LiMiTreK

Este tema es la miniguía básica de seguridad que en su momento redacté para Masters. Como la mayoría de mis textos, su licencia es Creative Commons bajo condiciones de Atribución - Uso NO comercial - Sin obra derivada, lo que quiere decir que cada uno es libre de usarla donde quiera siempre que cite la fuente (limitrek.com) y el autor original (oMega_2093). La versión corregida, actualizada y mejorada se encuentra en LiMiTreK, en Masters permanecerá la guía en la primera versión que escribí y en los demás sitios, cada cual que haga lo que quiera mientras respete la licencia del documento.

La guía trata sobre conceptos básicos de seguridad para aquellos que empiecen a administrar cosas en Internet (foros, por ejemplo) o para aquellos que se preocupen por la seguridad de sus cuentas (Hotmail, Yahoo... lo que sea). El nivel es básico, y enseñaré cosas que para los iniciados serán básicamente perogrulladas, pero que conviene tener siempre en cuenta.


Si repentinamente pierdes acceso a una cuenta, es posible que se trate de un microcorte del servicio, o una caída del servidor. Si en unos instantes no te pasa, no tiene más trascendencia. Si te sigue ocurriendo, entonces tienes un problema gordo. Existen muchas posibilidades de que el fallo haya sido tuyo al custodiar la seguridad de tu cuenta, y realmente muy pocas de que alguien te haya "hackeado" de verdad.

Lo que te salva de estas dos situaciones suele ser la contraseña de la cuenta, cualquiera que sea ésta. Veamos ahora un poco más al detalle algunos consejos prácticos para aumentar la seguridad mediante el uso inteligente de una contraseña.


1.1. Uso inteligente de una contraseña: evita disgustos

Un hacker siempre necesitará una contraseña y un username para acceder a cualquier parte. Tu contraseña es lo que separa aquello que quieres cuidar del estricto orden al caos más absoluto. Debes evitar dar información para que otros puedan reconocer tu contraseña o adivinarla más rápidamente.

• No reveles una contraseña a nadie. Generalmente, los miembros del staff de sitios importantes (entendiendo "importantes" como sitios que pueden dañarte si tu cuenta es robada) nunca pedirá una contraseña. Ahora bien, si te la piden, deberías pensar en reportarlo, y por supuesto, no hacer ni caso. NO DES TU PASSWORD.
• No des ningún tipo de información sobre la contraseña que usas. Decir que tiene X caracteres ya es un dato valioso que ahorrará mucho tiempo a los ataques por fuerza bruta. No lo desveles.
• No utilices como contraseña números relacionables contigo, como tu DNI, tu fecha de nacimiento... etc, pues son fácilmente comprobables y mucha gente ya lo hace. En seguridad, ser como todos los demás es ser un blanco fácil.
• No utilices como contraseña palabras que se relacionen contigo. Si eres fan de naruto, no pongas "naruto" como contraseña. Tu contraseña debe ser imposible de adivinar. No intentes hacerla "contraria" a lo que te gusta porque las técnicas de averiguar contraseñas contemplan esto.
• Haz una contraseña larga pero recordable; no escribas algo que olvidarás a los 2 minutos. Si vas a hacerlo, apúntala en un lugar seguro.
• Intenta en la medida de lo posible duplicar la menor cantidad de contraseñas que puedas. Todos tus registros deberían estar acompañados con una contraseña única. Cuesta recordarlo, pero puedes variar sobre la primera contraseña. Recuerda que si en 3 servicios tienes la misma contraseña, robarte la de uno significa robarte la de los 3. Al loro.
  

1.2. Contraseñas seguras

Veamos las características que debe cumplir una contraseña para ser considerada segura.

• Mezcla números y letras y, si se puede, caracteres alfanuméricos.
• Utiliza contraseñas lo más largas posibles. Aunque parezca una tontería, el paso de 11 a 12 caracteres de contraseña dificultará mucho los ataques por fuerza bruta.
• Aunque mezcles números y letras, tu contraseña puede ser igual de insegura. "jose88" es a todas luces una contraseña totalmente insegura porque es fácilmente relacionable contigo. No uses este tipo de contraseñas.
• Tampoco utilices palabras castellanas, ni inglesas, ni en general palabras que estén incluídas en diccionarios. Utiliza letras y números sin sentido. Utiliza combinaciones aleatorias.
  

La mayoría de las veces tener una cuenta de correo mal protegida implica que otras medidas de seguridad no sirven de nada. Veamos algunas recomendaciones para tu cuenta de correo:

• Nadie debe conocer tu contraseña de la cuenta de correo (en realidad ninguna contraseña relativamente importante). Absolutamente nadie. No necesita saberla ni tu novia, ni tu mejor amigo. Tal vez algún día dejen de serlo, y tú te arrepentirás cuando pasen a la acción.
• Tu pregunta secreta y contraseñas, de nuevo, nada que se relacione contigo. Las preguntas secretas suelen contener info personal (odio eso) así que un ex amigo puede saber esa información si te conoce. Puedes utilizar una pregunta secreta cualquiera e incluir a modo de respuesta una segunda contraseña muuuy larga para que sea imposible averiguar tu contraseña original por este método.
• Si vas a apuntar eso, puedes numerar la pregunta en A, B, C... para acordarte de cuál era y para que no se sepa que es una pregunta secreta. Recuerda que si alguien recoje un papel que diga "soylacontraseña", por mucho que la sepa, le faltan datos para poder llegar a robar tu cuenta. No se los facilites.
• Si puedes crearte una nueva cuenta de correo que no sea la personal para registros, o para acceso a sitios importantes, o para foros... lo que sea, mejor que mejor. Recuerda que también tienes que aplicar lo que hemos visto hasta ahora en esa nueva cuenta.
• Oculta si es posible tus direcciones de email en foros, redes sociales y perfiles. Primero porque suponen una fuente de spam inimaginable (estar publicado en la red significa ser objetivo de miles de bots de spam), y segundo porque será visible también a otros usuarios.
  

Todo esto te ofrecerá algo más de seguridad en lo que a la cuenta de email se refiere. El siguiente apartado va especialmente dedicado a los administradores de foros.


Una vez tengamos una contraseña segura, una dirección segura de email y un foro o blog, tendrás que aprender a hacer las cosas bien. Los foros (tanto si son gratuitos como si son propios) son un objetivo más para los hackeos. Aunque la mayoría de las veces (sobre todo en servicios gratuitos) los hackeos se traten de simples robos de contraseña por incumplir lo arriba mencionado. Veamos indicaciones para administrar nuestro site de modo seguro. Los usuarios de foros no encontrarán útiles algunos de los puntos descritos, pero en general lo dicho para unos se aplica a los otros.

3.1. Cuidado con los permisos

Cuando eres el administrador de un foro puedes modificar los permisos de otros usuarios y darles la posibilidad de administrar o moderar. Esto siempre conlleva cierto riesgo por los propios permisos que estás otorgando. Veamos algunas claves de esto:

• Cuando nombras a otro administrador estás duplicando las posibilidades de que te roben las contraseñas o que te arruinen el foro ya que hay DOS contraseñas para acceder a la administración del foro. Asegúrate de que el otro administrador utiliza una contraseña segura.
• Asegúrate de que la persona a la que le das los permisos es de confianza (un hermano, un buen amigo, o alguien cuya confianza sea recíproca). Si no confías en otra persona, NO le des permisos especiales.
• No facilites etiquetas HTML dañinas. Existen etiquetas HTML que aunque su buen uso no es dañino, si se usan malintencionadamente pueden suponer un gran mal para el sitio. Por ejemplo, creando un iframe que cargue un sitio con virus, automáticamente infectarás a tus visitantes. En la medida de lo posible en foros, utilizacódigo predefinido (BBCode, MyCode, vCode o como se llame), o define los tuyos propios de manera segura.
  

3.2. Copias de seguridad y acceso al foro

Es importante hacer copias de seguridad de modo habitual. La mayoría de los softwares de foros o blogs (así como otros CMS) dan la posibilidad de crear una copia de seguridad de la base de datos automáticamente, o si no, de modo manual. Asegúrate de hacer una copia con una frecuencia tal que en caso de ser hackeado, la actividad perdida no suponga un daño irreparable a tu comunidad. Lo ideal sería a diario, pero si tu site es grande eso matará el espacio en disco que tengas asignado (a no ser usuarios de servidores dedicados que pueden enfocar mucho más espacio y recursos de sistema a la tarea de backup).

Resumiendo: haz copias de seguridad regularmente y guárdalas. Por otro lado, podemos tener en cuenta estos consejos.

• Crea una cuenta de backup. Me refiero a un usuario del foro. Este usuario deberá tener un nick que no se pueda asociar con tu foro, como si fuera uno más y una contraseña de alta seguridad. Debes fijar sus permisos como administrador, y elimina toda evidencia de que es administrador, para que no sea reconocido por los otros users. Si alguien te roba la contraseña de una de las cuentas (posiblemente la que uses más a menudo), tendrás la otra para revertir los cambios (si se puede, que no siempre). Pero esto plantea el problema de que sereis DOS cuentas de administrador. Aunque realmente si nadie se entera...
• Crea dos cuentas para tí: una cuenta de administrador y una normal. Este consejo viene a ser algo así como el root de Linux. A la cuenta de administrador la pondrás una contraseña lo más extravagante y largo que puedas, ya que sólo la usarás para labores de administración (¿os suena ya al root de Linux?).
  
  Puedes combinar esto con lo anterior, es decir, camuflar esa cuenta "root" bajo un usuario normal como describí en el punto anterior y, importante, ocultar tu estado, para que otros pero sin permisos para administrar. Quizá te interese ponerte permisos de supermoderador, para poder moderar desde esa cuenta. Lo bueno de esto es que robar tu cuenta principal (la que está anunciada como admin pero que realmente no lo es) no tendrían acceso a administración y por tanto no podrían hacer casi nada, salvo borrar mensajes del foro.
• Por otro lado, mirando la ID de usuario se puede saber fácilmente quién es el administrador (ID=1 en MyBB indica que eres el administrador, ID=2 en phpBB2). Estaría bien tapar eso con el mod_rewrite, si hay algún plugin para tu foro o blog que cambie eso. En el caso de Wordpress, se sabe porque la URL de los posts de un autor en especial es /author/admin/ en lugar de /author/nickname/.
  

3.3. Vigila a las personas a cargo del site

Si finalmente has decidido tener moderadores o más administradores, vigila lo que hacen. Intenta hacer un seguimiento de sus actividades y conócelos mejor como persona, habla con ellos e intercambia opiniones. Intenta averiguar qué imagen tienen de tu site y de tí como administrador. Si los integrantes de tu staff son extraños o tienen comportamientos erráticos, quítales el rango. Debes entender que la seguridad de tu site es algo que debes trabajarte sobre todo tú.

También debes incluir a gente que tenga la suficiente experiencia como para saber que debe utilizar contraseñas seguras (lo descrito arriba en este documento). NO NOMBRES MODERADOR AL PRIMERO QUE TE LO PIDA, Y MUCHO MENOS ADMINISTRADOR.


Uno de los problemas a los que nos enfrentamos cuando tenemos muchas cuentas en diversos foros, servicios online, redes sociales, blogs... es el del almacenaje. Lo ideal es que todas esas contraseñas sean diferentes, pero es muy difícil memorizarlas de ese modo. Por ello es conveniente recurrir a un sitio donde administrar contraseñas. Veamos las recomendaciones primero, y luego las posibilidades...

• Nunca apuntes una contraseña al descubierto de tal forma que aquel que lo lea sepa claramente que es una contraseña y el sitio y nickname al que pertenece. Intenta que quede a modo de número o texto random cualquiera en un papel sin importancia. No facilites nick, URL, título del sitio... etc.
  
  Imagínate que pierdes ese papelito en el Carrefour. Todos los que lo vean podrán saber tu contraseña, pero no sabrán tu nick e indudablemente no se imaginarán que es la contraseña de un foro y aunque lo llegaran a averiguar, no sabrían que es precisamente de TU foro. Por eso, no indiques más datos. No facilites el trabajo. Una contraseña suelta no lleva a nada. Pero un nick y una contraseña en manos de otro es peligroso.
• Nunca apuntes tu contraseña en un sitio de tal modo que quede almacenada en una base de datos online. El campo de contraseña del usuario en la base de datos es seguro, porque está encriptado. Pero no lo son los otros campos (perfil, foros privados -se ocultan de otro modo-, etc).
  

Y las posibilidades para apuntar tu contraseña:

• Papel: si la vas a a apuntar en un papel, lo ideal es que no sea un trocito que sea fácilmente perdible. No la escribas demasiado grande, y no pierdas la hojita. No escribas contraseñas juntas (una por papel), porque si hay varias ya canta demasiado a "recitario de contraseñas". Apunta en papel aquellas que sean menos importantes. Por supuesto, guarda bien el papelito, que no lo lea nadie (preferiblemente tampoco la familia, pero en ellos seguramente puedas confiar si les dices que es una contraseña tuya).
• Formato informático: programas como Keepass (gratuito, GPL) son un sitio bastante seguro donde almacenar tus contraseñas. Se trata de una especie de tabla de Excel donde almacenas contraseña, nickname, URL... etc. Es seguro porque está fuertemente protegido por una contraseña maestra, un fichero llave (si no tienes ese fichero no puedes abrirlo) y está encriptado. Pero pese a todo no es un sistema totalmente seguro. Recomiendo tener una copia de seguridad al menos, y que esté actualizada en la medida de lo posible. No guardes el archivo en disketes, CD o similares, y por supuesto no lo subas a Internet. Guárdalo en un pendrive o en tu disco duro, y protégelo con una buena contraseña. PD: cuidado con el pendrive.
  

5.1. No la metas en el primer agujero...

A veces en Internet se ofrecen "servicios" que requieren que introduzcamos nuestra contraseña. Debemos verificar siempre que estamos en el sitio en el que queremos estar. Si vemos una ventanita de Windows Live para introducir nuestra pass del Messenger, por favor, VERIFICA que realmente estás en el sitio de Microsoft. ¿Cómo?

Fácil, mira la barra de dirección. Si estás en algo como mail.live.com, algo terminado en microsoft.com, passport.net... Son direcciones asociadas a Microsoft, puedes introducir tu contraseña a salvo. Pero si ves algo como web.hosting.com/134mail.bay134.mail.live.com.php, entonces TE ESTÁN TIMANDO.

Verifica siempre que estés donde la página que ves dice que estás. A veces mienten. No des tu contraseña a estos sitios. No utilices tampoco servicios que consistan en dar tu contraseña de correo. Algunos son fiables (Twitter), pero es mejor no darla nunca y así nos ahorramos la duda de si son o no fiables.

Evidentemente, NUNCA digas tu contraseña en un sitio público de internet, ni siquiera en mensajería privada.

5.2. Cuidado con lo que abres

Existen sitios en Internet que al entrar, intentan enviarte troyanos o virus. Ten cuidado con los sitios que miras. Si un enlace ya de por sí sospechoso te dirige a una URL todavía más sospechosa, intenta averiguar de qué se trata antes de entrar (busca en Google, pregunta al autor del post... lo que consideres más oportuno)

Además, vigila tu correo electrónico. Si te llegan mensajes de email en hablándote de relojes (watches), viagra, gente que quiere conocerte y demás mierda, NO los abras, son spam. Además, existen algunos de ellos que aparte de ser spam, te cuelan spyware o troyanos o virus directamente a tu ordenador. Mail no solicitado = A LA MIERDA.

Por si todo eso era poco, en algunos emails solicitados (de gente que conoces, o incluso de tí mismo ¿?) te llegan a veces archivos adjuntos. Aunque Gmail y Hotmail, entre otros, tienen protección antivirus, conviene que seas MUY cuidadoso a la hora de abrir estos archivos. Y cuidado también con los archivos que recibes vía MSN Messenger. Hay muchísimos virus que abren ventanas a los contactos diciéndoles que les envías un archivo, que contiene virus. Si el contacto acepta, está perdido. No aceptes tú cualquier archivo que te envíen.


Si tienes todo este documento releído y lo has puesto todo en práctica, ¡enhorabuena! Tu seguridad se ha incrementado en muchos enteros. Pero si tu PC es un coladero de virus, estás igualmente arruinado. Por eso conviene que protejas tu ordenador en la medida de lo posible. Protégelo tanto de Internet como de ataques de tu propia red (esto es, protege tu red WiFi y cierra tu PC a accesos desde la red, tanto Inet como LAN). La mayoría de apartados en este epígrafe serán tratados de modo superficial, pues ya lo dejo para otro editorial el tratarlos con mayor profundidad.

6.1. Seguridad básica

• Antivirus: debes utilizar un antivirus para evitarte sorpresas e infecciones. No necesitas desembolsar dinero, pues existen antivirusgratuitos como BitDefender, Avast, AVG... etc. Infórmate y descarga alguno.
• Firewall: este programa lo que hace es cortar las conexiones no deseadas y los escaneos de puertos que llegan desde Internet. Tampoco tienes que desembolsar dinero ya que ZoneAlarm, Kerio, Outpost... son gratuitos y cumplen con su deber. Por favor instala alguno de estos programas, aumentará tu seguridad enormemente.
  

6.2. Malware

En general, programas como Ad-Aware ayudarán a defendernos bastante bien de estos sujetos. Pero no será suficiente. Debemos utilizar un navegador de Internet seguro, ya que la mayoría de este software se cuela a través de la navegación. Como navegadores seguros tenemos a Opera y Firefox como los más habituales.

6.3. Redes inalámbricas WiFi

• Protege tu red ocultando el SSID.
• Utiliza encriptación como WEP o WPA (preferiblemente esta última)
• Cierra puertos, y abre sólo los que sean necesarios o vayas a utilizar.
• Si eres lo bastante talibán como para que esto sea insuficiente, anota las direcciones MAC de tus disposivos conectados al router (tanto inalámbricos como por cable) y mételos en la lista blanca de direcciones MAC. Cierra el acceso a los demás (access only to white-listed addresses).
  

Si estás en un cyber, lo más seguro es que tras de tí otra persona vaya a utilizar ese mismo ordenador. No hagas que el navegador "recuerde tus datos". Si lo has hecho, cierra sesión manualmente y elimina los archivos temporales y las cookies. Un usuario malintencionado puede sacar tu información de estos archivos. Elimínalos y asegúrate de CERRAR SESIÓN al acabar. Por otro lado, evita en la medida de lo posible administrar desde ordenadores que no conoces: pueden estar llenos de virus, troyanos y keyloggers que guardan tu información.

Guía de http://limitrek.com - Cualquier nueva aportación es bienvenida. Espero que sirva de ayuda.