar que nuestros hijos e hijas hagan uso responsable de una tablet o un móvil, solemos confiar en aquellas apps específicamente creadas para niños, como por ejemplo las que aparecen en la sección familiar de Google Play.

Todos coincidimos en la necesidad de ver anuncios cuando accedemos a plataformas de streaming gratuito. En el caso de YouTube, esto no es una excepción, salvo que paguemos por YouTube Premium que elimina los anuncios o permite descargar vídeos de YouTube para verlos más tarde. La plataforma debe pagar a sus creadores de contenido, pero en algunos casos los anuncios resultas excesivos e incluso peligrosos. De un tiempo a esta parte, se están multiplicando los anuncios realmente largos que esconden alguna forma de timo o estafa relacionada con trading de acciones y criptomonedas.

YouTube ha sido tradicionalmente una plataforma donde cualquier persona puede abrirse un canal y enseñar al resto del mundo lo que mejor sabe hacer, aunque en el caso de algunos youtubers lo que mejor se les da sea hacer el ridículo, como los que promovían el terraplanismo. Ahora, por desgracia, YouTube también va a prohibir los vídeos que enseñan a hackear y piratear.

Si hace unos días os contábamos como Google quería reforzar la seguridad de nuestras cuentas on-line con sus Titan Keys, ahora, de la mano de DotForce, llega a nuestro país YubiKey, una llave una llave muy similar y que, como la de Google, proporciona una autenticación segura y resistente ante cualquier intento de phising durante el proceso de inicio en nuestras cuentas.

Aunque los tipos de amenazas son distintos, todos han seguido la misma evolución, y los zero day exploits no iban, claro, a ser una excepción. Me refiero a que nacen como un concepto a investigar, pero que con el tiempo terminan por convertirse en un producto comercial que encuentra un buen encaje en determinados mercados. Un ejemplo perfecto de ello son las botnets, redes de ordenadores, como las recientemente desmanteladas en Holanda, puestas a disposición de quién esté dispuesto a pagar por emplearlas con las intenciones (nunca buenas) que sean.

En la era del teletrabajo, el enfoque tradicional de la seguridad del perímetro del centro de datos, vigilado como una fortaleza, no ofrece las mejores garantías de seguridad y se está quedando definitivamente obsoleto. Frente a esto, la protección Zero Trust nativa en la nube facilita una plataforma de servicios escalable y ofrece la agilidad y la seguridad que necesitan las organizaciones.

El 89% de las empresas españolas que tienen alojados sus recursos en la nube están apostando por implantar una arquitectura de ciberseguridad Zero Trust, o lo que es lo mismo, un modelo de confianza cero. Y es que actualmente nos encontramos sumergidos en un escenario en el que todo está digitalizado e interconectado, de tal modo que la vulnerabilidad empresarial pudiese aparecer en cualquier momento, a través de cualquier fisura, y eso es lo que los responsables de TI quieren evitar.

La preocupación por la seguridad en las comunicaciones en las empresas experimentó un crecimiento importante con la llegada de la pandemia. Cientos de miles de trabajadores de todo el mundo empezaron en su punto más álgido a teletrabajar desde sus casas, y los responsables de seguridad de las empresas empezaron a vivir sus peores pesadillas: empleados accediendo descontroladamente a las redes de la empresa desde miles de ubicaciones exteriores. Había que proteger sus conexiones y accesos, y muchos empezaron, en solo unos días, a utilizar VPNs para ello.

Leo sobre Zerologon y, una vez más, llego a la conclusión de que tener fe en el ser humano es una tarea la mar de complicada. Y sí, lo sé, obviamente hay de todo, como en botica, y normalmente lo malo llama mucho la atención, mientras que lo bueno suele pasar desapercibido. Esto es algo inherente al ser humano y que hay que tener en cuenta, pero tras esta aclaración, lo que también resulta innegable es que en bastantes ocasiones son muchos los que hacen méritos para un buen tirón de orejas.

Si anteayer empezábamos la semana urgiendo a actualizar Windows Server para protegerse de Zerologon, hoy sabemos que este problema de seguridad también afecta a determinadas versiones de Samba, el más que popular protocolo de compartición de archivos y que, aunque esta función no es tan conocida y empleada, también puede actuar como controlador principal de dominio, como miembro del mismo y, para estructuras de red basadas en Windows, incluso como dominio de Active Directory, prestando el servicio de directorio a la red o a un dominio específico de la misma.

En la clasificación de riesgos que concede Microsoft a los problemas de seguridad, Zerologon ha obtenido un 10 sobre 10, la nota máxima. Solo sabiendo esto, ya tenemos razones más que suficientes para dejar cualquier otra cosa que estemos haciendo y acudir, de inmediato, a instalar los parches que, afortunadamente, ya se han publicado, y que permiten solucionar el problema, el gran problema que supone este agujero de seguridad que se hizo público el pasado viernes.

No es que me sorprende, pero no deja de repugnarme cómo el mundo del cibercrimen, lejos de mostrar un mínimo de empatía por la crisis del coronavirus que estamos viviendo, ha pisado el acelerador intentando sacar el máximo partido a la situación. Zeus Sphinx, un conocido troyano bancario es el último (por el momento) ejemplo de ello, ya según informa IBM en Security Intelligence, estaría siendo empleado en campañas centradas en el COVID-19, al tiempo que estaría siendo actualizado de manera frecuente estas últimas semanas.

Después de pasar algunas semanas en el ojo del huracán, los chicos de Zoom están haciendo un serio intento para hacer ver al mundo que ni mucho menos son tan inseguros como les acusan. O que, como mínimo, son igual de «poco seguros» que su competencia más directa. Para demostrarlo lanzan su versión Zoom 5.0, de la que afirman que esta vez sí, incluye soporte para el cifrado de 256 bits GCM.

Es más que obvio que los responsables de Zoom saben que tienen un enorme problema llamado seguridad. Basta con revisar las últimas noticias relacionadas con este servicio de videoconferencia para comprobar que, si te preocupa mínimamente la seguridad, probablemente deberías optar por algún otro servicio de su misma categoría. Pero, como digo, al menos son conscientes de ello y han decidido priorizar la securización del servicio con un plan de 90 días anunciado a principios de abril, que un amplio conjunto de medidas que iremos conociendo a lo largo de los próximos meses.

La de Zoom podría haber sido una historia de éxito, y es que con la llegada del coronavirus y la enorme demanda de servicios de videoconferencia, ya fuera uno a uno o en grupo, sus números se dispararon. El que hasta entonces había sido un servicio empleado por unos pocos, pasó a estar instalado en los dispositivos de todo el mundo, y de repente se hizo difícil encontrar a alguien que no se hubiera comunicado por Zoom en alguna ocasión.

Seguro que lo recuerdas, porque te lo contamos hace solo unas semanas: Zoom anunciaba que el cifrado de extremo a extremo solo estaría disponible para las cuentas de pago. Y no solo eso, además afirmaba que se reservaba el derecho de «abrir» las comunicaciones privadas, mantenidas a través del servicio, a las entidades públicas cuando existiera la sospecha de que alguna de las cuentas implicadas pudiera tener alguna relación con actividades delictivas. Algo que ya entonces sonaba a pretexto para, en realidad, «vender» más privacidad a sus usuarios de pago que a los que emplean cuentas gratuitas.

Zoom no abandona la ya costumbre de protagonizar titulares. Y aunque muy en contra de su voluntad, la inmensa mayoría de ellos están relacionados con la seguridad. O, para ser más exactos, con la falta de la misma. Y es que aunque sus desarrolladores parecen estar esforzándose por mejorar la seguridad del servicio, los sucesivos problemas que se han ido conociendo las últimas semanas ya suponen una gran mancha sobre su nombre. Seamos francos, que se haya acuñado un término exclusivo para referirse a algunos de sus problemas, zoombombing, indudablemente es una muy mala señal.

Zoom Video es una aplicación de videoconferencia popular en ámbitos domésticos y educativos por su coste gratuito, por la facilidad de uso de su interfaz, por sus fondos divertidos o por su escalabilidad para uso en múltiples dispositivos. Sin embargo, es toda una pesadilla de privacidad.

Muy a su pesar, en los últimos tiempos hablar de Zoom es hacerlo, principalmente, de problemas de seguridad relacionados con este servicio de videoconferencia y reuniones online. Siendo justos, sí, la plataforma sufre algunos problemas de seguridad bastante serios, hasta el punto de hacer no recomendable su uso en determinados contextos, pero sus responsables han tomado buena nota de dichos problemas y trabajan contrarreloj para solucionarlos. Queda poco más de mes y medio para que se complete el plazo de tres meses al que se comprometió la compañía, así que permanecemos atentos a todos sus pasos.