Firewalls: La primera línea de defensa
Una introducción al mundo de los firewalls.
Por Damián Ferrer
Firewalls o cortafuegos, palabra que aparece con mucha frecuencia cuando se trata de seguridad, comunicaciones, vulnerabilidades, etc., pero para mucha gente que navega en la Red sigue siendo un misterio. Este artículo explica el concepto “firewall“ y cómo los podemos usar como aliados de nuestra privacidad y seguridad.
¿Qué es un firewall?
De acuerdo a los manuales, el firewall es un sistema diseñado para impedir los accesos no autorizados desde y hacia una red protegida.
Podemos pensar en el firewall como la puerta principal de una casa, que se abre o cierra de acuerdo a los criterios y necesidades definidos por sus habitantes. Estas definiciones, denominadas “reglas“, son la base de la administración de los firewalls. La puerta controla la entrada y salida de gente a la casa.
La simplicidad del concepto es lo que lo hace tan poderoso, ya que aplicando las reglas adecuadas en un solo lugar, podemos controlar todo el tráfico que viaja entre las redes que da servicio el firewall y así proteger la red interna.
En la vida real los firewalls se utilizan para separar y filtrar el tráfico entre las redes; por ejemplo, en el caso de un usuario de banda ancha, el firewall estaría entre su PC e Internet, protegiendo al usuario mientras está expuesto a Internet. En este caso, la red defendida por el firewall es la misma PC, una red de un solo equipo.
Este lugar privilegiado que ocupan en la red los convierte en la primera línea de defensa, consolidándose como una de las herramientas fundamentales de la seguridad y privacidad de la información.
Tipos de firewalls
Podemos identificar tres grandes grupos, en función de los criterios de diseño y el segmento de mercado al que apuntan.
Firewalls de hardware:
Son equipos que incluyen en el mismo gabinete todo el software y hardware para operar. Tradicionalmente utilizados en grandes empresas, logran los mejores rendimientos, dada la integración del software y el hardware. Estos equipos suelen ser administrados por personal técnico especializado.
Desde hace un tiempo han aparecido otros productos más económicos destinados al mercado de usuarios de banda ancha, que hacen hincapié en la facilidad de instalación, configuración y mantenimiento para usuarios sin experiencia. Como ejemplos podemos citar a Cisco Pix (uno de los líderes del mercado corporativo, que también ofrece versiones para pequeñas empresas) y Linksys (uno de los mas atractivos para los usuarios finales, dada su relación costo beneficio).
Firewalls de software corporativos:
En esta categoría tenemos aplicaciones que corren sobre los sistemas operativos más populares: NT, Unix, Linux, etc. Hay modelos que protegen redes enteras y otros específicos para defender servidores.
Como deben convivir con el sistema operativo, son más complicados de instalar y mantener, además del hecho que necesitan personal con conocimiento del producto y el sistema operativo. Una ventaja es la flexibilidad, ya que permiten adaptarse al software y al hardware disponible. Muchas empresas utilizan también este tipo de firewalls. Como ejemplos podemos citar Checkpoint FW1 (el líder desde que apareció en el mercado allá por el año 1994/95, con versiones para Unix y NT). Symantec, dispone de Enterprise Firewall 7.0.
Firewalls personales:
Se trata de una categoría relativamente nueva, que surgió como respuesta a las necesidades de los usuarios de PC para entornos de banda ancha y navegación en Internet. Están diseñados para brindar la máxima seguridad posible, haciendo un balance entre el nivel de protección, facilidad de uso y mantenimiento. La mayoría tienen asistentes de configuración, así como también varias configuraciones predeterminadas que ayudan a mantener un alto nivel de seguridad sin perder funcionalidad. Muchos de ellos poseen servicios de actualización automática y suman capacidades de detección de tráfico malicioso, y algunos incluso permiten bloquear los avisos pop-up tan comunes en muchos sitios de Internet.
Una característica común a todos los productos es la capacidad que tienen de “ir aprendiendo“ las reglas necesarias junto con el usuario, de modo que cuando detectan un tipo de tráfico nuevo “preguntan“ lo que deben hacer. Las opciones siempre son “permitir“ o “prohibir“ un determinado intento de conexión. Esta capacidad es muy importante, porque permite al usuario estar al tanto de todo lo que está ocurriendo en su PC con respecto a la entrada y salida de datos de su equipo.
A pesar de ser muy sencillos de operar, hay muchas consideraciones a tener en cuenta según el escenario donde se utilicen. Quizás el escenario más simple sea el de un usuario con un único PC conectado a Internet, donde el firewall protege ante cualquier intento de conexión proveniente de Internet que no haya sido pedido por el usuario. Pero la situación es más complicada cuando el usuario trabaja en una pequeña red y, además del acceso a Internet, debe conectarse a otros equipos, impresoras, etc. Estos casos exigen un determinado conocimiento de los programas y conexiones, muchas veces mas allá del usuario promedio.
Todavía los productos de firewall personal están más avanzados en plataforma Windows, aunque todas las distribuciones de Linux tienen la posibilidad de utilizar el firewall del sistema operativo, denominado “ipchains“ o “iptables“ dependiendo las versiones.
Estos son algunos de los firewalls personales (comerciales) para plataforma Windows:
Norton Personal Firewall 2002, de Symantec.
Tiny Personal Firewall, de Tiny Software.
McAfee Personal Firewall, de McAfee.
ZoneAlarm Pro, de Zone Labs.
Sygate Personal Firewall Pro, de Sygate Technologies.
Freedom Personal Firewall, de Zero-Knowledge Systems.
Black Ice Defender, de Internet Security Systems.
Firewall para conexión a Internet de Microsoft, nativo del Windows XP.
Conclusiones
Mas allá del modelo utilizado, hay varias consideraciones finales a tener en cuenta para evitar las amenazas de una exposición a Internet permanente.
En primer lugar, es muy importante conectarse siempre a Internet con algún tipo de protección, como la que brindan los antivirus y los firewalls.
Como todo los temas relacionados con la seguridad informática, no hay soluciones definitivas que resuelvan todos los problemas. Es necesario monitorear con frecuencia el comportamiento del sistema y mantenerlo actualizado para no llevarnos sorpresas en el futuro.
Y lo más importante, un firewall por definición nos protege de los accesos no autorizados, ¿pero qué pasa con los accesos autorizados? La mayoría de las violaciones de seguridad modernas tienen que ver con mal uso de accesos autorizados, como los proporcionados por las páginas web, servicios de correo, etc. Por ejemplo: un correo con un virus llega a su destinatario a través del firewall, que tiene una regla que permite pasar los mensajes de correo electrónico...
Mantenerse informado y una actitud proactiva son claves para evitar la falsa sensación de seguridad de la que son víctimas muchos usuarios, al pensar que con un firewall estarán protegidos de todos los males. Recordemos que, como reza el comienzo de este artículo, el firewall es la primera línea de defensa. No debería ser la única.
Damián Ferrer
itsecpro en columnist.com
El peligro del "Spyware"
Dentro de las plagas de Internet, como el correo basura o spam, podemos mencionar otras, como los programas de publicidad no deseada o "adware" y los programas espías o "spyware".
Ambos tienen su origen en los programas de dominio público o "shareware". Con esta modalidad, programadores independientes o empresas comerciales invitan a utilizar sus programas por un período de tiempo o con ciertas limitaciones en las prestaciones, a los efectos que el usuario del programa, en caso de encontrarlo útil, pague por la utilización del mismo.
Con el paso del tiempo, para aumentar u obtener ingresos por sus programas, se introdujeron banners publicitarios, los cuales pueden ser vistos en ventanas "pop-up" o en una barra. Para eliminar este banner sólo se debía abonar el cargo por uso. De esta manera se obtenía otro incentivo para que se registrara su programa, y a su vez un ingreso por las ventas que se produjeran por ese banner.
En general, y dada la gran calidad de muchos programas "shareware", la existencia de un banner publicitario y la utilización de recursos de nuestro PC eran una molestia menor.
Un paso más allá: SPYWARE
El grave problema se presenta al ir ciertas empresas de informática más allá, e introducir en el "adware" programas de monitoreo estadístico de nuestras actividades y enviar esa información, mediante nuestra propia conexión, a ciertos servidores. Así, de pronto, eramos monitoreados, sin nuestro conocimiento, por parte de empresas comerciales.
El argumento primordial por parte de éstas se basa en el hecho que la información recolectada es de carácter estadístico y no confidencial.
Muchas veces, en los EULA (End User License Agreement) [Acuerdo de Uso al Usuario Final] se aclara [a veces vagamente] que la instalación del programa incluye la posibilidad de tomar cierta información en forma estadística y enviarla terceros. Muchos de nosotros no leemos este acuerdo y también muy usualmente está en inglés.
El "spyware" no es reconocido por los programas antivirus, ya que no se reproduce, no infecta archivos, ni causa daños a nivel hardware.
Muchas veces, la librería dinámica encargada de realizar las actividades de "monitoreo estadístico" forma parte integrante del programa y no puede ser eliminada individualmente, sino mediante la desinstalación del programa mismo.
También el "spyware" puede ser introducido mediante rutinas Java o controles ActiveX, al visitar una página de Internet.
Por lo mencionado hasta aquí, el "spyware" sería tremendamente eficaz en el robo de direcciones electrónicas, toda vez que podría acceder a los envíos o recepciones de correo, in situ, lo que dejaría obsoletos los métodos de obtención de direcciones mediante programas de monitoreo que buscan cadenas con el carácter @ en los grupos de noticias públicos o foros de mensajes basados en la Web.
El incentivo económico de crear enormes bases de datos de direcciones electrónicas mediante "spyware" es enorme.
Los "usos" que se les podría dar a los spywares son variados, todos en contra de los intereses y privacidad de los internautas.
Las soluciones
En principio, parecería un problema insoluble saber qué programas son "spyware", dada la a veces multitudinaria cantidad de software que tenemos instalados en nuestros discos rígidos.
Como habitualmente sucede con las plagas de Internet, no existe una solución única y simple para deshacernos de estos programas, pero la combinación de sentido común y herramientas específicas nos podrá ayudar.
El primer paso es evitar la instalación de este tipo de software malicioso. Como se mencionó anteriormente, deberemos leer la EULA o solicitar a alguien que nos ayude en su lectura y entendimiento.
Si tras su lectura nos quedarán dudas, podemos consultar una base de datos de spyware:
http://www.spychecker.com/Este sitio recolecta información sobre spyware (no adware) y podemos consultarlo en línea sin tener que bajar e instalar absolutamente nada. El sitio asegura poseer una base de datos de más de mil programas para consulta. Si desconocemos el nombre exacto, podemos poner las primeras letras del programa y el sitio nos indicará todos los que comiencen con las letras solicitadas.
Además debemos revisar nuestro sistema mediante programas de búsqueda de spyware, siendo uno de los mejores el Ad-Aware, de Lavasoft:
http://www.lavasoft.de/software/adaware/Este programa es gratuito, muy liviano (1.45 Mb) y sus creadores han puesto recientemente a disposición del publico su versión 6.0.
La instalación de un cortafuegos que impida el acceso a Internet de programas no autorizados se hace también primordial para enfrentar esta plaga. Uno de los mejores es ZoneAlarm:
http://www.vsantivirus.com/za.htmEste programa monitoreará los accesos desde y hacia Internet, permitiendo sólo el acceso de aquellos programas que nosotros hayamos autorizado.
Por último, evitar la instalación y ejecución de controles ActiveX y scripts desde sitios en los cuales no se tiene confianza es primordial. Para ello podemos utilizar programas como Proxomitron o Script Defender:
http://www.vsantivirus.com/proxomitron.htmhttp://www.vsantivirus.com/script-defender.htmLos usuarios de Macintosh tienen a su disposición una herramienta específica, llamada MacScan, disponible para versiones Mac OS Classic o Mac OS X:
http://macscan.securemac.com/Como vemos, nuestras preocupaciones en materia de Internet ya no se refieren "sólo" a virus, gusanos, troyanos, spam, vulnerabilidades en programas de uso masivo, etc., sino que, junto a todos ellos, deberemos incluir al "spyware".
Banda ancha: durmiendo con el enemigo
Los riesgos al utilizar esta tecnología sin la debida protección y las prevenciones mínimas al alcance de los usuarios particulares.
Por Damián Ferrer
Desde la introducción de los métodos de conexión a Internet denominados “Banda Ancha”, ha sido posible para muchos usuarios acceder a servicios de Internet de un rendimiento y disponibilidad comparables a los utilizados en empresas de primera línea. Pero detrás de las bondades del sistema hay riesgos que no siempre resultan visibles para los propietarios de estas conexiones, hasta que surgen los problemas.
La atracción principal de la “banda ancha” de permitir conexión a Internet permanente a alta velocidad, es también el principal factor de riesgo para el usuario, dado que su exposición a Internet es total. Continuamente sus equipos son blanco de pruebas y ataques desde Internet, muchas veces sin resultado, otras provocando caídas del sistema o problemas de rendimiento, y las peores tomando el control completo del equipo.
Problemas
Un experimento realizado en el mes de Febrero de 2003 sobre una conexión de banda ancha en la ciudad de Buenos Aires sirve para ilustrar el problema actual.
Se instaló un servidor de mail y veintiocho minutos después de haber estado expuesto a Internet ya estaba recibiendo las primeras exploraciones, cinco minutos mas tarde se registraron intentos específicos sobre vulnerabilidades de servidores de correo y el sistema operativo. La mayor cantidad provenían de EE.UU., Europa, Brasil, Argentina y Canadá.
Muy pocos profesionales de sistemas instalarían algún servidor de Internet sin la protección de algún tipo de firewall, pero no es el caso de las pequeñas empresas y usuarios particulares, donde el problema se vuelve realmente grave, dado que no tienen la estructura ni el personal necesario para hacerlo. La mayoría de las veces, los mismos técnicos que instalan los equipos no toman los recaudos necesarios para asegurarlos, por ignorancia o directamente por negligencia, dado que reciben su retribución por la instalación de los equipos y no por la configuración segura de los mismos, que muchas veces debe pagarse en forma adicional.
Esta falta de infraestructura lleva a los usuarios de banda ancha a convertirse en los blancos favoritos de todo tipo de intrusos, tanto para obtener información privada como para utilizar el ancho de banda de su conexión para lanzar ataques a otras redes, utilizar los recursos del equipo o dificultar el rastreo de sus actividades.
Alternativas
Mucha gente se protege disminuyendo la ventana de exposición al dejar apagadas sus computadoras cuando no están en línea o desconectando el cable de red. Estas medidas colaboran pero no resuelven el problema de base y además no se pueden aplicar en el caso de equipos que deben proporcionar servicios de Internet.
Soluciones
Las soluciones se basan en la utilización de herramientas específicas de protección como antivirus, el cambio de hábitos en la forma en que se configuran y usan los equipos, y en la concienzación de los riesgos que trae aparejada la exposición a Internet.
El tiempo de más que se invierte en planear y ejecutar una configuración segura se paga con creces cuando llega el momento de tener que reinstalar todo porque un virus arruinó el disco rígido o peor aún, envió un mail a toda la lista de distribución con cualquier contenido que encontró en el equipo.
Estas son las recomendaciones mínimas para protegerse:
1. Instalar o exigir la instalación de los componentes mínimos del sistema operativo y las aplicaciones. La mayoría de los sistemas operativos traen de fábrica configuraciones que no son seguras, al incluir de “fábrica” todo lo posible para hacer más atractivo el producto frente a la competencia.
2. Nunca dejar los usuarios y passwords que vienen de fábrica con los programas o equipos. Esto es válido tanto como para las computadoras como para los módems o routers que los conectan con Internet. Cambiarlos inmediatamente. Esta es la primera prueba que realizan muchos intrusos en sus equipos. Ejemplo (en inglés):
http://www.wired.com/news/infostructure/0,1377,57342,00.html3. Usar siempre algún tipo de antivirus y asegurarse de que se actualice periódicamente. La mayoría de las aplicaciones antivirus tienen la opción de actualizarse automáticamente desde Internet, pero recuerde verificar que cuenta siempre con la última actualización.
4. Utilizar firewalls. Desde hace unos años existe una categoría de estos programas que están expresamente diseñados para el uso por parte de usuarios comunes. Para mayores presupuestos o pequeñas redes, lo ideal es un dispositivo de hardware que aisle los equipos internos de los externos conectados a Internet.
5. No conectar los nuevos equipos a Internet hasta que no este asegurada su configuración. Especialmente el antivirus y el firewall personal. Muchas veces sólo se necesitan minutos hasta recibir alguna visita inesperada del otro lado del cable.
6. Instalar en lo posible las últimas actualizaciones o parches del sistema operativo y aplicaciones. Las nuevas versiones de los sistemas operativos ya cuentan con herramientas automáticas para realizar estas tareas.
7. Revisar la configuración del equipo en forma regular. Muchas veces ocurre que al instalar una aplicación se modifican parámetros que afectan la seguridad. El riesgo es aún mayor si se utilizan equipos compartidos con otros miembros de la familia, como por ejemplo los niños, que tienen una tendencia natural a instalar todo tipo de juegos y aplicaciones de dudoso origen.
8. No abrir correo electrónico no solicitado. Los mensajes de correo electrónico son el principal vector de distribución de los virus. Prefiera siempre los contenidos de texto y sospeche de los adjuntos y no utilice la llamada “vista previa”, ya que la misma ejecuta los contenidos aunque no se abra el mensaje.
9. Evitar a toda costa almacenar información sensible en equipos expuestos a Internet. Información sensible es cualquier dato que pueda resultar útil para los intrusos, desde passwords almacenadas en el equipo hasta los hábitos de navegación del usuario.
10. Reparaciones. Tener mucho cuidado al solicitar el servicio técnico de su equipo, especialmente cuando deba llevarlo al servicio. Efectuar copias de sus datos y eliminar cualquier información confidencial. Es muy común que los usuarios pierdan por completo la información de sus discos rígidos al llevar a reparar sus equipos por ignorancia o negligencia por parte del proveedor, pero el riesgo no siempre entendido aquí es la pérdida de confidencialidad. Actualmente se puede duplicar el contenido de los discos rígidos completos en menos de veinte minutos.
11. Desechado. Borrar toda información del disco rígido antes de deshacerse del mismo. Lo mejor es utilizar programas especiales, que sobrescriben varias veces el disco para asegurar que no se pueda recuperar la información. No confiar en el formateo, porque no alcanza para borrar todo rastro de los datos.
12. La seguridad no es automática. Debido a que la seguridad es un proceso continuo, todavía no existe un software que se pueda instalar y solucionar todos los problemas. Hasta que llegue ese momento, la seguridad y privacidad de la información del usuario van a depender de las acciones personales. Entender el problema para poder defenderse.
Desde ya esta lista no está completa, pero sirve como punto de partida para comprender los riesgos más importantes y su prevención. Igualmente, no está de más recordar a uno de los mas viejos y efectivos métodos de defensa disponibles: las copias de seguridad realizadas con regularidad. Tenga siempre al día sus copias de resguardo y así siempre tendrá más posibilidades de poder recuperar sus datos después de cualquier tipo de problema que sufra su equipo o aplicación.
SQL Injection (I)
“Sólo me fío de las estadísticas que he manipulado”
(Winston Churchill)
No es tan difícil manipular las estadísticas; a veces es mucho más fácil de lo que parece. Si una persona tiene dos euros y otra persona no tiene ninguno, la estadística afirmará que tienen un euro cada una. Sin embargo, y a pesar de los extraños resultados que nos pueda aportar la estadística a un problema dado, deberíamos confiar en sus resultados, siempre y cuando estemos seguros de que no han sido manipulados. En el mundo informático sucede exactamente lo mismo: podemos confiar en los resultados proporcionados por un ordenador siempre que sepamos que nadie lo ha manipulado. Pero, ¿cómo saberlo a ciencia cierta?
Podríamos describir un proceso informático como una transformación de datos para obtener información; proporcionamos datos a un ordenador que los transforma y los convierte en información útil. Pero ¿qué ocurre cuando los datos que le proporcionamos a un ordenador son incorrectos o, peor aún, han sido manipulados?
Los ordenadores pueden incorporar sistemas para detectar la manipulación de datos y evitar resultados impredecibles. Implementar estos sistemas puede resultar tedioso, ahora bien, no implementarlos puede resultar peligroso. Y es de esto precisamente de lo que les voy a hablar en esta serie de artículos: la peligrosidad de obviar los datos manipulados.
Aunque se que va a resultar difícil, voy a intentar que sea un articulo al alcance de todo el público. A pesar de que un conocimiento de SQL seria recomendable, si no sabe nada sobre bases de datos no se preocupe: lo importante no es comprender todo el proceso, sino llegar a entender la peligrosidad subyacente a una mala programación. Empecemos pues…
SQL es la abreviatura de “Structured Query Language”, un lenguaje textual que se usa para interactuar con bases de datos. Una sentencia SQL simple puede ser:
SELECT * FROM Alumnos
Si ejecutamos esta sentencia, obtendríamos toda la información de la tabla ALUMNOS. Podríamos ser más específicos y obtener sólo la información de los alumnos con se apelliden Pérez:
SELECT * FROM Alumnos WHERE Apellido = 'Pérez'
Imagínense una pagina en Internet donde podemos obtener información sobre los resultados académicos de los alumnos. La página consta de un formulario donde introducimos el nombre y apellido del alumno y el servidor nos devuelve la información de ese alumno concreto. Supongamos que queremos obtener información sobre el alumno “Juan Pérez”. La sentencia SQL a ejecutar sería:
SELECT * FROM Alumnos WHERE Nombre = 'Juan' AND Apellido = 'Pérez'
Evidentemente, nosotros hemos rellenado el formulario con los datos Juan y Pérez y el servidor ha construido la sentencia SQL y la ha ejecutado, devolviéndonos toda la información sobre el alumno Juan Pérez.
Supongamos que en vez de introducir "Juan" y "Pérez" usamos los valores "Ju'an" (nótese la comilla simple en el nombre) y "Pérez". Entonces, el servidor ejecutaría la sentencia:
SELECT * FROM Alumnos WHERE Nombre = 'Ju'an' AND Apellido = 'Pérez'
Imagino que se habrán dado cuenta de que la sentencia es incorrecta. Si ustedes no lo han percibido, el servidor les advertirá de su error devolviendo un mensaje similar a:
Line 1: Incorrect syntax near 'an'.
Las comillas simples (') se utilizan en las sentencias SQL para separar la información de los comandos. En este caso, la introducción de una comilla simple en uno de los campos ha alterado la sentencia SQL de tal modo que el servidor no la ha podido entender. Si somos un poco avispados, podríamos usar este factor a nuestro favor para obligar al servidor a hacer lo que nosotros queramos.
Un ejemplo un poco mas práctico sería el siguiente. Tenemos un formulario que nos pide que introduzcamos un nombre de usuario y una contraseña. El servidor ejecuta una sentencia SQL para verificar que existe el usuario y que su contraseña es la que hemos introducido. Por ejemplo, la sentencia SQL podría ser:
SELECT * FROM Usuarios WHERE Username = 'usuario' AND Password = 'contraseña'
Utilizando nuestros conocimientos anteriores, podríamos modificar la sentencia para que juegue a nuestro favor. Supongamos que conocemos la existencia de un usuario llamado “admin” y queremos entrar en el sistema usando sus credenciales. Evidentemente, desconocemos su contraseña, pero podría ser subsanable. Vamos a utilizar como contraseña ' OR ''=' (nótense las comillas simples) para modificar la sentencia y convertirla en:
SELECT * FROM Usuarios WHERE Username = 'admin' AND Password = '' OR ''=''
Probablemente la contraseña del usuario no sea nula (''), pero hemos modificado la sentencia para que nos devuelva el usuario gracias a la introducción del parámetro “OR” que compara la expresión '' = ''. Lógicamente '' = '' es verdadero, así que el servidor nos permitirá la entrada.
A pesar de que poder acceder a una página Web sin proveer la contraseña correcta es un error enorme, las posibilidades de inyección de código SQL van mucho más allá. De todas las posibilidades les hablaré en las próximas entregas y también de cómo solucionar estos problemas. De momento, si quieren leer un poco más, les recomiendo un texto que he escrito hace algún tiempo:
Verificando lo que introduce el usuario:
http://www.kamborio.com/?Section=Articles&Mode=select&ID=12Atte.
Ip
Autor
En línea
