Mejorando la seguridad personal en el mundo virtual

Transcripción

1 6 de Febrero de 2014 Lisardo Prieto González Mejorando la seguridad personal en el mundo virtual Except where otherwise noted, this work is licensed under: c_b_n_a

2 TEMAS A TRATAR Seguridad o inseguridad de la Información? Recomendaciones y buenas prácticas para vivir (algo) más tranquilo Contraseñas. La llave digital hacia nuestra información personal Datos sensibles. Consejos para evitar problemas Comunicaciones. Cómo evitar a voyeurs y vecinos listillos 2

3 OBJETIVOS DE LA SESIÓN NO convertirse en paranoico (bueno, tal vez un poco) (es broma) Conocer problemas más comunes Saber protegerse (en la medida de lo posible) 3

4 SEGURO? Según la RAE: seguro, ra. (Del lat. secūrus). 1. adj. Libre y exento de todo peligro, daño o riesgo. 2. adj. Cierto, indubitable y en cierta manera infalible. 3. adj. Firme, constante y que no está en peligro de faltar o caerse. 4. adj. No sospechoso. 5. m. Seguridad, certeza, confianza. 6. m. Lugar o sitio libre de todo peligro. [ ] 4

5 PERO, ESTÁS SEGURO? 5

6 ENTONCES, ME VOY A VIVIR A UNA CUEVA? La respuesta es NO Puede ayudar: Fijarse más Ser cuidadoso (desconfiado) Seguir recomendaciones SENTIDO COMÚN 6

7 POR DÓNDE EMPIEZO? Por tu equipo (PC, Tablet, móvil y demás gadgets) Consejos: Mantén el dispositivo actualizado No sólo el SO, sino las apps Ej.: Actualiza siempre desde fuentes fiables (oficiales) NO uses permanentemente un usuario administrador Utiliza contraseñas fuertes o patrones complejos 7

8 POR DÓNDE SIGO? Consejos: Utiliza software anti-malware y mantenlo actualizado Deshabilita las carpetas compartidas Deshabilita ejecución automática de medios extraíbles Muestra los archivos ocultos y las extensiones de ficheros Si no te fías de algo, ábrelo en un sandbox Ej.: 8

9 VALE, ESO PARA LOS DISPOSITIVOS. Y EN INTERNET? En cuanto al navegador: Utiliza un navegador actualizado, estable y a ser posible con soporte para extensiones Cuidado con las toolbars Usa HTTPS en lugar de HTTP siempre que sea posible Extensión útil: Utilizar un bloqueador de scripts Firefox: [NoScript] Chrome: [Script Defender] Safari: [JavaScript Blocker] 9

10 YA VEO, YA En cuanto a los hábitos de navegación: Intenta evitar el acceso a servicios de banca o similar desde lugares públicos o redes inalámbricas abiertas Usa una VPN Usa siempre https y comprueba que el candado está en verde Si no es tu dispositivo, haz limpieza al terminar (cookies, historial...) Igualmente, si no es tu dispositivo, intenta llevar tu propio navegador PortableApps: 10

11 OK, ALGÚN CONSEJO PARA LAS REDES SOCIALES? Claro. Sobre todo: USA EL SENTIDO COMÚN Cuidado con las publicaciones Cachés de buscadores!!! Nada de información sensible o confidencial Configura adecuadamente la privacidad de tu perfil Quién puede leerme? Intenta que nada sea público 11

12 YA? No. Volvemos a la confianza. Cuidado con los desconocidos y la ingeniería social In cyberattacks, hacking humans is highly effective way to access systems 12

13 Y cuidado con los amigos. Sobre todo con los trolls si no quieres pasar vergüenza. 13

14 Y QUÉ HAY ACERCA DE LAS CONTRASEÑAS? Son utilizadas para proteger sistemas y servicios No son infalibles Su fortaleza depende de varios factores Cómo ha sido creada Sistema criptográfico en el que se usa la contraseña Ej: DES limita las contraseñas a ocho caracteres alfanuméricos (no permite caracteres de puntuación o especiales) y proporciona un nivel encriptación de 56-bits 14

15 ESPACIO DE REPRESENTACIÓN DE LAS CONTRASEÑAS Empezamos con los caracteres a representar (ASCII). Considerando sólo letras minúsculas abcdefghijklmnopqrstuvwxyz 26 chars. Posibles contraseñas = juego_de_caracteres longitud_de_contraseña 15

16 ESPACIO DE REPRESENTACIÓN DE LAS CONTRASEÑAS Empezamos con los caracteres a representar (ASCII). Considerando sólo letras minúsculas y mayúsculas abcdefghijklmnopqrstuvwxyzabcdefghijklmnopqrstuvwxyz 52 chars. Posibles contraseñas = juego_de_caracteres longitud_de_contraseña 16

17 ESPACIO DE REPRESENTACIÓN DE LAS CONTRASEÑAS Empezamos con los caracteres a representar (ASCII). Considerando minúsculas, mayúsculas y números abcdefghijklmnopqrstuvwxyzabcdefghijklmnopqrstuvwxyz chars. Posibles contraseñas = juego_de_caracteres longitud_de_contraseña 17

18 ESPACIO DE REPRESENTACIÓN DE LAS CONTRASEÑAS Empezamos con los caracteres a representar (ASCII). Considerando todos los caracteres imprimibles abcdefghijklmnopqrstuvwxyzabcdefghijklmnopqrstuvwxyz !"#$%&'()*+,-./:;<=>?@ [\]^_` { }~ 95 chars. Posibles contraseñas = juego_de_caracteres longitud_de_contraseña 18

19 ESPACIO DE REPRESENTACIÓN DE LAS CONTRASEÑAS LONGITUD min minmay minmaynúm todos ,35092E ,02807E+12 3,52161E+12 6,98337E ,08827E+11 5,34597E+13 2,1834E+14 6,6342E ,4295E+12 2,77991E+15 1,35371E+16 6,30249E ,41167E+14 1,44555E+17 8,39299E+17 5,98737E ,67726E+21 5,49604E+25 7,6891E+26 4,63291E ,99281E+28 2,08962E+34 7,04423E+35 3,58486E ,36774E+35 7,94481E+42 6,45345E+44 2,7739E ,8132E+42 3,02065E+51 5,91222E+53 2,14639E ,34247E+49 1,14846E+60 5,41638E+62 1,66083E ,97131E+56 4,3665E+68 4,96212E+71 1,28512E ,71846E+63 1,66016E+77 4,54596E+80 9,94403E ,60618E+70 6,312E+85 4,16471E+89 7,6945E+98 Unos 8 órdenes de magnitud Casi 30 órdenes de magnitud Unos 2 órdenes de magnitud por carácter adicional 19

20 CÓMO SE ALMACENAN LAS CONTRASEÑAS? Por lo general empleando una función de hashing Procedimiento matemático de una vía Pequeños cambios en la entrada, grandes cambios en la salida MD5, SHA-1, SHA-512, Whirlpool En ocasiones, aplicando salt En ocasiones, aplicando iteraciones (re-hash) MD5(TechFest) = 677CC2E391AFBD458FD3D1E644987C7F MD5(T3chFest) = 1A60F50131D373E48BF04D Whirlpool(TechFest) = DC1E2F051DD47F4E13AB6E3534B503248CBC87FDA96E15035A6A62AB365BF B A48C7FA2EB2AB CFEBE24B BC2A26DE26DF346 Whirlpool(T3chFest) = ED9F6D70E20F7E55AE1F79DF7CFEB58C029E6D CBA4681C526DC741B15 6FC95EFFD6D6119E66A08BEAC C8121B5E1E223E496B789CBC2E111 20

21 INTENTANDO OBTENER CONTRASEÑAS ( DE OTROS?) Tres métodos principales: Ataques por diccionario Se prueba de forma automática con un listado de palabras comunes La eficiencia es casi nula con contraseñas seguras Tablas rainbow Método desarrollado por Philippe Oechslin Tablas con resultados de hashes pre-computados Compromiso tiempo-espacio No aplicable en caso de que se hayan usado salts desconocidos Fuerza bruta Se prueba de forma automática con TODAS las posibles combinaciones Infalible. Sólo es cuestión de tiempo 21

22 FUERZA BRUTA? SUENA BIEN No tanto. Veamos algunas cifras: Usando un alfabeto ASCII completo imprimible (95 chars.) y un clúster de 25 GPUs: MD5(pass 8 ) 180 mil millones pw/s 9,4 horas SHA-1(pass 8 ) 61 mil millones pw/s 27 horas SHA-512(pass 8 ) 71 mil pw/s 2800 años SHA-512(pass 30 ) 71 mil pw/s 9,59 x años 22

23 FUERZA BRUTA? SUENA BIEN SHA-512(pass 30 ) 9,59 x años Según el proyecto WMAP de la NASA la edad del Universo es de: (13,7 ± 0,2) 10 9 años Aún así, teniendo en cuenta el consumo energético del clúster (18750 W/h) serían necesarios 1,57 x W (aprox. energía de la Vía Láctea visible) + = INVIABLE 23

24 VEAMOS UN EJEMPLO CON LAS TABLAS RAINBOW Elementos utilizados: M$ Windows XP Pro SP3 M$ Windows 7 Pro SP1 (64 bits) Ophcrack live tablas rainbow 24

25 CÓMO GENERO CONTRASEÑAS SEGURAS? Para empezar de forma visual: ECO ECO ECO 25

26 CÓMO GENERO CONTRASEÑAS SEGURAS? El tamaño importa. Mucho. Utiliza caracteres de las cuatro categorías Minúsculas, mayúsculas, números y símbolos especiales Prueba a sustituir caracteres por símbolos equivalentes Espacios!!! No pongas datos personales (nombre, cumpleaños ) Intenta que no contenga palabras completas Trata de utilizar frases Me gusta mucho el T3chFest 2014 = Mgu$t4 Mch0-e)_t3chF3$t

27 CÓMO GENERO CONTRASEÑAS SEGURAS? O con software específico Recomendado KeePaSS Password Safe 27

28 Y QUÉ HAY DE LOS DATOS PRIVADOS? Recomendable protegerlos. La joya de la corona. TRUECRYPT 28

29 VEAMOS UN EJEMPLO MÁS PECULIAR [FORÉNSICA] Cuando los datos no han estado cifrados pero se han borrado Cuando le prestamos una memoria flash a un amigo CUIDADO: Si no se han realizado escrituras, la información sigue estando Recuperación de datos: RECUVA [Windows - ] TESTDISK [GNU Linux - ] 29

30 SOLUCIÓN AL CASO ANTERIOR Herramientas de borrado seguro Por ejemplo ERASER 30

31 QUÉ MEDIDAS PUEDO TOMAR PARA PROTEGER MI WIFI? Para empezar, cambia la contraseña de admin del router Default passwords list: Utiliza una contraseña larga y compleja para la red El generador de KeePass es muy útil! Configura los siguientes parámetros *** Seguridad: WPA2-PSK sólo con AES * SSID Oculto ** Filtrado por lista MAC *** Deshabilitar WPS (Wi-Fi Protected Setup) 31

32 Y ESO ES TODO POR HOY Alguna pregunta? 32