cancel
Showing results for 
Search instead for 
Did you mean: 
cancel
Announcements

Community Helping Community

Seguridad inalámbrica en contexto (also available in English)

5107
Views
0
Helpful
0
Comments
Beginner

¿Por qué seguridad?


Todo empezó con una cuenta de correo en el computador de escritorio, y ahora nos cuesta trabajo saber cuántos perfiles digitales tenemos, más la tendencia de prestar poca atención sobre si accedemos a ellos por medio de dominios digitales seguros, todo esto combinado forma un escenario donde las fallas de seguridad pueden realmente perjudicar nuestra identidad digital. Es claro que la comunicación inalámbrica nos ha permitido adoptar la tecnología de una forma diferente, podemos usar herramientas digitales sin estar amarrados a un lugar físico, pero la realidad es que, cuando se usa la tecnología en cualquier parte, también se está expuesto en cualquier parte. La popularidad de la tecnología inalámbrica ha alterado el uso de las herramientas digitales, los dispositivos móviles son increíblemente poderosos y las redes crecen en complejidad para poder ofrecer mejores servicios, todo este poder y complejidad se traducen en mayores dificultades para que el usuario pueda conocer todas las diferentes vulnerabilidades y brechas accesibles de la tecnología.

4-10-13(1).jpg

Como se mencionó previamente, se tiene un escenario complejo; de una parte tenemos un crecimiento exponencial y total éxito de la tecnología inalámbrica más un crecimiento de la exposición de información personal sensible en el mundo digital, sumado a un mayor número de espacios físicos en los que se usa la tecnología lo que al mismo tiempo se traduce en mayor número de contextos sociales y personales involucrados en nuestras transacciones digitales. Por otro lado tenemos a un usuario que sigue en proceso de adaptación a este cambio rápido, lo que probablemente significa que es menos consiente de cómo varios factores se integran para conformar el servicio, así encontramos el primer eslabón débil de la cadena; la falta de conocimiento. Otro factor es la fiera competencia entre actores de la industria; esto ocasiona que trabajen de forma aislada persiguiendo sus propios objetivos, lo que a su vez crea un panorama de seguridad sin cohesión para la industria. Por el contrario las amenazas y las personas malintencionadas se benefician de conocimiento de comunidades colaborativas y abiertas en Internet.

Actuando para mejorar la seguridad  

Desde la perspectiva del usuario, la acción principal es aumentar el conocimiento de la tecnología, por ejemplo; cómo se ajustan las configuraciones de seguridad del dispositivo o a qué información acceden las aplicaciones instaladas en el mismo, también es importante  conocer los riesgos de usar puntos de acceso Wi-Fi no seguros; al final de esta entrada resumo varios de los consejos de seguridad que están en la red y mi recomendación personal.

Los desarrolladores de aplicaciones deben comprometerse de forma más responsable con la seguridad, e informar al usuario sobre los esfuerzos realizados al respecto, especialmente considerando la privacidad de información sensitiva del usuario y su gestión; aspectos como el tiempo de conservación de información del usuario inclusive después de que éste ha desinstalado la aplicación así como los permisos de compartir dicha información personal con terceros deben ser especificados. De los desarrolladores de sistemas operativos se espera no solo que las nuevas liberaciones de SW tengan soluciones a las amenazas, sino también las versiones anteriores deben estar cubiertas, adicionalmente que la frecuencia de  actualizaciones de seguridad sea aumentada.

Otros colaboradores de la industria toman acción; por ejemplo la iniciativa de gobiernos nacionales sobre extender bases de datos de EIR más allá de las fronteras geográficas para desalentar el robo de terminales. También esfuerzos de países, que buscan obligar a gigantes de Internet a  someterse a las políticas internacionales sobre el manejo de información personal del usuario. La academia presenta técnicas innovadores de prueba para identificar fallas de seguridad que incluyen lógica difusa y algoritmos genéticos para simular ambientes cercanos a la realidad, aplicaciones inalámbricas emergentes como NFC y M2M crean grandes interrogantes para la industria que están siendo considerados, soluciones como cifrado de la información durante la transferencia o durante el almacenamiento se han integrado a las arquitecturas y regulaciones, pero el objetivo principal en el que la industria debería trabajar es mejorar la visión que se tiene sobre la seguridad; las amenazas en seguridad no pueden eliminarse sólo pueden gestionarse, y la gestión debe comenzar con un plan para alcanzar resultados claros.

Un marco de referencia para lograr un ecosistema inalámbrico más seguro

Si se considera que las amenazas en seguridad pueden solamente ser gestionadas, entonces, se puede formular un marco de referencia para construir un plan o estrategia que permita gestionar de forma eficiente la seguridad, CITA ha hecho un muy buen esfuerzo formulado este marco de referencia en el cual los elementos son:

  • Consumidores
  • MNO (Operadores de red móvil por sus siglas en inglés)
  • Fabricantes de dispositivos
  • Tiendas de aplicaciones en línea
  • Proveedores de sistemas operativos
  • Fabricantes de chipsets para dispositivos móviles
  • Sistemas de servicios de red
  • Proveedores de SW de soporte
  • Proveedores de VAS (Servicios de valor agregado por sus siglas en inglés)
  • Fabricantes de equipos de telecomunicaciones

Bajo este concepto de la CTIA se proponen cinco conceptos principales, alrededor de los cuales se deben ejecutar las acciones y construir los esfuerzos:

1.       Consumidores: Responsables de proteger sus dispositivos por medio de una configuración eficiente y la instalación de aplicaciones para asegurar sus dispositivos y su información sensible, también deben mantener su software actualizado, finalmente deben estar conscientes de la información que hacen pública y de las aplicaciones que usan en sus dispositivos.

2.       Dispositivos: Comprende todas las herramientas y métodos que la industria y el usuario pueden usar para minimizar los riesgos inherentes, dada la alta complejidad de los dispositivos actuales y la gran cantidad de información y actividades que realizamos con ellos.

3.       Políticas de seguridad basadas en la red: Incluye todas las herramientas que los proveedores de red deben usar a manera de acciones en contra de las fallas de seguridad, por ejemplo Análisis de políticas de encaminamiento del tráfico, SSL VPN suministrada por el operador de red, y herramientas de Gestión de dispositivos móviles (Mobile Device Management) para ambientes BYOD.

4.       Control de autenticación: Cubre los métodos de autenticación del dispositivo con la red y del usuario cuando accede al dispositivo, considerando la tendencia de factores múltiples de autenticación y propuestas biométricas.

5.       La nube, las redes y los servicios: Comprende la red en toda su extensión, sus entidades funcionales y los servicios que cada parte suministra tanto para los usuarios regulares como para los empresariales. También las medidas preventivas y los planes que deben implementarse en caso de escenarios de recuperación de desastres, así como las acciones que garanticen la integridad y privacidad de la información almacenada del usuario.

Mi opinión sobre la seguridad inalámbrica

4-10-13(2).jpg

Imagen cortesía de Paola Buelvas (papolareina@yahoo.es)

Como se mencionó previamente, un marco de referencia es útil solo en la medida en la que se utilice para desarrollar algo alrededor de ese lineamiento, y en la introducción de esta entrada también mencioné que los actores de la industria, trabajan de forma aislada y poco colaborativa, así que estoy de acuerdo con algunas propuestas que presentan un ambiente de inteligencia de fuentes múltiples, para lograr dicho ambiente propongo un Sistema de inteligencia de múltiples fuentes como la herramienta central que permitiría una colaboración de este tipo. De esta forma la industria tendría una herramienta, transnacional, para todos los proveedores, y de múltiples tecnologías, que contendría documentación detallada de amenazas de seguridad, soluciones temporales a problemas, contramedidas y posibles parches y soluciones contra fallas en seguridad conocidas; todo esto aplicando lo mejor de las prácticas en gestión de IT para organizar, producir, controlar y almacenar el flujo de información que surgiría de resolver problemas de ingeniería relacionados con la seguridad en la industria inalámbrica.

Este repositorio de colaboración múltiple de la industria estaría disponible para todos aquellos miembros acreditados de la industria, y/o colaboradores activos de soluciones de seguridad para el ecosistema, ellos alimentarían, mantendrían y actualizarían el contenido de la herramienta. Por medio del uso de los lineamientos estipulados en los cuerpos internacionales de conocimiento para la gestión de IT, sería posible asegurar la privacidad adecuada de cada actor de la industria con respecto a información secreta, al mismo tiempo que se permite el desarrollo de soluciones de amenazas conocidas así como de aquellas proyectadas por la academia. Los objetivos principales de un proyecto de este tipo serían:

  • Suministrar un andamiaje para la industria a partir del cual los actores de la industria producirían esfuerzos colaborativos para producir mejores medidas en contra de las amenazas en seguridad.
  • Acelerar el proceso de producción y divulgación de medidas de protección efectivas para el usuario y la industria, aprovechando conocimiento documentado previamente que evitaría doble trabajo y desinformación.

Por último, pienso que tecnologías emergentes como las Redes de contexto consiente pueden ayudar a conseguir un ambiente más seguro para el usuario ya que permitirán ejecutar una acción en contra de una amenaza dada, en el momento exacto en el que sea evidente y justo cuando se usa la tecnología además sin la necesidad de que el usuario esté preparado o tenga conocimiento previo de todos los riesgos existentes para su transacción en curso; al mismo tiempo se optimizan los recursos de la red dedicados a seguridad; por ejemplo, si la red detecta que un usuario se conecta usando su propio cliente de VPN podría reasignar los recursos redundantes a otro cliente.

Una mirada al futuro de la seguridad inalámbrica


Campos que requieren estudio: Las redes BSN y BAN le dan a la seguridad un significado totalmente nuevo, ya que esta tecnología pone información de su propio cuerpo en redes que hoy no pueden considerarse como seguras, de forma que si este campo de la industria está destinado a algún tipo de éxito, varios aspectos de seguridad deben ser desarrollados y reforzados. Por otro lado MTC (Comunicaciones entre máquinas por sus siglas en inglés) que no requieren intervención humana, necesitan de la misma forma un sistema inteligente autónomo que pueda asegurar los aspectos básicos de seguridad de una red: Confidencialidad, integridad, autenticación, no repudiación, control de acceso, disponibilidad y privacidad.

Conceptos futuros de seguridad: como los virus benévolos, software que en la misma línea de los DRM permanece inactiva pero en caso de “encontrarse” en un ambiente digital no autorizado entonces procede a borrarse junto con la información asociada. Otro concepto es un software centinela activo, que a diferencia de un antivirus, se adapta hasta cierto punto para identificar la amenaza aún si no existe una entrada similar en su base de datos,  usando la identificación de patrones sospechosos predefinidos. Métodos de autenticación biométrica novedosos como ondas cerebrales que proporcionan diferenciación y rapidez.

Lista de consejos de seguridad para el usuario móvil

Cumpliendo lo prometido, aquí está la lista de “Tareas” y “Pecados” para el usuario de la tecnología inalámbrica.

Tareas:

  1. Permanezca informado y sea precavido cuando descarga aplicaciones, sigue URL, provee información a sitios en línea, configura contraseñas y cuando enlaza cuentas digitales y perfiles en línea. Siempre considere en instalar software de seguridad en sus dispositivos inalámbricos.
  2. Revise los permisos de cada aplicación instalada y lea detenidamente los permisos que concede a las aplicaciones que instala.
  3. Sea precavido cuando usa puntos de acceso de Wi-Fi, revise el tipo de seguridad usada, si no existe o es menor a WPA2, evite ingresar a cuentas sensibles y absténgase de realizar transacciones bancarias sin una solución de VPN, si no la tiene, restringa su sesión a navegación simple si obligatoriamente debe acceder a la red.
  4. Sea proactivo y organizado con sus contraseñas: ponga en marcha una estrategia para generarlas, cambiarlas y almacenarlas, existen varias aplicaciones para este tema.
  5. Revise los detalles de su cuenta de servicio inalámbrico para identificar uso no autorizado o patrones sospechosos de uso en sus dispositivos.
  6. Actualice sus aplicaciones de confianza y su sistema operativo para todos aquellos dispositivos que usa frecuentemente.
  7. Reporte dispositivos perdidos o robados.
  8. Use una solución de VPN para Wi-Fi no seguro.
  9. Use contraseñas complejas para cuentas digitales importantes.
  10. Configure preguntas de seguridad que realmente lo protejan.
  11. Use cifrado digital para su información sensible mientras está almacenada en dispositivos móviles, se pueden encontrar aplicaciones en las tiendas de aplicaciones de su preferencia.

Pecados:

  1. Publicar información personal o información específica sobre sus dispositivos móviles (número telefónico, IME, dirección MAC, etc.)
  2. Modificar la configuración de fábrica de su dispositivo con el objetivo de personalizarlo.
  3. Comprar un teléfono robado o de un proveedor sospechoso.
  4. Descargar aplicaciones de tiendas no autorizadas o diferentes a las del fabricante de su sistema operativo.
  5. Ser perezoso al configurar contraseñas, ingresar a cuentas sensibles, al intercambiar información bancaria y en general con temas de seguridad, siempre use lo que considere más seguro aún si le toma más tiempo.
  6. Tener solo un factor de autenticación para cuentas sensibles o perfiles en línea.
  7. Tener la misma contraseña para varias cuentas digitales.
  8. Confiar ciegamente en terceros la seguridad de su información, tome sus propias medidas, como por ejemplo, respaldar su información y no usar puntos de acceso inseguros.
  9. Enlazar varias cuentas digitales sin ser necesario, ya que puede estar suministrando grandes cantidades de información sin saberlo.

Para más, sígame, @jomaguo

Read this blog post in English.

CreatePlease to create content
Content for Community-Ad
FusionCharts will render here