Sobre la NSA ya se ha hablado por aquí. Es una de las organizaciones de inteligencia más obscuras del mundo, y una de las principales en los Estados Unidos. Responsable de la red de vigilancia y espionaje Echelon, es una de las agencias que más se implica en la defensa del frente cibernético. Mejor dicho, […]
Sobre la NSA ya se ha hablado por aquí. Es una de las organizaciones de inteligencia más obscuras del mundo, y una de las principales en los Estados Unidos. Responsable de la red de vigilancia y espionaje Echelon, es una de las agencias que más se implica en la defensa del frente cibernético. Mejor dicho, se apuntó al carro del frente cibernético que se inventó uno de sus ex-directores, el auto-designado zar de la ciber-seguridad Mike McConnell.
A la Agencia de Seguridad Nacional y a McConnell también se les conoce por instalar sistemas de control en los sistemas operativos de Micro Soft, tanto a finales de los 90 como también hace un par de años, o solicitar poder espiar cada uno de los bits que viajan por la red. Todo lo que ocurra en el mundo de la ‘ciber-guerra’ es de su incumbencia.
Quizá por eso, el mes pasado publicó un panfleto de 8 páginas destinadas a usuarios ‘caseros’ con unas recomendaciones para ‘asegurar’ sus ordenadores y conexiones. En primer lugar, les aplica una pequeña inyección de temor, informándoles que «el enemigo sabe» que los objetivos son más débiles cuando se conectan desde casa, por lo que emplaza a los usuarios a mantener un cierto nivel de defensa e higiene para ellos y sus familias en lo que a Internet se refiere.
Recomendaciones para ordenadores y terminales
Empezando por aquellas máquinas que usen sistemas de MicroSoft, recomienda a sus usuarios que actualicen, tanto a la última versión del sistema operativo como a nuevos ordenadores con hardware más moderno. Otro de los consejos es que limiten el uso de la cuenta de Administrador para instalar, actualizar o quitar software, creando otra cuenta a parte para el uso diario.
La NSA también recomienda el uso de navegadores de Internet y programas de lectura de documentos PDF con capacidad para ejecutar aplicaciones no seguras de forma que no afecten al sistema entero, evitando así la proliferación de malware y demás software fraudulento. Para los usuarios de la suite ofimática de MS, la recomendación de la agencia secreta es que actualicen a la versión 2007 «o posterior», para ‘aprovechar‘ mejor su capacidad de guardar datos en XML, un formato que no ejecuta código malicioso.
Otra de las recomendaciones es que se actualicen periódicamente los parches de seguridad de las diferentes aplicaciones, ya que según la NSA, una de las fuentes de ataque son aplicaciones a las que se les descubrieron vulnerabilidades, pero que siguen sin parchearse. Finalmente, la recomendación estrella: que los usuarios cifren el disco entero mediante la aplicación nativa de MS, cosa que «ayudaría en caso que el ordenador se perdiera o fuera robado».
Teniendo en cuenta el historial de la agencia, y de las multiples solicitudes para acceder a datos personales y que cualquier agente de aduanas de cualquier país firmante del ACTA puede requisarte el portátil, para ver si en el disco duro tienes algún par de ficheros de música de contrabando, resulta más que jocoso e hilarante.
Siguiendo con sistemas operativos, para los usuarios del SO de Apple la primera recomendación es: actualizad vuestro sistema operativo y configuradlo de forma que busque el solito las novedades. Y al igual que la primera, el resto son idénticas a las de los usuarios de Micro Soft: actualizar sistema, actualizar aplicaciones y limitar el uso de la cuenta de Administrador con tal de dificultar el posible acceso de un «adversario» a vuestra máquina.
Para usuarios de un iPad, porque la NSA piensa en todo, también les aconseja que activen la opción de protección de datos, opción que al parecer cifra las claves de cifrado con una contraseña. Obviamente, la NSA olvida comentar que, en el hipotético control que comentábamos antes, el agente de aduanas podrá preguntarte esa contraseña, y se la deberás facilitar si no quieres quedarte sin tu ordenador, iPad, iPhone…
Finalmente, la última recomendación para ‘maqueros’ es que activen FileVault, un sistema de ficheros cifrado que permite que los datos se encripten y desencripten ‘al momento’. En caso de robo, FileVault haría que nuestros datos quedaran ‘seguros’.
Redes
Vistos dos de los sistemas operativos propietarios, la NSA pasa directamente a las recomendaciones de seguridad para proteger las redes y conexiones a Internet. Primer punto, para aumentar el control del usuario en tanto a la red de conexión, habría que comprar un router adicional, conectarlo al que nos proporciona el ISP y usarlo para conectar los diferentes dispositivos, quedando el router de la operadora como único enlace con la red ‘exterior’.
Obviamente, en nuestro dispositivo de acceso sin cables habría que activar la seguridad WPA2 y no el nivel WEP, ya que
un atacante podría ‘romper‘ ésta tecnología WEP en segundos, permitiéndole visualizar todo el tráfico de la red.
También sería necesario desactivar las herramientas de administración remota y realizar dichas tareas desde el ‘interior de la red’. Es decir, niños, cuando esteis en el parque con el portátil, no empeceis a toquetear el router de casa. Para terminar, se recomienda cambiar las direcciones DNS que vienen por defecto por otras y, otra vez, aplicar contraseñas potentes y complicadas, usando letras, números y signos de puntuación.
OPSEC o Seguridad de Operaciones
Aquí es cuando empezamos a ver jerga aún más militarizada y la NSA nos invita a entrar en una peli de espías. Las recomendaciones de Seguridad de Operaciones/Comportamiento en Internet nos dicen que hay que vigilar cuando entremos en los diferentes servicios de redes sociales desde lugares como cafeterías, hoteles o aeropuertos, ya que los accesos Wi-Fi que usan podrían ser no seguros y, por tanto, susceptibles de ‘actividad del adversario‘. Para evitar al enemigo, mejor usar la conexión de datos en teléfonos y tabletas, o un servicio de Red Privada Virtual (VPN).
También nos dice que hay que vigilar nuestros dispositivos y tenerlos controlados en todo momento. En caso que, por causa de fuerza mayor, debiéramos dejar nuestro ordenador en una habitación de hotel, éste debería quedar apagado y con el disco duro cifrado. En caso de almacenamiento de datos, nos advierte sobre la tendencia de guardar nuestra información en servicios de clouding, con los peligros de robo que comporta.
Controlar bien nuestras interacciones con otras personas en los sitios web y software de redes sociales, activar siempre la encriptación SSL al navegar y mantener cuentas de correo separadas para trabajo y asuntos personales, así como tener cuidado con el GPS a la hora de hacer fotos con el teléfono o publicar que nos vamos de vacaciones, sin caer en la cuenta que nuestro perfil incluye la dirección completa de casa.
Finalmente, nos recomienda algunas medidas extra, como reducir el número de IP disponibles en nuestro router casero o habilitar el filtrado de direcciones físicas MAC para evitar conexiones indeseadas.
¿Y el resto?
Como puede verse, la NSA es una agencia que se preocupa por nuestra seguridad. Aún así, parece que o bien no tiene ninguna consideración con los usuarios de GNU/Linux, o bien el sistema es lo suficientemente robusto para que no necesite recomendaciones.
Por otra parte, está bien que se comenten este tipo de cosas, como llevan haciendo ya hace años entidades como la EFF o la Asociación de Internautas, de lo que podría desprenderse que en la NSA leen fuentes confiables.
Bromas a parte, al menos la guía de la NSA, a diferencia de la que publicó Promusicae, dice algunas cosas sensatas y de sentido común. Es imprescindible tender puentes para cerrar la brecha digital y que los nuevos usuarios sepan protejerse de los atacantes… teniendo muy presente que los mayores peligros van a venir de los mismos agentes que publican las recomendaciones que comentamos.
La guía podría haber incluido referencias a software libre y de código abierto y demás herramientas de cifrado, como pueden ser GnuPG para comunicaciones y/o ficheros, o Truecrypt en caso de cifrado de discos duros. Tampoco se comentan soluciones ofimáticas libres, tanto conceptualmente como libres de software malicioso per se… Aunque no existe ningún sistema 100% seguro, si que son mucho más confiables.
Publicar una pequeña guía para parecer «buenos chicos» no quita que luego puedan robarte impunemente tus ordenadores en cualquier parte del mundo, bajo la excusa de la protección de la seguridad, la lucha contra el terrorismo o cualquier otro delirio.
Hace falta protegerse de quien está empeñado en salvarnos de nosotros mismos.