Seguridad en Unix y redes - Conclusiones

Si después de aproximadamente 500 hojas de trabajo, con más de 300 referencias bibliográficas citadas, aún hay alguien que considere a Unix un sistema inseguro existen dos opciones: o se equivoca él o me equivoco yo. Seguramente que me equivoque yo no sería difícil; lo realmente extraño es que se hayan equivocado todos los expertos que durante años - algunos desde antes de que muchos de nosotros hubiéramos nacido - han venido aportando su tiempo, su talento y sus conocimientos al mundo de la seguridad informática (por supuesto, hablo de expertos de verdad, no de hackers, crackers, o como ahora se quiera llamar a los piratas), una materia que día a día va demostrando su importancia en todo tipo de organizaciones. Como es bastante difícil que toda esta gente se haya equivocado, sería conveniente que el que aún a estas alturas dude de las posibilidades de Unix (en cuanto a seguridad se refiere, aunque podríamos hablar de posibilidades en general) con respecto a otros sistemas se replantee sus ideas.

---

En este proyecto se han revisado las bases más importantes de la seguridad en Unix y redes; evidentemente, muchas cosas se han quedado en el tintero, y otras muchas no han sido comentadas con la profundidad que sin duda merecen. Se han intentado ofrecer ejemplos aplicados a entornos que no precisan de una alta seguridad, pero sí de una seguridad mínima, como es el caso de las redes de I+D, las de medianas empresas, y las de ISPs. El trabajo se ha dividido en seis grandes partes; en la primera (seguridad del entorno de operaciones) se habla de las implicaciones de seguridad (e inseguridad) relacionadas con la simple existencia de un sistema, Unix o no, en un entorno de trabajo: su ubicación física, las personas que le rodean...Una segunda parte es la relacionada con la seguridad de la máquina en sí, sin conexión a red, y todos los problemas que nos podemos encontrar en esta situación, y la tercera habla de peculiaridades también a nivel de host de diferentes clones de Unix; como los sistemas aislados son cada día más extraños, la cuarta parte (seguridad de la subred) introduce algunos de los peligros (y sus soluciones) que no existían en máquinas sin conectar a una red. A continuación, una quinta parte habla de otros aspectos relacionados con la seguridad de un equipo, algunos de los cuales son las bases para comprender muchas de las cosas que se explican en el trabajo (por ejemplo, la criptología). Para terminar, en la sexta parte del proyecto, ya como apéndices, se presenta un escueto resumen de normas de seguridad a modo de `receta de cocina' para administradores, algunas normativas vigentes en España relacionadas con los sistemas informáticos y su (in)seguridad, una referencia de recursos relacionados con esta materia en Internet, y finalmente un pequeño glosario de términos anglosajones utilizados con frecuencia en el mundo de la seguridad en Unix.

---

A pesar del elevado nivel de seguridad que Unix puede ofrecer (al menos espero que haya quedado patente que Unix es el sistema operativo de propósito general más seguro hoy en día) cualquiera que se diera una vuelta, física o virtual, por la mayoría de entornos `normales' en España podría comprobar que su seguridad es en la mayor parte de los casos pobre, cuando no inexistente. Si Unix es teóricamente tan seguro, >por qué en la práctica cualquier aprendiz de pirata es capaz de `colarse' en servidores de todo tipo?, >dónde está el problema? El problema no radica en Unix: radica en las personas que están detrás del sistema operativo, generalmente administradores y usuarios de cualquier categoría. Unix ofrece los mecanismos suficientes como para conseguir un nivel de seguridad más que aceptable, pero somos nosotros los que en muchos casos no sabemos aprovecharlos. Para solucionar el problema, como ya hemos comentado a lo largo del proyecto, existen dos soluciones que todos deberíamos intentar aplicar: en primer lugar la concienciación de los problemas que nos pueden acarrear los fallos de seguridad (a muchos aún les parece que el tema no va con ellos, que los piratas informáticos sólo existen en el cine, y que en su máquina nada malo puede ocurrir). Tras la concienciación, es necesaria una formación adecuada a cada tipo de persona (evidentemente no podemos exigir los mismos conocimientos a un administrador responsable de varias máquinas que a un usuario que sólo conecta al sistema para lanzar simulaciones); no es necesario convertirse en un experto, simplemente hay que leer un poco y conocer unas normas básicas (por ejemplo, las presentadas en el apéndice A...si alguien argumenta que no tiene tiempo para leer quince hojas, seguramente está mintiendo). Con estos dos pasos seguramente no pararemos a todos los piratas que nos intenten atacar, pero sí a la gran mayoría de ellos, que es lo que realmente interesa en el mundo de la seguridad.

---

Aparte del lógico incremento en el nivel de seguridad que se conseguiría mediante una mínima concienciación y formación de los usuarios de Unix, existe un escollo que estas dos medidas difícilmente nos van a permitir superar: la simpatía que socialmente despiertan muchos piratas informáticos; por desgracia, mucha gente aún considera a estos personajes una especie de héroes. Si nadie aplaude al que roba un bolso en la calle, >por qué aún existen defensores de los que roban contraseñas de un sistema? Mientras sigamos sin darnos cuenta de lo que realmente son los piratas (simplemente delincuentes) será difícil que la seguridad informática sea tomada en serio.

---

No me gustaría acabar este trabajo sin una pequeña reflexión sobre el panorama de la seguridad en Unix y redes que existe actualmente en España; sólo cabe una definición: lamentable. Lo único que por suerte se toma en serio es la criptografía, que cuenta con grupos de estudio y docencia en algunas universidades del país. Del resto, casi es mejor no hablar: no existe ningún grupo importante de investigación en ninguna universidad española, el número de artículos publicados en revistas serias se reduce a cero, y la docencia universitaria a unas pocas asignaturas genéricas - y que ni siquiera son obligatorias -; por supuesto, no existe ningún programa de doctorado relacionado con la materia (excepto, una vez más, y afortunadamente, con la criptografía). De esta forma, si la mayor parte de los informáticos salen de las facultades sin conocer conceptos tan básicos como sniffer o caballo de Troya (ya no hablamos de cosas como esteganografía o seguridad multinivel), no es de extrañar que la seguridad se encuentre actualmente (en la mayor parte de los casos) en manos de aficionados a la informática con ciertos conocimientos prácticos pero con una importante falta de bases teóricas sobre la materia. Si lo que queremos son sistemas inseguros y reportajes sensacionalistas sobre quinceañeros que violan la seguridad de La Moncloa, lo estamos consiguiendo...pero quizás deberíamos plantearnos qué ha de pasar para que esto cambie.