Una aproximación realista y práctica a la seguridad en OS X

Ante una crisis, de cualquier tipo y esta es una lección vital muy importante (aunque, quien soy yo para dar lecciones vitales) hay que mantener la calma. Esta lección básica te ayudará mucho en todo ya que cuando se toman decisiones precipitadas se acaban causando daños mucho mayores que si se para uno reflexionar durante (y aunque sea) unos segundos y se hace un análisis de la situación.

Y ahora vamos a ponernos en canción.

Hay dos tipos de amenazas con las que nos podemos enfrentar en un dispositivo digital: las activas y las pasivas. Las activas son aquellas que no requieren de la interacción del usuario y por lo tanto son las más peligrosas. Y cuando me refiero a no requerir de interacción es que simplemente te inyectan cualquier malware o virus sin que tu hagas nada y se pone en marcha sin que tu te enteres. Este tipo de amenazas evidentemente son las mas peligrosas. No es el caso de los tres problemas de seguridad o más bien, de su aprovechamiento, de los que hablamos ayer.

Las amenazas pasivas (por contrastarlas con las activas) son aquellas que requieren la interacción del usuario y son las más comunes. La interacción del usuario no implica un comportamiento del tipo “¡eh, vamos a instalar malware!” sino que es algo más complicado ya que para que un usuario lo haga se suele enmascarar ese software bajo una capa de ingeniería social.

Ingeniería social es la práctica de obtener información confidencial a través de la manipulación de usuarios legítimos. Es una técnica que pueden usar ciertas personas, tales como investigadores privados, criminales, o delincuentes informáticos, para obtener información, acceso o privilegios en sistemas de informaciónque les permitan realizar algún acto que perjudique o exponga la persona u organismo comprometido a riesgo o abusos.

Llevado al terreno práctico, se explota la ignorancia, la desidida y sobre todo, la codicia del usuario para que instale aplicaciones maliciosas.

Las características de esta Ingeniería social desde la perspectiva del software son:

• Aplicaciones milagrosas que nos permitirán hacer cosas fantásticas con nuestro ordenador o dispositivo.
• Simulación de aplicaciones legítimas
• Piratería

Hay que mirar también los problemas de seguridad desde la perspectiva del delincuente también, porque que exista esa vulnerabilidad no quiere decir que vaya a ser aprovechada. De hecho, si se aprovecharan todas las vulnerabilidades encontradas en cualquier software, internet estaría lleno de malware (realmente lo está) pero a un nivel astronómicamente más alto que el que hay ahora.

También hay que mirar este asunto desde la perspectiva del atacante, que no es más que un empresario que busca sacar un beneficio económico de su trabajo y creedme, los creadores de malware son de lo mejorcito a la hora de valorar el retorno de la inversión de su trabajo ya que buscan:

• Realizar un trabajo de desarrollo mínimo
• Que todo esté muy automatizado, ya que cuantas más operaciones manuales sean necesarias, menor es el retorno de la inversión y la monetización del ataque
• Una máxima y rápida difusión
• Una rápida y sobre todo sencilla conversión monetaria del ataque
• Que esta conversión no deje rastros

Me comentaban al respecto de esta vulnerabilidad, bastante horrorizados, un par de usuarios al respecto (y este es un punto grave) que un atacante podría colocar una aplicación maliciosa en la App Store y a partir de ahí robar las contraseñas de una ID de Apple para hacer compras contra una o varias aplicaciones inútiles y así monetizar el ataque. Si hacemos un análisis contra los puntos anteriores, vemos que se requieren muchos pasos de desarrollo del ataque y una alta automatización del mismo y además, en el momento en el que se descubra el problema (cosa que ocurrirá bastante deprisa al ver los usuarios intentos de acceso a su cuenta de Apple protegida por la verificación en dos pasos, cargos por aplicaciones que no han comprado si no se ha activado esta protección, etc… y se haga un análisis del patrón) se desactivará la cuenta receptora del dinero con lo que todo el trabajo de desarrollo no habrá servido para nada. Simplemente no sale rentable. Así,  cuanto más complejo es el ataque en su realización, menos atractivo resulta para los atacantes. Quieren pasta rápida y desaparecer deprisa y sin dejar rastros.

Eso no quiere decir que no se vaya a aprovechar una vulnerabilidad para otros tipos de uso, como el secuestro de un ordenador encriptando su contenido o usándolo como parte de una botnet, pero de nuevo, volvemos a la propia implicación del usuario para aceptar este tipo de entrada de software malicioso en nuestros dispositivos.

Al final el gran problema de todo esto radica en algo que deberíamos tener muy aprendido: la piratería es un j****** campo de minas. La mayoría de la las infecciones de dispositivos recaen en aplicaciones legítimas previamente modificadas que al instalarse (y solicitar la contraseña de administrador) despliegan en los ordenadores el malware.

En el caso de los problemas de seguridad de los que hablamos ayer, es necesario este proceso. Es necesario instalar algo. Repito, es necesario instalar algo. Quien mantiene una política de instalación de software de fuentes legítimas y un poco de sentido común ante las ofertas de características milagrosas “gratis” está algo más que bastante seguro ante este tipo de problemas.

Por otra parte esto no es una disculpa al respecto de Apple. Es responsable de solucionar estos problema de seguridad a nivel de sistema y hacerlo tan rápido como pueda y además de una forma eficiente. Es algo que tenemos que reclamar a Apple de forma insistente para que mejore esta política que en ocasiones no es todo lo ágil que debería ser.