Next: Bibliografía
Up: Apéndices Previous: Glosario de términos anglosajones
Índice General
Si después de aproximadamente 350 hojas de trabajo, con más de 230
referencias bibliográficas citadas, aún hay alguien que considere
a Unix un sistema inseguro existen dos opciones: o se equivoca él o me
equivoco yo. Seguramente que me equivoque yo no sería difícil; lo
realmente extraño es que se hayan equivocado todos los expertos que durante
años - algunos desde antes de que muchos de nosotros hubiéramos
nacido - han venido aportando su tiempo, su talento y sus conocimientos al mundo
de la seguridad informática (por supuesto, hablo de expertos de verdad,
no de hackers, crackers, o como ahora se quiera llamar a los piratas),
una materia que día a día va demostrando su importancia en todo
tipo de organizaciones. Como es bastante difícil que toda esta gente se
haya equivocado, sería conveniente que el que aún a estas alturas
dude de las posibilidades de Unix (en cuanto a seguridad se refiere, aunque podríamos
hablar de posibilidades en general) con respecto a otros sistemas se replantee
sus ideas.
En este proyecto se han revisado las bases más importantes de la seguridad
en Unix y redes; evidentemente, muchas cosas se han quedado en el tintero, y otras
muchas no han sido comentadas con la profundidad que sin duda merecen. Se han
intentado ofrecer ejemplos aplicados a entornos que no precisan de una alta seguridad,
pero sí de una seguridad mínima, como es el caso de las redes de
I+D, las de medianas empresas, y las de ISPs. El trabajo se ha dividido en cinco
grandes partes; en la primera (seguridad del entorno de operaciones) se habla
de las implicaciones de seguridad (e inseguridad) relacionadas con la simple existencia
de un sistema, Unix o no, en un entorno de trabajo: su ubicación física,
las personas que le rodean...Una segunda parte es la relacionada con la seguridad
de la máquina en sí, sin conexión a red, y todos los problemas
que nos podemos encontrar en esta situación; como los sistemas aislados
son cada día más extraños, la tercera parte (seguridad de
la subred) introduce algunos de los peligros (y sus soluciones) que no existían
en máquinas sin conectar a una red. A continuación, una cuarta parte
habla de otros aspectos relacionados con la seguridad de un equipo, algunos de
los cuales son las bases para comprender muchas de las cosas que se explican en
el trabajo (por ejemplo, la criptología). Para terminar, en la quinta parte
del proyecto, ya como apéndices, se presenta un escueto resumen de normas
de seguridad a modo de `receta de cocina' para administradores, algunas normativas
vigentes en España relacionadas con los sistemas informáticos y
su (in)seguridad, una referencia de recursos relacionados con esta materia en
Internet, y finalmente un pequeño glosario de términos anglosajones
utilizados con frecuencia en el mundo de la seguridad en Unix.
A pesar del elevado nivel de seguridad que Unix puede ofrecer (al menos espero
que haya quedado patente que Unix es el sistema operativo de propósito
general más seguro hoy en día) cualquiera que se diera una vuelta,
física o virtual, por la mayoría de entornos `normales' en España
podría comprobar que su seguridad es en la mayor parte de los casos pobre,
cuando no inexistente. Si Unix es teóricamente tan seguro, >por qué
en la práctica cualquier aprendiz de pirata es capaz de `colarse' en servidores
de todo tipo?, >dónde está el problema? El problema no radica
en Unix: radica en las personas que están detrás del sistema operativo,
generalmente administradores y usuarios de cualquier categoría. Unix ofrece
los mecanismos suficientes como para conseguir un nivel de seguridad más
que aceptable, pero somos nosotros los que en muchos casos no sabemos aprovecharlos.
Para solucionar el problema, como ya hemos comentado a lo largo del proyecto,
existen dos soluciones que todos deberíamos intentar aplicar: en primer
lugar la concienciación de los problemas que nos pueden acarrear
los fallos de seguridad (a muchos aún les parece que el tema no va con
ellos, que los piratas informáticos sólo existen en el cine, y que
en su máquina nada malo puede ocurrir). Tras la concienciación,
es necesaria una formación adecuada a cada tipo de persona (evidentemente
no podemos exigir los mismos conocimientos a un administrador responsable de varias
máquinas que a un usuario que sólo conecta al sistema para lanzar
simulaciones); no es necesario convertirse en un experto, simplemente hay que
leer un poco y conocer unas normas básicas (por ejemplo, las presentadas
en el apéndice A...si alguien argumenta que no tiene tiempo para leer quince
hojas, seguramente está mintiendo). Con estos dos pasos seguramente no
pararemos a todos los piratas que nos intenten atacar, pero sí a la gran
mayoría de ellos, que es lo que realmente interesa en el mundo de la seguridad.
Aparte del lógico incremento en el nivel de seguridad que se conseguiría
mediante una mínima concienciación y formación de los usuarios
de Unix, existe un escollo que estas dos medidas difícilmente nos van a
permitir superar: la simpatía que socialmente despiertan muchos piratas
informáticos; por desgracia, mucha gente aún considera a estos personajes
una especie de héroes. Si nadie aplaude al que roba un bolso en la calle,
>por qué aún existen defensores de los que roban contraseñas
de un sistema? Mientras sigamos sin darnos cuenta de lo que realmente son los
piratas (simplemente delincuentes) será difícil que la seguridad
informática sea tomada en serio.
No me gustaría acabar este trabajo sin una pequeña reflexión
sobre el panorama de la seguridad en Unix y redes que existe actualmente en España;
sólo cabe una definición: lamentable. Lo único que
por suerte se toma en serio es la criptografía, que cuenta con grupos de
estudio y docencia en algunas universidades del país. Del resto, casi es
mejor no hablar: no existe ningún grupo importante de investigación
en ninguna universidad española, el número de artículos publicados
en revistas serias se reduce a cero, y la docencia universitaria a unas pocas
asignaturas genéricas - y que ni siquiera son obligatorias -; por supuesto,
no existe ningún programa de doctorado relacionado con la materia (excepto,
una vez más, y afortunadamente, con la criptografía). De esta forma,
si la mayor parte de los informáticos salen de las facultades sin conocer
conceptos tan básicos como sniffer o caballo de Troya (ya no hablamos
de cosas como esteganografía o seguridad multinivel), no es de extrañar
que la seguridad se encuentre actualmente (en la mayor parte de los casos) en
manos de aficionados a la informática con ciertos conocimientos prácticos
pero con una importante falta de bases teóricas sobre la materia. Si lo
que queremos son sistemas inseguros y reportajes sensacionalistas sobre quinceañeros
que violan la seguridad de La Moncloa, lo estamos consiguiendo...pero quizás
deberíamos plantearnos qué ha de pasar para que esto cambie.
Next: Bibliografía
Up: Apéndices Previous: Glosario de términos anglosajones
Índice General