Hace unos meses, me pidieron un artículo para la revista número 16 de
CXO Comunity, un magazine que es leído por profesionales de la seguridad, y especialmente
CTO y
CSO. Aprovechando que en toda
Latino-América el término hacker está mucho más denostado que en
España, decidí escribir un artículo para ver si conseguía hacerles ver positivo tener hackers en las empresas, que tras el
debate en la Ekoparty de Hackers vs CSO, creo que necesitamos ese entendimiento. Espero que os guste.
Los Hackers son malos... o todo lo contrario
Se ha instaurado una sensación de que un hacker es alguien malo de quién
hay que protegerse en las empresas, cuando lo que tienes que hacer es
tener hackers en tu empresa para ayudarte. Un hacker no tiene porque ser
malo para tu compañía.
No es que quiera entrar en el eterno debate del término hacker, que ha
llevado a acaloradas discusiones y diatribas en torno a las
connotaciones positivas o negativas que se ha ido asociando a él. No voy
a entrar en usar alguna de las míticas y coloridas definiciones del
término, que cual pintura modernista admite todas las variaciones de la
refracción de la luz, o de las definiciones anglosajonas usando crack,
crash o hack como raíz de la palabra. En este entorno quiero utilizar el
adjetivo calificativo como una categoría profesional.
De profesión: Hacker.
Asumamos que un hacker es alguien capaz de llegar más allá de lo que
dicen las especificaciones, consiguiendo hacer cosas que van desde lo
curioso a lo maravilloso pasando por lo menos esperado. Así, un hacker
puede
montar una computadora en un drone para robar los datos de los usuarios de redes WiFi a 100 metros de altura, o modificar el tan nombrado
asistente
personal Siri que viene en los iPhone 4S de la compañía de la manzana
del pecado para que pueda ser controlado por la mente, como hace el proyecto
Black Mirror,
o encontrar un fallo en el sistema criptográfico de un algoritmo para
poder descifrar la información oculta en cuestión de unos minutos.
Todos ellos son hackers. Son gente con capacidades especiales,
adquiridas en base a mil horas dedicadas por culpa de una pasión
infinita, o por un ansia enfermizo que les impide dormir sin responder a
la preguntas que le atormentan:
¿Por qué? ¿Cómo? ¿Y si...?
A lo largo de mi vida profesional, he tenido la suerte de viajar por
muchos rincones del mundo, y conocer a hackers increíbles, de ver
conferencias únicas y demostraciones técnicas que te roban el aliento
así como de compartir una cerveza con muchos de ellos.
César
Cerrado, Hernán Ochoa, Charlie Miller, Moxie Marlinspike, Dan Kaminsky,
Rubén Santarmarta, Bernardo Quintero, Mikel Gastesi, David Litchfield,
Alex Sotirov, los míticos Sexy Pandas o los Int3Pids son algunos
ejemplos de diferentes tipos de hackers, focalizados en distintas
disciplinas. Hackers, que trabajan en empresas haciendo labores
profesionales en el mundo de la seguridad.
Algunos son lo que, de broma, con sorna, y un poco de mala leche, se llaman
“Security Pr0n Stars” o starletes del escenario y la
CON, pero no todos son así. Muchos realizan una labor más encubierta, o menos extrovertida, pero aún así tienen lo que el gran
Jhonny Long denominaba
“La mirada hacker”. Algo que los hace distintos a los demás. Ni mejores, ni peores. Simplemente distintos.
A veces, se habla de los hackers como si fueran delincuentes o como si
fueran el auténtico enemigo de las organizaciones. Se venden soluciones
de protección contra hackers, se hacen planes de defensa contra hackers,
se instalan sistemas de intrusión contra hackers... Y es que un hacker
podría tener tal vez la capacidad de hacer todo eso que te preocupa. Ya
he dicho que son diferentes.
Tal vez un hacker no entienda cómo funciona el negocio de una empresa, o
que no conozcan los problemas de gestión presupuestaria de una
organización. Tal vez incluso no sepan montar un sistema de gestión de
usuarios, o configurar un servidor de bases de datos para dar soporte a
una aplicación. Pero eso no les hace menos importantes en el mundo
empresarial, y tampoco tienen por que ser el enemigo.
Un hacker es alguien con una capacidad distinta, pero esa
capacidad no le hace ni bueno ni malo, ni enemigo ni aliado, ni Dios ni
el Demonio.
¿Alguien te garantiza que un
Administrador de Sistemas no
sea tu peor enemigo dentro de tu empresa? No creo que para alguien
acostumbrado a trabajar con equipos de personas sea ajeno el concepto de
que
“no todos son iguales”. Así, los equipos de
Recursos Humanos
en las empresas tratan por todos los medios de resolver la incógnita de
la personalidad de los profesionales en el proceso de selección,
evitando por todos los medios contratar
“problemas”.
Sin embargo, en muchas empresas o en la mente de muchos responsables de
sistemas se ha instaurado la latente sensación de que un hacker en una
empresa son problemas. Y eso es un error. Sí, es cierto, alguien malo
con habilidades hacker puede ser peligroso dentro de una compañía,
pero...
¿no lo es un administrador de correo maligno?
Imagina por un momento que la persona encargada de los backups del
correo electrónico se lleva los ficheros a su casa, y allí dedica sus
solitarias y torturadas noches en la búsqueda del cotilleo, el dato
sensible, o la información escabrosa que haya podido fluctuar por el
sistema...
¿no te da miedo pensar que tu administrador de correo se haya leído todos tus mensajes?
Si lo piensas detenidamente, la cantidad de personas técnicas a las que
te ves abocado a confiar es tan alta, que si empiezas a desconfiar de
todas ellas acabarás viviendo en la paranoia. Lo siento. Es así.
Ahora piensa en positivo, y supón que esas habilidades hacker están al servicio de tu empresa.
¿Cuantas páginas web han sido vulneradas por fallos sencillos que podría
haber detectado cualquier hacker que hubiera echado algo de tiempo en
mirar la seguridad? ¿Cuántos problemas intentos se podrían haber evitado
si un hacker te hubiera alertado internamente de que hay una
herramienta que permite acceder a los datos de la
WiFi que
usa el director general? ¿Cuanto dinero se hubiera ahorrado una
compañía si hubiera cerrado los fallos de seguridad que han llevado al
robo de datos, la consiguiente multa del gobierno y descrédito en la
opinión pública en muchas empresas?
Tal vez el hacer una
auditoría de seguridad
periódica a los servicios externos de una empresa ya está algo más
instaurado en las grandes empresas. Así, de la partida presupuestaria se
reserva
“algo” de dinero para hacer auditorías.
Normalmente esa cantidad de dinero siempre es discutida, y no consigue
ser lo necesaria para garantizar que una empresa externa te revise la
seguridad de forma continuada, sino solo durante un instante de tiempo.
Algo que todos sabemos que tiene una utilidad temporal, ya que la
seguridad de una plataforma es cambiante en función del tiempo.
Sí, hacer una auditoría, contratando empresas como la nuestra para
hacerte una auditoría de hacking ético, un pentesting de aplicaciones
web, o una auditoría externa es fundamental por muchas razones:
- Para saber qué nivel de seguridad tienes y poder informar en el
comité de una situación de riesgo o de la necesidad de invertir más en
la protección de la continuidad del negocio.
- Para ofrecerte otra visión distinta de la seguridad, ya que con el
paso del tiempo los equipos de auditoría interna y los desarrolladores
de tecnología se adaptan los unos a los otros, haciendo que se convierta
en un juego ante el espejo.
- O para estar más tranquilo y confirmar que estás haciendo las cosas bien.
Es fundamental contar con gente fuera que te ayude.
Profesionales del hacking ético.
Hackers que son profesionales en su misión. Que tienen una visón
distinta de la tecnología. Que ven distintas las cosas. Que son
diferentes. Que te pueden ayudar en tu misión de tener una plataforma
mucho más segura.
No confundas a un hacker con un delincuente, ni a un delincuente con un
hacker. No hay una ley escrita o no escrita que deba ser firmada para
que alguien sea o no un hacker. No hay que hackear la Nasa y poner
“hax0r estuvo aquí”,
ni es necesario robar las fotos del correo de una actriz famosa para
ser alabado o reconocido por un ente abstracto, y algunas veces mal
enfocado como
“yo y mis amigos”, llamado
Comunidad Hacker.
Olvidate, yo trabajo con hackers, y son gente genial, capaz de resolver
problemas o detectarlos en tiempos récord. Pueden encontrar un fallo en
la programación de una aplicación usando técnicas que aún no son
conocidas, o
pueden ver un problema en un sistema solo entornando un poco los ojos para mirar en su cerebro la estructura del sistema y sus debilidades.
Eso es fundamental en tu organización. Igual que hay ejecutivos capaces
de leer el mercado y tomar la mejor decisión en el mejor momento, de
cambiar el nombre de un producto para mejorar el marketing, comerciales
capaces de transmitir la necesidad a los clientes más duros, o
economistas y contadores hábiles que ahorran dinero o generan beneficios
con movimientos de dinero en sus libros de cuentas. Así son los
hackers... pero con la tecnología.
Las grandes empresas ya cuentan con sus equipos de hacking ético
internos, su grupos de seguridad formado por hackers que se encargan de
detectar los fallos, de hacer los procesos más seguros, o de desarrollar
tecnología a medida para mejorar el rendimiento de los recursos. Esos
equipos cuentan con hackers que son profesionales de la seguridad,
personas brillantes que trabajan para compañías para las que resultan
extremadamente rentables.
Hackers en la Gran Empresa
El número de hackers que engrosan las filas de las grandes empresas es
infinito. Muchos de ellos tienen historias menos conocidas, pero hay
otros casos que han dado la vuelta al mundo por la fama de ellos mismos.
Como muestra de casos famos de contratación de hackers por grandes empresas tenemos los recientes casos de
GeoHot, el hacker que rompió la seguridad de
PlayStation 3 de Sony, y que tras sufrir un proceso judicial con
Sony, acabó siendo fichado por la multinacional
Facebook.
Moxie Marlinspike, el famoso hacker por ataques como el de
Null-byte en la petición de certificados digitales que le permitía conseguir certificados falsos perfectos para sitios como
Gmail o
Live, y por sus herramientas como
SSLSniff y
SSLStrip usadas en ataques de
man in the middle, acaba de entrar a formar parte de
Twitter tras la adquisición de su empresa por la red social de los 140 caracteres.
Y por último, el sorprendente caso de
Comex que durante los últimos años se ha dedicado a investigar formas de romper los sistemas de seguridad de
Apple en
iPhone o
iPad para crear
JailbreakMe,
una solución online para liberar los dispositivos de la compañía de la
manzana del control de ésta. Para ello buscó vulnerabilidades de
seguridad que se pudieran utilizar online hasta que consiguió encontrar
tres fallas que, aplicadas de manera conjunta, permitían la liberación
del terminal. Su trabajo
fue premiado en la conferencia de seguridad más importante del mundo,
BlackHat USA 2011, con un premio que dan los hackers a los mejores trabajos de hacking, llamados
Pwnie Awards.
Hoy en día trabaja en Apple.
Cuida a tu Hacker
No les tengas miedo, no pienses en ellos como en el enemigo. Igual que confías en tu
DBA,
debes confiar en tus hackers. Tómalos como un recurso de valor dentro
de tu organización, sacando de ellos lo mejor que tienen. Cuidalos,
mímalos, igual que cuidas al resto de tu equipo, y obtendrás un punto de
vista nuevo de tus sistemas y unas capacidades ampliadas que harán que
todo tu grupo de profesionales crezca en resultados.
Saludos Malignos!
Fuente: http://www.elladodelmal.com
