World.Party 2020: evento online de la asociación Hack%27
Este mismo viernes comienza la World.Party 2020, una conferencia sobre el conocimiento hacker y la inteligencia colectiva de la asociación Hack%27, con HackMadrid y HackBarcelona. Se extenderá durante 10 días.
Así del 20 al 29 de Noviembre de este año pandémico de 2020, tendremos multitud de charlas, en pro del Conocimiento Hacker y la Inteligencia Colectiva.
Se trata de la tercera conferencia anual, después de las realizadas en 2018 (Linux.Party) y 2019 (Tech.Party). La diferencia básica es que este año será totalmente online. Pero no por ello es menos atractiva. Muy al contrario, entre sus objetivos, además de difundir y compartir el conocimiento para ser libres, se va a experimentar a través de proyectos a largo plazo.
TECNOideas en la World.Party 2020
Nosotros hemos apoyado este evento. El año pasado nos estrenamos con la asociación HackMadrid en su evento Tech Party 2019, así que este año no podíamos faltar. Y menos en un momento en que los eventos online empiezan a saturar a la audiencia, y hay que diferenciarse.
Nuestro patrocinio este año también irá al CTF, “capture the flag”.
Para quien no lo conozca, se trata de un concurso donde hay que superar diferentes pruebas de hacking en un escenario controlado por la organización, con diferente puntuación por prueba y método. Habrá premios, pero en este momento aun están por decidir.
Los eventos de Hack%27 no son los habituales al uso, no son corporativos, ni de productos, ni servicios comerciales, son de hackers y para hackers, conocimiento compartido o pensamiento crítico y científico (el año pasado me enganché a las tesituras actuales de la computación cuántica desde que vi una charla sobre el tema).
Los temas destacados de este año son:
- Hacking, Hacktivismo, Redes de anonimato especiales, Ciberseguridad, OT & Inteligencia Artificial
- Programación, Programación Funcional y Cuántica & Software/Hardware Libre
- Energías Renovables, Economías Transparentes, legalidad y temas Sociales
- Reciclaje Tecnológico, Inteligencia y Contrainteligencia
- Blockchain, Linux InstallParty, CTF, Hack-a-thons, Hack Art
La inauguración es este viernes a las 18.00 y a partir de ahí un extenso programa. Los temas a tratar ya veis que son de vital importancia y los ponentes de primera línea.
Podéis ver la agenda detallada del evento AQUÍ.
Nuestro compañero Jordi Ubach, estará presente el Domingo 29, día de cierre, ya que lo bueno se hace esperar, a las 12 del mediodía, justo para el vermú, con la charla “Forensic de alto voltaje“, un caso real un ataque y posterior análisis forense, a una subestación de subministro eléctrico en una planta de producción industrial. Objetivo: Concienciar sobre el peligro de la exposición de este tipo de activos industriales
Y si aun no estáis convencidos del todo, dejarnos explicaros un poco lo que es la comunidad internacional de hacking: Por Ciento 27, de ahí que aparezca siempre el %27.
Forman parte de esta comunidad HackMadrid, que a su vez es una comunidad que intenta estar a la vanguardia en la investigación y experimentación del mundo hacker. La comunidad internacional, en la que también está HackBarcelona, tiene comunidades en Miami, Nueva York y San Francisco. Todas ellas impulsan el uso de tecnologías de software libre y colaboran entre ellas para compartir conocimiento y hacking inteligente. En este mismo blog ya os habíamos presentado estas comunidades. Lo podéis recordar AQUÍ.
Si queréis ver un evento distinto, o seguir charlas diferentes, enfocadas desde otros puntos de vista, tenéis que apuntaros este evento en vuestras agendas. Y si no podéis seguir todas las charlas os recomendamos que al menos sigáis algunas y sus ponentes. La mejor forma de descubrir otros mundos y otros genios.
- Publicado en Evento, General, Sobre TECNOideas
ProMonitor: un servicio antipiratería y de reputación online
Una empresa de servicios como la nuestra, no puede estar cerrada nunca a las peticiones de sus clientes y a la evolución de los servicios que requiere el mercado. Es así como a veces comenzamos aventuras sin darnos prácticamente cuenta.
Hoy os queremos contar un caso de éxito surgido de estas necesidades y de nuestro conocimiento en diferentes áreas.
La realidad es que tras un par de peticiones por parte de unos clientes descubrimos que podíamos prestar un nuevo servicio muy concreto. Y que además el mercado no lo tenía cubierto y lo necesitaba. Así que nos pusimos a trabajar y poco a poco avanzamos hasta la creación de ProMonitor. El proyecto se convirtió en un éxito hasta el punto que decidimos que tuviera vida propia más allá de los servicios que prestaba TECNOideas 2.0 ciberseguridad.
ProMonitor: un servicio antipiratería y de reputación online que son cuatro servicios muy ligados entre sí
Tener vida propia significa, entre otras cosas, que hemos creído conveniente crearle su propia web: ProMonitor.es.
Si navegáis un poco por ella veréis que se trata de ayudar a proteger el contenido digital o físico de su venta fraudulenta en Internet; del monitor reputacional de personas, marcas o empresas y del proceso de venta de los e-commerces.
Todo comenzó con el encargo de un cliente, que nos pidió que indagáramos sobre la posibilidad que hubieran pirateado sus productos físicos. El cliente creaba un producto artesanal, de alto precio y que vendía por Internet. Tras haber vendido varias unidades a un cliente de China, se percató que sus ventas habían bajado más de un 50%.
Empezamos a trabajar y, efectivamente, encontramos copias del producto original que se vendían a un 10% del valor inicial. Y además nuestro cliente no recibía nada por ello.
Como somos peritos judiciales redactamos informes periciales, y acompañamos a nuestro cliente en todo el proceso judicial que aun sigue a día de hoy.
Este hecho nos abrió los ojos y contactamos con otro cliente que se dedica a la formación online grabada. Lo hicimos porque éramos conscientes que en su sector hay mucha piratería. Muchos de sus cursos se vendían en Internet a un precio irrisorio sin que el verdadero propietario de los derechos recibiera nada a cambio.
Nuestro cliente se prestó a que estudiáramos su caso, que funcionó y tuvimos éxito, por lo que luego contactamos a otras empresas del ramo.
Así que con todo probado, pasada la fase Alpha y la Beta, y teniendo ya varios clientes, lo hemos puesto en orden y perfeccionando. Para ello acudimos a una empresa hermana, ORION ANALISTAS, de manera que ahora ofrecemos un servicio más completo a nuevos clientes que tengan la piratería por condena, tocada su reputación online por trolls, o que crean que la venta de sus productos físicos o su proceso de postventa no es del todo óptimo.
En resumen, ProMonitor significa un servicio antipiratería y de reputación online que consta de cuatro servicios interconectados:
• Antipiratería de productos digitales
• Protección de productos físicos en la venta online
• Monitor reputacional, comentarios falsos
• Certificación de calidad en los procesos de compra
Así que si haces contenido digital, cobras por él, o tienes productos físicos que fabricas tu o tu empresa, eres o tienes una marca, en la que te influye la reputación online a la hora de los ingresos, o tienes un e-commerce, y quieres auditar el proceso de después de la compra, en ProMonitor te podemos ayudar.
- Publicado en Consultoría, General, Privacidad, Protección de datos, Seguridad, Sobre TECNOideas
¿La ciberseguridad supera a la ciencia ficción?
Buena pregunta, ¿verdad? Seguro que más de uno de vosotros ha pensado en esa posibilidad más de una vez. Y es lógico si pensamos, por ejemplo, que la Inteligencia Artificial (AI) puede basarse en el sistema inmunitario humano para combatir amenazas o que un algoritmo puede averiguar las palabras escritas por una persona en una videoconferencia sin verle las manos ni el teclado. Os presentamos unos ejemplos de hasta donde puede llegar la ciberseguridad actualmente.
Let’s Encrypt es una autoridad de certificación gratuita, automatizada y abierta creada en 2016 y que proporciona certificados para el cifrado de seguridad. Con ello supera el proceso manual de validación, firma, instalación y renovación de los certificados de sitios web seguros. Ahora Let’s Encrypt tiene un nuevo certificado y el antiguo caducará el 1 de septiembre de 2021. Así es que los software que no se han actualizado desde 2016 no confiarán en este nuevo certificado y sus webs quedarán bloqueadas aun siendo totalmente seguras.
Problemas con las versiones antiguas de Android: perderán compatibilidad en el 2021
Este problema afectará especialmente a los modelos antiguos de Android, concretamente a los anteriores a la versiones 7.1.1, que perderán compatibilidad a partir de esa fecha. Android tiene viejos y conocidos problemas con las actualizaciones del sistema operativo. Para los usuarios de versiones antiguas de Android, Let’s Encrypt recomienda instalar la versión móvil de Firefox. Podéis leer más sobre este tema en la propia web de Let’s Encrypt.
La Biblioteca Apostólica Vaticana confía en la IA para proteger sus manuscritos y documentos históricos
El Papa Nicolás V (1397-1455) fundó la Biblioteca Vaticana, un recinto que ahora posee unos 80.000 documentos. Algunos de ellos son importantísimos manuscritos y documentos históricos. En el año 2012 empezó un proceso de digitalización que durará años. En la actualidad “solo” el 25% del total se ha digitalizado.
Pero desde que empezó el proceso, la Biblioteca sufre una media de 100 amenazas al mes. Esto ha llevado a un acuerdo con la empresa Darktrace, una compañía de inteligencia artificial especializada en defensa cibernética, que tiene su sede en Cambridge y en San Francisco.
Lo que hace preguntarnos ¿La ciberseguridad supera a la ciencia ficción? es que usa una tecnología que se basa en el sistema inmunológico humano, de forma que detecta cambios que podrían ser originados por cualquier tipo de ciberamenaza. Esto es de suma importancia para la Biblioteca Vaticana, temerosa que su valiosa colección pueda ser robada, manipulada o destruida totalmente. Podéis ver las explicaciones que ofrece Darktrace en su comunicado de prensa.
También podéis adentraros más en la Inteligencia Artificial leyendo nuestro artículo sobre el tema.
La ciberseguridad supera a la ciencia ficción cuando es posible saber lo que escribe una persona sin ver ni sus manos ni el teclado.
Aquí tenemos otro ejemplo de que la ciberseguridad supera la ciencia ficción. Un estudio de las universidades de Texas y Oklahoma ha demostrado que existe una técnica de análisis de la señal de imagen cuyo algoritmo permite averiguar hasta el 80% de las palabras escritas por una persona durante una videoconferencia. Y eso es válido para llamadas efectuadas en plataformas como Zoom, Skype o Google Met.
Lo curioso del caso es que lo consigue solo con analizar los movimientos del cuerpo, hombros y brazos. El algoritmo detecta cada pulsación en una tecla aunque las manos queden fuera del plano, al igual que el teclado.
Sin embargo el estudio revela que la posibilidad de conocer las palabras que se escriben también depende de factores como la técnica de escritura de las personas, la webcam o la vestimenta de la persona. Los más curiosos podéis ver el artículo científico AQUÍ.
Google Drive permitirá a sus usuarios abrir
archivos encriptados
Y acabamos con la noticia que Google quiere introducir una función que conseguirá que los usuarios de Drive podrán abrir y descargarse archivos cifrados. No es ningún secreto que el almacenamiento en la nube es usado masivamente por los usuarios por su comodidad. Pero también lo es que no se trata de un sistema seguro. Podéis leer un post nuestro al respecto. Por eso, desde hace tiempo reclamamos que quien quiera usar Drive de forma segura debe seguir unos pasos mínimos, como el uso de un contraseña, la habilitación de la autentificación de dos factores o añadir aplicaciones que puedan ser compatibles con Google Drive, como es el caso de Boxcryptor o el que nosotros os recomendábamos en el post antes mencionado, Cryptomator.
Podéis leer la noticia en la web XDA-Developers, una extensa comunidad de desarrolladores de software para dispositivos móviles.
24 intensas horas en HoneyCon 2020
Pues sí, finalmente se ha celebrado en Guadalajara, en plena Castilla-La Mancha, la tan esperada Conferencia de Ciberseguridad HoneyCon. Este año, en su sexta edición, con un formato on line y con un programa de lo más interesante que ha obligado a la organización a plantear un reto: ¡nada menos que 24 intensas horas de HoneyCon! Una auténtica maratón para dar cabida a tantas ponencias, charlas y talleres.
No podía ser de otra manera tratándose de un certamen que se ha hecho un merecido hueco en el calendario de la ciberseguridad en España e Iberoamérica. Los que seguís este blog ya estabais puntualmente informados, porque ya publicamos un post previo al evento.
Así que el sábado 7 de Noviembre y durante 24 horas non-stop, pudimos disfrutar de esta conferencia organizada por la asociación guadalajareña, Honeysec. Se trata de una asociación sin ánimo de lucro cuyo objetivo es fomentar las buenas prácticas en materia de seguridad informática y en el uso de las nuevas tecnologías.
La conferencia se desarrolló en tres salas diferentes: canal en castellano, canal en inglés y canal talleres. La relación de participantes era extensa y se incluían expertos de Estados Unidos, Brasil, Argentina, Colombia, India y naturalmente de España, el grupo más numeroso como es lógico.
Imposible en este post hablar de todos ellos, pero la buena noticia es que los vídeos de la jornada ya los tenéis disponibles en la web del congreso. Os esperan, de momento, tres vídeos de charlas en castellano (de ocho horas cada uno de ellos) y otros tres vídeos de los talleres.
También los podéis disfrutar mediante Twitch y Youtube, este último a través de Palabra de Hacker, que fueron los que emitieron en streaming durante las 24 horas.
Participación de TECNOideas 2.0 en estas 24 intensas horas de HoneyCon 2020
TECNOideas 2.0 apoyó a la organización como patrocinador colaborador, junto a otras empresas como Oxford, Atalanta, Telefonica, Hack by Security o la Asociación Profesional de Puertos de Nuevas Tecnologías.
Aprovechamos el evento para estrenar nuestros nuevos vídeos promocionales, que podéis ver desde ahora en el canal de YouTube de TECNOideas 2.0.
Creemos que os van a sorprender y el título que hemos escogido ya os da una pista: “Historia diaria de un hacker”.
Y de paso que estáis ahí, podéis suscribiros y así podremos avisaros cuando colguemos nuevos vídeos en nuestro canal.
Ponencia de Jordi Ubach en HoneyCon: “ICS forensic, history telling sobre subestaciones eléctricas”
Como sabéis, TECNOideas 2.0 está también especializada en ciberseguridad industrial. Por eso nos permitiréis que destaquemos la ponencia que nuestro estrecho colaborador Jordi Ubach realizó en HoneyCon. Bajo el título “ICS forensic, history telling sobre subestaciones eléctricas” explicó el caso real de ataque a una subestación eléctrica. Podéis ver toda su ponencia de una hora de duración en nuestro canal de YouTube.
La presentación de Jordi corrió a cargo de Yolanda Corral, periodista y formadora especializada en ciberseguridad, que destacamos por su buen hacer como maestra de ceremonias y presentadora durante estas intensas 24 horas en HoneyCon 2020.
Nueva versión GuardedBox, y es ya la 2.0
Uno de los mayores riesgos en el que ponemos a nuestros sistemas tiene lugar con el envío de información sensible a través de email o mensajería instantánea, pensando que eso es seguro. Craso error. Eso es un peligro público. Por suerte hay softwares que os permiten hacerlo con total seguridad y uno de los mejores, que además es “made in Spain” y gratuito, es GuardedBox. Ahora acaban de presentar la nueva versión GuardedBox, la 2.0.
Pues como nosotros, GuardedBox llega a la versión 2.0, un software para compartir datos sensibles entre usuarios o entre diversas personas de un mismo grupo. Léase también de la misma empresa.
También acarrea nuevo logo, porque ya se sabe, versión nueva, logotipo nuevo. Aquí os lo presentamos.
Para los que no conozcáis todavía GuardedBox, deciros que es un software online, que sirve para almacenar datos y contraseñas, de forma segura y para compartirla entre una persona o un grupo. Nació en abril de este año y un poco después ya os hablamos de él en este mismo blog.
Probamos el sistema y realmente es de uso sencillo y seguro, por lo que nos atrevimos a recomendarlo vivamente. Desde su salida al mercado los responsables de GuardedBox ya empezaron a trabajar en mejorar sus prestaciones. A través de su Twitter llevaban tiempo adelantado las nuevas funcionalidades de esta versión, pero al comprobar el changelog uno se asusta al ver todo lo que han sido capaces de mejorar:
- Cambio de contraseña
- Secretos de grupo editables
- Dispositivos de confianza con 2FC
- Secretos offline
- Protección contra Rainbow Tables
- Cuenta atrás o temporizador de fin de sesión
- Y varios más…
Describirlos todos costaría un par de post, pero si queréis saber más, podéis consultar su changelog.
Antes os decíamos que GuardedBox era un software creado en España. La empresa que lo creó y que está detrás de la nueva versión GuardedBox es DinoSec. Se trata de una compañía independiente de seguridad fundada en España en el año 2008. Y sus responsables son Mónica Salas y Raúl Siles, analistas de seguridad y fundadores de DinoSec. La tercera pata de la empresa es Juan José Torres, el creador original de GuardedBox.
Para conocerlos mejor y saber más del producto, TECNOideas los entrevistó. Podéis leer la entrevista AQUÍ.
Si sois de los que trabaja en equipo y pensáis, como nosotros, que enviar contraseñas por WhatsApp, Telegram o email, es caduco y poco seguro, tenéis que usar este software, que además, de momento, es gratuito.
TECNOideas 2.0 ciberseguridad tiene entre sus servicios la consultoría de ciberseguridad, por si su empresa no cuenta con un CISO, o necesita una versión externa. Nosotros usamos varias soluciones en nuestro día a día, y como no las recomendamos, cada una de ellas.
- Publicado en Consultoría, General, Hazlo tu mismo
Vais a tragaros Microsoft Edge aunque no lo queráis para nada
Microsoft da un paso más en su política de forzar el uso del navegador Edge y anuncia que redirigirá automáticamente hacia Edge a las webs incompatibles con Internet Explorer que sus usuarios quieran abrir. Vais a tragaros Microsoft Edge aunque no lo queráis para nada.
El 15 de enero de 2020 Microsoft empezó a distribuir el nuevo Microsoft Edge, que se basaba en Chromium y que era compatible con todas las versiones admitidas de Windows y macOS. Cuando los usuarios se descargaban el nuevo Edge se reemplazaba automáticamente la versión heredada del Internet Explorer en los PC con Windows 10.
Hay que recordar que Microsoft Edge es el navegador HTML que se lanzó junto al Windows 10 en el año 2015 y fue el predeterminado en los PC’s con Windows 10.
Este verano la compañía tecnológica decidió forzar la instalación del navegador Edge en todos los PC’s que actualizaran con cierto parche de Windows 10.
Estas actualizaciones contenían en sus descargas el identificador “2020-08 Microsoft Edge Update for Windows 10 version 2004 (KB4576754)” y afectaba a los Windows 10 1809,1903,1909 y 2004.
Una actualización posterior era exclusiva para Windows 10 1803.
Lo peor del caso es que al instalarse automáticamente, todos los datos del usuario del antiguo sistema se mudaban al nuevo navegador, incluidos los iconos en el menú de inicio.
Ahora Microsoft da un paso más y vais a tragaros Edge aunque no lo queráis para nada, porque la nueva versión estable de Microsoft Edge va a redirigir automáticamente a Edge a las webs incompatibles con Internet Explorer. Dicho de otro modo: si hasta ahora el Edge solicitaba al usuario que manualmente cambiara de navegador, ahora ya lo hará de forma automática. Para ello Microsoft dispone de una lista de páginas webs incompatibles y entre ellas algunas tan importantes como Instagram, Twitter o Google Drive. Y es que cada vez hay más páginas web que tienen diseños incompatibles con Internet Explorer.
Podéis ver la noticia en el blog oficial de Microsoft AQUÍ.
Hay que decir que esta vez Microsoft va a solicitar a los usuarios el permiso para copiar sus datos de navegador, así como las preferencias del Explorer para pasarlas a Edge y el usuario lo podrá rechazar.
Edge tiene sus defensores. Muchos usuarios ven con buenos ojos que la compañía incluya su navegador en el sistema Windows, como hacen otras marcas con los suyos. Y añaden que realmente Edge ofrece muchas ventajas sobre Chrome, como la optimización del uso de la memoria y, especialmente, el respeto absoluto a la privacidad que Chrome no ofrece.
TECNOideas 2.0 ofrece múltiples servicios relacionados con la ciberseguridad, como podéis ver AQUÍ. Pero también ofrecemos asesoría en temas tecnológicos. Confiad en nuestros profesionales expertos.
Ante la imaginación, preparación
Sabemos que los delincuentes, ya sean analógicos o en su versión digital o ciber, echan mano de su imaginación para darle la vuelta a todo lo que hacemos, poder vulnerarnos, y sacar provecho económico de ello, que es su último fin.
A las bien sabidas y conocidas campañas de información falsa de la Agencia Tributaria, la Seguridad Social, Correos, couriers diversos, etc. desde hace algún tiempo están enviando emails con archivos compartidos.
Estos archivos compartidos están en Drive, Onedrive, Dropbox, etc. y como no tienen malware. Los “malos” envían comunicaciones masivas para ver si alguien pica, y cuando haces click y descargas el archivo, voilà!
También hemos recibido algún email al correo corporativo, por anuncios que tenemos o hemos tenido en diferentes e-commerces, plataformas de venta, o sitios de anuncio, con la misma técnica, e incluso sms con links.
Hace ya un tiempo, y creo que sigue vigente, también había mensajes en las redes sociales, sobre todo Facebook, e incluso links a juegos, que no eran tal, cuando se puso tan de moda que se compartiera con los amigos y se jugaran a los mismos juegos.
Aunque parezca que venga de un medio fiable, nadie nos va a enviar un prepago de una gran cantidad (si es un anuncio de venta), o nuestro amigo de toda la vida ahora le ha dado por aprender inglés y enviarte un correo en ese idioma por primera vez, o somos los afortunados herederos de una gran fortuna o de alguien que quiere invertir en nuestra idea, aunque no la tengamos (la gente sigue picando), y así etc.
Sentido común, cierta desconfianza, que no miedo, y comprobar, tanto los ficheros adjuntos como los links a la mínima sospecha (en VirusTotal por ejemplo, como hemos explicado en otro artículo).
Si su empresa necesita formación, para afrontar esta problemática, o consultoría y/o una auditoría para intentar mejorar la seguridad de sus sistemas de información, TECNOideas presta todos estos servicios y alguno más. Contáctenos sin ningún compromiso.
- Publicado en Consultoría, Formación, General, Hazlo tu mismo
HoneyCon 2020, otro apoyo de TECNOideas a un gran evento
Desde que empezamos nuestra especialización en seguridad, hace ya dos años, apostamos por tener una estrecha relación con el mundo Hacker, de donde provenimos gran parte del equipo técnico. Ahora le toca el turno al congreso HoneyCon 2020.
HoneyCon es un congreso de seguridad informática que organiza HoneySec, una asociación sin ánimo de lucro que tiene su sede en Guadalajara.
Pero este año va a tener un formato diferente al del año pasado, donde ya estuvimos presentes, tal y como anunciamos en este blog.
Y es que dadas las circunstancias actuales, incluso estuvo en el aire su celebración. Pero finalmente ya tiene fechas seguras: será el fin de semana del 7 y 8 de noviembre. Recordamos que antes de la crisis sanitaria se prolongaba durante toda una semana en Guadalajara. Además, la pandemia obliga a que no pueda ser presencial, por lo que la edición de este año será online.
Sin embargo, el formato es un poco diferente a todos los “onlines” actuales, ya que será una maratón de 24 horas de duración, que comenzará el 7 de noviembre.
TECNOideas en HoneyCon20
Nuestro compañero Jordi Ubach ha sido escogido para dar una charla sobre uno de los temas que más nos apasionan porque somos expertos : la ciberseguridad industrial. De hecho, poseemos la certificación más alta del Centro de Ciberseguridad Industrial.
Jordi Ubach realizará la charla, de la historia real de un ataque a un sistema de control industrial considerado como crítico. Se trata de una subestación eléctrica de distribución, que daba servicio a mas de 25.000 personas. Un ataque real donde se realizó un análisis forense de dispositivos como SCADA, PLC, RTU, etc.
TECNOideas 2.0 estará presente y aprovechará el congreso para dar a conocer sus nuevos vídeos promocionales. Os avanzamos que os sorprenderán, porque son divertidos y en un formato que no suele verse en nuestro sector. ¡No os los perdáis!
- Publicado en Análisis forense, Errores, General, Informática industrial
En el 2022, ¿coche eléctrico, híbrido o de gasolina? ¡Coche ciberseguro!
El sector automovilístico está en una transición histórica que ha de llevar a un cambio total del modelo de movilidad actual. Pero antes de la llegada de todos los cambios anunciados, llegará el coche ciberseguro.
A partir del año 2022 todos los coches que se vendan deberán tener un certificado de ciberseguridad.
Quizá algunos de vosotros todavía cree que la ciberseguridad es cosa de ordenadores, móviles, tabletas y con un poco de suerte, de la industria 4.0. Pero no, la ciberseguridad llega a todos los campos de nuestra vida. ¿Creéis posible hackear un automóvil? Pues sí, evidentemente, eso es posible.
Si tenéis un coche de gama alta, ya habréis visto que el navegador es capaz de deciros dónde has estado, cuánto tiempo has empleado en una parada o señalarte los últimos hoteles o restaurantes en los que has estado. Los coches han ido incorporando nuevas tecnologías, se conectan a internet, los ponemos en marcha si necesidad de llaves, sincronizan sus dispositivos con todos nuestros dispositivos electrónicos, etc. Los coches eléctricos ya están aquí y en un futuro muy cercano tendremos coches totalmente autónomos. Seguro que ya conocéis las pruebas que están haciendo al respecto empresas como Google o Tesla.
para poder venderse en Europa.
Foto: imagen de Noupload en Pixabay
Todas estas opciones se conjugan con medidas de seguridad, cada vez más inteligentes, como detectar el sueño del conductor por el movimiento de los ojos, el desviarse de un carril o el pararse delante de un peatón. Pero todas estas tecnologías aumentan la posibilidad de acceso remoto a nuestro vehículo y modificar ilegalmente su software por ondas. Traducimos lo que eso puede significar: manipular a distancia el ABS, los frenos, la dirección, los sistemas de alerta, el Bluetooth, los airbags y por supuesto la llave con mando a distancia. Según el RACE, se roban más de 42.000 coches al año en España y un delincuente sólo tarda 29 segundos en robar un coche de alta gama. (Ver la noticia en El País).
Nueva regulación para 2022: llega el coche ciberseguro
Para impedir todas estas prácticas que afectarían a los propietarios y ocupantes de los vehículos, pero también a los fabricantes, a las fuerzas y cuerpos de seguridad y a los operadores de las infraestructuras de movilidad, las autoridades han empezado a trabajar en nuevas reglamentaciones. Así la Comisión Económica de las Naciones Unidas para Europa está ya trabajando una regulación específica de seguridad que debe ver la luz este mismo año.
Por su parte la Unión Europea ha propuesto en su nuevo Reglamento Europeo de Seguridad (ver el de 2019) que los automóviles que no tengan un certificado de ciberseguridad validado no se podrán vender en Europa a partir de 2022.
Todas estas regulaciones, en general, tienen dos vertientes. Por un lado los fabricantes deberán obtener una certificación conforme sus vehículos disponen de un sistema de gestión de ciberseguridad en todas las fases de construcción.
Y por otro lado se exigirá a los fabricantes que cada modelo concreto de vehículo se certifique en ciberseguridad.
Bien, no queremos dejaros asustados, así que también os diremos que ya es posible saber si un vehículo es ciberseguro o no, porque hay una empresa, Eurocybcar que se ha especializado en evaluar y prevenir los riesgos de ciberseguridad de los coches con un test relativamente sencillo.
El tema de la ciberseguridad en el mundo del automóvil ya ha empezado a tratarse en algunos eventos del sector. Lo pudimos comprobar en la conferencia de la asociación Hackplayers H-Con que tuvo lugar en Madrid a principios de este año y donde TECNOideas 2.0 estuvo presente.
Aparte de los servicios que anuciamos en nuestra web y folletos publicitarios, hemos comenzado a ofrecer auditorías Tisax, para la seguridad de los automóviles. También se ha de tener en cuenta la información que puede heredar, un comprador o vendedor de vehículos de segunda mano, dentro de los dispositivos del vehículo: gps, agenda, contactos, etc….
La RPGD es muy clara, y la Unión Europea no ha tardado en poner multa, tanto a operadores de alquiler, vehicle Sharing, o concesionarios de segunda mano. Los datos son los datos, no solo en dispositivos informáticos.
- Publicado en Consultoría, General, Noticias, Seguridad
La ciberseguridad industrial también existe (II). Ataques al nivel “1” en OT
“Ataques al nivel 1 en OT” es el segundo artículo que publicamos de nuestra anunciada serie sobre ciberseguridad industrial OT.
Como el anterior, titulado “Primera línea de defensa OT, el cortafuegos”, el autor es nuestro estrecho colaborador Jordi Ubach.
El conjunto de normas ISA99 comenzó a desarrollarse con la entrada del nuevo siglo, pretendiendo dar un nuevo empuje a la seguridad de los sistemas de control industrial y creando para ello un conjunto de documentos que ayudasen al incremento de la protección de estos sistemas frente a ataques informáticos.
La generación de esta norma fue a cargo de la International Society of Automation, (ISA), una sociedad de ingenieros, técnicos, comerciantes, educadores y estudiantes creada en Pittsburgh (Estados Unidos) en 1946. La ISA posee también en la actualidad una sección española.
Fue esta asociación la que creó estos estándares de automatización a partir de diferentes grupos de trabajo, cada uno de los cuales se ocupó de una parte del conjunto de normas.
Poco a poco, desde la inicial ISA99 se fue avanzando para adecuarse a la nomenclatura de la Comisión Electrotécnica Internacional (IEC de la voz inglesa) hasta llegar a la IEC62443.
Evolución del conjunto de normas: de la ISA99 a la norma IEC62443.
La automatización es el primer nivel del ISA99, entre la parte física con los sistemas de control mas básicos, los PLCs y y sus periféricos, los sensores y actuadores en general. Consta de toda la parte eléctrica-electrónica y de control. Los PLCs son máquinas simples que realizan un programa cíclicamente.
Hasta aquel momento, en general, los elementos de sensorización del nivel “1” , estaban cableados, por lo que el nivel de intrusión, era nulo debido a la barrera física. Pero actualmente esta preocupación va al alza, debido a los múltiples elementos de sensorización, detección, posicionamiento, etc. que funcionan basándose en conectividad inalámbrica, ya sea wifi, Bluetooth, o NFC (Near-Field Communication).
Esta conectividad proporciona una serie de ventajas técnicas, pero a la vez, es una “puerta de entrada” directa a los sistemas y buses de comunicaciones que anteriormente no existía. Por si esto fuera poco, hay que añadir una preocupante falta de seguridad en los sistemas, ya que en la mayoría de ocasiones carecen de la mínima configuración en materia de ciberseguridad, sin credenciales o las credenciales por defecto, y utilizando softwares o apps de terceros para su configuración.
(Ver figuras 2 y 3).
Intrusión en sistemas industriales y mínima
configuración de ciberseguridad.
Una posible intrusión no controlada de estos elementos, puede causar graves problemas en los sistemas de control industrial, ya que sus valores o consignas pueden modificarse de forma aleatoria, pudiendo causar graves daños, principalmente en la parte del nivel 1 y 2, además de propagar los daños a la parte física de la infraestructura.
Para mitigar dichos ataques, debemos ser conscientes del tipo de dispositivos que vamos a instalar, además de configurar de forma segura los mismos, estableciendo credenciales robustas y evitando, en la medida de lo posible, el acceso no controlado a estos sistemas.
Otra buena medida es disponer de sistemas de detección de intrusos (IDS).
Sistemas que carecen de la mínima ciberseguridad
utilizan softwares o apps de terceros.
Todo esto nos lleva a preguntarnos sobre la seguridad de la implantación de estos nuevos dispositivos, abriendo una vez más la “puerta” a nuevas intrusiones, que parecía que teníamos controladas.
La proliferación de estos dispositivos pone de nuevo en el punto de mira una parte de esa “pirámide”, que afecta de forma vertical al resto de la infraestructura.
Hay que pensar en buenos profesionales para impedir los ataques al nivel 1 en OT.
TECNOideas 2.0 es una empresa de ciberseguridad que tiene una importante rama de especialización en ciberseguridad industrial OT.
Poseemos la certificación profesional de más categoría (nivel negro) del Centro de Ciberseguridad Industrial, entidad de referencia del sector.
Jordi Ubach
Consultor-formador en Ciberseguridad
Forense informático. Lead auditor ISO 27001
ICS security Consultant
@jubachm
linkedin.com/in/jordi-ubach-9971a1a5
Ver el primer capítulo de
La ciberseguridad industrial también existe:
Primera línea de defensa OT, el cortafuegos (firewall).
- Publicado en Consultoría, Formación, General, Informática industrial, Seguridad
Español 
Català