En esa sección se voy a publicar básicamente dos tipos de notas. Uno, paso a paso de cómo resolver problemas cuyas soluciones son muy difíciles de hallar en la web. El otro, formas locas de cómo hacer cosas de las que no hay información en la web.
Empiezo con un tutorial sobre cómo resolver un problema de booteo de FreeNAS. Encontrar la solución me costó varias horas habiéndome paseado por decenas de blogs y tutoriales. En la mitad, las condiciones de error no eran exáctamente la misma que el mío. En la otra mitad, las soluciones eran incorrectas. Después de horas de prueba y error llegué a solucionarlo, así que decidí compartirlo.
Nota por Carlos Benitez
Carlos Benitez es un reconocido experto en seguridad de la información.
Alarma la escasez de profesionales en ciberseguridad en todo el mundo. Se estima que este año la diferencia entre demanda y oferta alcanzará a casi a 3 millones de profesionales.
No hace falta decir que a medida que pasa el tiempo el mundo se va informatizando exponencialmente. De más está decir también, que el efecto colateral es que la “ciberinseguridad” crece al mismo ritmo.
Empresas, gobiernos, ONGs, nuestras propias casas; en todos los ámbitos se deben tomar medidas adecuadas de ciberseguridad. La complejidad, la especificidad y la velocidad con la que aparecen las vulnerabilidades y las medidas de protección, hacen que sea irremediablemente necesaria la intervención de profesionales en el área. Esos profesionales, además, deben estar altamente calificados.
Del mismo modo que en otras disciplinas, existen estudios que analizan la necesidad de profesionales. En particular, la organización ISC(2) (International Information System Security Certification Consortium) viene realizando este tipo de análisis cada 2 años desde 2004.
El informe se denomina GISWS (Global Information Security Workforce Study). Su objetivo es hacer un seguimiento del impacto del clima económico en los miembros del consorcio. Se toman en cuenta salarios en ciberseguridad, perspectivas de contratación, presupuestos, amenazas y muchos otros aspectos.
Para tener una visión amplia del problema, y debido a que cada año las encuestas y los análisis fueron cambiando, armé este gráfico utilizando el GISWS y otras fuentes. La figura muestra la evolución de oferta y demanda laboral en el mundo en puestos relacionados con ciberseguridad desde 2003 hasta 2018.
Oferta vs. demanda histórica de profesionales de ciberseguridad en el mundo
Ya en el informe del GISWS de 2005, aparece en la página 8 una frase premonitoria. Menciona que si se les aumentara el presupuesto en ciberseguridad a las empresas, éstas incorporarían más profesionales. Pero que, por otro lado, “Anecdóticamente, muchos proveedores de servicios de seguridad están luchando por encontrar candidatos apropiados para cubrir vacantes dentro de su fuerza laboral de ciberseguridad.“
Lo que posteriormente se ve muy claro es que a partir del 2013 se empieza abrir una brecha entre la demanda de profesionales de ciberseguridad y la oferta. Esta escasez se fue ampliando con los años hasta llegar hoy a 2.9 millones de profesionales en todo el mundo.
Las razones que mencionan los diferentes informes son variadas. Una de las principales es la necesidad de especialización que es sensiblemente mayor que en otrar ramas de IT. Esto parece que no hace tan atractiva a la disciplina, a pesar que los salarios a nivel mundial son muy altos.
Otra, por ejemplo, es el desinterés de los Millenials o post-Millenials a trabajar en el área. Esto lleva a que la mayor parte de los puestos estén cubiertos por profesionales de más de 40 o 50 años, con una limitada capacidad de recambio.
La realidad es que la cantidad de ciberincidentes crece año a año, así como el costo de los fraudes o las intrusiones. Por otro lado, se sabe desde hace años que el punto clave para tener una buena ciberprotección en una organización es la gente. Sin embargo, algo pasa que no es posible cubrir esas necesidades y que las organizaciones hagan enormes e infructuosos esfuerzos en estas búsquedas. Este se convierte entonces, en otro ámbito en el que los malos de la película, parecen estar ganando.
Nota por Carlos Benitez
Carlos Benitez es un reconocido experto en seguridad de la información.
Si bien la blockchain fue creada para soportar la primer criptomoneda, hoy en día existen muchos otros usos de esta tecnología más allá del bitcoin. Luego de la primera y la segunda, en esta tercera y última parte, les mostraré otros de los usos no-criptomoneda de la blockchain. En este caso, las aplicaciones son bastante más extrañas…………………………………………………………………………………….
#9- Mascotas virtuales
El concepto de la mascota virtual no es nuevo, hace 20 años aparecieron los famosos Tamagotchi que los dueños deberían cuidar y alimentar para que no murieran. La diferencia hoy con los CriptoKitties es que estos últimos no viven en un llavero, sino en la blockchain. Del mismo modo que los viejos Tamagotchis, estas nuevas mascotas virtuales corresponden a un “juego centrado en criaturas criables, coleccionables y tan adorables que llamamos CryptoKitties! Cada gato es único y 100% de su propiedad; no puede ser replicado, retirado o destruido.“
#10- Certificados académicos digitales
Desde el año 2015, el MIT inició un proyecto para que todos los certificados de estudios académicos que cursen sus alumnos, se incorporen a la blockchain. Si esta iniciativa se aplicara a nivel masivo, permitiría reducir drásticamente los fraudes en la presentación de títulos académicos.
#11- Verificar la autenticidad de las Zapatillas
Otro objeto de copias y falsificaciones en todas partes del mundo son las zapatillas de alta gama. Es por esto que la empresa Chronicled creó un método para incorporar las zapatillas a la blockchain. De esta forma, un chip insertado en cada calzado puede verificarse contra la blockchain y saber si éste es verdadero o falso. Para evitar que los chips de zapatillas verdaderas sean sacados e introducidos en zapatillas falsas, las antenas se rompen al tratar de extraerlas. Por otra parte, y dado que alguien podría venderle sus zapatillas a otros, las funciones en la blockchain permiten la transferencia.
#12- Consentimiento sexual
En enero de 2018, la empresa LegalThings, especialista en contratos inteligentes sobre la blockchain, lanzó una aplicación llamada LegalFling. Esta aplicación también tiene el propósito de validar contratos, pero en este caso muy particulares: el consentimiento sexual entre los participantes. Los responsables de LegalThings dicen que se inspiraron en el movimiento #MeToo.
La aplicación móvil está disponible para iPhone y Android y va más allá de registrar si el usuario consiente en tener relaciones sexuales. También puede especificar los requisitos y si acepta ciertas prácticas. Algunas de ellas van desde compartir fotos y videos hasta usar o no preservativo, declarar que no padece enfermedades venéreas o que se pueda usar lenguaje explícito durante el encuentro. Una vez dado de alta el contrato, se envía una solicitud a su potencial pareja sexual. Al recibirlo, ésta decide si acepta o rechaza los términos. Esta aceptación o rechazo registra en la blockchain, por lo que ninguna de las partes puede alterar ese registro después de ese momento. Tampoco puede alegar que su contraparte aceptó la relación sexual si es que en la blockchain quedó registrado que no. Del mismo modo, no puede alegar que no aceptó tener la relación, si en la blockchain quedó almacenado el sí.
Como puede verse, el concepto de la blockchain está redefiniendo muchos aspectos de la vida de las personas. Mucho más allá del propósito con el que fue el creado: el soportar una criptomoneda. Ahora es sólo cuestión de imaginación de algunos y aceptación de muchos para que la blockchain se incorpore en nuestras vidas de forma mucho más abarcativa.
Nota por Carlos Benitez
Carlos Benitez es un reconocido experto en seguridad de la información.
Si bien fue creada para soportar al Bitcoin, hoy en día existen muchos otros usos de la Blockchain. En esta segunda parte veremos otros de los usos no-criptomoneda, pero no tan obvios como los de la parte 1…
……………………………………………………………………………………
#5- Sello de Tiempo
Esta aplicación fue desarrollada en nuestro país. Corresponde a un modelo que recientemente comenzó a utilizar la misma nic.ar para sellar con el tiempo exacto y de forma incorruptible las altas y transferencias de dominios de Internet de Argentina. La aplicación se denomina Sello de Tiempo y fue desarrollada por la Blockchain Federal Argentina.
La aplicación está disponible y puede ser utilizada por cualquiera que desee preservar la autenticidad y los tiempos en la publicación de documentos.
#6- Social Media
Varias plataformas (como Steemit.com, Busy.org, DTube y Utopian.io) funcionan con la Blockchain Steem. La criptomoneda que utiliza como base, no podría llamarse de otra manera que… STEEM. Todos estos sitios web almacenan todo el contenido de sus publicaciones en la Blockchain. De esta forma preserva el contenido en forma inmutable, y recompensa a los usuarios por sus contribuciones con STEEMs.
Una de las curiosidades de utilizar la Blockchain para almacenar publicaciones, es que es resistente a la censura. Eso significa que no es posible eliminar los posteos una vez publicados. Precisamente esto fue lo que ocurrió cuando The Dark Overlord, publicó inicialmente que ellos poseían los documentos robados de 11-S. Si bien las publicaciones fueron sacadas de línea, hoy se pueden recuperar gracias a que están en la Blockchain.
#7- Internet of Things
Un área que está usando la Blockchain para darle seguridad a una tecnología que carece de ésta por completo, es la de Internet de la Cosas.
Para esto existen proyectos como Atonomi o Chain of Things cuyo objetivo es brindar seguridad a todas las “cosas” conectadas. Obviamente, debe integrarse al alguno de los proyectos. Por otra parte, y más en el mundo de la industria, se crearon proyectos específicos. Waltonchain, por ejemplo, da transparencia y precisión a la cadena de suministros de cualquier industria. Ambrosus tiene una función similar, pero sólo se aplica para la industria farmacéutica. En estos últimos dos casos, se utilizan sensores RFID adosados a los componentes. De esta forma se pueden rastrear los artículos a lo largo de todo el proceso dentro de la cadena de suministros.
#8- Privacidad
Otra de las tantas iniciativas que busca evadir la censura en Internet, es el proyecto Privatix. A través de esta aplicación, se crea una red VPN descentralizada de entre usuarios individuales (P2P). La misma se soporta en la Blockchain y permite mantener la privacidad de las actividades de los usuarios.
Bueno, ¿pero eso ya no lo hacía Tor? Sí, pero Tor es tremendamente lento y sus nodos detectables, por lo que Tor no es seguro. La privacidad se soluciona en Privatix con redes VPN, pero ¿cómo soluciona el problema de la velocidad? Es ahí donde interviene la Blockchain. Privatix permite que los integrantes de los nodos vendan ancho de banda disponible a otros nodos. De esta forma, el ancho de banda que tendrá cada usuario es el que decida comprar del sobrante de otros nodos. Para dichas transacciones se utiliza PRIX, que es un token del tipo ERC20 de Ethereum.
Y todavía hay más aplicaciones… …esto, todavía continúa…
Nota por Carlos Benitez
Carlos Benitez es un reconocido experto en seguridad de la información.
El próximo viernes 1 de febrero (el “DNS Flag Day”) cambia parte de la implementación del software de servidores DNS en todo el mundo y algunos dominios podrían dejar de funcionar.
Los componentes que cambiarán son algunas configuraciones y parches poco ortodoxos que vienen siendo instalados desde hace casi 30 años.
¿Porqué se instituyó el DNS Flag day?
Los detalles se encuentran descriptos en el sitio DNS flag day. Tal como allí se explica, el sistema para resolver nombres en Internet se ha vuelto innecesariamente lento. Esto se debe a implementaciones de algunos servidores que no cumplen con el protocolo EDNS (Extension Mechanisms for DNS). Si bien este protocolo fue creado a principio de los ’90, nunca se logró implementar completamente. Algunas de estas configuraciones corresponden al uso de balanceadores de carga o firewalls configurados de forma incompleta o incorrecta.
Esto hizo que el sistema global de DNS se haya vuelto lento y que deje la posibilidad de que se generen fácilmente algunos tipos de ataques de Denegación de Servicios (DoS). La comunidad y un conjunto de las principales empresas de tecnología decidieron poner un punto final a esta situación. Y le pusieron fecha.
¿Qué pasará ese día?
El 1 de febrero de 2019 todas estas configuraciones y parches que mencionamos anteriormente dejarán de funcionar. Esto significa que todos los servidores DNS que estén mal configurados podrán, desde funcionar mucho más lento, hasta directamente dejar de resolver algunos nombres de dominio.
Por otro lado, el uso completo de EDNS agrega funcionalidad nueva que incluye mecanismos de protección contra algunos tipos de DoS que no podía ser utilizada hasta ahora.
¿Qué tenemos que hacer?
Si tenemos registrados dominios de Internet, debemos verificar si los servidores que resuelven esos nombres de dominio cumplen con el estándar o si se verán afectados y en qué medida. Para ello debemos ingresar a:
Si estas herramientas automáticas detectan errores en las configuraciones, mostrarán los pasos a seguir o cambios a realizar para solucionarlos. Es importante realizar estas verificaciones y, de ser necesario, los cambios antes del 1 de febrero próximo.
De esta forma, y casi 30 años después, lograremos entre todos, poner el DNS en orden…
Nota por Carlos Benitez
Carlos Benitez es un reconocido experto en seguridad de la información.
Un exitoso ataque a la blockchain de Ethereum Classic (ETC) pone un llamado de atención sobre la ciberseguridad en estas tecnologías.
El ataque fue del tipo (mal llamado) 51% en el que la potencia de cálculo para validar transacciones es tal, que se pueden reescribir bloques anteriores falsificando transacciones ya validadas.
La noticia fue dada a conocer por el personal de seguridad de Coinbase el lunes pasado. Mientras monitoreaba las actividades de la blockchain, uno de los responsables de ciberseguridad descubrió transacciones de “doble gasto” por 219.500 ETC, unos 1,1 millones de dólares.
El ataque se efectuó sobre varios sitios de intercambio de criptomonedas. Comenzó en Binance y luego siguió con Bitrue sobre la moneda Ethereum Classic, una derivación de la original Ethereum. Ambas criptomonedas se utilizan para administrar contratos inteligentes y la principal diferencia entre ambas es filosófica.
El día de ayer, la empresa Slow Mist dedicada a la ciberseguridad del ecosistema de las criptomonedas, publicó un informe. En el mismo se detalla en forma precisa el ataque que tuvo lugar entre domingo y lunes pasados.
Si bien, a pesar del ataque, el valor del ETC no varió sustancialmente, el ataque del 51% que hasta ahora se consideraba teórico es real y, por lo visto, bastante fácil de realizar. A pesar de esto, el ataque fue detectado y las billeteras virtuales involucradas fueron suspendidas. Esta reacción de los cripto mercados fue muy diferente al mismo ataque sufrido por Zencash a mediados de 2018. En este caso, los dueños del proyecto tuvieron que cerrarlo. De hecho, por la falta de confianza, hoy el proyecto se reabrió, pero con otro nombre: Horizen.
¿Qué es el ataque del 51%?
Como se mencionó anteriormente, el nombre dado al ataque es incorrecto, pero más fácil de mencionarlo de esa forma. El concepto, indicado por el mismo Nakamoto en su paper, es: “El sistema es seguro siempre y cuando los nodos honestos controlen colectivamente más potencia de CPU que cualquier grupo de nodos atacantes que cooperen“.
Esto significa que como la blockchain confía en la información que posee la mayoría de los nodos, la única forma de engañar el sistema es que el atacante posea mayor cantidad de nodos que la blockchain honesta. Estrictamente, eso significa que para que un ataque sea exitoso, deberían existir el 50% más un nodo en poder del atacante. Y para ser más estricto y preciso aún, la potencia de CPU que se utiliza para validar las transacciones, debe ser mayor al 50% de la potencia total empleada en la blockchain. Eso puede ser el 51%, o bien el 50,1%, o bien el 50,000000001%. Dada la complejidad del concepto, al ataque se lo llama, simplemente “el 51%“.
¿Qué es el doble gasto?
Este tipo de fraude es intrínseco a las monedas digitales. Implica que si se posee una cantidad de dinero digital en una billetera digital, y parte de este dinero se tranfiere a otra para, por ejemplo un pago, se pueda copiar la misma transacción enviándola a otra billetera digital. De esta forma se logra duplicar el monto original. La blockchain evita este tipo de problemas debido a que cada transacción es almacenada y debidamente validada en la blockchain. Además, una vez efectuada, no es posible revertirla o modificarla. La validez de esa transacción está dada porque existe una masa crítica de nodos “honestos” que la validan. Es aqui donde entra a jugar el ataque del 51%, único caso en el que se puede romper dicha validación y producir el fraude.
¿Qué se puede esperar?
Es verdaderamente muy pronto para decirlo. El auge de las criptomonedas en los últimos años hizo que surgieran más de 1600 criptomonedas además del bitcoin. Con ellas surgieron cientos de servicios y negocios asociados. El hecho de que se haya podido efectuar un ataque hasta ahora teórico a la blockchain, significa que los diferentes actores intervinientes en esta actividad tan revolucionaria, compleja y frenética, tengan que pensar seriamente en los mecanismos de ciberseguridad a agregar a la propia blockchain.
Estimo que simplemente estamos en un momento de acomodamiento. Por lo tanto, decir que la blockchain va a morir por estos ataques exitosos, es tan descabellado como decir que toda la economia mundial se va a basar en un futuro solamente en criptomonedas. Simplemente es un llamado de atención.
ULTIMA NOTICIA
Hablando de la volatilidad y del acomodamiento; estaba terminando de escribir esta nota, cuando me entero de la terrible baja que sufrieron muchas de las principales criptomonedas el día de hoy entre las 03:30 y las 03:40 de la mañana (hora argentina):
Las cotizaciones de muchas de las principales criptomonedas, se han derrumbado. Las caidas rondan el 12% en promedio. Lo que llama la atención no es el porcentaje sino la simultaneidad. Una posbile explicación puede tener que ver con el proyecto bakkt, un sistema de criptomonedas regulado surgido en Wall Street. Los responsables vienen postergando su lanzamiento por diversos motivos. Inicialmente iba a ser el 12 de diciembre de 2018. Luego anunciaron que lo postergaban al 24 de enero de 2019. Pero anoche se corrió un rumor que segurmente impactó en los criptomercados: anunciaron que por el Shutdown del gobierno de EE.UU., el lanzamiento se posterga indefinidamente sin fecha cierta.
Como dije anteriormente, es una época de acomodamientos. No tiene demasiado sentido hablar de absolutos en este mundo que a la terrible complejidad de la criptografía de bloques, ahora le agrega la volatilidad de los mercados mundiales. Una volatilidad que va a permanecer seguramente por muchos años.
Nota por Carlos Benitez
con la colaboración de Fabrice Dubois
Carlos Benitez es un reconocido experto en seguridad de la información.
