Entrevista a FlagHunters by HackMadrid
Como sabéis los que nos seguís habitualmente y los que no, os lo explicamos ahora, nos encantan las conferencias donde se comparte conocimiento de y para hackers o futuros hackers. Por ello intentamos colaborar, en la medida de lo posible, en cuantas más mejor.
Hace ya un par de años que empezamos a colaborar con HackMadrid y su TechParty. Así que cada vez que se lían la manta a la cabeza, intentamos estar a su lado.
Para que no haya malentendidos y por si todavía tenemos a alguien que ignora el significado real de la palabra hacker, debéis leer este artículo de nuestro blog y su segunda parte, que tenéis AQUÍ.
Una vez ahuyentado el miedo a la palabra nos adentramos en lo que es HackMadrid. Ya os adelantábamos en la introducción que se han hecho fuertes en la organización de CTFs, tanto para ellos, (el último fue en abril), como para otras CON de España. Os recordamos que un CTF es un juego, que toma el nombre del inglés Capture the Flag.
Hoy charlamos con los responsables de la organización de estos CTFs, para que nos expliquen cómo surgió, qué hacen, cómo lo hacen y lo que nos espera en el futuro.
Para empezar, para los que todavía no os conocen, ¿qué es HackMadrid y HackBarcelona? ¿Y flagHunters?
HackMadrid es una comunidad no solo orientada al hacking sino a la tecnología y la filosofía de vida del hacker, esta orientada para todos los niveles, desde los que se quieran iniciar hasta para los mas avanzados.
Hackbarcelona parte de esa misma filosofía, buscando emular y compartir con esencia propia lo mismo de una manera regional mas arraigado en la zona de Cataluña.
Buscan compartir el conocimiento con el mismo formato, que vendría a ser charlas, talleres CTFs, etc.
Por otra parte, flagHunters nace como equipo de CTF para HackMadrid que luego, por su peculiaridad, se amplió a todo el ámbito nacional e internacional. Tenemos jugadores de casi todas las regiones de España y nuestra estrella es de Bolivia.
¿Como surgió la idea de organizar vuestro primer CTF? ¿Y lo de ayudar a otras CON?
Pues nace de la misma forma en que nace el equipo. Si se tiene un equipo para jugar, también el equipo esta en su deber formativo y de retribución de poder crear contenido para los demás, para compartir conocimiento.
Lo de ayudar a otras CONs, va de lo mismo es dentro de la misma ambicion de compartir y colaborar, es llegar y prestar servicio a aquellos que necesitan ayuda, en este caso la de nuestra especialidad.
Hemos hablado algunas veces en este blog de los CTF. Pero para los que aún no lo saben, ¿podéis explicarlo? ¿Cómo ayuda a los hackers o posibles o futuros?
El CTF para resumir, es un juego de conocimiento, en donde hay una series de retos que hay que superar para ir consiguiendo banderas dentro de los mismos. Las banderas tienen una puntuación que se va acumulando y al final gana el que tiene mas puntos.
La parte que ayuda a los demás es precisamente la parte del conocimiento, pues estos retos ayudan a compartir diferentes puntos de vista, tanto del creador como de los que resuelven el reto. Por un lado los que resuelven adquieren conocimiento nuevo, además de desarrollar ese “músculo” tan preciado que es el cerebro. Este nuevo conocimiento adquirido, si se comparte, pues se comparten diferentes soluciones a un mismo problema. Luego está el lado del desarrollador de los retos, que comparte su problema y también su solución.
Ya organizáis, y corregirnos si nos equivocamos, los siguientes CTF:
World party 2020, MorterueloCon, MoonCTF, HBSCon, World party 2021. Y además tenéis en mente PaellaCTF, que forma parte del World Party 2021 ¿Alguno más?
Pues sí, queremos como objetivo de equipo, establecer dos CTF por año. Serian el MoonCTF y el PaellaCTF (CTF que variará la temática), además de seguir colaborando con nuestras CONs amigas.
“Un CTF es un juego de conocimiento, en donde hay una series de retos
que hay que superar. Hay una parte importante de ayuda a los demás
para compartir conocimiento.
Si se tiene un equipo para jugar, también el equipo esta en su deber formativo.”
Con esta influencia a nivel de CONs y CTF, casi podríais montar una liga nacional. ¿Os atreveríais? ¿Qué ayuda necesitaríais? Nos referimos tanto a nivel organizativo como humano y económico, a ver si alguien que nos lee se anima a echar una mano.
Pues es la idea que tiene el loco de Specter metida en la cabeza. Sinceramente, la idea, no solo a nivel nacional, sino también internacional, es que si se juntan bien las cosas, pues sí somos capaces de atrevernos y creemos que podemos realizarlo con las manos adecuadas.
Lo que más necesitamos, como punto numero uno y más allá de los egos, es una unificación organizativa de empresas que quieran participar y meterse. Lo segundo que necesitaríamos es un acuerdo entre las diferentes CONs que quieran participar en el proyecto. Ambos serian sobre todo para la parte de capital dinerario, para los premios, que es lo que motiva bastante a la participación y apoyo a los equipos (transporte, mercadería, dietas, alojamiento, etc.). Pero también para la parte de difusión y atracción del publico local en las diferentes regiones. Por ultimo y no menos importante, estaría el factor humano, que sería principalmente los hacedores de retos, para que así todos pudieran disfrutar.
Soléis tener entre 200 y 300 participantes. ¿Cuál es el perfil tipo? ¿Podéis hablarnos un poco de ellos… edades, si son profesionales del hacking, qué nivel tienen, de qué países son mayoritariamente, etc.?
De los que solemos conocer en las redes las edades son muy variadas. No se puede definir un rango concreto, esto está casi como los puzles de 10 – 99 xD- El nivel de profesionalidad igual, vienen de todos los niveles, incluso gente que ni ejerce. Y del tema de países, de momento podemos hablar de todo lo que es habla hispana, cosa que quisiéramos que se ampliara.
¿Cuál es la principal barrera para que haya aficionados que no se atrevan a dar el paso e inscribirse? ¿El nivel? ¿El miedo a no estar a la altura? ¿Qué les diríais para que se animen?
Pues que no tengan miedo. Y mucho menos con nosotros, ya que aquí hay para todo y de todo. Recuerden que el conocimiento nos hace libres.
Faltan pocos días para que comience el Paella CTF 2021.
Os podéis registrar AQUÍ.
- Publicado en Entrevistas, Evento, General
Yolanda Corral: “Si no quieres invertir en ciberseguridad porque lo consideras un gasto, empieza a ahorrar para el roto que te provocará la falta de ella.”
Como en tantas otras disciplinas, la comunicación también juega un papel muy importante en el mundo de la ciberseguridad. Hoy queremos acercarnos a él de la mano de Yolanda Corral. Valenciana por nacimiento y de vocación, periodista, formadora especializada en ciberseguridad, conferenciante, presentadora de eventos, congresos… La lista es larga y es que en España la figura y el trabajo de Yolanda no sólo está reconocido, sino que además no tiene tregua.
¿La ciberseguridad en general, goza de buena comunicación en España?
Digamos que obtenemos un aprobado raspado pero acompañado de un “progresa adecuadamente”, no solo en España, sino a nivel general en todo el mundo. Transmitir el importante papel que juega la ciberseguridad en el día a día de todas las personas no es una labor fácil pero es vital.
Creo que todo el mundo puede estar de acuerdo que WannaCry (un programa dañino de tipo ransomware que provocó un ataque a escala global en 2017) supuso un antes y un después. Que un incidente de ciberseguridad ocupara la apertura de los informativos en todos los medios a nivel mundial fue crucial para que poquito, muy poquito a poco, la ciberseguridad fuera un tema que comenzara a entrar en la agenda de los medios. Pero debería hacerlo con más fuerza e intensidad. Lo que toca es informar y concienciar y eso pasa por hablar de estos temas, no cuando hay un incidente, sino en cualquier momento, en cualquier lugar, en cualquier formato. Por eso todavía hay un amplio margen de mejora para poder decir un sí rotundo a esta pregunta y es prioritario que se actúe.
Dicen que los sabios son distraídos y que los técnicos e ingenieros informáticos no saben comunicar ¿es merecida esta fama?
Las generalizaciones nunca son buenas. Hay personas con una destreza y habilidad comunicativa tremenda para hacer entendible cualquier tema tecnológico, científico, astronómico, médico o de cualquier tipo. Y hablando claro, es lo que nos corresponde a cada uno, todos tenemos que intentar no quedarnos con nuestro conocimiento en una urna de cristal sino transmitirlo, comunicarlo, expandirlo y hacerlo en un lenguaje asequible a todo el mundo.
“La ciberseguridad debe comenzar a entrar en la agenda de los medios,
pero con más fuerza e intensidad. Lo que toca es informar y concienciar
y eso pasa por hablar de estos temas, no cuando hay un incidente,
sino en cualquier momento, en cualquier lugar, en cualquier formato”.
Desde luego que el cliché de la limitada capacidad de comunicación de las personas técnicas existe, pero eso no es algo que se otorgue con la titulación. Las habilidades comunicativas se deben trabajar sea uno ingeniero, astronauta, profesor, jardinero o informático. Yo es un tema en el que insisto mucho; en cualquier charla o formación siempre recomiendo que se trabaje la expresión oral rompiendo el miedo a hablar en público pero también la expresión escrita.
Que tu alias digital sea “yocomu”, ¿es una cuestión de principios?
El origen de mi alias realmente vino dado. El primer correo electrónico que tuve me lo generaron en la universidad, así que yocomu son las iniciales de mi nombre y apellidos. Esa composición, su sonoridad, siempre me ha gustado y la he mantenido desde entonces. No me he planteado si es una cuestión de principios, pero sí de querer destacar de forma implícita mis apellidos por igual.
Tu formación inicial es la de periodista y vinculada al medio que más te gusta, la televisión. ¿Cómo y cuándo descubriste que la ciberseguridad iba a ser tu sector?
Creo que nos descubrimos mutuamente la ciberseguridad y yo. Más que MI sector es un sector más en el que considero que tengo algo que aportar como profesional.
Echando la vista atrás, el entusiasmo por lo que rodea a la ciberseguridad se remonta a mediados de 2013. En un canal de YouTube que codirigía organicé un debate online sobre seguridad en la red enfocado en menores y de ahí derivó todo. Fue el inicio para dedicar un programa mensual a temas de ciberseguridad. Desde entonces es cierto que ya no he dejado de enfocarme en el tema, de conocer muchísima gente de la que aprender y no he dejado de hacer cosas por y para la comunidad.
Nunca fue una cosa premeditada de origen, pero sí, cada paso dado desde entonces me ha acercado, y me acerca más a la ciberseguridad. Me siento muy cómoda, cada día alimento mi curiosidad, aprendo muchísimo y he encontrado la forma de aportar valor a la sociedad en este sector desde la comunicación y la formación. Ya lo confesé en una de mis primeras charlas, ‘la ciberseguridad me ha mutado’ así que sigo avanzando en ese descubrimiento mutuo.
También has creado algunos canales informativos y divulgativos, como Palabra de hacker. ¿Qué cuentas en él?
Palabra de hacker como indica su lema, nació para ser el lugar donde el verbo hackear y el sustantivo seguridad se dan la mano, para aprender con los mejores profesionales. Yo derivo la palabra a grandes profesionales de la ciberseguridad para aprender de ellos y con ellos, para acercar conocimiento a todo el mundo, tanto profesionales como estudiantes, aficionados y cualquier persona común que necesite informarse o profundizar en esta temática a través de ciberdebates, charlas, talleres, entrevistas… Mi empeño siempre pasa por hacer ‘ciberseguridad de tú a tú’ ya que es importante que cualquier persona pueda entender estos temas, no solo el personal técnico, por lo que comentábamos al principio. Lenguaje asequible para todo el mundo con el objetivo de divulgar conocimiento en ciberseguridad. Así he aprendido yo, así me gustaría que aprendieran todos.
“Mi empeño siempre pasa por hacer ‘ciberseguridad de tú a tú’
ya que es importante que cualquier persona pueda entender estos temas,
no solo el personal técnico.”
¿Qué nos puedes decir de los contenidos en abierto y poder dar la palabra a los hackers?
Los hackers, grandes especialistas en seguridad informática, me descubrieron el camino de la ciberseguridad, así que es obvio darles la palabra pues nadie mejor que ellos para difundir conocimiento. Estoy inmensamente agradecida con los grandes profesionales que han visitado mi casita digital para compartir su experiencia con todo el mundo.
Desde el inicio siempre he apostado por los contenidos de calidad, en abierto, en castellano, en multicanal (mismo contenido difundido en vídeos, podcast, blog para dar opciones) y facilitando siempre los canales de comunicación para que la gente pudiera preguntar en vivo a los especialistas y generar comunidad de conocimiento.
Esto son cosas que mucha gente parece que ha descubierto o se ha lanzado a hacer en los últimos meses, motivado por la pandemia y ese ‘vamos a darle al formato online’ pero como creadora de contenidos es lo que llevo haciendo exactamente igual desde el minuto uno en que hice ON y ya ha llovido. Cuantos más contenidos en abierto se generen y más iniciativas surjan, más ganamos todos.
“Aún anda confuso el término hacker, la cinematografía ha hecho mucho daño creando un estereotipo del hacker que nada tiene que ver. Cuando entro en muchas aulas los pequeños siguen con esa idea errónea del hacker, lo siguen asociando a alguien que hace el mal y NO, hay que insistir en ello: un hacker no es un ciberdelincuente.”
Por cierto, siempre has defendido el trabajo de un hacker, que no dejamos de explicar que no es el que todo el mundo piensa. ¿Las nuevas generaciones ya tienen asumido lo que es realmente un hacker… o una hacker?
Un hacker va más allá del ámbito informático clarísimamente pero es obvio que está muy intrínsecamente ligado a la informática. Para mí sería cualquier profesional que trabaja por romper los esquemas, que tiene afán de superación, que se desvive por ir más allá de lo que se entiende por su función aplicando la creatividad o el llamado pensamiento lateral, que tiene hambre de conocimiento y trabaja resolviendo necesidades por el bien común. Y conozco grandes expertos informáticos que esto lo clavan.
Ciñéndonos al ámbito informático aún anda confuso el término hacker, la cinematografía ha hecho mucho daño creando un estereotipo del hacker que nada tiene que ver. Cuando entro en muchas aulas los pequeños siguen con esa idea errónea del hacker, lo siguen asociando a alguien que hace el mal y NO, hay que insistir en ello: un hacker no es un ciberdelincuente.
La RAE rectificó añadiendo una nueva definición al término, pero hay que seguir remando para que la definición de hacker como pirata informático caiga del diccionario y para que eso pase hay que hacer que la gente deje de hacer esa asociación errónea. Los hackers son los buenos, de no ser así yo no estaría rodeada de ellos (risas).
¿La ciberseguridad tiene género? ¿Es paritaria? Lo decimos en el sentido de si hay buenas profesionales mujeres o es un sector bastante monopolizado por el género masculino.
Obvio que la ciberseguridad no tiene género, como no lo tiene la tecnología. Decir lo contrario sería una falacia. Otra cosa distinta es que haya una descompensación evidente en el número de profesionales que se dedican a la ciberseguridad. Por eso es importante hacer ver que esto no va de géneros, va de motivación, de valía, de preparación, de ganas de hacer cosas en el sector para que nadie que quiera se quede atrás. Dar visibilidad a profesionales es lo que tiene que servir para que las vocaciones no se disipen por el camino por una cuestión de género, de edad o de cualquier otro aspecto.
Conozco a grandísimas profesionales mujeres, como conozco a grandísimos profesionales hombres que se dedican al mundo de la ciberseguridad desde la perspectiva multidisciplinar, ya que no solo hay que tener en cuenta al personal técnico.
Una parte importante de tu tiempo lo ocupan charlas y talleres de formación a alumnos de institutos y Formación Profesional. Con esa experiencia, ¿crees que la ciberseguridad va a tener mejores especialistas en el futuro inmediato?
Con la apuesta fuerte que se está haciendo por los cursos de especialización en ciberseguridad en formación profesional y el empeño que he visto de cerca que pone el profesorado en su formación, estoy convencida que van a haber buenos especialistas. He compartido charlas motivacionales con muchos y he visto las ganas de formarme en este terreno, no solo de los jóvenes, sino gente de diversas edades, lo que es necesario porque pueden aportar su experiencia previa.
Además he de decir que por las charlas de concienciación en seguridad que hago en colegios e institutos sé que la necesidad de que haya profesionales debe continuar porque existe desconocimiento o desidia por cuidar la propia seguridad digital. Son y serán necesarios profesionales que velen por la seguridad de todos nosotros y ciudadanos más concienciados que faciliten la labor (pre)ocupándose por estos temas.
Imaginamos que esas charlas te deben dar mucha energía. ¿Tienes un feedback positivo de los más jóvenes?
Sí, compartir tiempo con jóvenes es un chute de energía. Yo siempre les digo al comenzar las sesiones que al final me llevo más aprendizaje del que yo pueda dejar, porque siempre saco algo de valor de sus preguntas, sus reacciones, sus anécdotas, sus historias…
Este ha sido un curso muy complicado por las circunstancias que todos sabemos y yo he tenido la suerte de asistir presencialmente a decenas de centros a lo largo de todo el curso y seguir captando esa energía. He podido ver de cerca la inmensa labor que han hecho todos los profesores por sacar adelante el curso y la resiliencia con la que lo han llevado los niños, niñas y adolescentes. Es digno de admirar y de reconocer.
¿Qué le falta a la ciberseguridad para que las empresas vean claramente que es una inversión y no un gasto?
A la ciberseguridad no le falta nada, a quien le falta una amplitud de miras tremenda para no ver el caos que puede originar la falta de inversión es precisamente a las empresas y a las organizaciones. Cada día conocemos nuevos incidentes de seguridad porque cada día se producen más y más y esto no va a parar, al contrario, va a ir a más por eso o nos preparamos o nos preparamos. Si no quieres invertir en ciberseguridad porque lo consideras un gasto, empieza a ahorrar para el roto que te provocará la falta de ella.
Conoces a muchos expertos en ciberseguridad y asistes a muchos congresos. Pero un día te pica el gusanillo y decides organizar eventos como PaellaCON o ser dinamizadora de Hack & Beers Valencia. ¿Te va la marcha, no hay nadie más o qué es lo que ocurre para que te metas en estos berenjenales?
Mi problema es que soy un culo inquieto y además me cuesta decir que no, aunque esto es algo sobre lo que estoy trabajando. Los eventos hay que vivirlos, a poder ser desde todas las perspectivas: como público, como participante, como colaborador y como organizador. Pues eso, no me he dejado ningún proceso en el camino, por eso siempre animo a la gente a que lo ponga en práctica. Desde luego que hay muchísima gente que hace muchísimas cosas y desde mi punto de vista así debe ser, ya que para mí no sobran eventos de ciberseguridad como se comenta a veces. Respeto esa opinión pero no la comparto ya que considero que cuantos más eventos mejor porque a gente más diversa se puede alcanzar y esa debe ser la base para extender la cultura de la ciberseguridad.
¿Volveremos a ver estos eventos en Valencia?
Claro, todo está abierto pueden ser esos eventos u otros, yo desde luego animo a la gente a que haga cosas y lance iniciativas. No será por faltas de ganas de CONs que tiene todo el mundo.
PaellaCON tuvo sus dos ediciones maravillosas, si se dan las circunstancias habrá más y si no pues lo vivido, vivido está. La gente desde luego lo reclama y Hack & Beers en cuanto las circunstancias lo permitan seguro se volverá a reactivar por los diferentes puntos de España en los que hay dinamizadores para que estos magníficos encuentros se vuelvan a producir.
También estás en un grupo de ciberseguridad de América Latina. ¿Cómo está el sector en LATAM?
Los amigos de Latinoamérica son geniales, siempre han estado muy ávidos de conocimiento, son especialmente agradecidos con los contenidos, bastante participativos y hay muy grandes profesionales.
El sector y el interés por el mismo está en crecimiento como lo está en todas las partes del mundo porque la necesidad de ponerse las pilas con la ciberseguridad crece exponencialmente.
Esperamos que os haya gustado esta entrevista. La clarividencia de Yolanda es evidente y un ejemplo de que la ciberseguridad no es una asignatura imposible de aprobar si no eres un técnico. Podéis seguir aprendiendo cosas con Yolanda a través de su web AQUÍ.
- Publicado en Entrevistas, Formación, General, Noticias
Origen de la palabra y movimiento Hacker : Parte 2, terminología.
Seguimos reivindicando el uso de la palabra “hacker” como una persona que tiene una habilidad especial y que investiga y no como un ciberdelincuente. Para ello hace unos días os empezamos a explicar el origen y la historia de este término. Hoy proseguimos para adentrarnos en su terminología.
Acabamos el primer artículo hablando de los primeros ordenadores domésticos que llegaron a los hogares, en los años 70 ¿Algunos recordaréis los Spectrum, Amstrad, Commodore o MSX, verdad? Hoy empezamos con PDP-10, que podéis ver en la imagen de cabecera de artículo. Aunque muchos le llamaban ya microcomputador, era un Programmed Data Processor, una máquina científica, donde aparte de las variables de programación, había hardware para modificar y también configurar.
Al ser aparatos caros, grandes y de difícil manejo, lo tenían grandes corporaciones y universidades. En estas últimas se tenía que compartir el tiempo de uso entre diferentes grupos de estudiantes y también se tuvo que comenzar a compartir la información entre ellos. De ahí que fuera la máquina elegida y favorita entre los primeros hackers (tampoco había muchas más, la verdad).
Podéis leer la información sobre el PDP-10 que publica la Wikipedia.
También os invitamos a ver un vídeo de Lyle Bickley, experto en dicha máquina y restaurador de una, donde nos va explicando que hacía y que no hacía, como lo hacían, etc. Lyle Bickley es también uno de los fundadores del Computer History Museum que se encuentra en Mountain View, California.
En el anterior artículo también os hablamos del Instituto de Tecnología de Massachusetts, el MIT. Así que hoy también seguimos este hilo para hablar de ARPANET. En el año 1969 se conectó el laboratorio de Inteligencia Artificial a dicha red, creada inicialmente para el departamento de defensa de EE. UU. y que luego dio conexión a varias universidades.
Por su parte UNIX, que se creó en ese mismo año aproximadamente y en los laboratorios de la empresa Bell, y que significó la primera versión de este sistema operativo, y una red que los unía, USENET.
Al desaparecer el sistema PDP, Unix se convirtió en el sistema hacker por excelencia.
Avanzamos ahora para que conozcáis GNU, cuyas siglas significan “No es Unix”. Richard Stallman, un experto en Unix, decidió crear un sistema libre, usando por primera vez esa expresión y la de software libre. De hecho Stallman fue el fundador de la Free Software Foundation. Así que toca una reverencia.
Y llegamos a Linux, una parte de historia que cualquiera que toque este mundo, conoce. Es el sistema operativo por excelencia. Su kernel o núcleo fue creado en el año 1991 por Linus Torvalds, de la universidad de Helsinki. Su idea era crear un sistema libre, empezando por colgar dicho kernel en Internet, y pidiendo ayuda para su desarrollo, creando así una comunidad para avanzar en el tema.
Y unas cuantas palabrejas más. Ya os advertíamos: hoy va de terminología
Phreaking, el primer hack famoso. Se trataba de poder accionar los controles, por entonces analógicos de las centrales telefónicas, con tonos de silbatos o similares. Posteriormente, para hacerlo más cómodo, y para vender aparatos a quien no sabía realizar estos hacks, se crearon unas cajas de nombre “blue box“, para realizar automáticamente estas acciones. En el artículo anterior ya hablamos de este tema y de su historia. En la Wikipedia hay una buena recopilación de información.
Cracking / cracker, para algunos es arte, para otros no es más que un ataque a los derechos de autor de las compañías. Consiste en vulnerar los sistemas anticopia de juegos, consolas, etc. Y por analogía, en la segunda definición, se habla del individuo que hace estas cosas.
En los años 90, con los 16 bits en auge, y la potencia de éstos, hubo grupos de cracking que se hicieron muy famosos, porque entre la carga y el juego, introducían una “demo” con animaciones, vectorización, música, etc. También había grupos de distribución, que revendían por toda Europa y por EE. UU. estos juegos crackeados, que también incluían las demos mencionadas.
Lamer, persona que cogía juegos crakeados, quitaba las demos de los grupos originales, y ponía las suyas. Hasta los grupos de crackers y distribución comenzaron a proteger los juegos desprotegidos contra posibles intrusiones.
Demoscene, con lo comentado de crackers/lamers, junto con las partys (que al principio se denominaron copypartys) donde también habían concursos de programación y demos, se creó un gran ambiente y nivel técnico. Una de las que me vienen primero a la cabeza es Spaceballs, en Amiga, pero podéis ver una recopilación AQUÍ, que va del año 1989 al 2004.
Homebrew, es software casero hecho por usuarios, casi siempre de consolas, que busca poder ejecutarlo sin restricciones. Casi siempre había, y hay, que realizar modificaciones de hardware en los aparatos para poder correr este tipo de programas. Muchos programadores aficionados que comenzaron haciendo homebrew, sin los soportes ni kits de desarrollo de las empresas, pudieron lograr contratos para hacer juegos oficiales.
Un ejemplo es el juego Star Fox, que en Europa se llamó Starwing, de Nintendo, programado por Argonaut Software, unos programadores del Reino Unido, de apenas 18 años, que desarrollaron un motor homebrew vectorial, para la consola GameBoy.
Hacktivismo, empezó siendo algo más genérico, pero a partir de los años 2000 cogió más fuerza la definición de “hackers que actúan con fines sociales, a veces no de buenas maneras”. Muchos grupos surgidos en esa época, y muchos imitadores, le han dado cara a este tipo de acciones, al hacerse famosos entre el gran público.
Sombreros, pues si, esta prenda o complemento de moda, clasifica a los hackers según sus intenciones, benévolas, malintencionadas, o a medio camino, siendo blanco, negro y gris los colores. Pero últimamente hay más colores, y más definiciones muy concretas, podéis buscar…
… y cuando lo encontréis, podéis escribir aquí debajo y nos contáis a todos el resultado de vuestras pesquisas.
¿Os ha gustado todo este recorrido histórico y terminológico? Recordad que hay un artículo previo, que si alguno o alguna de vosotros / vosotras no lo ha leído todavía, clicad AQUÍ para hacerlo.
Origen de la palabra y del movimiento Hacker: Parte 1, historia y su uso
Los que nos seguís habitualmente, sabéis que somos muy pesados con la buena utilización de toda la terminología técnica y científica, pero más aún con la palabra “hacker”. A pesar de que la RAE hace ya tiempo que incorporó una segunda acepción, mucho más acertada que la primera, el término sigue usándose equivocadamente como sinónimo de pirata informático. Por eso hoy queremos explicaros el origen de la palabra y del movimiento Hacker.
¿Cuál es el origen de esta palabra? ¿A quién se refiere ahora o se refería en sus principios?
Durante toda la vida hemos visto y escuchado este término y a su vera se han contado anécdotas curiosas, a veces sin ningún orden. Todas ellas quieren llevar la razón, así que ante esta complejidad lo mejor es que empecemos por el comienzo.
Como no hay duda, la palabra surge del idioma inglés. Ya antes del siglo XX , “hack” significaba cortar a lo bruto. De aquí pasó a denominarse “hacker” a una persona que tenía una habilidad especial, que entonces era hacer muebles cortados con hacha.
Así que hack ya quedó popularizado como sinónimo de hacer algo habilidoso o fuera de lo normal.
Avanzamos por la historia para referirnos a algo más técnico. Nos vamos al famoso Instituto de Tecnología de Massachusetts, el MIT. Una organización de estudiantes del MIT había creado, en 1946, el Tech Model Railroad Club (TMRC), una agrupación de fanes de los trenes. En 1959 esta organización tuvo a su disposición dos microcomputadores, el TX-0 y el PDP-1, para experimentar. De lo que habían pensado en un principio a lo que se hizo después, nada que ver. De ahí que Peter Samson, un científico pionero en la creación de software, juntara esa experimentación con la palabra “hacks” en el escrito “Official Hacker’s dictionary” con el lema “La información quiere ser libre”. Y como no, crearon el primer videojuego de la historia: Spacewar.
Este grupo acabó mutando hacia el MIT AI Lab —Laboratorio de Inteligencia Artificial del MIT—, de donde posteriormente saldría el software libre y parte de los embriones de Internet y de la World Wide Web, junto con Arpanet.
En los años 70 llegan las consolas a casa y a finales de esa década, también llegan los primeros ordenadores domésticos. En España se comenzó este camino con Apple II (muchas escuelas los adquirieron para enseñar informática, entre ellas la de quien suscribe este artículo), algunos pocos, Pc’s IBM y la invasión de los 8 bits, como Spectrum, Amstrad, Commodore o MSX.
En esa época incluso se crean revistas especializadas, como Phrac y 2600. Esta última todavía se publica hoy en día. Los dos nombres se basan en el primer hack masivo y mítico, como fue el uso de los tonos del teléfono, el “phreaking“. Con una emisión de un tono de 2600 hercios, por ejemplo el silbato que se regalaba con los cereales Cap’n Crunch, se podía interactuar con el sistema automático de las operadoras telefónicas, por entonces AT&T.
A raíz del descubrimiento de las autoridades de este caso, y de algunos más, como accesos puntuales a ciertas organizaciones gubernamentales, por parte de adolescentes, y no tan adolescentes, se comenzó a dar forma a varias leyes contra “el uso indebido de las computadoras”, y varios de ellos acabaron en la cárcel.
En los años 80 y 90 hubo el boom de la “demoscene“, demostraciones tecnológicas por parte de grupos que se distribuían en diferentes partys informáticos por todo el mundo, sobre todo de los ya ordenadores personales de 16 bits, como IBM y compatibles a partir del procesador 386, ordenadores Amiga y Atari (si, esta marca terminó haciendo ordenadores personales, y ampliaremos información en las segunda parte de este artículo). Se demonizó un tanto esta escena, ya que muchos de los grupos también eran crackers, gente que rompía la protección de los juegos para revenderlos más baratos, y que incluía alguna de estas demos como introducción al juego. También estaban los denominados lamers, que le ponían su nombre al trabajo de cracking de terceros. Pero no neguemos la parte hack de todo este proceso.
Y saltaremos hasta el día de hoy, donde los grandes estudios y medios de comunicación le han dado un mal uso a la palabra hacker, para darle connotaciones de delincuente a quien se le etiquete con ella. Así que seguimos luchando, para que después que la RAE, por fin, incluyera una buena definición, elimine la antigua, y todos los periodistas y medios de comunicación cambien su uso.
Os recordamos la segunda acepción de la RAE, que dice “Persona con grandes habilidades en el manejo de computadoras que investiga un sistema informático para avisar delos fallos y desarrollar técnicas de mejora.”
Sin embargo mantiene como primera acepción la de “Pirata informático”. Y otra cosa: adapta la palabra al español, escribiendo jáquer, como podéis ver AQUÍ.
Como os comentábamos al principio, nosotros siempre hemos querido reivindicar el buen uso de la palabra. Por ejemplo en este artículo del 2019 titulado Hacker bueno, hacker malo. Tanto nos importa el buen uso del término que dentro de nuestra sección Presentación y servicios explicamos las definiciones de Hacker, Cracker, Ciberdelincuente o Hacking ético. Lo podéis leer AQUÍ.
No hemos podido entrar en profundidad, pero dejamos para un segundo artículo toda la terminología que haya podido surgir sobre el origen de la palabra y del movimiento Hacker. Y también incluiremos lo que nos hayamos dejado en el tintero en este artículo.
Amador Aparicio, ingeniero informático y docente: “hay que introducir la Seguridad Informática de manera transversal”
Ya sabéis que de vez en cuando nos gusta traer a este blog personajes que tienen una relevancia especial en nuestro sector. Hoy queremos acercarnos a Amador Aparicio, una persona muy reconocida en diversos ámbitos, porque además de ser ingeniero informático y tener un postgrado en Seguridad de las Tecnologías de la Información y Comunicación, ha querido siempre dedicarse a la enseñanza. En la actualidad es profesor de Formación Profesional en el Centro Don Bosco de Villamuriel de Cerrato (Palencia), profesor en el Máster de Ciberseguridad y Seguridad de la Información de la Universidad de Castilla la Mancha y en el Máster Universitario en Seguridad de Tecnologías de la Información y las Comunicaciones de la Universidad Europea de Madrid. Hoy os ofrecemos la primera parte de una entrevista que tendrá continuidad la próxima semana.
No es muy frecuente encontrar un perfil tan especializado y que escoja la docencia como actividad principal. ¿Por qué la docencia? ¿Es algo vocacional?
Bueno, es verdad, pero he de decir que desde el año 2016 llevo haciendo auditorías de seguridad de manera profesional, aunque bien es cierto que mi actividad profesional fundamental sigue siendo la docencia en Formación Profesional y en diferentes universidades españolas relacionadas con másteres de ciberseguridad.
En mi caso, la docencia es vocacional, es más, pienso que muchos de los que somos docentes y esa es nuestra principal actividad de ingresos, es porque en nuestra etapa estudiantil hemos tenido referentes en este sentido, en forma de profesores o incluso de amigos. Es cierto que cuando yo estudiaba prácticamente nadie se planteaba ser profesor. Lo habitual era terminar la carrera y automáticamente entrar en una empresa de desarrollador de software, pero no teníamos ni las referencias actuales de diversas salidas profesionales ni las alternativas tecnológicas actuales porque no había la misma tecnología y todo “estaba mucho menos conectado”. En mi caso, destacaría dos referentes, el Dr. Javier Pérez Turiel que me dio Redes de Computadores en 3º de Ingeniería Informática y mi mujer Cristina, que ya era profesora cuando la conocí y me animó a ello.
Hace tiempo que los estudios de informática están presentes y con fuerza en el sistema educativo español. Pero ¿en qué lugar se encuentra la formación en ciberseguridad?
Ahora hay más alternativas formativas que antes y, en materia de ciberseguridad, cada vez hay más opciones para poder cursar un máster, certificación, o incluso módulos específicos dentro de los ciclos formativos de Formación Profesional. Además, este curso, en diversas comunidades autónomas, las consejería de Educación han aprobado y lanzado el curso de Especialización en Ciberseguridad en el marco de la Formación Profesional. En algunos másteres oficiales, que no son puramente de Seguridad Informática, existen ya asignaturas de ciberseguridad para tener al menos un contacto y dar una visión muy genérica de esta disciplina.
Como veis, la formación en ciberseguridad va cobrando un peso específico, que el algunos casos puede ser transversalmente, pero que en otros es todo un eje vertebrador de estudios muy focalizados en ese área, sobre todo en relación con los másteres y las certificaciones.
En muchos campos se aboga por la especialización. En la ciberseguridad, ¿dónde estará la especialización? ¿Qué le recomiendas a tus alumnos, qué camino deben escoger?
Les pregunto dónde les gustaría estar de aquí a cinco años y les comento que hay conceptos que deben tener muy claros y conocer para poder dedicarse de manera profesional a la seguridad, en las rama que ellos escojan después. Les digo que tienen que saber de redes, direccionamiento IP (si no saben qué es una IP no podrán ni atacarse a sí mismos), enrutamiento, configurar una interfaz de red en cualquier sistema operativo, conocer protocolos a nivel de transporte, lo que es un puerto, un servicio… tienen que conocer algo de SQL, de sistemas operativos, programación en la parte de frontend y backend, administración de sistemas, y si tienen conocimientos de programación pues mejor que mejor. Al final, poner todo esto en común puede posibilitar ganarte la vida con la Seguridad Informática.
Les recomiendo también que se animen a escribir artículos relacionados con la Seguridad Informática para intentar que sean publicados en blogs con buena reputación, que investiguen qué congresos de seguridad existen, quiénes van y qué perfiles sociales tienen para que les empiecen a seguir y vean qué cosas investigan y publican, que se animen porque algún día puede que ellos se vean como ponentes en los principales congresos de Seguridad Informática, les digo que la Seguridad Informática no es una herramienta de botón gordo, que eso tiene las piernas muy cortas. Les digo que hagan lo que hagan o estudien lo que estudien, intenten pensar cómo introducir la Seguridad Informática de manera transversal, porque yo lo hago en mis clases y me obligo a investigar para podérselo explicar.
Les digo a qué congresos voy, qué es lo que hago para poder estar allí, o las cosas que me encuentro en una empresa cuando hago Auditorías de Seguridad.
Les animo a que no se autolimiten y que intenten estudiar todo lo que puedan, ya sea en forma de certificaciones profesionales, másteres, o ingeniería, que después es posible que tengan otro tipo de responsabilidades y ahora tienen un recurso muy valioso que es el tiempo y después van a dejar de tenerlo.
Pero sobre todo, les digo que para dedicarse a la Seguridad Informática, el único atajo que existe es leer, practicar y ser constante, esa es la clave. Y que tienen que tener algo diferente al resto de gente como ellos, que responda a la pregunta: ¿qué cosas has realizado que yo pueda ver?
Poco a poco se va reconociendo el trabajo de los Hackers. Por lo menos TECNOideas siempre lo ha reivindicado. Incluso el Diccionario de la RAE ha cambiado su definición, ajustándola a la realidad. ¿Te definirías como Hacker?
Bueno, me alegra ver que en la pregunta lo has escrito con la misma importancia que tienen los nombres propios, la primera letra en mayúscula… Ufff, el término Hacker es una carga muy pesada, y hay que estar a la altura de todo lo que engloba, implica, y el compromiso social que suscita, al menos en sus orígenes.
“Para dedicarse a la Seguridad Informática,
el único atajo que existe es leer, practicar y
ser constante, esa es la clave.”
Considero que una persona no se puede autodefinir como Hacker, es un reconocimiento que te tienes que ganar en función de tus investigaciones y aportes, y tiene que ser la comunidad quién te otorgue ese reconocimiento. Cuando escucho alguna vez que alguien se autodefine como Hacker pienso, con lo complicado que es y todo lo que implica, ¿será consciente de lo que está diciendo?
Tengo una anécdota, la RootedCON de 2019. Fue la primera vez que asistí a Rooted como ponente y recuerdo que allí, antes de empezar la ponencia, me saludaron entre otros Raúl Siles y Mónica Salas (ver la entrevista que les hicimos AQUÍ), José Picó y entre el público estaba Berta Sheila. Recuerdo muchas veces esta anécdota entre mis amigos. Para mí fue muy parecido a cuando un torero recibe la alternativa.
Además, otra cosa en la que siempre me he fijado y me causa mucho respeto, son las personas con las que he compartido cartel en las diferentes CONs. La mayoría de ellas han sido referencias y lo siguen siendo cuando empezaba en el mundo de Seguridad Informática. Recuerdo ir de espectador a RootedCON en 2012 y verlos a todos ellos como ponentes (por eso iba). Imagina lo que significa para mí, unos años más tarde, compartir cartel con buena parte de ellos. A día de hoy me sigue dando un gran respeto.
En tu haber también tienes un par de libros: Hacking web y Raspberry para Hackers. ¿Representan un paso más en tu área docente? ¿Puedes hablarnos de ellos?
Bueno, por lo menos representa un hito muy importante a nivel personal, y cada uno de ellos tienen una historia detrás. El primero, Hacking Web Technologies, fue muy especial. El 25 de marzo de 2015 estuve en Telefónica, en Gran Vía, como jurado de la final nacional del programa Talentum Startups. El jurado lo formábamos Antonio Guzmán, Raimundo Alcázar, Chema Alonso y yo. Recuerdo que al volver a casa, estaba en la estación de Chamartín y recibí un correo de Chema invitándome a participar en el proyecto de la elaboración del libro, imagínate. Los autores del libro fuimos Ricardo Martín, Pablo González, Chema Alonso, Enrique Rando y yo. Para mi fue una oportunidad para escribir sobre temas nuevos que no había tocado hasta el momento, como ZAProxy, inyecciones NoSQL sobre MongoDB, inyecciones de tipo XML y JSON, y algún tema que ya no recuerdo…. Han pasado más de 5 años. Lo que sí que recuerdo fue la sensación que tuve al poder participar en un proyecto como ese con todos esos referentes en el sector.
El segundo libro, Raspberry Pi para Hackers fue diferente, ya sabes, si haces o participas en la elaboración de uno, es más fácil poder participar en la elaboración de más libros, y así fue. Pasadas las navidades de 2017 Pablo González me comentó la idea y me gustó, poder elaborar un libro lo suficientemente práctico que fuese una guía a base de proyectos para que cualquiera con una Raspberry Pi pudiese practicar. Los tres autores somos de Palencia, Héctor Alonso, Pablo Abel Criado y yo, y buenos amigos. Es más, ellos han terminado trabajando en Telefónica en el entorno de ElevenPaths. Recuerdo que nos costó terminar la publicación del libro, pero que fue algo muy bonito que celebramos después.
Tener esas dos publicaciones reconozco que me ha abierto puertas, pero, sobre todo, cuando tú escribes algo, es un ejercicio muy bueno de síntesis que te ayuda a afianzar conceptos. Y, es más, me han pedido varias veces alguna firma y dedicación en diferentes congresos… y siempre llena de satisfacción (risas).
Esperamos que os haya gustado esta primera parte de la entrevista de Amador. Los que queráis empezar estudios de ciberseguridad ya tenéis unas cuantas pautas. ¡Aprovechadlas!
Para todos los que queráis conocer más y mejor a Amador,
os invitamos a visitar este enlace.
- Publicado en Entrevistas, Formación, General, Noticias, Seguridad
Revelación responsable con final feliz en Australia
Ya hablamos anteriormente de lo que significa la “revelación responsable” aplicada al sector de la ciberseguridad. Se trata de informar al o a los afectados de una vulnerabilidad o fuga de datos, para que puedan corregir el error. Podéis leer el anterior artículo AQUÍ.
Pero como decíamos, en el caso de los hackers (¡no caigáis en el error de lo que es un hacker! Tenéis la definición AQUÍ) españoles, cuando suelen detectar un problema en algún organismo o empresa ESPAÑOLA, se han de dar por vencidos y, en consecuencia, ya no suelen comunicarlo. ¿Por qué? Porque acarrea más problemas que beneficios.
Por suerte hay otros países en que se toman en serio el trabajo de los hackers, como es el caso que os vamos a relatar. Y para ello nos vamos a Australia.
Alex es un hacker australiano, que aceptó el reto de un amigo suyo. Resulta que este amigo había localizado una foto de una tarjeta de embarque y le dijo a Alex si sería capaz de identificar al sujeto de la imagen. Alex fue investigando y tirando de los hilos, consiguió dar con los datos al completo de la persona objetivo.
Resulta que la aerolínea en cuestión, Quantas, usa un obsoleto y poco seguro sistema, donde con el código de barras, y/o la numeración correspondiente, se puede acceder a los datos personales que se han facilitado para hacer la reserva del vuelo.
Ya os lo podéis imaginar: aparte de la ruta y el vuelo (con fecha y hora), nombre, apellidos, dirección, número de pasaporte, fecha de nacimiento, etc. Lo suficiente para poder suplantar la identidad de una persona y arruinarle la vida.
Alex intenta ver que procedimiento tiene que seguir, empezando por la web de la compañía aérea, pero sin éxito. Al final consiguió contactar, y quien le devolvió el mensaje fue la Agencia de Seguridad Australiana, pudiendo dar aviso con detalle y consiguiendo que la compañía arreglara el fallo. Alex incluso recibió una llamada del afectado, que resultó ser un ex-Primer Ministro del país en cuestión.
Podéis leer la historia al completo en Micosiervos.
Moraleja, que la tiene y grande. Como siempre, los delincuentes no es que sean más listos que los sistemas de seguridad, es que aprovechan los fallos de estos y la INFORMACIÓN QUE LA GENTE SUELE REGALAR, para poder entrar de forma fraudulenta.
Así que el postureo se puede pagar caro, cualquier dato que te parezca insignificante, puede ser un tesoro para otro. Como se viene diciendo desde hace tiempo “Los datos son el nuevo petróleo del siglo XXI”.
Ya lo veis, incluso en un viaje cualquiera, por simple y cercano que sea, nuestros datos están ahí. Es muy importante confiar siempre en empresas de ciberseguridad para minimizar los riesgos de un ataque. Parece sencillo y creemos que estamos en buenas manos cuando volamos, por ejemplo, con una compañía tan solvente como Quantas. Pero no siempre es así.
Una noticia reciente informaba que el grupo Lockbit, (creador de ransomware), filtró en la red datos de pasaportes de 182.179 personas.
¿Necesitáis más ejemplos?
- Publicado en Análisis forense, Consultoría, General, Privacidad, Seguridad
Libro para iniciarse en los conceptos del Hacking: Hackeado de Alan T. Norman
Hackeado es un libro-guía sobre Kali Linux y Hacking en general, escrito por Alan T. Norman.
Hace un repaso de conceptos, de una manera simple y sencilla, a un listado de temas relacionados con el Hacking, como privacidad, kali, terminal de Linux, redes, Tor, proxies, vpn’s, wifi, etc…
Como digo, es una vista por encima, ya que 170 páginas no dan para profundizar en estos temas. Hay que tomárselo más como una guía para principiantes, ver los temas que hay que saber para dedicarse, y profundizar en ellos.
Por ejemplo, dice que es un proxy, para que se usa, y con que medios, pero no explica exactamente como. Aquí habría que buscar información sobre proxys, gratuitos y de pago, saber que va mejor para cada caso, probarlos, etc… Y así con todos los temas, experimentar y aprender, que de eso se trata este mundo.
Es un buen comienzo para toda esa gente que a veces nos preguntan como empezar en este mundo, y no sabe por donde.
Y aparte de esta guía, mente abierta, curiosidad y ganas de aprender.
- Publicado en dummyTerm, Hazlo tu mismo, Productos
Hacker bueno, hacker malo.
Mal definido por la RAE, aunque hace poco hayan incluido una nueva definición, el Hacker no es un pirata informático.
Muchas series y películas, han puesto en la imagen de un Hacker, gafas oscuras, sótanos terroríficos y sudaderas a juego con ese entorno. Y más aún: delincuencia.
Un hacker es un individuo curioso (porque si, también hay chicas hacker), que le gustan los retos, y que prueba sus habilidades contra sistemas informáticos, hardware, o diferentes dispositivos.
Otra cosa es que cualquiera con esas habilidades cometa delitos, da lo mismo si con transfondo informático, o que se valga de la tecnología para ello. Entonces es un DELINCUENTE.
Solía, y vuelve a haber una comunidad de trasfondo, porque esto va de una vez aprendido, compartirlo, o ayudar a arreglarlo (cosa que no todas las compañías aprecian o en la que ponen su empeño).
Así, antes de haber youtube, y millones de páginas web y documentos compartidos, aprendimos los de mi generación. Bbs, comunidades, foros, donde todo aficionado compartía sus experiencias y descubrimientos, y los demás aprendíamos de ellos.
No como pasa ahora que te preguntan “Hola, quiero ser hacker ¿como puedo hacerlo?”. Pues con ese interés no es el camino.
También puedes probar con multitud de material online, o apuntarte a uno de nuestros cursos presenciales en Barcelona AQUÍ.
- Publicado en General
Español 
Català