Al Robot: Vulnerabilidades

Por: Edgar Tercero

Vulnerabilidades

Como he venido platicando en artículos anteriores, entramos en una era digital que nos llena de información, que en ocasiones no resulta valiosa, pero en otras solo es una pantalla de lo que es la realidad. Vivimos rodeados de datos, pero encontrar los que resultan útiles en nuestras vidas requiere de mayor exploración.

Así es como vimos que existen las noticias falsas (fake news) que se transmiten a una gran velocidad, tomando a mucha gente desprevenida dándolas como verdaderas al no entrar a analizar más. Eso nos deja vulnerables a los ataques, al desconocimiento y que otros tomen decisiones sobre lo que nos gusta, en muchas ocasiones un algoritmo que no sabe cómo diferenciar lo que preferimos de lo que seleccionamos.

Pero existen unos seres humanos que les encanta explorar, ir a los datos que agregan valor, únicamente para explotar alguna puerta abierta que dejamos para que puedan entrar. Existen una gran cantidad de vulnerabilidades en los sistemas, durante el año se encuentran nuevas cada día, resultado mismo de una programación diferente, otras tantas atribuibles a los usuarios finales, es complicado hacer un programa perfecto, a veces por las prisas de sacar un nuevo producto no se tienen las precauciones de entregar algo que sea invulnerable, por eso como usuarios debemos actualizar los sistemas cada vez que se descubra una vulnerabilidad.

Sin embargo, a veces tardan semanas o meses en encontrar los huecos o que el sistema ha sido afectado, lo que provoca que el virus se esparza provocando un mayor daño, por eso es importante contar con un equipo encargado de la seguridad informática dentro de las empresas, y nosotros como usuarios finales atentos a que instalamos, cuando lo instalamos, así como saber cuándo exista alguna vulnerabilidad descubierta para proteger nuestros sistemas (computadoras, celulares, tablets, etc.).

Recientemente salieron las nuevas consolas de videojuegos, no llevan ni un mes y ya presentaron los primeros errores con discos externos, ya se tuvo que crear el primer parche para solucionar este problema, que podría convertirse en una vulnerabilidad.

¿Y qué tiene de malo una vulnerabilidad?

Podemos hablar de que los agentes externos, los criminales cibernéticos, dentro de sus actividades para poder tomar información de los usuarios o empresas aparte de hacer un escaneo de la red, buscan los diferentes tipos de vulnerabilidades que pueden llegar a tener los correos, los servidores, la red, los dispositivos de tal forma que al encontrar alguna abren el canal para poder explotarla y así sacar provecho logrando su objetivo principal.

Encontrando una vulnerabilidad, se puede aprovechar para tomar control de los dispositivos, abrir cámaras, bajar archivos de la computadora, crear archivos, se puede utilizar dicho dispositivo como si el usuario estuviera interactuando con su sistema. En ocasiones basta con encontrar una vulnerabilidad para iniciar con el ataque, e ir escalando a otros dispositivos, inclusive llegar a realizar un daño mayor e irreversible. Buscar el eslabón más débil y de allí tomar control de los demás.

¿Qué tanto tiempo dejas tu computadora encendida sin utilizarla?

He escuchado a muchas personas que no apagan sus computadoras cuando se van a dormir. ¿No tiene nada de malo cierto? Al final para eso son las laptops para estar encendidas todo el tiempo, por eso muchos trabajadores las dejan encendidas durante días, sobre todo ahora con el homeoffice, de tal forma que al levantarse cada mañana no tengan que hacer el encendido pueden iniciar sesión para trabajar en su día a día. Suena bien, ahorra uno tiempo, sin embargo, esas horas que se deja encendida la computadora sin importar que se haya suspendido, es un tiempo en la que no estamos interactuando con el dispositivo, no sabemos ni siquiera si algo está sucediendo dentro de la computadora o que procesos se están ejecutando.

Inclusive esas computadoras se encuentran conectadas a internet, he visto a los famosos youtubers, influencers que en ocasiones no cierran micrófonos o cámaras al terminar su transmisión, lo que los deja más expuestos a un ataque. Porque es importante conocer esto, porque una de las prácticas comunes tanto de hackers como cibercriminales es explorar que dispositivo ha dejado de tener actividad, el tiempo que lleva así, para aprovecharlo e iniciar el control del dispositivo sin ser detectado, lo que permite trabajar libremente. Claro que para llegar a ello se tuvo que aprovechar alguna vulnerabilidad que tiene el sistema.

Los ataques van evolucionando conforme se encuentran nuevas vulnerabilidades, si bien no podremos actualizar siempre a tiempo, podemos prevenir manteniendo los sistemas actualizados y apagarlos cuando no los utilicemos.

¿Cuáles son los datos más buscados?

Personales: nombre, apellido, ocupación, dirección, profesión entre otras.
Pagos: tarjetas de débito, crédito, transferencias, datos bancarios.
Médicos: expedientes clínicos, reportes, condición, gastos médicos

Estos son solo algunos ejemplos de los datos comúnmente buscados, pero por sí solos no dicen nada, pero aquí entra otra parte muy importante, el poder relacionarlos entre sí, sacar estadísticos, hacer deducciones que permitirán entablar una comunicación con el usuario final logrando así su objetivo principal, que puede ser económico, político, social.

Hemos revisado en este artículo que el usuario está involucrado la mayor parte del tiempo, sin embargo, los programadores también tienen su parte en todo esto, dado que de ellos depende que se deje algún hueco abierto en el código, o simplemente no tomaron en cuenta alguna vulnerabilidad conocida en el sistema, por los tiempos de entrega, por querer sacar una versión poco estable e irla perfeccionando en el camino. Inclusive en ocasiones no se llega a hacer una conexión completa con el hardware, y se deben sacar parches al poco tiempo de salida comercial de los dispositivos.

En otras ocasiones se dejan abiertos varios canales con el propósito de obtener datos para diferentes empresas, comprometiendo así la seguridad de los usuarios, la seguridad sobre sus datos. Por eso es tan importante la ética en las empresas, así como leyes que ayuden a regular el uso de la información. Aunque para ello se ve un largo camino, nuevamente la responsabilidad es compartida con los usuarios finales, quienes deben aprender a identificar que aplicación o software están utilizando, que tan dispuestos están a regalar su información con tal de obtener algo gratis.

Es nuestra responsabilidad mantener actualizados los dispositivos, tener un antivirus que sea reconocido, seguir las indicaciones de las empresas para las que trabajamos, utilizar dichas herramientas para el trabajo y no temas personales.

Sobre todo, ahora que vivimos con dispositivos que nunca apagamos, lejos de eso que se encuentran conectados todo el tiempo a internet, que tan seguros estamos que el hardware y software que tenemos en nuestras manos es protegido por las compañías que nos los venden. Hay aplicaciones útiles sí, pero hay varias que no sirven de mucho, son divertidas pero la gran mayoría están llenas de huecos o simplemente existen para tomar datos de las personas, que se utilizan para vendernos algo más.

Una de las formas tradicionales para atacar vulnerabilidades incluye al menos los siguientes 5 pasos:

1. Obtener información: mediante la ingeniería social, se empieza a conocer al objetivo al que se desea atacar, conocer al adversario, descubrir sus intereses, comportamiento general, lo mismo aplica para personas como empresas. A qué se dedica, si navega en internet, si se conecta en diferentes lugares, si tiene accesos externos entre otras cosas.

2. Escaneo: se analiza la red, los dispositivos conectados, cuantos dispositivos existen conectados a la misma red, de que tipo, cual es el sistema operativo, direcciones, los puertos que se encuentran abiertos y cerrados.

3. Evaluación de las vulnerabilidades: una vez que se sabe que dispositivos están dentro de una misma red se procede a revisar cual de todos los dispositivos es el más vulnerable, qué tipo de vulnerabilidades tiene, como atacar dicha vulnerabilidad.

4. Explotación: se experimenta con una serie de vulnerabilidades, para generar accesos, encontrar fallos y poder realizar un ataque, en caso de no ser exitoso se regresa al paso 1 para reevaluar la situación y así poder explotar mejor las vulnerabilidades.

5. Explotación posterior: en caso de que se haya tenido éxito explotando las vulnerabilidades en el paso anterior, se extiende el ataque hacia otros dispositivos o se incrementa el nivel de control sobre este dispositivo para profundizar en el daño.

Si nos ponemos analizar lo anterior y observamos nuestro alrededor observamos que contamos con varios dispositivos en el hogar, conectados a redes caseras, basta con que un dispositivo tenga una vulnerabilidad que se pueda explotar para que la información de nuestra familia quede expuesta a un ataque.

Hoy en día se tienen varios dispositivos dentro de los hogares como son:

Teléfonos celulares: papas e hijos
Tabletas electrónicas: tablets, ipads, Kindle entre otras
Televisores: las Smart TV se conectan a internet, se les instala aplicaciones, o inclusive hay quien compra aparatos para conectar sus televisores LCD a la internet.
Asistentes: Alexa, Google assistant, siri, cortana dentro de los más conocidos.
Computadoras
Impresoras
Consolas de videojuegos
Módems

Y estos son algunos de los dispositivos que se encuentran conectados a internet dentro de la misma red en un hogar, podríamos agregar a la lista juguetes, refrigeradores, cafeteras, aumentando la lista indefinidamente.

Ya no se trata únicamente de un tema de computadoras, cada vez nos encontramos más conectados a una red que ha demostrado ser increíblemente beneficiosa pero que aún cuenta con sus vulnerabilidades, por esta razón es tomar cartas en el asunto como usuarios finales para saber en qué nos estamos metiendo, conocer que dispositivos conectamos, así como estar conscientes de lo que implica tenerlos encendidos y conectados todo el tiempo.

No podemos mantenernos ignorantes y dejar que alguien más tome el control de ello, compramos seguros para sentirnos protegidos transmitiéndole la responsabilidad a alguien más, pero debemos hacer consciencia que todo empieza por nosotros. ¿Qué tan necesario es instalar comandos de voz en nuestra tele si no contamos con otros dispositivos que se puedan controlar por voz? ¿Están seguros esos datos que se transmiten? ¿Es necesario dejarlos encendidos todo el tiempo? ¿Puedo desconectarlos de la red por unas horas? ¿Me puedo desconectar yo por unas horas?

Ahora si se vuelve interesante el tema de seguridad en el hogar, así como aprender a utilizar cada dispositivo para su propósito, o el propósito por el que los compramos. Es cierto que facilitan nuestra vida, nos divierten, pero no debemos ser irresponsables con mantenerlos para su propósito, así como mantener nuestra privacidad intacta.

Ahora entiendo porque algunos profesionales recomiendan aprender lo básico en programación, puesto que eso hacemos exactamente con todos los dispositivos que tenemos en el hogar, los programamos para llevar a cabo sus funciones de acuerdo con nuestras necesidades, así que no podemos ignorar que aprender como conectarnos con las máquinas resulta algo imprescindible en la era digital.