Tu seguridad no sirve para nada si me dejas sentarme delante de tu Mac

Tu ordenador es tan seguro como la importancia de los datos que contiene. Es una regla proporcional: a mayor importancia de tus datos, mas personas pueden estar interesados en los mismos y más inseguro se convierte tu ordenador. Por eso, muchas personas toman medidas de seguridad al respecto, usando antivirus, cortafuegos ... todo un rosario de medidas de seguridad que previenen un ataque vía cualquier conexión de red que esté disponible para ese ordenador. Pero la seguridad no solo pasa a través del puerto ethernet: el ordenador es un objeto físico y vulnerable y si se tiene acceso a el, da igual cuantas formas y maneras de seguridad hayas establecido en tu sistema: tus datos pueden ser robados con una facilidad pasmosa.

Hace unos días me propuse evaluar la seguridad real de Mac OS X tras leer un artículo de MacOSXHints en el que se demuestra como se puede modificar la contraseña del administrador del sistema nada más que con una serie de comandos de terminal accediendo como single user al arrancar el sistema.

El truco

Hay que reiniciar la contraseña en un sistema Leopard, pero no dispones del DVD de instalación de OS X. Después de unos minutos jugueteando, surgió esta solución:

Inicia en modo de único usuario (presiona Command-S al encender)

1. fsck -fy

mount -uw /

launchctl load /System/Library/LaunchDaemons/com.apple.DirectoryServices.plist

dscl . -passwd /Users/username password, sustituyendo username con el usuario objetivo y password con la contraseña deseada.

Reinicia

Y no hay más. El sistema reconocerá la nueva contraseña.

El problema

El problema, cuando intentas forzar la seguridad de un ordenador es simplemente una pregunta: ¿quieres que se sepa o que no se sepa que has entrado a por datos?.

Si te importa que se sepa, has de ser cuidadoso tapando tu rastro, pero si la respuesta es la contraria, hay tantas aproximaciones a realizar de forma sencilla para un usuario con conocimientos medios que una vez en acción no hay Mac OS X que se resista. No hace falta ser Hacker. Solo hace falta un poco de imaginación, algún recurso de hardware y disponer de un poco de tiempo. En una hora, no mucho más, se puede reventar cualquier Mac OS X sin pasar por ese "figura" que teclea extraños comandos delante de un terminal de texto negro.

Cuenta, cuenta ....

No quiero dar pistas. El ejemplo claro de como reventar la contraseña del administrador está en el truco de Mac OS X Hints. Hay un paso previo para conseguir volver al estado inicial sin que se sepa que has entrado al Mac, peo no voy a dar ninguna pista en ningún momento acerca de como realizar estas tareas. Solo falta que en esta gran biblioteca que es internet, haya un texto que te cuente de forma detallada como reventar un sistema Mac OS X. Sería estúpido dar a los ladrones un manual detallado para cometer fechorías.

Elementos de seguridad reales (y no tan extremos)

El primer y más importante elemento de seguridad, con diferencia, es no permitir el acceso directo al ordenador. El acceso físico, independientemente de cualquier medida por software que se interponga permite acceder a lo que se quiera. Por eso, si tus datos son realmente importantes, pon, además de las medidas por software, medidas físicas tales como:

Anclar el ordenador para que no pueda ser transportado

Busca un sistema de bloquear o tapar los puertos Firewire y USB. Retira la unidad óptica: con ella se puede llegar muy lejos, arrancar desde un sistema operativo compatible (como un LIVE CD de Linux) incluso saltarse el OpenFirmware si se dispone de tiempo. Puedes usar una unidad externa que puedes retirar en su lugar

Sella, si puedes, las carcasas de los ordenadores: el MacPro cuenta con una opción para bloquear el desmontado de la unidad en su parte trasera: ponle un candado.

Utiliza etiquetas de adhesivo no removible en las zonas de unión de la carcasa: no evitarán que abran el ordenador, pero si sabrás que lo han hecho y podrás tomar las decisiones oportunas

Si los datos contenidos son muy importantes, no crees mas cuentas de usuario en ese ordenador: estás dando acceso físico a alguien que puede que no sea de tu confianza (o que creas que la tiene, pero te esté traicionando)

Utiliza un sistema de alarma para el acceso a la habitación/piso/oficina del ordenador/es: para realizar todas las tareas de desbloqueo hace falta tiempo (lo de las películas es eso, películas) y una alarma sonando es precisamente, lo que más recorta el tiempo de acceso

Retira el teclado y el ratón: parece un sinsentido, pero sin teclado y sin ratón hay poco que hacer y un ladrón de datos, que generalmente ha de aprovechar un momento ocasional cuando no hay nadie, no va a llevar uno de repuesto.

Si vas a estar mucho tiempo fuera (vacaciones, la empresa cierra), etc ... retira los discos duros. En los Mac Pro la tarea es muy sencilla y es allí donde está el valor del ordenador: si alguien entra a robar, la máquina la pagará el seguro. Los datos, no.

Entorpece la tarea: hacerse pasar por tontos es de listos. Coloca debajo de algún objeto del escritorio, a la vista o a la "semivista" un Pos-it con varios números y nombres: el tiempo que piense el ladrón que eso son contraseñas es tiempo que pierde en acceder a tu ordenador.

FileVault

FileVault es un sistema de encriptación de la carpeta del usuario que impide que esta carpeta o sus ficheros puedan ser copiados "al vuelo" y reutilizados sobre la marcha. Sin embargo, mis investigaciones previas sobre el uso de Filevault me indican que la protección encriptada puede ser "explotada" con cierto éxito: se perderían las contraseñas almacenadas en el Aceso a Llaveros, pero los documentos si que quedarían expuestos.

La mejor medida de seguridad por software

Independientemente de las medidas físicas que hemos tomado arriba, la mejor medida por software es el uso de OpenFirmware. la contraseña de Openfirmware bloquea todos los accesos comunes posibles (Arranque por Red, desde un disco óptico, el modo Target Firewire, el modo de arranque monousuario, etc ...). Si no puedes arrancar el ordenador antes de que se acceda al disco duro, bloqueando los puertos y las diferentes opciones, es muy difícil acceder a su interior. Solo queda el ataque físico.

Es importante que leas y comprendas que vas a hacer con OpenFirmware antes de realizar alguna tarea, porque un mal uso del mismo puede dejar inútil tu ordenador.

Apple indica claramente que vía física es posible resetear el OpenFirmware, por eso es necesario, junto con esta medida, tomar medidas mecánicas para evitar el acceso al ordenador, y por supuesto, a su interior.

Lo que debería hacer Apple para mejorar la seguridad

Recientemente, los fabricantes de discos duros están empezando a lanzar discos duros que codifican su contenido vía hardware interno al disco, encriptando la entrada al disco y la salida al mismo. El sistema funciona a través de la BIOS, en el caso del Mac debería funcionar a través de OpenFirmware, pero de momento Apple no ha dado pasos para establecer esta característica en sus ordenadores.

Estos discos duros también pueden usar una contraseña para ser usados, un comportamiento que está definido en las medidas de seguridad del protocolo ATA/SATA, y solo puede ser roto de una forma física y muy compleja. Tan compleja, que un nivel de interés así solo puede estar relacionado con secretos de estado, documentación multimillonaria, etc.

Hitachi tiene un excelente PDF que habla sobre estas tecnologías relacionadas con sus discos duros encriptados (en inglés) que merece la pena leer.

El Final

Las medidas de seguridad han de ser tan importantes como el valor de los datos que almacenas dentro. Has de pensar siempre que si alguien quiere tus datos, por las circunstancias que sean, va a tomarse la tarea con la dedicación necesaria para buscar un agujero de seguridad en tu entramado: desde lo más fácil, hasta lo más complejo. Y no te olvides de la ingeniería social. ;)