Entrevista a Steven Bellovin
En el marc del recentment celebrat Internet Global Congress, que va tenir lloc a Barcelona del 10 al 14 de maig, vam tenir l'oportunitat de conversar amb Steven Bellovin, un autèntic pioner d'Internet (és el co-inventor dels grups de notícies, per exemple) i gurú de temes de seguretat informàtica.
Pots explicar-nos que consisteix el teu treball a AT&T
Em dedico totalment a la investigació i bàsicament faig el que vull, el que està molt bé. Em centro en temes relacionats amb les xarxes i la seva seguretat. No obstant també toco d'altres temes sobre xarxes que no estan directament relacionats amb la seguretat i temes relacionats amb la seguretat, com criptografia i privadesa. Així mateix també mantinc contactes amb diverses agències governamentals relacionades amb Internet i la seguretat.
|
El teu llibre, "Firewalls and Internet Security" s'ha convertit en un autèntic llibre de referència, freqüentment utilitzat en
la formació dels nous professionals. La primera edició va ser publicada fa ja molts anys. Durant aquest temps, quins són els principals canvis a Internet i les xarxes en general i quins són els seus efectes en la seguretat?
La segona edició del llibre, publicada l'any passat, és molt diferent de la primera edició que es va publicar tot just fa deu anys. Aquestes diferències són un reflex dels canvis d'Internet: el gran error que vam cometre fa deu anys va ser no adonar-nos de la rapidesa amb la qual Internet anava a créixer.
Posem per exemple els tallafocs. Avui en dia és molt difícil tenir un únic tallafocs, que no deixa de ser un mesura de defensa perimetral. Avui en dia ja no tenim uns perímetres i fronteres tan definits com els que teníem ara fa uns anys, quan vam publicar la primera versió del llibre. Un dels autors del llibre, Bill Cheswick, treballa en una nova empresa, Lumeta, que desenvolupa sistemes que permeten identificar exactament els diversos punts d'accés d'una xarxa corporativa. Avui en dia és
habitual que les empreses no tinguin únicament un o dos punts de connexió de la seva xarxa amb "l'exterior". Les grans empreses poden tenir centenars o fins i tot milers connexions. En aquest entorn, un únic firewall en la connexió a Internet es pot dir que no serveix per a res.
El segon canvi que hem apreciat és que, quan vam escriure la primera edició del llibre, vam dedicar molt espai a explicar com construir un firewall. Avui en dia pràcticament ningú dissenya el seu propi tallafocs. És més, si pretens dissenyar el teu propi tallafocs el més probable és que no necessitis llegir aquest llibre. El que fa la majoria de la gent és comprar un firewall comercial. Això és un canvi molt important. Cal tenir present que, quan vam escriure la primera edició Windows 95 encara no existia i pràcticament cap màquina Windows podia accedir a Internet. Avui en dia la situació és molt diferent.
|
Tal com dius, abans existia una clara distinció entre allò que és "extern" i allò que és "intern" a les xarxes corporatives. Actualment hi ha teletreballadors, l'ús d'ordinadors portàtils és molt habitual (i freqüentment aquests portàtils avui estan connectats a la xarxa corporativa, demà estaran connectats
directament a Internet des de casa, un altre dia en la xarxa d'un client per a després tornar a connectar-se a la xarxa corporativa),
els punts d'accés sense fil, barats i fàcils d'instal·lar fins i tot per personal no informàtic.
Creus que tots aquests canvis han estat incorporats en la visió de la seguretat de les xarxes corporatives?
No, no ho crec. Almenys en la mesura que hauria de ser.
Cal diferenciar allò que la gent vol fer amb el que se suposa que deu fer. Quan el meu primer fill tenia dos anys
vaig aprendre que no havia de donar-li una ordre quan no podia obligar-li a
complir-la. Les empreses, en canvi, encara no han entès
això. Es limiten a dir als seus empleats "no utilitzeu el
portàtil excepte per al treball". Però que succeeix quan l'ordinador
és propietat de l'usuari? Les empreses estan encantades
amb el fet que un empleat es compri un ordinador domèstic i
ho utilitzi, mentre està a casa, per a treballar. Per a l'empresa
aquest ordinador és gratuït. Ara bé, com aquest
ordinador no és de l'empresa no li pot dir al treballador que
deu fer i que no pot fer.
Hi ha diverses possibles solucions per a aquesta problemàtica. No
estic del tot segur de quina és el millor. Les empreses han d'adonar-se
que l'ordinador els surt gratis. Si comparem el
cost que suposa l'empleat i el cost d'un ordinador, aquest
últim és menyspreable: és per això que dic que l'ordinador
surt gratis. Per descomptat, les empreses no estan d'acord amb
aquest plantejament.
Des del meu punt de vista, les empreses no haurien de permetre mai
la utilització d'un ordinador domèstic per a realitzar treballs;
si algú ha de treballar des de casa, l'empresa ha de
facilitar-li un ordinador que només s'utilitzarà per a desenvolupar
el treball i res més.
Una altra consideració: són necessàries més xarxes privades virtuals.
També en tots els punts és necessari instal·lar tallafocs. En
els últims anys s'han desenvolupat el que podíem anomenar
"tallafocs distribuïts" en els quals la mateixa política s'aplica
en tots i cadascun dels ordinadors. Això significa que el meu
portàtil té el mateix nivell protecció tant si estic en
la meva oficina als Estats Units, aquí en el Palau de Congressos de
Barcelona o fins i tot quan estic en un cafè públic utilitzant un
accés sense fil a Internet. Ara com ara només estem començant a
veure com s'apliquen proteccions com aquesta, però encara no són,
ni de bon tros, d'ús habitual.
Una possible alternativa, que encara no és tècnicament possible,
seria crear "particions" a l'ordinador, de forma que puguem
crear una secció per a les tasques relacionades amb el treball,
una altra per als productes d'ús particular, una més per als
jocs i una altra per als nens. Cadascuna d'aquestes seccions hauria d'estar clarament separada, sense que una interfereixi amb l'altra.
Per descomptat això és força complicat de fer correctament,
de forma que en cap concepte una d'aquestes seccions arribi
a interferir amb qualsevol altra. Un dels principals problemes
seria en el moment de compartir informació. Imaginem, per
exemple, que desitjo tenir Microsoft Office per a les tasques de treball
però també el fan servir els meus fills per a les seves tasques
escolars.
És a dir, ara com ara no tenim cap solució efectiva. Hem de
treballar més en aquest aspecte.
|
Moltes empreses consideren que la solució dels problemes de
seguretat es basa a instal·lar diverses "joguines"... em refereixo, a
posar tallafocs, sistemes de detecció de intrusions,
antivirus en diversos punts. En canvi, de vegades s'obliden del
factor humà: la formació en aspectes de seguretat i, en certa mesura, l'aplicació del sentit comú.
Un aspecte no és més important que l'altre. El factor humà és molt important. Com he dit abans, la gent instal·la una gran
quantitat de coses en el seu ordinador.
No obstant un dels principals problemes és que pràcticament
tothom està utilitzant exactament el mateix programari. No
vull dir amb això que el programari de Microsoft sigui dolent o que
tingui un nombre especialment gran de forats, encara que jo
personalment no utilitzo Windows. Ara bé, el fet que gairebé
tothom el faci servir el converteix en un objectiu atractiu.
Si Microsoft comet un error en un dels seus programes, tot el
món el pateix. No importa si utilitzes un Apple o un IBM: en realitat estàs utilitzant el mateix programari. Això és
el que els biòlegs denominen la monocultura, quan una
malaltia afecta a tota una població.
|
O sigui, que no és tant que els productes de Microsoft tinguin
molts problemes sinó que és la gran quantitat de gent que els
utilitza el que els converteix en víctimes potencials.
Exactament. Els biòlegs avisen que quan hi ha poca varietat l'atac
d'un virus pot causar estralls.
|
És a dir que necessitem més biodiversitat.
Correcte. Necessitem en els ordinadors el mateix que en la vida
real. Si tinguéssim més diversitat, potencialment hauria menys
problemes de seguretat ja que l'efecte dels mateixos no
afectaria a tots els usuaris.
|
És a dir, ens estàs dient que el problema és Microsoft...
Jo no he dit exactament això.
|
Puc posar això com titular?
El que he dit és: el problema és la monocultura, el fet que
pràcticament tot el món utilitzi el mateix sistema. Si Apple
tingués una major quota de mercat, veuríem molts més problemes
als Macintosh.
Crec que Microsoft no fa les coses tan bé com podria
fer-les. Estic en desacord amb algunes de les decisions que
han escollit, però l'autèntic problema és el fet que
pràcticament tots els ordinadors utilitzen el mateix sistema.
De fet, això arriba fins i tot a afectar a aquells que no utilitzem els
productes de Microsoft. Alguns dels últims cucs han
col·lapsat la xarxa, de forma que tot el món sofria les
conseqüències. Personalment vaig sofrir aquest problema amb Slammer.
El factor humà és important, però no l'únic. Per exemple,
fem servir programari que no controlem. Hi ha un gran nombre d'actualitzacions
i pegats que es publiquen constantment fins el
punt que molta gent no en pot seguir el ritme de publicació.
En moltes situacions no t'interessa instal·lar l'última
actualització. A les xarxes i ordinadors que utilitzo mai
instal·lo una actualització sense abans provar-la.
A AT&T, per exemple, quan es rep un nou equip per a la seva xarxa, primer s'instal·la
en un entorn de laboratori durant diversos mesos abans
de connectar-lo a la xarxa corporativa. Això és degut al fet que cada
nova versió "trenca" coses. Si analitzem la història d'actualitzacions
de qualsevol fabricant, veiem que la majoria de les
actualitzacions necessiten dues versions per a funcionar
correctament i sense afectar a altres productes.
A casa, en el meu ordinador domèstic, durant les dues últimes
setmanes no he instal·lat cap programa, fins que no hagi
finalitzat la meva declaració de la renda. No vull córrer el risc
que l'ordinador deixi de funcionar justament ara.
No obstant, en ocasions no tenim elecció. Si llegeixes al diari que hi ha un nou cuc, com Sasser i els teus equips són
vulnerables llavors has d'instal·lar l'actualització.
|
No desitjo centrar-me a comentar aspectes de Microsoft, però
justament la setmana passada Microsoft va acusar als usuaris que no
havia instal·lat l'actualització com els responsables de l'abast
que havia arribat a Sasser. És correcte això? És
la forma correcta de respondre davant l'abast d'un problema?
En part sí. Hi ha tants pegats que molta gent no està al dia,
però hi ha gent que ni tan solament es preocupa d'instal·lar-ne
cap. Però fins i tot en el cas que els instal·lis tots,
no estàs protegit. Habitualment hi ha una finestra de temps entre
el descobriment de la vulnerabilitat i quan es comença a
explotar i la disponibilitat del pegat. En aquesta mena de
situacions, si que interessa instal·lar els pegats com més aviat millor.
Ara bé, el que necessitem en realitat per a solucionar aquest
tipus de problema és una major seguretat. Necessitem una
seguretat més profunda, disposar de diversos nivells de
seguretat. Necessitem disposar de tallafocs, sistemes de
detecció d'intrusos, necessitem les actualitzacions;
necessitem usuaris que coneguin el que succeeix; necessitem
arquitectes que dissenyin sistemes que siguin més resistents de forma
que si una part falla, el sistema en el seu conjunt continuï
funcionant.
|
Necessitem legislació?
A la majoria dels països ja hi ha suficients lleis contra
activitats delictives. Tal vegada un aspecte interessant que m'agradaria
veure incorporat en la legislació és la responsabilitat
dels fabricants de programari.
És a dir, si el fabricant de programari és responsable d'un
problema de seguretat ha de ser responsable també de les
conseqüències del mateix.
Si sóc un fabricant d'un cotxe i la gent que el condueix pateix un accident per un error al cotxe, la legislació diu que jo en sóc el responsable. A la indústria del programari, si els clients d'un banc perden els seus estalvis per culpa d'un producte informàtic, el fabricant del mateix no té cap responsabilitat.
Aplicar aquest tipus de responsabilitat afavoriria la indústria i
molt especialment el programari obert. És paradoxal que avui en
dia puguem dissenyar uns automòbils fiables i, en canvi, no
sapiguem escriure programari bo.
De fet, si dediquem el temps necessari podem arribar
a desenvolupar un programari realment molt bo. El problema: això és
molt car. A més limita la capacitat de desenvolupar programari de
propòsit general, però certament es pot fer millor de com
ho fem actualment.
Recordo un estudi on s'analitza el comportament de les
xarxes telefòniques actuals. En aquestes xarxes, els problemes de
programari i maquinari estan pràcticament al mateix nivell. I els
problemes d'usuari també estan a aquest mateix nivell. Això és
un assoliment molt remarcable: el maquinari utilitzat té un nivell de
fiabilitat molt elevat ja que pràcticament tot els components
es troben duplicats. I s'ha aconseguit que el programari estigui
virtualment al mateix nivell. Una gran fita... això si, el programari
és molt car. I se de que parlo: treballo per a una companyia
telefònica! Abans de la divisió de AT&T en diverses companyies
vaig participar en el desenvolupament de commutadors telefònics, pel que
se perfectament el car que és el seu desenvolupament.
Les companyies telefòniques van entendre el problema: no importa
tant quin és el problema, l'important és identificar-lo i
aïllar-lo perquè no afecti a tot el sistema. Constantment s'analitza
la consistència del sistema i en cas de detectar una
línia telefònica problemàtica, simplement la desactiven. D'acord, per a qui està darrere d'aquesta línia no és una bona
solució, però el que s'aconsegueix és que el sistema en
el seu conjunt (amb milions de línies) continuï funcionant. Amb
la línia problemàtica aïllada es pot analitzar amb calma que
succeeix.
Aquesta és una de les coses que formen una defensa en profunditat.
Necessitem aquesta capacitat de dir: aquest component està
fallant, així que l'aïllo i així la resta del sistema continuï
funcionant.
En els productes de programari genèrics no veiem aquesta mena de defenses.
Un dels motius és que no hi ha un incentiu
financer per a aconseguir-lo. Les empreses de programari no veuen en aquest
tipus de desenvolupament quelcom que els faci guanyar diners. Per descomptat
que no desitgen que els seus clients sofreixin problemes, però quan
analitzen el temps necessari per a desenvolupar aquests sistemes,
decideixen que no és rendible. Per descomptat aquesta percepció
canviaria en el supòsit que els fabricants de programari
tinguessin responsabilitat sobre les incidències de seguretat.
|
La publicació constant de noves versions de programari afecta
a l'estabilitat del programari?
|
No puc dir-lo de forma genèrica per a cada nova versió, però
òbviament si agafem un producte concret que està evolucionant
i canviant constantment, això no ajuda a un programari el
puguem considerar segur.
No obstant, hem fet progressos. Quan vaig començar a programar,
fa ja quaranta anys, el sistema operatiu era molt inestable.
Els grans mainframes tot just podien funcionar un dia seguit. En
l'actualitat, no és estrany que un servidor Unix funcioni
ininterrompudament durant anys sense necessitat de reiniciar-lo.
Fins i tot en el món dels ordinadors personals, Windows XP és
molt més estable que Windows 98. Per descomptat que no disposa
d'una estabilitat excepcional: no pots esperar tenir una
màquina Windows XP funcionant un any, però per descomptat és
molt millor que fa sol uns anys.
Hi ha una lliçó que vaig aprendre fa ja 35 anys: mai instal·lis la
versió .0 de qualsevol producte. Cal esperar un temps,
que es descobreixin els problemes que de segur té i esperar
que la primera tanda de pegats siguin incorporats. I també cal
ser conscients que cada pegat, que cada solució a
un problema introdueix un nou problema. Això és una mica que vaig aprendre
quan anava a la universitat i no crec que hagi canviat
significativament en l'actualitat. El programari actual és molt millor
que el de fa uns anys, però contínua sense ser el bo
que podria ser.
|
I quina passa amb l'usuari estàndard? Creus que l'usuari sense
un especials coneixements d'informàtica està realment
preparat per a tot això? Les últimes versions dels sistemes
operatius comencen a incloure tallafocs habilitats per
defecte, mostren alertes quan una mica succeeix... però creo molta
gent en realitat no entén exactament que tracta tot això.
Estem delegant massa responsabilitat en la baula més
feble?
Crec que aquest és un problema molt important. L'usuari final no
té una consciència de seguretat. Com conductor se con omplir el dipòsit de benzina
i com canviar l'oli però, en
realitat, el que espero del meu cotxe és simplement que funcioni.
En canvi, a l'ordinador cal instal·lar contínuament
noves coses. Cada vegada són més complicats. No hem d'esperar
que l'usuari respongui adequadament a aquesta mena de
situacions. La formació, no obstant, és quelcom que ha d'ajudar
a resoldre aquest problema.
El motiu pel qual els tallafocs han d'estar habilitats en
la configuració per defecte és l'existència d'un nombre tan
elevat de cucs circulant per Internet que si connectes un
ordinador desprotegit en una connexió de banda ampla com pot
ser el cable o DSL, no podràs ni arribar a instal·lar els pegats:
abans estaràs infectat. Això és una cosa realment terrorífica.
L'autèntic problema és que la màquina està executant un gran
nombre de serveis i cadascun és potencialment vulnerable a
problemes de seguretat. És més, molts d'aquests serveis no
tenen cap raó per a comunicar-se amb l'exterior, almenys
per a la majoria dels usuaris. Molts d'aquests serveis van ser
dissenyats per a entorns controlats o bé per a entorns no
certament hostils.
No tinc cap solució màgica. Certament la configuració d'una
màquina ha de ser revisada abans de connectar-se a la xarxa.
Els sistemes haurien tenir un sistema d'auto-actualització que
instal·li automàticament els pegats tan aviat com aquests estiguin
disponibles.
|
No obstant, el problema amb els tallafocs activats per
defecte l'enfocova d'una altra forma. Per descomptat que coincideixo
amb tu que han d'estar habilitats... Però què succeeix quan l'usuari
davant un servei o aplicació que no funciona, sense ser
conscient del que fa desactiva el tallafocs o canvia les regles
per a permetre tot el tràfic. En aquest moment, l'usuari
pot tenir una falsa sensació de seguretat, ja que el seu sistema
té un tallafocs, quan en realitat està totalment
desprotegit, el que fins i tot és pitjor.
Totalment cert. És realment una situació complicada. Quan
el meu fill va comprar un nou ordinador fa més o menys un any, el que
m'hagués agradat fer és no instal·lar cap programa excepte
un tallafocs durant un període de dues setmanes per a així poder
entendre el funcionament normal del sistema. El meu fill no estava
en absolut d'acord. Ell volia instal·lar moltes coses de forma
immediata.
Necessitem saber que se suposa ha d'executar-se en cada màquina.
I això requereix molt temps, fins i tot anys. Ens sorprendria
identificar el gran nombre de programes intenten comunicar-se a través
de la xarxa en una la instal·lació per defecte d'una màquina
amb Windows. I la majoria d'aquestes coses no són en absolut
necessàries ni és necessari que es comuniquin per la xarxa.
Això és molt dolent, un disseny molt dolent. L'únic que fa és
causar problemes.
És important indicar que el millor tallafocs del mercat no
pot realment protegir els serveis que desitgem executar.
Això demostra la necessitat de disposar de més d'un nivell de
protecció: tornem a la seguretat en profunditat. Per exemple,
un servidor web no pot ser protegit pel tallafocs. Aquest
ha de permetre el tràfic o en cas contrari, els clients no
podran accedir.
Com protegeixo un servidor web? Com he indicat abans amb
l'exemple de les companyies telefòniques, la millor forma és aïllant
cadascun dels serveis. D'aquesta forma, qualsevol problema al servidor web l'únic efecte serà que aquest deixa
de funcionar però no permetrà a l'atacant modificar la base de
dades o obtenir la relació de targetes de crèdit dels
clients. D'acord, no és bo que el servidor deixi
de funcionar, però per descomptat és molt pitjor que ens robin les
targetes dels nostres clients.
|
Un dels últims RFC en els quals has participat tracta sobre la
necessitat d'integrar la seguretat dels protocols d'Internet.
La majoria dels protocols no disposen de cap sistema de
seguretat
Creo que és bo afegir la seguretat allí on és necessari,
però aquesta no és la solució als problemes. La majoria dels
problemes són deguts a errors de configuració o programes que
no funcionen correctament.
|
Quan parlo de mecanismes de seguretat, per exemple em refereixo a l'absència
de mecanismes d'autenticació en la majoria de
protocols...
De fet, la majoria de protocols no els necessiten en absolut.
Fa uns anys, vaig analitzar tots els avisos de seguretat publicats
pel CERT. El 85% dels problemes descrits podien ser
solucionats amb els protocols actuals, no eren ocasionats per l'absència
de mecanismes d'autenticació. En alguns dels
protocols utilitzats per als nous serveis, l'autenticació
si és un factor important.
Un problema més important que l'autenticació és el de
l'autorització: qui té permís per a enviar correu. Hi ha gent
que diu que si només s'admet el correu autenticat, això
solucionarà el problema del SPAM, però això és totalment fals.
Tant tu com un spammer pot enviar-me un missatge i en
ambdós casos el missatge pot estar signat digitalment. Per descomptat
vull rebre el teu correu però no el del spammer. Si mai ens
hem comunicat abans, estàs en la mateixa situació que el
spammer. Com se que el teu correu és legítim?
Així doncs l'autorització és un problema molt més important. L'autenticació
únicament soluciona el problema de la gent que
desitja fer coses sense necessitat d'utilitzar contrasenyes; no
soluciona cap altre problema.
|
Parlant del SPAM, aquest és un dels problemes que més preocupa
a la majoria de la gent. Creus que encara podem guanyar la batalla
contra el SPAM o tal vegada podem considerar que el correu
electrònic, tal com ho coneixem avui, ja es pot donar per
perdut i per tant és necessari inventar una cosa nova?
No ho se. El problema de plantejar-nos una alternativa al email és
el que ja he comentat abans sobre autenticació. Puc utilitzar
criptografia en el procés del correu, però això no respon a la
pregunta de qui pot enviar email. Algú ha dit que el que
podem fer és permetre únicament el email procedent dels
principals ISP, que segur no envien SPAM. Però, qui és
un ISP? Jo tinc un ordinador allotjat a una empresa de que permet hostatjar màquines.
Això em converteix en un ISP? Puc utilitzar aquesta màquina per a
enviar email? Qui té la responsabilitat de dir aquest és
un ISP i aquest altre no? D'altra banda, alguns ISP permeten als
spammer utilitzar els seus serveis, ja que són clients que paguen.
Un percentatge significatiu del SPAM que circula
actualment prové d'ordinadors personals. Els spammers i
els intrusos han format una aliança. Els spammers han creat una
motivació econòmica perquè els intrusos s'introdueixin en
les màquines, rebent una compensació econòmica per a convertir-les
en sistemes d'enviament de SPAM.
Com lluitem contra el SPAM? El que succeirà és que qualsevol
mecanisme que intentem utilitzar per a enviar email serà
automàticament incorporat dins dels missatges de SPAM. Si la
solució la plantegem a nivell de ISP, que aquest ens cobri per
enviar correu l'usuari domèstic serà el qual acabarà pagant,
ja que el seu ordinador ha estat violat i s'ha convertit en
una font de SPAM.
No conec cap solució màgica per a aquest problema. El que si
se que cap solució que no tingui en compte el que acabo de
comentar no funcionarà.
Un altre perill important és el fet que el correu electrònic és
quelcom descentralitzat. Em preocupa la centralització de la xarxa.
Una de les millors coses d'Internet és que està totalment
descentralitzada. El WWW no va ser inventat per cap ISP ni
per cap comitè: va ser inventat per una persona que treballava al CERN. I va poder precisament inventar-lo per que qualsevol pot
fer-ho a Internet.
Si comencem a centralitzar alguns serveis el que aconseguirem
és que uns pocs ISP controlin masses coses.
|
Parlant de problemes en Internet, Quin és la teva opinió sobre la
convenció sobre el cibercrim que entrarà en vigor el
pròxim Juliol?
Creo que és bo que existeixin algunes estipulacions generals,
però l'existència de massa regulacions i la possibilitat de
vigilar indiscriminadament l'activitat... tot això entra
en conflicte directe amb el dret a la privadesa. Creo que aquesta
legislació és francament millorable.
Fa dues o tres setmanes vaig participar en una conferència a
Califòrnia on es van analitzar els aspectes negatius d'aquesta
convenció. En molts aspectes dóna massa poder a les forces
de l'ordre. Algunes de les queixes que es formulen són relatives a
contradiccions amb la legislació nord-americana que en
ocasions són diferents a les normes europees.
|
Un dels aspectes més controvertits és la impossibilitat d'utilitzar
eines de hacking... per exemple, França va aprovar
fa poques setmanes una llei molt restrictiva. No sóc un advocat,
però pel que he llegit es pot interpretar que fins i tot la
utilització de nmap serà una mica il·legal, fins i tot per a tasques pròpies
d'administració de xarxa.
Jo utilitzo nmap habitualment. Hi ha un error de compressió: és
confon l'eina amb el problema. Això és un problema molt
important. Per a nosaltres la utilització d'eines de
seguretat és molt important. En el meu llibre hem dedicat un
capítol sencer sobre les eines que qualsevol
administrador ha d'utilitzar habitualment.
Els delinqüents no tenen aquest problema: ells ja estan fora
de la llei i per tant no tenen cap restricció a utilitzar aquestes
(i d'altres eines). El professional de la seguretat necessita
conèixer que s'està executant en cada màquina i en tota la xarxa i
no té cap altre mètode que utilitzar una d'aquestes
eines.
Hi ha algunes eines per a les quals es pot dir que si, no hi ha cap ús legítim de les mateixes, però molts altres com
nmap són imprescindibles.
|
I què podem fer sobre això?
Això és una mica el que faig quan actuo com conseller per a governs:
tracte d'informar-los. Dedico molt temps tractant sobre temes
com aquest, intentant corregir les idees equivocades que la gent
pot tenir, a Washington, Brussel·les, Berlín, Paris, Madrid,
Londres...
Els governs es troben davant una situació totalment nova
per a ells. Als Estats Units existeix una gran controvèrsia,
no es quina és la situació a Espanya, sobre el control d'armes.
Per a molta gent als Estats Units la possibilitat de tenir armes
és vista com un dret molt fonamental. D'altra gent diu que les armes
serveixen per a matar persones. Personalment sóc partidari de la
prohibició de la possessió d'armes, però això és alguna cosa molt
controvertit al meu país.
Nmap, i altres moltes eines, no poden considerar-se com
armes. Les utilitzo per a protegir-me els meus sistemes, però en cap
cas per a atacar a d'altres. Em permeten identificar el nivell de
seguretat dels meus sistemes. És per tant una situació molt
diferent.
Internet no va ser dissenyada pensant en les fronteres dels països.
Això fa que per als governs sigui realment molt difícil poder
legislar. Fa 200 anys, la noció d'aigües territorials era
originalment d'uns 5 km. Poc després va ser ampliada a 20 km.
Saps d'on surten aquestes distàncies? Era l'abast d'un
canó: tot allò que estava a l'abast del meu canó era
part del meu territori. No era una solució efectiva, ja que
creava conflictes entre països com per exemple entre Rússia i
Turquia pel mar Negre. Però l'important és que, una vegada
fixat el principi general es poden solucionar els problemes
puntuals.
No tenim una analogia òbvia similar en Internet al rang d'un
canó. Què és responsabilitat d'un país i que no ho és?
Mentre estic assegut aquí a Barcelona puc controlar l'ordinador
que tinc a casa.
|
Sobre spyware. En l'actualitat per als usuaris, el principal
problema són els virus i segurament el SPAM. Ningú
sembla prestar una atenció especial al spyware, fins i tot quan
aquest pot entrar en els ordinadors de forma automàtica sense
cap intervenció de l'usuari
Crec que és més del mateix. El spyware i els virus són creats
per gent amb els mateixos objectius. La principal raó dels
cucs que instal·len portes secretes és permetre la seva utilització
com sistemes per a l'enviament d'SPAM.
Aquesta crec que és un àrea on és necessària aplicar legislació.
S'han utilitzat un bon nombre de tàctiques per a enganyar a
l'usuari, com la instal·lació de programes fins i tot quan l'usuari
no accepta les condicions d'ús o bé sense informar a
l'usuari del que s'està fent.
El govern nord-americà va organitzar un workshop sobre spyware
fa unes tres setmanes, centrant la seva preocupació en
la protecció del consumidor. Actualment s'està desenvolupant una
llicència estàndard d'usuari que pretén protegir davant aquesta mena
de situacions.
La major part de l'spyware s'instal·la a través de cucs o bé
de màquines atacades, el que és clarament il·legal. Però també
s'aconsegueix mitjançant l'engany perquè l'usuari descarregui
un programa. En aquest cas està menys clar fins que punt la
legislació protegeix a l'usuari.
Bàsicament és el que ja he comentat en diverses ocasions.
Instal·lar alguna cosa a l'ordinador d'un usuari és bastant fàcil, ja
sigui amb un virus, comprometent la màquina... És necessari
trobar millors mecanismes per a protegir les màquines... i
evitar els problemes que ja he comentat de programes amb bugs,
la monocultura...
|
En l'actualitat encara tenim la visió d'un intrús que ataca
màquines bàsicament per a distreure's o per curiositat. Creus que
això està canviant i cada vegada més darrere dels incidents
veurem a la màfia i al crim organitzat?
La majoria del hacking que es realitza en l'actualitat té
objectius criminals, bàsicament per spammers que paguen a
intrusos perquè instal·lin sistemes d'enviament de spam en
els sistemes atacats.
Actualment hi ha un escàndol als Estats Units sobre membres d'un
partit polític que han atacat els sistemes de l'altre partit
per a espiar-los. I fa un any, una de les principals
universitats espiava les peticions que realitzaven els
candidats que desitgen entrar a una altra universitat.
Molta d'aquesta activitat no és coneguda. Les empreses i la policia
no volen comentar sobre aquests problemes. És més, moltes
intrusions mai són detectades. Només un 3% de les intrusions
són detectades.
La veritat és que em sorprendria si en els pròxims mesos no
veiem cada vegada notícies com aquestes.
|
Més informació
Steven Bellovin
http://www.research.att.com/~smb
El gurú de seguridad Steven Bellovin pide leyes que castiguen a los fabricantes de programas defectuosos
http://ww2.grn.es/merce/2004/bellovin.html
Copyleft 2004 Mercè Molist/Xavier Caballé.
Verbatim copying, translation and distribution of this entire article is permitted in any medium, provided this notice is preserved.
|
