Seguridad física

No todas las amenazas o posibles ataques provienen del peligroso mundo de Internet. Queremos hablaros sobre posibles riesgos físicos para los valiosos activos de una compañía.

Inundaciones

Hay que tener en cuenta posibles inundaciones o riadas que conviertan en material inservible cualquier equipo o material de la sala de ordenadores.

Hay que protegerse de las posibles inundaciones analizando la zona dónde se ubicará la sala, haciendo conducciones por donde se evacuaría el agua, e impermeabilizando la sala.

Otro paso es la detección con sensores de agua. Y un último paso que sería la corrección del problema con desagües y fundas para los equipos.

Incendios

Se recomienda el uso de materiales ignífugos y el uso de aire acondicionado independiente para prevenir un posible fuego cerca del hardware.  Y para detectar y extinguir el incendio se debería contar con detectores de humo y calor, extintores o mangueras para un apagado manual del fuego o incluso rociadores automáticos de agua. Aunque se debe disponer del mínimo impuesto por la normativa técnica y legal ante incendios de la Unión Europea.

Problemas Eléctricos

Hay que tener en cuenta los cortes, picos de tensión o ruidos provocados por la instalación eléctrica. Por lo que se recomienda el uso de equipos de continuidad eléctrica. Como SAI, Sistema de Alimentación Independiente, que provee de energía en caso de un corte indefinido en la tensión. Algo que permitiría salvar datos.

Campos Electromagnéticos

Peligros como los imanes, los radares o los transmisores pueden afectar gravemente a nuestro hardware. Por lo que se recomienda el apantallamiento para evitarlo. TEMPEST es una manera de reducir los efectos de esta amenaza.

En resumen, no analizar los posibles riesgos de la naturaleza para colocar los equipos en un lugar con bajo riesgo, puede costarnos caro. Por lo que se recomienda encarecidamente invertir en seguridad física para no lamentarlo más tarde.

Paradojas en la seguridad de navegadores web

Hoy nos encontramos ante lo que, a primera vista, se podría considerar una especie de paradoja en la aproximación a la seguridad en navegadores: el navegador más seguro es el que tiene más fallos de seguridad y el más popular. Con el paso del tiempo, esto ha significado que lo más importante es garantizar protección frente a corregir los agujeros de seguridad.

La creencia popular es: "El navegador más usado es el más atacado". Y si ocurre como con Internet Explorer, que además es el que más fallos tiene, ¿quién es el loco que se atrevería a usarlo?

  

Uso actual de navegadores (Stat Counter)

En los 90 los navegadores que se usaban principalmente eran Netscape e Internet Explorer. Los dos eran pésimos en cuanto a seguridad. Pero no importaba demasiado a los atacantes. La industria del malware no estaba tan desarrollada, y se disponían de otros medios para infectar a las víctimas: el email y el ataque directo a los puertos y servicios.

Los sistemas y programas de correo no eran tan efectivos contra el malware, los usuarios no estaban tan concienciados y además, muchos se conectaban directamente a Internet sin cortafuegos entrante. En esta década los atacantes no estaban tan interesados en web.

En el nuevo milenio, Internet Explorer tomó la delantera, pero cometió el error de pensar que nadie le haría la competencia. El cortafuegos se instauró como norma y además los usuarios se conectaban por ADSL, por lo que solían permanecer detrás del cortafuegos del router. El spam se controló en parte y el usuario se concienció. Por ello, los atacantes se empezaron a centrar en los navegadores, en la pcapa de aplicaciones.. Contaban con una enorme ventaja con Internet Explorer: estaba muy extendido su uso y era muy inseguro. El problema creció y aparecieron alternativas serias: Firefox y Chrome. La guerra se centró no tanto en la cuota de uso sino en ofrecer elementos diferenciadores: seguridad en profundidad.

En la actualidad, la batalla la ha ganado Chrome por, entre otras cosas, centrarse en la seguridad. Pero no cualquier tipo de seguridad, sino en la defensiva. Si bien es el navegador con mayor número de fallos, es el más complejo de explotar. La paradoja se cumple con él. Veamos por qué.

Chrome, desde un principio, se centró no tanto en bajar el número de fallos, sino en que estos no fueran explotables. Apostó por separar las pestañas en procesos con bajos niveles de integridad, por el ASLR y el DEP en sus procesos, por meter los plugins en sandbox, por las actualizaciones automáticas "sin permiso" y por motivar fuertemente a los investigadores para que le detectaran los fallos de seguridad (paga bien cada vulnerabilidad encontrada y reportada). De hecho, se atrevió a ofrecer hasta 1.000.000 de dólares por la ejecución de código arbitrario en Chrome bajo Windows 7. Lo consiguieron, pero sólo un equipo fue capaz de dar con la solución tras mes y medio trabajando en ello. ¿Están los atacantes a la altura? La respuesta es afirmativa,  pero de lograrlo, deben plantearse si sacarán mayor tajada reportándolo a Google o de forma ilícita. Esta es la paradoja de Chrome, siendo el que más fallos de seguridad acumula año tras año, y con una cuota de mercado más que respetable, es el más seguro "ahí fuera".