No.

1 4 / Julio-Agosto 201 2 ISSN: 1 251 478, 1 251 477

Gestin de Seguridad y Riesgos

14

Distintos enfoques en la prctica segura

Datos Biomtricos PenTest Gerencia Incidentes Seguridad Riesgo Tecnolgico Voto Electrnico

Contenido
Leyes de proteccin de datos personales en < 04 > el mundo y la proteccin de datos biomtricos - Parte II

Gestin de incidentes de seguridad informtica con agentes inteligentes Riesgo tecnolgico y su impacto para las organizaciones - Parte I Sin la Gerencia no hay paraiso

< 10 > < 12 >

< 17 >

La importancia de las pruebas de penetracin - Parte II

< 21 > < 27 >

Mxico, el voto electrnico y el 2012

Universidad Nacional Autnoma de Mxico. Direccin General de Cmputo y Tecnologas de Informacin y Comunicacin. Subdireccin de Seguridad de la Informacin/UNAM-CERT. Revista .Seguridad Cultura de prevencin para TI, revista especializada en temas de seguridad del UNAM-CERT. Se autoriza la reproduccin total o parcial de este artculo con fines de difusin y divulgacin de los conocimientos aqu expuestos, siempre y cuando se cite completa la fuente y direccin electrnica y se le de crdito correspondiente al autor.

Editorial
Gestin de seguridad y riesgos: Distintos enfoques en la prctica segura
La guerra pica entre la seguridad y la funcionalidad implica un constante cambio, un ciclo continuo de altas y bajas que busca el equilibrio adecuado. Por un lado tenemos el batalln de la administracin y los usuarios finales, quienes buscan practicidad, ahorro y soluciones. Por el otro, estn los guerreros de la seguridad, ellos resguardan, protegen y neutralizan. Ambas partes se necesitan una a la otra. Esta dualidad de seguridad y funcionalidad, este sncope entre armona y contraste es lo que permite ganar una batalla an mayor, la lucha contra los ataques a la tecnologa. En tu revista .Seguridad Cultura de prevencin para TI queremos ofrecerte una visin integral, con un certero bosquejo de los aspectos gerenciales y operativos de la seguridad, pero al mismo tiempo con valiosas aproximaciones a la cultura de proteccin de datos, a la importancia de analizar riesgos, de entenderlos y neutralizarlos. Te invitamos a encontrar en los artculos de esta edicin, la bitcora de guerra de la lucha entre la Gestin de seguridad y los riesgos tecnolgicos: Distintos enfoques en la prctica segura. L.C.S Jazmn Lpez Snchez Editora Subdireccin de Seguridad de la Informacin

.Seguridad, Cultura de prevencin TI / Nmero 1 4 / JulioAgosto 201 2 / ISSN No. 1 251 478, 1 251 477 / Revista Bimestral

DIRECCIN GENERAL DE CMPUTO Y DE TECNOLOGAS DE INFORMACIN Y COMUNICACIN

DIRECTOR GENERAL Dr. Felipe Bracho Carpizo

DIRECTOR DE SISTEMAS Y SERVICIOS INSTITUCIONALES Act. Jos Fabin Romo Zamudio

SUBDIRECTOR DE SEGURIDAD DE LA INFORMACIN/ UNAM-CERT Ing. Rubn Aquino Luna DIRECCIN EDITORIAL L.A. Clica Martnez Aponte EDITORA L.C.S. Jazmn Lpez Snchez ARTE Y DISEO L.D.C.V. Abraham vila Gonzlez DESARROLLO WEB Ing. Jess Mauricio Andrade Guzmn Ing. Angie Aguilar Domnguez REVISIN DE CONTENIDO Ing. Miguel ngel Mendoza Lpez Ing. Jess Mauricio Andrade Guzmn Ing. Abraham Cueto Molina Ing. Miguel Ral Bautista Soria Ing. Jess Tonatihu Snchez Neri Ing. Manuel Quintero Lpez Ing. Mario Martnez Moreno COLABORADORES EN ESTE NMERO Isai Rojas Gonzlez, Gabriel Snchez Prez, Linda Karina Toscano Medina, Mara del Carmen Prudente Txteco, Gualberto Aguilar Torres // Gunnar Eyal Wolf Iszaevich // Johnny Villalobos Murillo // Erika Gladys De Len Guerrero // Alexandra Ramrez Castro // Jeffrey Steve Borbn Sanabria

Leyes de proteccin de datos personales en el mundo y la proteccin de datos biomtricos Parte II

Isai Rojas Gonzlez, Gabriel Snchez Prez, Linda Karina Toscano Medina, Mara del Carmen Prudente Txteco, Gualberto Aguilar Torres

la primera entrega del artculo se describieron conceptos bsicos referentes a la proteccin de datos personales y a la biometra, se hizo una breve introduccin a las leyes y acuerdos de proteccin de datos personales que existen en el mundo y se enumeraron algunos de los casos ms relevantes con el objetivo de dar a conocer los antecedentes que existen respecto a cmo son considerados los datos biomtricos por las leyes de proteccin de datos personales de distintos pases en el mundo. En esta segunda parte se describen algunos de los riesgos que estn asociados al uso de datos biomtricos y que motivan a la bsqueda de medidas de proteccin, se habla de la forma en questosson consideradosanivel internacional, sobre el contexto de las leyes de proteccin de datos personales y sobre una serie de recomendaciones emitidas por organismos

internacionales referentes a cmo deben ser obtenida y procesada esta informacin.

Riesgos asociados al uso de los datos biomtricos

Un sistema biomtrico que no es protegido adecuadamente puede facilitar la obtencin de informacin personal sensible. Por ejemplo, si un atacante roba la base de datos de un sistema de reconocimiento facial en el cual se almacenan fotografas, se podra inferir la raza de cada uno de los usuarios, lo que podra ser causa de discriminacin u otras acciones. Algunos datos biomtricos pueden ser obtenidos realizando el proceso inverso de captura y almacenamiento, como es el caso de las huellas dactilares. stas tienen rasgos nicos conocidos

UNAMCERT

04

como minucias, durante el proceso de captura, estos son identificados y codificados para despus almacenarlos como una secuencia de datos denominada plantilla de minucias, de tal forma que, en lugar de almacenar una fotografa de la huella dactilar, se almacenan plantillas de minucias. Se dice que una huella dactilar reconstruida a partir de la plantilla de minucias tiene un resultado positivo en ms del 90% de los casos, y que este tipo de reconstrucciones son ms frecuentes de lo que se podrasuponer. Esto indica que pueden identificarse personas o falsificaridentidades mediante huellas dactilares que son obtenidas exitosamente, en su forma

La recoleccin de datos biomtricos es otro aspecto de preocupacin, as lo seala la Comisin Nacional de Informtica y Libertades (Francia) en su informe de actividades del ao 2007, que en uno de sus fragmentos dice: Algunos datos biomtricos presentan la particularidad depoderserrecabadosyutilizados sin que el interesado se d cuenta. Es el caso de las huellas genticas, ya que todos vamos dejando involuntariamente un rastro de nuestro

1 Plantilla de minucias: Se denomina al conjunto de caractersticas nfimas de una huella dactilar que se almacenan como un patrn de datos nico que hace identificable de manera inequvoca al titular de la huella. 2 Fingerprint Biometrics: Address Privacy Before Deployment. Publicado por el Comisionado de Informacin y Privacidad de Ontario en noviembre de 2008.

original, incluso desde una base de datos de cuerpo, aunque sea nfimo, del cual se puede extraer el cdigo ADN. Lo mismo sucede con las plantillas de minucias. huellas dactilares, de las que tambin vamos En 2003, el Grupo de Proteccin de las Personas dejando un rastro, ms o menos fcil de procesar, en lo que Respecta al Tratamiento de Datos en nuestra vida cotidiana . Personales, creado en virtud de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, La Comisin indica que la biometra con rastro adopt un documento de trabajo sobre biometra, requiere de medidas de seguridad especiales en la introduccin del documento se puede para garantizar la proteccin de las personas afectadas. apreciar la siguiente inquietud:

Una utilizacin amplia y sin control de la biometra es preocupante desde el punto de vista de la proteccin de los derechos ylibertadesfundamentalesdelaspersonas. Este tipo de datos es de una naturaleza especial, ya que tienen que ver con las caractersticas comportamentales y fisiolgicas de una persona y pueden permitir su identificacin inequvoca

Proteccin jurdica de los datos biomtricos

Porsu naturaleza, losdatosbiomtricosson datos personales, sin embargo, en muy pocas legislaciones en el mundo se consideran de maneraexplcitacomo datos personales ymenos an como datos personales sensibles, lo anterior da origen a diversas controversias.

En Espaa y Argentina, las leyes de proteccin de datos personales, no han tipificado de manera explcita a los datos biomtricos, es por ello que organismos regulatorios han sido los encargados 05

UNAMCERT

de debatir y emitir resoluciones para cada caso especfico de controversia, lo han hecho evaluando las circunstancias particulares de cada situacin.

Australia. El comit de reforma de la ley de privacidad, recomend que se agregaran los datos biomtricos a la definicin de datos sensibles. El cambio an no ha sido incluido en la versin actual de la ley con fecha del 4 de julio En el ao 2006, la Agencia Espaola de de 201 1 . Proteccin de Datos resuelve que el uso de la huella dactilar como medio para controlar el Rusia. Actualmente, se encuentra en proceso de acceso de alumnos al colegio resulta excesivo y modificacin a su ley federal de proteccin de desproporcionado para esa finalidad. datos de 2006, el propsito es mejorar algunos

Porotrolado, en Argentinaen el 2009, laDireccin Nacional de Proteccin de Datos Personales resolvi, respecto a un banco de datos de aficionados al ftbol, que pueden ser tratados los datos biomtricos, porserdatos estrictamente de identificacin, cuando sean necesarios para la finalidad pretendida (seguridad en estadios de ftbol). La mayora de las leyes de proteccin de datos personales en el mundo se encuentran en una situacin de ambigedad en lo que se refiere a los datos biomtricos. La legislacin en Mxico tiene el mismo inconveniente, la ley en s no hace mencin explcita de los datos biomtricos ni de su tratamiento. Algunos pases comienzan a incluir de manera explcita el concepto de datos biomtricos y la maneraenqueestosdebentratarseyprotegerse:

aspectosdeseguridad. Unodeloscambiosindica que el reglamento establecer los requisitos de seguridad para el procesamiento de datos biomtricos. Per. Recientemente adopt la ley nmero 29.733 que se refiere a la proteccin de datos personalesysealaen su artculo 2que losdatos biomtricos son datos personales sensibles. Futura legislacin en Colombia. El documento con el texto conciliado y aprobado del proyecto de ley estatutaria nmero 1 84 de 201 0 Senado, 046 de 201 0 Cmara en Colombia, especifica en su ttulo III, artculo 5 que los datos biomtricos son considerados datos personales sensibles.
UNAMCERT
06

Convenios internacionales

5) Losdatosdeberan seradecuados, pertinentes y no excesivos en comparacin con la finalidad El Consejo de Europa (Council of Europe) ha del proceso; si basta con patrones, se debera publicado un documento llamado: Informe de evitarelalmacenamientodelaimagenbiomtrica. situacin relativo a la aplicacin de los principios delaconvencin1 08sobrelarecogidayalproceso 6) A la hora de elegir la estructura del sistema, se de los datos biomtricos, el informe contiene una debera procederteniendo en mente los aspectos serie de pronunciamientos respecto a los datos de seguridad. biomtricos y su uso. A continuacin, se presenta la idea bsica de cada punto: 7) La estructura de un sistema biomtrico no debera ser desproporcionada respecto a la 1 ) Losdatosbiomtricosdeben serconsiderados finalidad del proceso; si basta con la verificacin, como una categora especfica de datos, ya que no se debera desarrollar una solucin de estos siguen siendo los mismos en distintos identificacin. sistemas y son inalterables de por vida. 8) La persona afectada debera ser informada de 2) Antes de recurrir a la biometra, se deben la finalidad del sistema y de la identidad del evaluar: las finalidades previstas para los datos, responsable del proceso. Adems, conocer los lasventajascontralosinconvenientesqueafecten datos procesados y las categoras de personas a la vida privada de la persona involucrada, y se las que se comunicarn esos datos. deben tener posibles soluciones alternativas que suponganunmenoratentadocontralaprivacidad. 9) La persona afectada tiene derecho de acceso, rectificacin, bloqueoycancelacin desusdatos. 3) Nosedeberaoptarporlabiometranicamente por el hecho de que su uso resulte prctico. 1 0)Se deben prever medidas, tcnicas y organizativas, quesean adecuadasparaproteger 4) Los datos biomtricos deben serutilizados con los datos biomtricos contra la destruccin y la fines determinados, explcitos y legtimos. No prdida accidental, tambin se deben proteger deben ser procesados de manera incompatible contra el acceso, modificacin o comunicacin no con esas finalidades. autorizadaydeben serresguardadosdecualquier 07 otra forma de procesamiento ilcito.
UNAMCERT

1 1 ) Se debera desarrollar un procedimiento de certificacin y de control, con el fin de establecer normas de calidad para el software y la formacin del personal responsable del registro y la verificacin de datos biomtricos. Se recomienda una auditora peridica que pruebe las cualidades tcnicas del sistema. 1 2) Si una persona, registrada en un sistema biomtrico, es rechazada, el responsable de proceso debera, a peticin de sta, volver a examinar el caso y si fuese preciso, ofrecerle soluciones de sustitucin adecuadas. Actualmente, hay varios pases que cuentan con leyes de proteccin de datos personales, pero pocos son los que incluyen en sus postulados, de manera explcita, a los datos biomtricos y el tratamiento que stos deben tener, el precedente legal lo establecen pases como Rusia, Per y Colombia. Es necesario regular al respecto del uso de los datos biomtricos en los sistemas de informacin, son datos muy ntimos que acompaan a su titular de por vida y que no pueden ser cancelados o restablecidos; si a un usuario le roban y falsifican su huella dactilar, esta no podr ser cancelada, su huella seguir siendo la misma. Laregulacin legal de los datos biomtricos ayuda a prevenir ambigedades que pueden generar controversias y adems establece las reglas necesarias para el correcto resguardo de la informacin sensible de las personas.

[2] Comit consultivo de la Convencin para la proteccin de las personas respecto al proceso automatizado de los datos de carcter personal (T-PD) (2005). Informe de situacin relativo a la aplicacin de los principios de la convencin 108 a la recogida y al proceso de los datos biomtricos [3] Sitio Web Kimaldi Electrnics. Tratamiento de la huella digital de los trabajadores/as. [4] Agencia Espaola de Proteccin de Datos: Proporcionalidad del tratamiento de la huella dactilar de alumnos de un colegio. Informe 368/2006 Tratamiento de la huella digital de los trabajadores. Resolucin de archivo de actuaciones. Expediente N E/00016/2007 [5] Segalis B. (2011). Russia Amends Federal Data Protection Law; Privacy Enforcement on the Rise. Consultada en: http://www.infolawgroup.com/2011/07/articles/internatio nal-2/russia-amends-federal-data-protection-lawprivacy-enforcement-on-the-rise/ [6] Kindt E. (2007). Biometric applications and the data protection legislation. Datenschutz und Datensicherheit. [7] Woo R. B. Challenges posed by biometric technology on data privacy protection and the way forward [8] Liu Y. (2007). Introduction to biometrics from a legal perspective. University of Oslo. [8]LiuY.(2008).IdentifyingLegalConcernsintheBiometric Context. Journal of International Commercial Law and Technology Vol. 3, Issue 1. University of Oslo. [9] Iglezakis I. (2010). EU data protection legislation and case-law with regard to biometric applications. Faculty of Law, Aristotle University of Thessaloniki. [10]ElCongresodeColombia.Textoconciliadoyaprobado del proyecto de Ley Estatutaria nmero 184 de 2010 Senado, 046 de 2010 Cmara. Por la cual se dictan disposiciones generales para la proteccin de datos personales. [11] Cavoukian A. (2008). Fingerprint Biometrics: Address Privacy Before Deployment

Referencias Bibliogrficas (Parte 2)

[1] Remolina A. N. (2011). Sistemas de identificacin biomtrica y proteccin de datos personales: ni tecnofobia, ni tecnofascinacin, pero s tecnoreflexin. Consultado en: http://www.ambitojuridico.com/BancoConocimiento/N/no ti-11111606_(sistemas_de_identificacion_biometrica_y_proteccio n_de_datos_personales)/noti-11111606_(sistemas_de_identificacion_biometrica_y_proteccio n_de_datos_personales).asp

UNAMCERT
08

[12] Article 29 of Directive 95/46/EC Data Protection Working Party. Working document on biometrics (2003) [13] Australia. Privacy Act 1988. Act No. 119 of 1988 as amended. This compilation was prepared on 4 July 2011 taking into account amendments up to Act No. 60 of 2011. Enlaces Web: [1]http://cyberlaw.stanford.edu/profile/david-banisar [2]http://eurlex.europa.eu/LexUriServ/LexUriServ.do?uri= CELEX:31995L0046:es:HTML [3]http://www.statewatch.org/news/2004/feb/biometricwp80_en.pdf [4]http://www.martinaberastegue.com/seguridad/privaci dad/legislacion-internacional-en-materia-de-proteccionde-datos-y-privacidad.html [5]http://www.agpd.es/portalwebAGPD/canaldocumenta cion/textos_interes/common/pdfs/informe-principiosconvencion-108.pdf

UNAMCERT
09

Gestin de incidentes de seguridad informtica con agentes inteligentes

Msc. Johnny Villalobos Murillo

En este artculo se propone la aplicacin de agentes inteligentes como un medio para facilitar lagestin deincidentesdeseguridad informtica. Los agentes inteligentes propuestos tendran funciones especficas de bsqueda y seleccin de incidentes segn especificaciones previamenteestablecidasporlaorganizacin. Se toman como base las investigaciones realizadas

mecanismos de respuestas rpidas a incidentes de seguridad para evitar que la organizacin se expongaaprdidas irreversibles. Se le denomina un incidente de seguridad informtica a cualquier evento que sea considerado una amenaza para la seguridad de un sistema.

sobre la aplicacin de algoritmos de inteligencia artificial colectiva.

Existen diversos tipos de amenazas y seguirn apareciendo cada vez ms. Entre las ms conocidas tenemos: Instalacin de software malicioso Acceso sin autorizacin al sistema o a sus datos Interrupciones indeseadas Denegacin de servicios Uso desautorizado de las bases de datos Cambio en el hardware, firmware o software del sistema

Incidentes de seguridad
Los diferentes ataques que sufren los sistemas conectados a Internet son conocidos como incidentes de seguridad informtica. stos amenazan el buen funcionamiento de cualquier organizacin y violan implcita o explcitamente las polticas de seguridad [1 ]. Al aceptar Internet como medio de interconexin global, gran cantidad de transacciones de negocios se realizan de esta forma, por lo que se requieren

UNAMCERT

10

Es posible clasificar los incidentes de seguridad El grupo de agentes estara formado por agentes en dos tipos [2]: buscadores de tipo autnomo y seleccionadores del tipo proactivos. Los agentes buscadores Incidentes automticos trabajan en forma independiente y con recorridos Incidentes manuales al azar en la red, localizando informacin sobre incidentes en la red mediante algoritmos de Se denominan incidentes automticos a los inteligencia artificial, y almacenndolos en una incidentesproducidosporprogramasdecmputo base de datos. tales como virus, gusanos y troyanos. Los incidentes manuales son aquellos incidentes en El comportamiento de estos agentes, es similar losquedemaneraintencional seatacaun sistema al de una colonia de hormigas que realizan utilizando, por ejemplo, escaneo de bsquedasparallevarcomidaasushormigueros. vulnerabilidades, inyeccin SQL o ingeniera La base de datos sera entonces la bodega de social, aunque bajo ciertas circunstancias, alimentos de los hormigueros, la informacin tambin se pueden realizarde formaautomtica. almacenada es definida por la organizacin, pero en forma general deber registrarse por ejemplo el nombre y tipo de incidente, la fecha en que Agentes inteligentes como gestores ocurri y la plataforma informtica o tecnolgica de incidentes de seguridad informtica en donde se present. Podemos definir a un agente inteligente como un programa de cmputo que acta con autonoma en nombre de una persona o una entidad [3]. La caracterstica de autonoma se le otorga debido a que actan sin intervencin humana o de otros sistemas externos. Existen muchas clasificaciones de agentes, pueden catalogarse por autonoma (capacidad de actuar solos), reactividad (capacidad de ejecutar acciones en forma inmediata) y proactividad (metas u objetivos especficos a cumplir) entre otros [4]. Los agentes seleccionadores por su parte, tienen la tarea de escoger aquellos incidentes que se adapten ms a los criterios definidos por la organizacin, e informar mediante alertas la aparicin de un incidente de seguridad para que se tomen las medidas respectivas. La propuesta de utilizar los agentes inteligentes en los CERTS u otras organizaciones, facilitara la gestin de incidentes de seguridad en tanto sus algoritmos, especificaciones de bsqueda y seleccin garanticen de forma razonable su eficacia y eficiencia. La informacin que es almacenada estara a disposicin de otras organizaciones interesadas, ayudando as en la divulgacin de incidentes y proteccin de informacin. Si los incidentes de seguridad se realizan con Suponga un grupo de agentes inteligentes que tecnologas, entonces debemos aplicar colaboren con un CERT o Equipo de Respuesta tecnologas para su prevencin y correccin. a Incidentes de Seguridad Informtica (Computer Emergency Response Team por sus siglas en ingls), ayudando a determinar qu tipo de incidente est ocurriendo en un sistema que est bajo ataque, con base en los sntomas que ste presenta. Los agentes proporcionaran alertas, soluciones inmediatas y medidas en forma automtica para controlar dicho incidente.

UNAMCERT

11

Referencias
[1] ISO27001 Sistema de Gestin de Seguridad de la Informacin ISO - International Organization for Standardization [2] NIST 800-61 Computer Security Incident Handling Guide: National Institute of Standards and Tecnology. U.S. Departament of Commerce [3] Using Intelligent Agents, Lecture Notes in Artificial Intelligence, Springer-Verlag, Vol. 4496, pp. 82-91 [4] Juan L. Dinos-Rojas. Arquitectura de un sistema basado en agentes para la recuperacin de metadatos rdf con base en una ontologa de documentos.Departamento de Ingeniera Elctrica y Computadoras, 2004.

UNAMCERT
12

Riesgo tecnolgico y su impacto para las organizaciones - Parte I

Ing. Alexandra Ramrez Castro

Origen del riesgo tecnolgico Cmo nos afecta?

El riesgo tecnolgico tiene su origen en el continuo incremento de herramientas y aplicaciones tecnolgicas que no cuentan con unagestinadecuadadeseguridad. Su incursin en lasorganizacionessedebeaquelatecnologa est siendo fin y medio de ataques debido a vulnerabilidades existentes por medidas de proteccin inapropiadas y por su constante cambio, factores que hacen cada vez ms difcil mantener actualizadas esas medidas de seguridad. Adicional a los ataques intencionados, se encuentra el uso incorrecto de la tecnologa, que en muchas ocasiones es la mayor causa de las vulnerabilidades y los riesgos a los que se exponen las organizaciones. El riesgo tecnolgico puede verse desde tres aspectos, primero a nivel de la infraestructura

tecnolgica (hardware o nivel fsico), en segundo lugar a nivel lgico (riesgos asociados a software, sistemas de informacin e informacin) y por ltimo los riesgos derivados del mal uso de los anteriores factores, que corresponde al factor humano como un tercer nivel. Si se revisan las definiciones de las metas, objetivos, visin o misin de lasorganizaciones, ests no se fundamentan en trminos tcnicos o con relacin a la tecnologa. Sin embargo, al analizar de forma profunda y minuciosa este tipo de planteamientos gerenciales, se encuentra que su aplicacin trae como base el desempeo de una infraestructura tecnolgica que permita darle consecucin a dichas cualidades. Por ello, el cumplimiento correspondiente con la prestacin de los serviciosydesarrollo de losproductosofrecidos porlaempresa, el mantenimientode laactividad operativa e incluso la continuidad del negocio, dependen del cuidado y conservacin que se tenga de la base tecnolgica y por supuesto, del personal que la opera.

UNAMCERT

Medidas de aseguramiento ante el riesgo tecnolgico

Hablar de controles y medidas que permitan a las organizaciones contrarrestar este tipo de riesgo puede ser complicado, pero es posible tomar acciones que lleven a su mitigacin. El aseguramiento puede realizarse desde los tres niveles antes mencionados. En el nivel fsico, las medidas a tomar son de carcter tcnico o de seguridad informtica, referidas a la aplicacin de procedimientos de control y barreras fsicas ante amenazas para prevenir dao o acceso no autorizado a recursos e informacin confidencial que sea guardada en la infraestructura fsica. Dentro de stas se encuentran: Controles de acceso fsico, que pueden incluir el uso de sistemas biomtricos y vigilantes para acceso en reas especficas.

En el nivel lgico, las medidas a tomar se dan con respectoal usodesoftwareysistemas, enfocadas a proteger los datos y garantizar el acceso autorizado a la informacin por parte de los usuariosatravsdelosprocedimientoscorrectos. Como parte de estas medidas se pueden tomar: Controles de acceso lgico con la gestin de usuarios, perfiles y privilegios para acceso . Controles de acceso a la red interna y segregacin en redes y controles para asegurar servicios de la red. Controles a nivel de teletrabajo y equipos mviles. Soluciones de proteccin contra malware. Respaldos de bases de datos e informaci crtica. Protocolos para intercambio de informacin y cifrado de informacin. Monitoreo de los sistemas, sincronizacin de relojes y proteccin sobre registros. Limitacin en tiempos de conexin a aplicativos y cierres de sesin por inactividad. Gestin de control de cambios, entre otros.

Manejo de tokens o tarjetas de identificacin. Controles a nivel de equipos, tales como ubicacin y proteccin, seguridad en cableado o mantenimiento peridico de equipos. Servicios bsicos (energa, agua y alcantarillado, entre otros) de soporte para continuidad. Gestin de medios de almacenamiento removible. Controles de vulnerabilidades tcnicas, entre otros.

Definicin de polticas de seguridad que presenten las correspondientes violaciones con el fin de dar cumplimiento. Controles relacionados a acuerdos con

UNAMCERT

El tercer nivel y el ms crtico dentro de las organizaciones, dada su naturaleza impredecible, es el personal o recurso humano. Las medidas a este nivel deberan ser ms procedimentales, ligadas a la regulacin y concienciacin.Dentro de stas se pueden incluir:

14

El reciente descubrimiento en mayo de 201 2 del malwareFlame, el cual tenacomoobjetivo ataques de ciberespionaje en pases de orientemedio. Esteataquerepresentprdida de informacin confidencial y crtica. [1 ] Otro caso de ciberespionaje industrial es el malware encontrado en archivos de AutoCad, cuya finalidad es el robo de informacin sensible como planos arquitectnicos. [2] Un ataque muy nombrado en marzo del ao pasado es el relacionado al robo de Riesgo tecnolgico como raz informacin realizado a RSA, que implic de otros riesgos riesgos para la banca en lnea. [3] Por ltimo, el ataque que sufri Sony en 201 1 , El riesgo tecnolgico puede ser causa y donde robaron informacin de cuentas de consecuencia de otro tipo de riesgos, una falla usuarios. [4] sobre la infraestructura puede implicar riesgos en otros mbitos, como prdidas financieras, multas, Todoloanterior, confirmalaposibilidaddedaos acciones legales, afectacin sobre la imagen de y perjuicios que puede desencadenar un fallo la organizacin, causar problemas operativos o en la seguridad a nivel tecnolgico. afectar las estrategias de la organizacin. Si pensamosen el casodeun empleadodescontento Con estas aproximaciones damos por que puede representarun riesgo operativo, podra terminada la primera parte de este artculo, en implicar tambin un riesgo tecnolgico por una prxima entrega hablaremos sobre la manipulacin inapropiada de sistemas e importancia de las buenas prcticas y el marco informacin. de referencia COBIT en algunas de sus versiones.

terceros, prestacin de servicios que se puedan dar con stos y segregacin de funciones. Controles a nivel contratacin de personal. Gestin antes, durante y despus de la terminacin de los contratos. Educacin y capacitacin continua en aspectos de seguridad. Procedimientos e instructivos para manejo de informacin. Polticas de escritorio y pantalla limpia. Cumplimiento de legislacin aplicable, entre otros.

A continuacin, se presentan algunos ejemplos que ilustran lo anterior:

UNAMCERT

15

Referencias
[1] Meet Flame, The Massive Spy Malware Infiltrating Iranian Computers, Revista Wired, Mayo de 2012. Disponible: http://www.wired.com/threatlevel/2012/05/flame/ [2] Malware en archivos AutoCad podra ser inicio de ciberespionaje industrial, Subdireccin de Seguridad de la Informacin - Informacin y servicios de seguridad en cmputo.Disponible: http://www.seguridad.unam.mx/noticia/?noti=420 [3] En riesgo ms de 40 millones de usuarios de banca electrnica, blog de tecnologa ALT1040, Marzo 2011. Disponible en: http://alt1040.com/2011/03/en-riesgomas-de-40-millones-de-usuarios-de-banca-electronica [4] Sony admite un robo adicional de datos que afecta a casi dos centenares de usuarios en Espaa, Diario El mundo Espaa, Mayo 2011. Disponible en: http://www.elmundo.es/elmundo/2011/05/03/navegante/ 1304383366.html

UNAMCERT

16

Sin la gerencia no hay paraiso

Jeffrey Steve Borbn Sanabria

En muchas ocasiones, grandes ideas yproyectos en torno a la seguridad de la informacin quedan lejos de ser una realidad en las organizaciones debido a que no se involucra a la direccin en estas iniciativas, ms all de solicitudes de recursos econmicos u otros requerimientos afines. El presente artculo presenta algunas situaciones reales de cmo NO se debe ofrecer la seguridad de la informacin a la direccin; y qu buscar en estas reas administrativas al trabajar dentro de una organizacin. En organizaciones donde la razn de ser del negocio no es la tecnologa, no se cuenta con normasreferentesalaseguridaddelainformacin o simplemente no existe una obligacin frente a este importante aspecto, aquellos quienes han tenidolaexperienciade ofrecerplanes, proyectos o iniciativas sobre seguridad de la informacin son conscientes de cun complicado puede ser el venderestaideaalaaltadireccin. Vale lapena indicar que a diferencia de lo que ocurre con las

reas de tecnologa, en la seguridad de la informacin no existe formalmente un retorno de inversin, es por ello que es visto por la direccin o aquellas reas que toman las decisiones de invertir, ms como un gasto que como una oportunidad. Con base en lo anterior, se requiere de experiencia, claridad en las explicaciones y propuestas;einclusodellegaracontarconaliados estratgicos dentro de las organizaciones, para presentar estas iniciativas a la direccin y contar con su apoyo y compromiso. Aqu realizo una distincin: usualmente encontramosque se habla de apoyo en virtud de soporte, impulso a las ideas e iniciativas. Por otro lado, acuo el trmino compromiso con base en qu tanto se involucran, aportan y gestionan los recursos e insumos necesarios para la realizacin de los proyectos planteados. Esto ltimo resulta una tarea compleja, pero no imposible y su consecucin puede llegar a ser la causa de xito del proyecto o iniciativa a desarrollar.

UNAMCERT

17

Fallos, fallos y ms fallos

A continuacin, se abordan algunos errores que se comenten regularmente al ofrecer los proyectos o iniciativas de seguridad de la informacin a la direccin: * Ausencia de claridad en la propuesta: Si las soluciones, proyectos o ideas a presentar no son concretas o lo suficientemente claras para quienes toman decisiones, difcilmente sern tomados en cuenta. Recurrir a la simplicidad y explicar con ejemplos puede ser una excelente estrategia. * Lenguaje extremadamente tcnico Uno de los talones de Aquiles de quienes trabajamos con tecnologa es explicar temas

miedo y generar una sensacin de inseguridad en la audiencia. Es importante comprender que ninguna organizacin funciona con la misma lgica, por lo que no siempre es posible hablar en trminos de prdidas econmicas o multas, tambin deben abordarse otro tipo de impactos tales como la reputacin e imagen, el impacto legal y otros aspectos, todo esto sin llegar a ejemplos extremos o terrorismo. * Propuestas no alineadas con el negocio Es comn que en una organizacin surjan ideas que pueden resultar descabelladas, pero que realmente aportan a favor del negocio, esto ocurre porque directa o indirectamente se encuentran enfocadas al logro de objetivos y cumplimientodelamisin. Sin embargo, el mayor fracaso de una idea desde que es concebida,

haciendo uso en exceso de un lenguaje especializadoplagadodeexpresionescomplejas otecnicismosdedifcilcomprensinparaaquellas personas que no se involucran directamente en lastareas. Estopuedesignificarperderlaatencin de la audiencia y echar abajo las posibilidades de contar con el inters y respaldo de la direccin. * No siempre funciona el terrorismo Partiendo de la premisa de que la seguridad de la informacin suele ser vista como un gasto ms que una inversin, es comn acudir a tcnicas de sugestin y terror empleando situaciones adversas de otras organizaciones para inspirar

radica en que pueda encontrarse en contrava con lo que desea la organizacin, ya que no aportar valor y puede generar una inversin innecesaria reduciendo el capital de inversin para otros proyectos. * Costos de soluciones imposibles La teora de gestin de riesgos establece que, en caso de que el mecanismo a travs del cual se controla o reduce el impacto de un riesgo cuente con un valor ms elevado que el mismo activo, no es viable aplicar dicho control. Lo anterior puede aplicarse para otras situaciones tales como solicitar inversin para tecnologas o
UNAMCERT

18

soluciones a nivel de seguridad de la informacin que son ms costosas que la misma infraestructura, o cuya utilidad como control o proteccin es mnimo con respecto al costo. Es necesario buscar soluciones viables organizacionalmente, econmicamente y que aporten al negocio. * No ofrecer utopas: la seguridad total no existe Es una realidad que no existe la seguridad total, nada puede llegar a un 1 00% de seguridad. Ofrecer esta idea o fundamentar una solucin o proyecto en esta mentira puede sernegativo para la imagen del rea o personal de seguridad, en casodequeacontezcaun incidentequeevidencie que la proteccin total no existe. Siempre existir un riesgo residual, un porcentaje de amenazacon el que la organizacin debe convivir, no se puede ignorar la presencia del mismo. * Presentaciones interminables Lacapacidad parapresentarunaideaen el tiempo adecuado, recurriendo a la sntesis y simplicidad, es una de las mayores cualidades que se deben potenciar al trabajar con temas de seguridad. Es muy probable que no exista tiempo para atender estos temas y cuando lo hay es demasiado corto, as que hay que fortalecer la capacidad de presentar rpidamente los problemas y las soluciones para lograr contar con la atencin de aquellos que toman decisiones dentro de la organizacin. No hay que morir ante el desagradable: Tiene 5 minutos para su presentacin.

puede aplicar los correctivos y sanciones cuando la seguridad de la informacin no es tomada con la debida seriedad en la organizacin. Como se puede evidenciar, hay mucho por mejorar y realizar para llegar a ese pblico tan complicado como lo es la direccin, gerencia, administracin o al rea equivalente en donde se toman las decisiones en una organizacin.

Otras recomendaciones
AscomoexisteelROI (retornodeinversin) como una medida para identificar la ganancia obtenida en virtud del capital invertido y es una de las maneras de cmo las reas de tecnologa suelen sustentar sus requerimientos y compras, la seguridad de la informacin cuenta con una mtrica similar denominada ROSI (retorno de la inversin en seguridad), con el cual es posible referenciar las prdidas que podra tener la organizacin contra los costos de los controles (tecnolgicos, derecursoshumanos, etc). Al igual que el ROI, el xito del ROSI radica en justificar ydemostrarquelainversin arealizarnoesmayor al valor del activo y de la prdida, ya que no tiene sentido aplicar controles ms costosos que el activo a proteger.

Qu buscar en la gerencia?
Una vez analizados los casos que plantean posibles fracasos, es importante recalcar que no es fcil dejar de lado esos fallos que tantas veces han hecho ir en lastre nuestros proyectos. Sin embargo, es necesario e imperativo conseguir el apoyoycompromisodeladireccin durantetodos los proyectos y actividades, pues es la direccin la que puede solicitar el cumplimiento de las polticasolacolaboracinenlosmismos, ascomo es la que aportar los recursos humanos, econmicos, logsticos, entre otros, que se requieren para hacer realidad proyectos de seguridad de la informacin, y tambin es quien

UNAMCERT

19

Para ms informacin acerca del ROI, se recomienda leer un artculo realizado por el consultor Dejan Kosutic

Referencias
[1] http://blog.iso27001standard.com/2011/06/13/is-itpossible-to-calculate-the-return-on-security-investmentrosi/ [2] http://www.iso27001standard.com/en/rosi/return-onsecurity-investment [3] http://services.nsw.gov.au/sites/default/files/backup_mi grate/manual/ROSI%20Calculator%201.2.xls

UNAMCERT

20

La importancia de las pruebas de penetracin - Parte II

Ing. Erika Gladys De Len Guerrero

El presente artculo est constituido por dos partes, la primera ha sido publicada en la edicin nmero1 2 (http://revista.seguridad.unam.mx/sites/revista. seguridad.unam.mx/files/revistas/pdf/Para%20 PDF_1 2.pdf), el objetivo es brindar al lector un panoramageneralsobreelconceptoylasventajas de realizar pruebas de penetracin, introducirse en cada etapa de realizacin de autoevaluaciones y comprender la importancia de la revisin peridica de seguridad. En esta parte del artculo se analizar el concepto junto con algunas tcnicas de escaneo de vulnerabilidades, de explotacin y reporte. Para hablar de las etapas, es necesario tener una concepcin clara de lo que son las pruebas de penetracin. Son una evaluacin de seguridad ejecutadaexactamentecomoloharaun atacante real, es decir, se descubren vulnerabilidades y se lanzan exploits intentando obtener acceso no

autorizado, modificacin de paquetes, negacin de servicio, etc., llegando hasta el punto ms crtico; el objetivo es dar a conocer a la institucin o dueo del activo, las consecuencias que podra tener en caso de no contar con las medidas necesarias de seguridad, agregando elementos para la toma de decisiones en la estrategia de seguridad.

Figura 1 . Men Fast-Track

UNAMCERT

21

Figura 2. Opcin Autopwn Automation

Elescaneodevulnerabilidadespermiteidentificar debilidades en el sistema evaluado, toma como base los detalles obtenidos durante las fases previas, el objetivo es identificar el mtodo de ataquemsefectivoypreverel tipodeinformacin que se obtendr cuando se explote la vulnerabilidad encontrada. Se debe tomar el mismo enfoque que tomara un atacante real, ver a la organizacin como un adversario potencial e intentar causarle el mayor dao posible. Existen distintos mtodos para descubrir vulnerabilidades, as como tambin existen distintas herramientas automatizadas que pueden ayudar en esta fase. Se mencionan a continuacin algunas tcnicas que pueden ser utilizadas para descubrir vulnerabilidades: 1 . Verificar la versin de software: Es una de las tcnicas ms comunes, basta con identificar el nmero de versin y compararlo con las listas de versiones vulnerables pblicas gratuitamente en distintos sitios de seguridad. En este punto, se deben verificar tambin los parches y upgrades aplicados que podran eliminar la vulnerabilidad. Aqupodran serutilizadaslasherramientaslibres nmap y amap.

software no contenga vulnerabilidades, pero podrausaralgn protocolo de red con problemas de seguridad. 3. Verificarlaconfiguracin:Esnecesarioanalizar los diferentes accesos que se podran dar, remotos, locales y con distinto tipo de privilegios, nobastasoloconanalizarsisetieneconfiguracin por default, es necesario revisar si las configuraciones aplicadas por el administrador bastan para evitar problemas de seguridad. 4.Ejecucin de exploits: Se pueden ejecutar exploits sin conocer las vulnerabilidades presentes, tomando como base el prestigio del exploitylainformacin obtenidadurante lasfases previas. Esta tcnica puede ser peligrosa ya que podra causar daos al sistema, incluyendo negacin de servicio. Sin embargo, es posible representar una tcnica muy cercana a lo que pasara en caso de ser sometidos a ataques reales. Para la ejecucin de esta tcnica existen herramientas como fast-track.pycon la opcin de autopwn Automated, es una herramienta escrita en python que formaparte de Metasploitypermite lanzar automticamente gran cantidad de exploits con tan solo indicar la direccin IP (ver Figura 1 y 2)

2.Verificar la versin del protocolo de comunicacin: Probablemente la versin de Por otro lado, existen herramientas automticas

UNAMCERT

22

que permiten la identificacin de vulnerabilidades, entre las ms comunes se pueden mencionar las siguientes: 1 .Nessus: es una herramienta con opcin comercial y gratuita, tiene como ventajas la creacin de distintos perfiles de escaneo (polticas) dependiendo del tipo de evaluacin queserequieraydel sitiodesdeel cual seejecuten las pruebas. Proporciona un formato grfico de interaccin (ver Figura 3). Nessus genera reportes categorizando las vulnerabilidades encontradas de acuerdo al impacto y asocia un identificador para cada una de ellas que facilita la bsqueda de informacin relacionada con la explotacin (ver Figura 4). Se puede obtener una breve descripcin de la vulnerabilidad, una posible solucin, referencias

2.OpenVas: Es otra opcin de software libre que posee flexibilidad en la aplicacin de distintos perfiles de evaluacin, es una herramienta cliente-servidor, a pesar de no ser tan amigable como Nessus, es una buena opcin para verificar las vulnerabilidades arrojadas por otras herramientas (ver figura 6).

Figura 5. Detalles de vulnerabilidad

La variedad de herramientas para deteccin de vulnerabilidades es muy amplia, algunas con licencia comercial como Core Impact, Saint, Retina o Qualys. Una vez identificado el mtodo de ataque de mayor viabilidad, es necesario considerar cmo se tendr acceso al objetivo, es decir, llega la fase
Figura 3. Nessus

y una calificacin dada por la calculadora CVSS disponible en http://www.patchadvisor.com/PatchAdvisor/CV SSCalculator.aspx, la cual asigna un valor al impacto tomando en cuenta distintos parmetros (ver Figura 5).
Figura 6. OpenVas

Figura 4. Reporte

de explotacin. Es la parte ms interesante de la ejecucin de pruebas de penetracin y la que lo hace diferente a un escaneo de vulnerabilidades, muchas veces llamado incorrectamente anlisis de vulnerabilidades, donde solo se llega hasta la etapa anterior, solo se localizan las vulnerabilidades sin comprobar si pueden ser explotadas.

23

UNAMCERT

Figura 7. Bsqueda de smb

Esta etapa depender totalmente de los resultados obtenidos en las etapas anteriores, por lo que cada prueba ser diferente de acuerdo a los servicios existentes y las vulnerabilidades presentes. En esta etapa se pueden realizar distintas acciones como resultado de la explotacin, por mencionar algunas: Copiar archivos hacia el objetivo Copiar archivos desde el objetivo

pueden serencontrados exploits independientes y existen frameworks completos de ataque, uno de los ms tiles e importantes es Metasploit, el cual contiene cientos de exploits aplicables a distintossistemasoperativos, adistintosservicios y a distintas versiones, contiene tres tipos de interfaces que facilitan la ejecucin. Se mostrar un ejemplo de uso de Metasploit como primerpunto, es necesario buscarel exploit

Figura 8. Resultados de bsqueda

Visualizar trfico confidencial Reconfigurar el objetivo Instalar software Tomar control total Causar negacin de servicio Usar un objetivo para llegar a otro Obtener contraseas Existe una vasta cantidad de herramientas para explotar vulnerabilidades, hay sitios donde

que se quiere ejecutar, o bien el servicio que est presente en el sistema, en este caso se realizar la bsqueda de smb (ver Figura 7).
UNAMCERT

Los resultados arrojan los exploits relacionados con smb (ver figura 8)

24

Se selecciona el siguiente exploit: auxiliary/dos/Windows/smb/ms09_050_smb2_n egotiate_pidhigh elcualafectaalossiguientessistemasoperativos: Windows Vista Windows 7 Windows Server 2008 R2 Se selecciona el objetivo con la siguiente instruccin: set RHOST 1 92.1 68.1 .71

Se selecciona el objetivo con la siguiente instruccin: set RHOST 1 92.1 68.1 .71

Se selecciona el puerto: set RPORT 445

Para comprobar las opciones seleccionadas se ejecuta: show options

Y finalmente, se ejecuta:
UNAMCERT
25

En el otro lado, en el objetivo, se puede observar una falla en el sistema. El ejemplo mostrado anteriormente solo es una pequea parte de lo que un pentester realiza al comprobar vulnerabilidades, existen otras herramientas para explotacin, algunas comerciales yalgunas libres, es necesario hacer una combinacin entre las distintas herramientas. Por otro lado, en algunos casos no existe el exploit para comprobar determinadas vulnerabilidades, por lo que es necesario generarlo, para lo cual tambin existen distintas herramientas y frameworks, incluyendo nuevamente Metasploit. La etapa final y la ms importante, es la creacin del reporte de hallazgos, ya que es en esta fase donde se comunica qu se hizo, cmo se hizo y cmo la organizacin puede eliminar las vulnerabilidades detectadas durante el anlisis, por lo que es de gran importancia generar reportes con la mayor calidad posible.

Es recomendable presentar la evidencia de manera jerrquica, ya que tomando como hecho que todas las vulnerabilidades deben ser eliminadas, existen algunas que pueden representar mayor impacto a la organizacin, por lo que es prioritaria la solucin inmediata. Es posible creer que el reporte no es importante cuando se realiza un pentest interno, pero es necesario tener una bitcora que almacene el historial del los problemas de seguridad que se han tenido, esto podra ayudar a resolver problemas en el futuro. Para concluir, es necesario decir que la tarea de un pentester no es fcil, pero es determinante para una buena estrategia de seguridad, por lo que es recomendable realizar evaluaciones internas y peridicamente (1 o 2 veces por ao) solicitar servicios profesionales.

El formato de un reporte puede ser muy variable, Referencias pero a continuacin se muestran algunos puntos que deben ser presentados: [1] Mati Aharoni. Et Al. Metasploit. The Penetration testers Tabla de contenido Resumen ejecutivo Metodologa utilizada Hallazgos ordenados de acuerdo al impacto Evidencia detallada incluyendo screenshots del hallazgo
Guide. EUA. No starch press. 2011. [2] SANS. Security 560. Network Penetration Testing and Ethical Hacking. 2009. [3] Allen Harper. Et Al. Grey Hat Hacking. The Ethical Hackers Handbook. EUA. Mc. Graw Hill. 2011.

UNAMCERT
26

Mxico, el voto electrnico y el 2012

Gunnar Eyal Wolf Iszaevich

Un reclamo muchas veces escuchado es que, dado que es imposible confiar en los individuos, corruptiblespornaturaleza, laresponsabilidaddel escrutinio de los votos debera recaer en un sistema computarizado, siempre limpio, eficiente y honesto. De eso hablaremos a continuacin.

mediodeunprocedimientopreviamentediseado, las autoridades electorales pueden indicarle que deje de recibir votos y que entregue los totales que cada una de las opciones que captur. Las primeras urnas electrnicas que cumplen con estadefinicin, lasllamadasDRE voting machines (Direct-Recording Electronic, mquinas de voto electrnico de grabacin directa) fueron puestas en prcticaampliamente hacia1 996. Al dade hoy, votan de esta manera la totalidad del electorado de pases tan grandes como la India y Brasil, as como amplios segmentos de otras naciones como los Estados Unidos.
UNAMCERT

Qu hace una urna electrnica?

Las urnas electrnicas se han propuesto desde hace mucho tiempo y muchos pases (o jurisdicciones menores) las han adoptado. En el corazn de todas las propuestas de voto electrnico est la urna electrnica. Esta es bsicamente una computadora con una interfaz de usuario limitada para solo permitir un conjunto especfico de operaciones, construida dentro de una caja o maletn que dificulte el acceso a cualquiera de sus componentes, fuera de aquel expresamente autorizado y encargado de recibir cada uno de los votos, convirtindolos en informacin almacenada electrnicamente. Por

La confianza y los aguafiestas

Si una cosa caracteriza al gremio de los desarrolladores de software es la cantidad de errores (tanto accidentales como inducidos, lo que es mucho ms peligroso) que pueden aparecer en

27

un programa, no lo perdamos de vista. El mero hecho de que exista un rea de especializacin tan importante como la seguridad informtica lo hace patente: La complejidad hasta de los sistemas ms sencillos hace imposible asegurar con toda certeza que una computadora haga lo que debe hacer. Para ilustrar: Son pocas las computadoras en el mundo que no utilizan una solucin antivirus en la actualidad. Estos programas se hicieron necesarios dadas las grandes deficiencias de

Nobel de la Ciencia de la Computacin) con el artculo Reflexiones acerca de la confianza en la confianza ; un programador siempre confa ciegamente en un conjunto de programas sobre los cuales construye (compilador, ligador, sistema operativo) y por tanto, un atacante determinadoslotienequebajarlosuficientepara plantar un troyano.

Desconfiando del DRE y de lo dems

Incluso ante el mismo programador, como profticamente lo demostr en 1 984 Ken Thompson al aceptar el premio Turing (reconocido en nuestro campo como el premio

La respuesta no se hizo esperar: A cada voto emitido, sera impreso un comprobante o testigo del voto, mismo que servira para contar los votos manualmente en caso de impugnacin. Este

UNAMCERT

diseo que tuvo el sistema operativo ms popular del planeta ante la realidad de estar permanentemente conectados a una red hostil. No importa si nuestro sistema es el ms seguro, es necesario estar al tanto de todas las actualizacionesynotasdeseguridad si queremos confiar en que nuestra computadora responde nicamente a nuestras rdenes y que lo hace de forma confiable.

Expertos en seguridad informtica no tardaron en sealar diversas fallas elementales en el voto DRE; la principal, la confiabilidad. Si los votos nicamente son grabados en la memoria electrnica Cmo puede asegurarse que reflejen fielmente el sentido del voto de cada individuo? O puesto de otro modo, cmo podra asegurarse un recuento de los votos en caso de ser necesario?

28

esquema es conocido como VVPAT (Voterverified paperaudittrail, rastroauditableen papel verificado por el votante). Sibienhasidoaceptadopornumerosossistemas electorales en el mundo, sigue sin ser suficiente. Como sugiere Federico Heinz , hay varios esquemas que podran reventar una eleccin con este planteamiento. Por ejemplo, si las personas interesadas en sabotearuna urna, tras votar, reclaman ante la mesa de autoridades indicando que la urna registr un voto contrario alo que se le solicit, podran llevaralaanulacin de todos los sufragios emitidos por dicha urna, dado que son potencialmente ilegtimos. Por otro lado, podra presentarse nuevamente el escenario que se dio en la ciudad de Nueva York en 201 0 : Al calentarse las urnas electrnicas, se emitan votos aleatorios por error. Se estima que esto pudo haber invalidado hasta el 30% de los votos efectivos de algunas mesas.

que hacan (a menos de dos meses del proceso electoral) replantearse si se emplearan o no . EnelDistritoFederal, laimplementacindeurnas electrnicas licitadas a la misma empresa que las provee en Jalisco fue rescindida, en parte, por haberse encontrado 28 fallas .

Un simulacro exitoso asegurara que no habr fallas el da de la eleccin? De ninguna manera!

Por restricciones de espacio, en este texto apenas me ha sido posible araar algunos de los puntos ms notorios del voto electrnico y de por qu, comprendiendo puntos bsicos de seguridad en cmputo y estando conscientes de la gran importancia que tiene el voto dentro de un sistema democrtico representativo, como el que aspiramos tener en nuestro pas, resulta imposible confiar en que las urnas electrnicas resuelvannuestrosproblemasdeconfianza,muy por el contrario. Se ha hablado de emplear al voto electrnico para resolver otros problemas, como el del costo o la agilidad de la transmisin de resultados. Estos puntos pueden desmenuzarse y descartarse con todava mayor facilidad que el aqu presentado. Si este breve artculo result de su inters, les invito a leer el artculo publicado a fines de 201 1 , as como el abundante material que al respecto ha generado la Fundacin Va Libre (Argentina), destacando el libro Voto electrnico: los riesgos de una ilusin, publicado en 2009 .

La futilidad de los simulacros

Este 201 2, el principal proyecto de implementacin de voto electrnico en Mxico ser en las elecciones locales del estado de Jalisco. Unodelosmuchospuntospreocupantes de este ejercicio es que, como pruebas previas a la instalacin de ms de mil urnas electrnicas en dos distritos electorales y un municipio, las nicaspruebasdeconfiabilidad disponiblespara ser analizadas pblicamente son cinco simulacros. Qu puede comprobarse en un simulacro? Que en el mejor de los mundos posibles y sin ninguna intencionalidad maligna, las urnas funcionen como dicen funcionar. En caso de haber algn componente malicioso en las urnas, es del total inters de quien lo haya sembrado que no cause ningn comportamiento inusual (para no perdersu agente encubierto sin obtener laventajaquelellevaintroducirlo). Unsimulacro busca demostrar que, bajo condiciones controladas, la eleccin no colapsa. Lo peor del caso es que en este sentido, 3 de los 4 simulacros que haban ocurrido hasta la fecha en que este documentofueescrito,registraronfallosdiversos

Referencias
1 Reflections on Trusting Trust, Ken Thompson, Communications of the ACM, Vol. 27, No. 8, August 1984, pp. 761-763 2 Urnas electrnicas: con imprimir el voto no alcanza, FedericoHeinz,FundacinVaLibre,septiembrede2010; http://www.vialibre.org.ar/2010/09/12/urnaselectronicas-con-imprimir-el-voto-no-alcanza/ 3 Machine Casts Phantom Votes in the Bronx, Invalidating

UNAMCERT

29

Real Ones: Report, The Empire, mayo de 2012; http://www.wnyc.org/blogs/empire/2012/may/09/reportsfind-machine-errors-led-uncounted-votes-2010/ 4 Pide diputada que IEPC est listo a llevar a cabo eleccin tradicional, Zaira Ramrez, El Informador, 8 de mayo de 2012; http://www.informador.com.mx/primera/2012/374801/6/pi de-diputada-que-iepc-este-listo-a-llevar-a-cabo-elecciontradicional.htm 5 Urnas electrnicas tienen 28 fallas: IEDF, Jonathan Villanueva, El Universal, 13 de abril del 2012; http://www.eluniversal.com.mx/ciudad/111073.html 6 Voto electrnico: Quin tiene realmente la decisin?, Construccin Colaborativa del Conocimiento (IIEc-UNAM), Gunnar Wolf, 2011; http://seminario.edusol.info/seco3/pdf/seco3_apend3.pdf 7 Fundacin Va Libre Voto electrnico http://www.votoelectronico.org.ar/ 8 Voto electrnico: los riesgos de una ilusin, Fundacin Via Libre, 2009; http://www.vialibre.org.ar/wpcontent/uploads/2009/03/evoto.pdf

UNAMCERT

30

Revista .Seguridad Cultura de prevencin para TI No.1 4 / Julio-Agosto 201 2 ISSN: 1 251 478, 1 251 477

UNAMCERT