La UE quiere que los dispositivos sean más ciberseguros
Adquirir teléfonos móviles, televisores, cámaras o frigoríficos que sean ciberseguros es lo que pretende la nueva normativa común que está preparando la Unión Europea. Se busca que todos los consumidores estén protegidos al adquirir un dispositivo electrónico. La responsabilidad será de los fabricantes y durará toda la vida útil de los aparatos.
Hace ya tiempo que se trabaja en esta nueva normativa, anunciada en septiembre de 2021. La novedad más interesante de la propuesta la encontramos en que la responsabilidad de los fabricantes no se circunscribirá al momento de la compra, sino que se deberá mantener durante toda la vida de los dispositivos.
La norma forma parte de la Estrategia de Ciberseguridad Europea y antes de que se convierta en ley aun tendrá que superar diversas etapas, que pueden durar años. La maquinaria europea no solo es lenta, sino que también es pesada. Pero no debemos menospreciarla por eso. Muy al contrario, lo que pretende es que los particulares y empresas dispongan de toda la información posible sobre la ciberseguridad de los dispositivos que se adquieran. Y va a tener un efecto importante en la industria, donde el IoT o Internet de las cosas afecta a dispositivos de muy larga vida.
El tema es importante, porque muchos de los ciberataques con ransomware en empresas comienzan precisamente a través de estos dispositivos. Y la Comisión Europea asegura que cada 11 segundos se produce un ataque de ransomware a una organización de cualquier parte del mundo. El coste de ello se eleva a 5,5 billones de euros.
Hace unos pocos meses ya publicamos el artículo “Ciberseguridad a golpe de ley” en el que explicábamos que la Comisión Europea había decidido reglamentar la seguridad de los rúters y dispositivos IoT conectados. Y lo hizo mediante la Ley de Resiliencia Cibernética.
Y ahora la Comisión da un paso más, interesándose por los dispositivos que más afectan al ciudadano de a pie. Podéis leer el documento en la web de la Comisión Europea AQUÍ. Pero si preferís un documento más asequible, os invitamos a enlazar ESTE ARTÍCULO de la web CyberSecurity News, como sabéis una revista líder en cibereguridad.
Imagen de OpenClipart-Vectors en Pixabay
En este contexto legal hay que recordar el interés creciente de la Unión Europea por todos los temas de ciberseguridad. Ya en diciembre de 2020 el portal de administración electrónica del Gobierno publicó un artículo con el título “La nueva Estrategia de Ciberseguridad de la UE”. Y podéis acceder a la resolución del Parlamento Europeo del 10 de junio de 2021 sobre la Estrategia de Ciberseguridad de la UE para la década digital AQUÍ.
También podéis leer un artículo sobre la directiva de los dispositivos inalámbricos publicado este año en la web de la Oficina de Seguridad del Internauta.
Nosotros no cesamos de repetiros que seáis cautos y toméis medidas para evitar en lo posible este tipo de acciones. En este blog de TECNOideas ya publicamos el año pasado el artículo “Ciberseguridad en dispositivos móviles” donde explicábamos el peligro que pueden representar si no actuamos con diligencia.
Y hoy os recordamos tres de las más sencillas y esenciales medidas de seguridad:
- Actualizar los programas. Las actualizaciones, que nos parecen tan pesadas, suelen llevar potentes herramientas de seguridad.
- Proteger las cuentas. No basta con proteger los dispositivos. Proteged vuestras cuentas con contraseñas seguras (más largas y complicadas, cambiarlas a menudo, etc.).
- Haced copias de seguridad de los datos importantes.
- Publicado en Ataques / Incidencias, General, Normativa, Noticias, Seguridad
Ciberseguridad a golpe de ley
Aunque ya se sabe que las leyes suelen ir por detrás de lo que ocurre en nuestra sociedad, a veces no queda más remedio que legislar, legislar y volver a legislar. Podemos asegurar que eso es lo que está pasando con la ciberseguridad. Intentar que los aparatos que compramos, conectamos y usamos sean ciberseguros en una sociedad hiperglobalizada y conectada es una quimera. Es por ello que quizá solo sea posible la ciberseguridad a golpe de ley.
En TECNOideas no cesamos de poneros en alerta frente a cosas que podríamos considerar de ese sentido que es el menos común de los sentidos. En nuestros cursos de ciberseguridad en el teletrabajo o en algunos de nuestros artículos ya advertimos del peligro de tener tantos aparatos en casa conectados a un rúter poco fiable, instalado por nuestro proveedor de servicios de telefonía y/o de acceso a Internet.
Ahora nos llega ¡por fin! la noticia de que la Comisión Europea ha decidido reglamentar la seguridad de los rúters y dispositivos IoT conectados. Lo hará a través de la Ley de Resiliencia Cibernética que está preparando actualmente.
¿Cuál es el problema?
Imagen de manuelwagner0 en Pixabay
En nuestros hogares cada vez tenemos más aparatos conectados. Desde electrodomésticos como la nevera o los robots aspiradoras hasta los juguetes o consolas de todo tipo, pasando por cámaras de seguridad y de videovigilancia, termostatos o incluso todo el apartado de la domótica doméstica. Las ventajas que ofrecen en cuanto a conectividad, para poder recibir órdenes desde la nube o desde una App no van acompañadas de las medidas de seguridad adecuadas.
Todo esto además, se acompaña con conexiones a través de rúters poco seguros. Así, por ejemplo, solo solemos usar uno de los cuatro puertos que tienen la mayoría de rúters que hay en nuestros domicilios.
Naturalmente todo esto es un objetivo muy deseado por los ciberdelincuentes. Ellos pueden acceder sin demasiados problemas a todas las informaciones que se acumulan en estos aparatos.
Para que esto no sea posible Europa pretende aumentar los bajos estándares de calidad actuales de los softwares que contienen todos estos dispositivos IoT. Y lo hará a través de la nueva Ley Europea de Ciberresiliencia que debe aprobarse este mismo año.
La ley prevé que los fabricantes de todos estos aparatos tendrán que pasar un test de conformidad relacionado con la ciberseguridad. Será imprescindible para poder ser comercializados en Europa. Para ello deberán tener medidas de seguridad como:
• Tener credenciales robustas.
• Cerrar puertos que no sean necesarios para su buen funcionamiento.
• Garantizar la seguridad durante todo el ciclo de vida del aparato. Esto obligará a los fabricantes a actualizaciones periódicas.
• Habrá cinco categorías: fabricación, finanzas, energía, transporte y las relativas a los domicilios (Smart Home), donde se habla extensamente de los rúters domésticos.
Si estáis interesados en conocer más exhaustivamente los requerimientos de seguridad que deben seguir los aparatos IoT e ICT, podéis consultar este estudio de la Comisión Europea.
También os invitamos a leer este artículo de Bandaancha.eu, una web de noticias y artículos, también colaborativos, dedicados al amplio mundo de Internet.
Aprobada la Ley de Ciberseguridad 5G
Seguimos con el tema legal. La semana pasada el pleno del Congreso convalidó finalmente la Ley de Ciberseguridad 5G que el Gobierno aprobó a finales de marzo. Se trata de una ley que incorpora al marco legal español las medidas consensuadas por la Unión Europea. Estas medidas recogen una serie de claves que identifican las principales amenazas y vulnerabilidades que pueden darse en el despliegue de las redes 5G. Entre los aspectos destacados de la ley hay que citar que el Gobierno deberá publicar de forma periódica una lista de proveedores de riesgo. Para ello los proveedores se van a clasificar como de bajo, medio y alto riesgo. Tendrán un plazo de cinco años para sustituir los elementos críticos de red proporcionados por ellos mismos.
Podéis leer las claves más importantes de la ley en este artículo del portal Zonamovilidad.es, especializado en tecnología móvil en España.
Para terminar, deciros que junto a la convalidación de esta ley el Congreso también convalidó la Ley General de Telecomunicaciones. Con ella se transpone finalmente el Código Europeo de las Comunicaciones Electrónicas. Precisamente Europa ha reclamado insistentemente a España que esta transposición se llevara a cabo.
Lo que os decíamos al principio: Ciberseguridad a golpe de ley. Y es que tanto la Unión Europea como las diferentes reglamentaciones de cada uno de sus países intentan adelantarse a la problemática de la ciberseguridad. Los ciberdelincuentes seguirán actuando. Pero unas leyes que obliguen a tener muchas más precauciones a fabricantes, proveedores y empresas de servicios se lo van a poner más difícil.
Nosotros seguiremos predicando no solo en el desierto, para que empresas grandes y pequeñas, autónomos y particulares tengan presente que nuestros servicios son necesarios y son una buena inversión y no un gasto.
Imagen principal: Sang Hyun Cho en Pixabay
TECH.PARTY.2019 (PARTE-4). Final y resumen.
También fuimos a otras charlas y talleres, pero el tiempo no daba para desdoblarnos e ir a más o poder hacer más reseñas.
Estuvimos con Kneda y su “Día a día de un pentester”, que bien podría hacer una novela con sus vivencias. Con Rafael Guerrero y su Elemental querido hacker, con un punto de vista más de detective privado (con los que nosotros colaboramos bastante). O con Pablo González & Alberto Sánchez, y su UAC history.
No queremos desmerecer a nadie, haciendo estas reseñas o menciones, porque según lo que comentamos con otros ponentes y asistentes, todas estuvieron a un alto nivel.
También desde “Plusradio la radio en positivo”, el programa El Cronovisor, con su podcast de dos horas de duración, realizaron entrevistas a participantes del evento.
Lo podéis escuchar AQUÍ, y a ellos seguirlos en Twitter @ElCronovisor, facebook @radioelcronovisor e Instagram @elcronovisor, y también plusradio.es
Desde nuestra parte felicitar a la organización, de diez, a los ponentes, y todo el público, que sin todo este conjunto no sería posible.
Quizás el único pero, que nos hubiera gustado asistir a muchos más eventos, y ojalá fuera posible en futuros eventos, que esperemos que los haya, que fuera menos denso por horarios, hacerlo en un par de jornadas, para que podamos asistir y empaparnos de más conocimiento.
Gracias!
- Publicado en Análisis forense, Consultoría, Formación, Informática industrial, Protección de datos, Seguridad, Software libre
TECH.PARTY.2019 (PARTE-3)
Qubes Os. Aunque ya lo conocíamos no lo habíamos probado, ya que nunca nos coincidía con un hardware compatible.
Elena Mateos nos realizó una demo de este sistema, y nos explicó sus interioridades. Un sistema muy interesante enfocado a seguridad personal, ya que creas unas máquinas virtuales, Qubos, en los que configurar ciertas aplicaciones.
Así por configuración y rango de colores tendrás unas VM listas para ejecutar lo que necesites en cada momento, y tener el core del sistema completamente separado de estas máquinas.
Lo malo es la compatibilidad de hardware, un poco limitada, sobre todo si lo quieres usar en un portátil, pero algo más amplia en clónicos. Puedes ver los requerimientos AQUÍ, y la lista de componentes y modelos concretos AQUÍ.
¿Como hay que tratar un tema que la os que lo seguimos nos hace parecer paranoicos, y a los neófitos no les importa, porque “quien va a querer nada mis datos si no tengo nada de valor?
Pues con gracia, de forma ágil, amena y divertida. Esa fue la charla sobre Privacidad, a cargo de Ulises Gascón.
Unas cuantas demostraciones, sobre todo el buscador de cámaras online, que no solo son dispositivos que cuelga la gente para compartir su vida, sino de gente que no lo hace con esa intención, sino que simplemente deja este hardware con usuario y password por defecto de fábrica.
Y antes de seguir asustando a la gente, explica que es un plan de amenazas, que saca el Big 5 de nuestra información (que suele ser mucho, ya que se la regalamos y ellos la guardan a perpetuidad). la publicidad invasiva y como bloquearla, y etc … etc….
Resumen, no hay que reglar datos, desconfiar de la red en general, y blindarnos. No hay que ponérselo nunca fácil a los delincuentes (no hackers).
- Publicado en Análisis forense, Consultoría, Formación, Hazlo tu mismo, Informática industrial, Seguridad, Software libre
TECH.PARTY.2019 (PARTE-2)
A las 11.30 acudimos a la charla de Jose Luis Rosales, investigador y profesor en la Universidad complutense de Madrid. El tema nos tenía muy intrigados “Proyectos de Ciberseguridad Cuántica”, y no nos defraudó.
Ya se llevan 4 o 5 años impartiendo clases de computación cuántica, y se empiezan a cerrar alianzas para hacer nodos de comunicación metropolitanos en varias ciudades de Europa (Madrid, Poznań , Varsovia, Cambridge).
¿Pero que es la computación cuántica? Lo mismo nos preguntamos nosotros, pero el Sr Rosales nos lo aclaró en su charla.
Es la aplicación de la teoría cuántica a la física, donde ordenadores especiales (Cuánticos), aislados, refrigerados casi hasta punto cero, realizan unos cálculos, y se comunican con otros a través de filamentos que transportan fotones.
Estos cálculos realizan matrices, por lo que no dan una sola solución, sino varias posibles y con una probabilidad estadística cada una.
Lo que entre las Universidades antes citadas quieren realizar es unir las dos capas de Informática, la actual, y una integración con la cuántica, por lo que están trabajando en protocolos y estándares.
Se han unido marcas comerciales, de varios países, como Telefónica, Huawei en su filial Alemana o UPM, para que veáis que se busca una aplicación práctica desde ya. Podéis buscar más información sobre esto Open QKD.
Y a nivel de seguridad promete mucho más. Tendría que extenderme mucho más para explicarlo llanamente, pero las comunicaciones cuánticas son inviolables, y si lo fueran, quedaría reflejada la variabilidad.
Una charla muy amena, práctica, con ejemplos, y que me dio ganas de retomar los estudios de física.
RadioWarfare: la guerra invisible por David Marugán, una charla sobre las ondas de radio. Una charla amena, sobre todo para quien no conoce este campo, y con ejemplos de como se usan las ondas para desinformación, o para con encriptación, comunicaciones seguras.
Hace muchos años, cuando las conexiones se realizaban con módem de 1200 y 2400 baudios, nos las teníamos que ingeniar para poder interconectarnos. Una opción, casi mítica eran las Blue Box para operar sobre teléfono. Otra era la comunicación con estaciones de radio aficionado, hacía un servidor.
David, aparte de los temas anteriores, hizo un repaso al lenguaje utilizado en estos sistemas, muy amplio para definirlo aquí, pero que quizás lo hagamos en otro artículo: Singit, Sysop, C&C, Comint, Comsel, Satcom, RadioGamming o Covcom.
También dejó ejemplos de software de cifrado y descifrado bajo ondas de radio, para enviar mensajes cifrados por ejemplo HM01, o para aprendizaje de identificación de señales, como Artemis.
Para los que queráis profundizar en este tema, tiene varios videos de conferencias colgadas en Youtube.
- Publicado en Análisis forense, Consultoría, Evento, Formación, Noticias, Programacion, Protección de datos, Seguridad, Software libre
TECH.PARTY.2019, estuvimos allí (Parte-1)
El pasado 14 de Septiembre se celebró en La Nave, Madrid, un evento de conocimiento compartido, buscando una buena definición.
En él se trataron muchos temas del ámbito tecnológico, con charlas, talleres, mesas redondas, etc… Ciberseguridad en todos sus ámbitos (perimetral, pentesting,…), Blockchain, programación, derecho Tecnológico, Internet de las cosas o Seguridad en ámbito industrial.
También hubo expositores, entre los que nos contamos nosotros, y otras empresas u organizaciones como Hack Madrid, Internet Society, TTN Madrid, o las empresas de ordenadores Slimbook y Vant, de Criptomonedas Bitcobie, y un montón más.
Como no, repartimos como ya anunciamos en este blog, y en las redes sociales, nuestro Rubber Ducky Low Cost versión beta, a expertos “cacharreros” y a quién nos lo pidió, para que nos den su opinión y poder sacarlo a la venta, a quien no se lo quiera hacer el mismo. Esperamos los feedbacks con impaciencia.
Como no, también agradecer el food truck de Navidul, para los tentempiés correspondientes, o el puesto de Hack&Beer, con sus dos cervezas artesanas para refrescar el fresco y lluvioso día que hizo.
Nuestro colaborador Jordi Ubach, dio una charla sobre Vectores de ataque IT, a primera hora, pero muy concurrida. Dejó durante la misma unos cuantos sensores y PLCs en una red a la que podía entrar quien quisiera para probar.
Ofreció cifras alarmantes sobre ataques a infraestructuras críticas, como centrales hidroeléctricas, plantas de aerogeneradores, potabilizadoras, etc… la poca seguridad que tienen, y lo mucho que hay que hacer.
También un repaso más técnico a los tipos de sensores y demás aparatos interconectados en la industria, DC,PLC, RPU o SCADA.
Este es uno de los servicios que ofrecemos en Industria 4.0, tanto auditorías de seguridad, como análisis forense en cualquiera de estos sensores.
Seguiremos con la narración de la Tech.Party.2019, al menos de las charlas a las que fuimos, porque era imposible abarcar todo.
- Publicado en Análisis forense, Consultoría, Evento, Formación, Noticias, Programacion, Protección de datos, Seguridad, Software libre
Español 
Català