UNIDAD 6: SEGURIDAD EN INTERNET

-1-

SEGURIDAD MEDIANTE AJUSTES EN EL HARDWARE ................................ 3 Cambiar la contraseña de acceso al modem-router.......................................... 5 Configurar el firewall del modem-router............................................................ 5 Seguridad en redes inalámbricas.......................................................................... 6 Filtrado por MAC.................................................................................................. 7 Utilizando un método de encriptación de datos ............................................ 7 UTILIZAR PROTOCOLOS SEGUROS PARA EL COMERCIO, ADMINISTRACIÓN Y LA BANCA ELECTRÓNICA ............................................ 9 Elección de contraseñas.......................................................................................... 9 Consejos para la compra segura por Internet ................................................. 10 Métodos seguros para la utilización de la banca electrónica ........................11

-2-

SEGURIDAD MEDIANTE AJUSTES EN EL HARDWARE Hasta el momento sólo hemos señalado herramientas a nivel software para la lucha contra el malware. Sin embargo, no hemos de olvidarnos de las medidas a tomar en el hardware y más concretamente en nuestro modemrouter que al final y al cabo es la primera puerta de entrada a nuestro equipo.

-3-

Antes de comenzar a explicar con profundidad las medidas a tomar, es necesario tener claros ciertos conceptos: • Hemos de tratar a nuestro modem-router como si fuese un equipo más que forma parte de mi red, y al que puedo acceder a través de un navegador web simplemente introduciendo su dirección IP privada. Las direcciones más habituales de estos equipos son 192.168.1.1 o 192.168.0.1. Como puede verse en la imagen, me pide para entrar un nombre de usuario y contraseña.

• Nuestro modem-router posee una dirección IP privada y otra pública. La dirección IP privada es la identificación del router en nuestra red y la pública es la que le da el operador de telefonía para identificarse en internet (globalmente). • La dirección MAC es un número único de 48 bits asignado a cada tarjeta de red. Se conoce también como la dirección física. No existen en el mundo dos dispositivos de red con la misma MAC. • Cualquier equipo configurado con el protocolo TCP/IP tiene 65536 (del 0 al 65535) puertos TCP y otros tantos UDP. Podemos decir que cada uno de esos puertos es un camino de entrada-salida a nuestra red. • Puedo conocer muchos datos de mi conexión de red (IPs, dirección MAC) ejecutando el comando ipconfig /all dentro de la consola de comandos (Inicio
Accesorios
Símbolo del sistema).

-4-

Cambiar la contraseña de acceso al modem-router Hemos visto que podemos acceder a la configuración del router simplemente introduciendo su dirección IP en un navegador, pero que para entrar necesitamos un usuario y una contraseña. Este usuario y esta contraseña nos la proporciona el fabricante del router y viene en su manual. Los nombres de usuario y contraseña más habituales que traen los routers de serie son: Nombre de usuario admin 1234

Contraseña admin 1234

Estos nombres por defecto son conocidos por todos en el mundo de la informática, de forma que cualquiera podría entrar en nuestro router y configurarlo para su beneficio. Por tanto, la primera medida a tomar es cambiar el nombre de usuario y contraseña de acceso al router por unos propios que cumplan los criterios de contraseñas seguras. Para ello, es conveniente que la contraseña sea de al menos 8 caracteres, incluya números y si es posible símbolos y no tenga que ver nada con nosotros (no poner fechas, nombres que me relacionen, etc).

Configurar el firewall del modem-router Cada modem-router tiene unos menús de configuración distintos, pero en la mayoría de los casos el acceso a la configuración del firewall se encuentra en una pestaña denominada security. En ella habilitamos el firewall (enabled) o lo deshabilitamos (disabled).

-5-

Al configurar el firewall del modem-router lo que estamos haciendo es permitir o denegar el tráfico de datos a través de dichos puertos. De esta forma, sólo dejaremos abiertos aquellos que necesitemos y sepamos que no son una perfecta puerta de entrada para el malware. Veamos una imagen de la configuración del firewall en un modem-router cualquiera:

La mayor parte de los módems-routers utilizan la filosofía de que si activo el firewall, se bloquean todos los puertos y será el usuario quien tenga que definir las excepciones de bloqueo, es decir, decirle que puertos abrir. Este es sin duda el método más seguro. Probablemente hayas oído que en los programas P2P hay que abrir los puertos porque la velocidad de descarga es de lo contrario muy pequeña con respecto a la que podría ser. Pues bien, “abrir los puertos” no es otro cosa que configurar el firewall del modem-router para que ese puerto permita el paso de información. (Recuerda, utiliza los programas P2P ajustándote a la

legalidad vigente.)

Seguridad en redes inalámbricas En la actualidad casi todos los módem-router son inalámbricos, es decir, permiten la conexión entre el ordenador y el router sin utilizar cables. Es evidente que esto es una gran ventaja en lo que se refiere a la conectividad. Pero si nos referimos a la seguridad, la red inalámbrica puede ser más vulnerable. Al fin y al cabo, la conexión se realiza por ondas que se propagan a través del aire desde el router al modem y viceversa. Otro usuario con un receptor inalámbrico (por ejemplo otro router inalámbrico) cercano puede captar dichas ondas y por tanto los datos. La solución a este posible problema puede darse de cualquiera de las siguientes formas:

-6-

Filtrado por MAC Consiste en configurar el router de tal forma que sólo puedan acceder a él los dispositivos de red cuya MAC esté en la lista de permitidos por el usuario. Dado que no existen dos MAC iguales en el mundo, es imposible que nadie no permitido pueda entrar en mi ordenador, puesto que su dirección MAC del dispositivo con el que intenta entrar (su router, el portátil, etc) no está en la lista.

Utilizando un método de encriptación de datos Consiste en codificar los datos con un algoritmo de encriptación de tal forma que aunque otro usuario malintencionado los intente interceptar, no pueda tener en ningún caso acceso a ellos. Para ello, lo único que tengo que hacer es decidir qué modo de seguridad utilizar y qué algoritmo de cifrado. Entre los modos de seguridad se encuentran WEP, WAP o WAP2. El más seguro es el último, y el menos el WEP. Sobre el algoritmo de cifrado, es suficiente con saber que lo que tengo que establecer es una contraseña lo más segura posible, puesto que la encriptación corre a cargo del router y es un proceso complicado. Al configurar el acceso de esta manera, cada vez que alguien se quisiese conectar a mi router para tener acceso a internet o a mi red interna, tendría que poner la contraseña que yo introduje. Si no la conoce, no podrá conectarse. Cabe señalar que la primera vez que conecte inalámbricamente -7-

mi ordenador al router tendré que introducir la contraseña, pero en los siguientes accesos el ordenador recordará la contraseña. La siguiente imagen muestra una lista de redes inalámbricas al alcance de un ordenador, pero todas ellas están protegidas (tienen un candado como símbolo indicador). Si quisiese conectarme a ellas, tendría que introducir la contraseña adecuada.

Esta otra imagen muestra la pestaña de configuración del router donde establezco el método de seguridad y la contraseña de acceso.

-8-

Es importante señalar que estos dos métodos no son excluyentes sino complementarios, de tal forma que la mayor seguridad en redes inalámbricas la obtendré usando los dos conjuntamente.

UTILIZAR PROTOCOLOS SEGUROS PARA ADMINISTRACIÓN Y LA BANCA ELECTRÓNICA

EL

COMERCIO,

Elección de contraseñas En la actualidad, debido al amplio uso de las nuevas tecnologías, cualquier persona maneja habitual mente una serie de claves o contraseñas: el número pin del teléfono móvil, las contraseñas de correos electrónicos, las contraseñas bancarias (de las tarjetas de crédito, de banca electrónica...). Todas ellas son códigos secretos que solo debe conocer el propio usuario y con los que tenemos que ser precavidos. Si nos concienciáramos de todos los delitos que podría cometer una persona que dispusiera de nuestros datos personales, contraseñas... seríamos mucho más precavidos al utilizarlos. Con el fin de recordar más fácilmente tantas contraseñas personales, cometemos muchos errores: • Solemos utilizar la misma contraseña para todos los servicios. De estamanera, cada vez que facilitamos nuestra contraseña para una nueva cuenta de correo, o cuando hackean alguno de nuestros servicios, se accede automáticamente a los demás. • Solemos utilizar contraseñas cortas. Es un error, pues cuanto más largas sean las contraseñas, más difíciles son de desencriptar. Se recomienda que tengan al menos ocho caracteres. • Las contraseñas que usamos suelen tener que ver con nosotros. Es habitual que se utilicen las fechas de cumpleaños o aniversarios, nombres de familiares, etc. Cualquier ataque malintencionado realiza pruebas de contraseña con este tipo de datos. • Acostumbramos a utilizar solo números o solo letras en nuestras contraseñas, lo que facilita mucho la tarea de desencriptación. Partiendo de las prácticas erróneas ya conocidas, podemos incluir una serie de consejos que te ayudarán a proteger mejor tus datos personales: • No utilices la misma contraseña para distintos servicios. • Cambia tus contraseñas cada cuatro o seis meses. • Utiliza contraseñas de más de ocho caracteres. • Mezcla números, letras mayúsculas, letras minúsculas entre los caracteres de tu contraseña. También puedes utilizar caracteres especiales de tu teclado, como (a), #, $, &.

-9-

•

Evita que el contenido de la contraseña esté relacionado con fechas y nombres asociados contigo. • No utilices contraseñas de palabras que puedan estar en un diccionario, puesto que un método de hackeo es el de ir probando una a una todas las palabras del mismo (fuerza bruta, recordemos que todo el esfuerzo lo realiza el ordenador, no el hacker). • Un buen método consiste en recordar una frase importante para nosotros y construir nuestra contraseña con la inicial de cada una de las palabras que componen la frase. Ej: mi mejor amigo se llama Oscar
Contraseña: mmaslO. Si además le añadimos un número la contraseña será casi indescifrable
Contraseña: mmaslO14. Se trata de una contraseña muy segura y sin embargo fácil de recordar para nosotros.

Consejos para la compra segura por Internet 1. Antes de realizar un pedido, localiza en la página web información sobre la empresa gestora de la tienda. Deben figurar los siguientes datos: nombre o razón social, dirección física de la empresa, teléfono y correo electrónico de contacto. 2. Asegúrate de que la web se encuentra en un servidor seguro que utilice herramientas de encriptación que protejan tu privacidad (servidor SSL). Aparecerá https:// y/o un candado en el navegador. 3. Busca en Internet opiniones de otros usuarios que hayan comprado en dicha tienda. 4. Elige una forma de pago que no implique riesgos iniciales. ¿Cúal? Recordemos antes que las formas de pago por internet son las siguientes: a. Contra reembolso. El comprador paga al transportista cuando recibe el pedido. b. Transferencia o ingreso en cuenta. El cliente adelanta el dinero y lo ingresa en la cuenta del vendedor para que este le envíe el pedido. c. Tarjeta de crédito. El comprador facilita unos datos de la tarjeta de crédito donde el vendedor realiza el cargo. d. Entidades intermediarias. Son entidades en las que el usuario crea una cuenta con su tarjeta de crédito e ingresa una cantidad de dinero. Para comprar por Internet, solo tiene que completar unos datos de la entidad intermediaría, sin necesidad de facilitar su tarjeta de crédito en todas las tiendas on-line que utilice. PayPal y Paybox (que utiliza el

-10-

teléfono móvil para confirmar los pagos) son ejemplos de este tipo de intermediarios. De estas formas de pago por internet las que implican menos riesgos iniciales son el contra reembolso y el uso de entidades intermediarias como PayPal.

Métodos seguros para la utilización de la banca electrónica Cada vez son más los usuarios que utilizan la banca electrónica en lugar de la banca tradicional dada las numerosas ventajas que ofrece. Es evidente que el banco o caja con el que trabajemos debe establecer métodos seguros para ganarse la confianza de sus clientes. ¿Cuáles son esos métodos? Describamos algunos de ellos: Ejemplo 1: En la siguiente página podemos ver los siguientes métodos de seguridad: • La oficina virtual está sobre un servidor seguro SSL. Podemos saberlo porque en la dirección aparece https:// y porque aparece el candado de seguridad en la parte inferior. • Se me ofrecen dos métodos de acceso: o Mediante DNI, pasaporte, etc. o Mediante DNI electrónico. Si dispongo del DNI electrónico y un lector digital de los mismos, el método es extremadamente seguro. • En caso de utilizar el primero de ellos, tendré que introducir mi número de DNI y mi clave. Este no es por si mismo un método infalible, sobre todo si tenemos en cuenta que los hackers pueden hacer uso de herramientas de grabado de las teclas pulsadas en el teclado de mi ordenador (keyloggers). Pero la seguridad aumenta mucho con un método de introducción de la clave de manera indirecta. En lugar de introducir directamente los números de mi clave, introduzco las letras que se asocian en una tabla a dichos números. Cada vez que haya de introducir la clave la tabla cambiará aleatoriamente esas asociaciones. De esta manera los hackers no pueden utilizar keyloggers.

-11-

Ejemplo 2: • En este ejemplo las medidas de seguridad son idénticas salvo el método de introducción indirecta de la clave. En este caso también se protege al usuario del posible uso de keyloggers, pero porque ahora se introduce la clave pulsando los botones de un teclado numérico en pantalla. Es evidente que cada vez que vaya a entrar la posición de las teclas varía.

Ejemplo 3: • De nuevo las medidas de seguridad son idénticas salvo el método de introducción indirecta de la clave. En este caso también se protege al usuario del posible uso de keyloggers, pero porque ahora se introduce una segunda clave que se encuentra en una tarjeta de coordenadas -12-

que solo tiene el cliente, pulsando los botones de un teclado numérico en pantalla.

Es importante finalizar indicando que los tres anteriores ejemplos describían simplemente como entrar en el sistema. Una vez dentro, solo podríamos ver nuestras cuentas, tarjetas, etc…. pero si vamos a operar con ellas, a la hora de realizar la operación nos pedirá una contraseña de operaciones. Para la elección de la contraseña hemos de seguir los consejos para la creación de contraseñas vistas anteriormente. Si analizamos todas estas medidas de seguridad, podemos decir sin temor a equivocarnos que operar en banca por internet es tanto o más seguro que operar en banca de forma tradicional.

-13-