Seguridad en el uso de dispositivos móviles y portátiles. Juan Carlos Rodríguez

Transcripción

1 Seguridad en el uso de dispositivos móviles y portátiles Juan Carlos Rodríguez jcrodriguez@s21sec.com

2 Confidencialidad, Integridad y Disponibilidad Confidencialidad, integridad y disponibilidad de la información gestionada desde dispositivos móviles. DISPONIBILIDAD CONFIDENCIALIDAD INTEGRIDAD

3 Dispositivos móviles En la actualidad utilizamos a diario una gran variedad de dispositivos móviles capaces de almacenar y gestionar información. Su portabilidad, y reducido tamaño permiten su transporte con facilidad, y por ello son más vulnerables a ser olvidados, perdido o robados.

4 Cómo protegernos de su robo? 1. Siendo precavidos: No llevando el móvil en el bolsillo de la chaqueta o carteras y bolsos No dejar el móvil encima de la mesa en cafeterías o restaurantes No dar pistas de que llevamos un portátil, tablet o similar con fundas muy llamativas o de diseño muy exclusivo y específico Especial atención en los controles de seguridad en aeropuertos. Pág. 4

5 Cómo protegernos de su robo? Podemos utilizar medidas disuasorias. Pág. 5

6 Podemos localizarlo? Existen sistemas de Geolocalización. Pág. 6

7 Cuando trabajamos con portátiles y smartphones Estamos seguros que no nos observan?. Pág. 7

8 Y cuando nos conectamos a redes WIFI? El pago por este servicio suele ser elevado, por ello encontrar un Punto de Acceso abierto sin contraseña!es TENTADOR!, pero Cómo podemos estar seguros de la honradez de esta conexión? Cómo sabemos que esta conexión no es un cebo para capturar el tráfico que enviamos?

9 Sabemos qué uso hacen de los smartphone los usuarios?

10 Que aplicaciones utilizan y de donde las descargan?

11 Podemos controlar de manera centralizada estos equipos?

12 Podemos controlar de manera centralizada estos equipos y sus configuraciones? BlackBerry Enterprise Server

13 Qué es lo más valioso que pueden robarnos? La información contenida en nuestros equipos Documentos laborales y privados. Fotografías y Videos personales. Mensajes de correo privados. Información sobre cuentas bancarias Reservas de viajes. Cómo protegemos el acceso a toda esta información personal y laboral?

14 Control acceso al equipo En ordenadores portátiles, se confía en el proceso de autenticación ofrecido por el S.O. Es infranqueable esta barrera?

15 Control acceso a portátiles Si tenemos acceso físico al equipo, es posible acceder al sistema de archivos sin conocer las credenciales de acceso. En sistemas Windows: Es posible iniciar el equipo desde un diskette con DOS y a continuación ejecutar utilidades como NTFSDOS para montar el sistema de archivos NTFS. Podemos arrancar el equipo con una distribución CD_LIVE_Linux y mediante utilidades existentes, cambiar la contraseña de la cuenta administrador. En sistemas Linux: Podemos arrancar el equipo con otra distribución CD_LIVE_Linux montar la partición original y editar el fichero /etc/shadow para modificar la contraseña del administrador

16 Confidencialidad de la Información Cómo podemos proteger entonces información confidencial? Utilizando la criptografía para cifrar la información mediante técnicas y algoritmos independientes de la autenticación del sistema operativo.

17 Confidencialidad de la Información Windows 2000/2003/XP incluye el sistema EFS (Encryption File System): Cifra el contenido de carpetas y ficheros de forma transparente para el usuario No solicita ninguna contraseña para el cifrado, se apoya en la cuenta de usuario utilizada para iniciar sesión.

18 Confidencialidad de la Información Aviso de Seguridad al forzar el cambio de contraseña de un usuario

19 Confidencialidad de la Información Existen diversos programas que permiten aplicar técnicas de cifrado a carpetas y ficheros. AxCrypt (Cifrado simétrico) TrueCrypt (monta volúmenes cifrados) PGP/GPG (cifrado, firma y montaje de volúmenes cifrados)

20 Confidencialidad de la Información El programa AxCrypt, se integra en el explorador de archivos.

21 Confidencialidad de la Información TrueCrypt Permite el cifrado de particiones y/o dispositivos externos o la creación de volúmenes cifrados (host-file) La contraseña de acceso puede estar almacenada en un dispositivo externo.

22 Confidencialidad de la Información TrueCrypt, Ejemplo de acceso a un volumen cifrado

23 Ocultar información, Esteganografía Práctica utilizada para ocultar la información confidencial. La técnica más habitual consiste en ocultar una información dentro de otra. (por ej. Un fichero de texto dentro de una imagen).

24 Ocultar información, Esteganografía En los sistemas Windows con particiones NTFS la técnica de streaming permite ocultar un fichero dentro de otro.

25 Borrado Irrecuperable de información Cuando en nuestro equipo se almacenan documentos confidenciales Estamos seguro que cuando los borramos o dejamos de utilizarlos no son recuperables? Sistemas como Windows proveen de la papelera de reciclaje para la recuperación de ficheros borrados accidentalmente En general, los programas de ofimática crean copias temporales de los archivos con los que estamos trabajando. Los S.O. trabajan con memoria virtual volcando temporalmente contenido del disco a RAM y viceversa. Existen utilidades capaces de recuperar información directamente de los sectores del disco.

26 Borrado de información confidencial Es necesario sobreescribir múltiples veces con datos aleatorios el contenido de los ficheros que deseamos eliminar.

27 Proteger la utilización de contraseñas Si utilizamos nuestro equipo en un lugar que no es de absoluta confianza, (un hotel, un cybercafe, ) debemos evitar la utilización de aplicaciones que requieran la identificación mediante la usuario y password sin tomar precauciones especiales para evitar su captura. Es recomendable la utilización de programas que almacenan estos pares de valores, de manera que no sea necesario teclearlos y así no ser capturados por keyloggers o videocámaras.

28 Proteger la utilización de contraseñas La utilización de una contraseña maestra abre el acceso al área protegida donde se almacenan el resto de contraseñas así como información confidencial. El acceso posterior a los servicios se realiza de forma automática y no es necesario teclear la identificación.

29 Proteger la utilización de contraseñas Este tipo de programas pueden ser lanzados desde soportes externos como pendrives USB o tarjetas SD con opción de autoejecución. Para mayor seguridad el dispositivo externo puede contar con medidas de control de acceso específicas como contraseña para acceso a zona privada o incluso utilización de biometria.

30 PDA s y Teléfonos móviles La utilización de las PDA y móviles de última generación brinda la oportunidad de acercar la ofimática y las comunicaciones a la palma de la mano. En estos dispositivos frecuentemente se almacena información confidencial, contactos de clientes, proveedores, contraseñas, Cómo se protege todo este contenido?

31 Cómo protegernos la información que contienen? Si es posible configurar el cifrado de la información tanto en el terminal como en la tarjeta externa. Pág. 31

32 PDA s y Teléfonos móviles El primer acceso al dispositivo requiere introducir un PIN secreto, pero Y si olvidamos o perdemos el dispositivo ya conectado? Tenemos bloqueado con contraseña el dispositivo tras un tiempo de inactividad? Resulta cómodo trabajar de esta manera?

33 Cómo protegernos el acceso al terminal? En los smartphones bloquear el acceso al terminal tras inactividad. Pág. 33

34 Conexiones bluetooth Permiten la conexión inalámbrica y el intercambio de información entre dispositivos compatibles. Muy utilizado para conectar otros dispositivos (auriculares, manos libres, GPS, ) a móviles y PDA s. Activado y en la mayoría de las configuraciones permite que el dispositivo sea descubierto y pueda intentarse una conexión.

35 Ataques a conexiones Bluetooth Ataques a los primeros terminales con implementaciones incorrectas de los fabricantes BlueSnarf: Extraer archivos del teléfono BlueBug: Acceso a lo comandos AT HeloMoto: Acceso a comandos AT (solo en antiguos terminales Motorola) Ataques a equipos actuales - Motorola V80 - Motorola V800 - Nokia 6310i - Nokia Nokia 8910i - Ericsson T39 - Ericsson R520m - Ericsson T68 - Siemens S55 - Siemens SX1 - Sony Ericsson T68i - Sony Ericsson T610 - Sony Ericsson T630 - Sony Ericsson Z600 - Sony Ericsson Z1010 BlueLine: Engañar al usuario para que acepte la conexión BlueMacSpoofing: suplantar la MAC de un equipo de confianza. BTCrack: Crackear el PIN y la clave de enlace de la conexión

36 Cómo mejorar la seguridad Bluetooth? No activar bluetooth si no es necesario y no dejar el dispositivo reconocible. Pág. 36

37 Recomendaciones seguridad Bluetooth Desactivar Bluetooth mientras no se utiliza Si es necesario configurar el modo de no descubrimiento No aceptar conexiones de equipos desconocidos Rechazar intentos de emparejamiento No aceptar archivos de equipos desconocidos Aunque parezca que provienen de un hot spot comercial Eliminar entrada de emparejamiento sin utilizar Suplantar la MAC_ADRR es trivial Se pueden robar claves de enlace por ingeniería social

38 Descanso Preguntas?