¿Qué es y qué ofrecen las VPN? 

 VPN es una tecnología de red que permite una extensión segura de la red local (LAN) sobre una red pública o no controlada como Internet, mediante un proceso de encapsulación y de encriptación, de los paquetes de datos a distintos puntos remotos mediante el uso de unas infraestructuras públicas de transporte. Permite que la computadora en la red envíe y reciba datos sobre redes compartidas o públicas como si fuera una red privada.    VPN ofrece una solución de bajo costo para implementar la red a larga distancia al basarse sobre Internet, además de ofrecer autenticación de usuarios o equipos a través de cifrados, firmas digitales o claves de acceso para una identificación inequívoca; ofrece también integridad, garantizando que los datos enviados por el emisor sean exactos a los que se reciben, y confidencialidad, el cifrado hace posible que nada de lo transmitido sea interceptado o interpretada por nadie más que emisor y destino. 

Requerimientos básicos de una VPN 

 Las redes privadas virtuales deben contar con ciertas bases antes de su implementación, tales son un set de políticas de seguridad para la codificación de datos, pues no deben ser visibles por clientes no autorizados en la red; administración de claves, para asegurar la codificación entre clientes y servidor; compartir datos, aplicaciones y recursos; un servidor de acceso y autenticación, para que en la red se tenga control de quiénes ingresan, verificar su identidad y tener registro estadístico sobre accesos;  administración de direcciones, pues la VPN debe establecer una dirección para el cliente dentro de la red privada y debe asegurar que estas direcciones privadas se mantengan así; y finalmente soporte para múltiples protocolos,  pues debe manejar los protocolos comunes a la red Internet, como IP, por ejemplo. 

Tipos de VPN 

VPN de acceso remoto: Consiste en usuarios que se conectan a una empresa desde sitios remotos utilizando Internet como vínculo de acceso. Una vez autenticados tienen un nivel de acceso similar a estar dentro de la red local. 

VPN punto a punto: Este esquema es el empleado para conectar oficinas remotas con una sede central. El servidor VPN está conectado permanentemente a Internet, acepta conexiones entrantes desde los sitios y establece el túnel VPN. Los servidores de las oficinas remotas se conectan a Internet y a través de ésta al túnel VPN de la oficina central. Se utiliza para eliminar las conexiones punto a punto tradicionales

VPN interna (over LAN): Funciona tal cual una red VPN normal, salvo que dentro de la misma red local LAN en lugar de a través de Internet. Sirve para aislar zonas y servicios de la misma red interna. Sirve también para mejorar las características de seguridad de una red inalámbrica WiFi.  

Protocolos usados en VPN    Dentro de la multiplicidad de protocolos disponibles para su uso en las VPN, el conjunto  estándar es IPSec, encontrándose además otros protocolos como PPTP, L2F, SSL/TLS, SSH, etc. 

IPSec es un conjunto de estándares para incorporar seguridad en IP, actúa a nivel de capa de red, protegiendo y autenticando los paquetes IP entre los equipos participantes de la red. Proporciona confidencialidad, integridad y autenticación a través de algoritmos de cifrado, hash, llaves públicas y certificados digitales. IPSec tiene tres grandes componentes, dos protocolos de seguridad, como son Autenticación de cabecera IP (AH) y Carga de seguridad de encapsulado (ESP); y uno de seguridad de llaves, Intercambio de llaves de Internet (IKE).    En el protocolo AH es la porción de datos del mensaje emitido pasa a través de un algoritmo de hashing junto a la clave de autenticación de cabecera y se anexa como cabecera al paquete IPSec; al llegar a destino los datos también se calculan por el mismo proceso de llave con el hash, y si es igual al que venía en la cabecera AH, el paquete está autenticado. (fig. 1)    El protocolo ESP tiene un funcionamiento similar, cuya principal diferencia con AH es que el mensaje es ahora cifrado a través de un proceso criptográfico con la llave ESP, por lo que solo puede ser descifrado luego por un receptor que conozca de la llave

 El protocolo IKE tiene dos modos de funcionamiento, uno en modo trasporte y uno en modo túnel. En modo transporte, el contenido dentro de un datagrama AH o ESP son datos de la capa de transporte, por lo tanto la cabecera IPSec se inserta luego de la cabecera IP y antes de los datos que se desean proteger; asegura la comunicación extremo a extremo, pero entendiendo ambos el protocolo IPSec. En cambio, en modo túnel, son datagramas IP completos, incluyendo la cabecera IP original. Al datagrama IP se le adjunta la cabecera AH o ESP y luego otra cabecera IP para dirigir los paquetes a través de la red. Es el protocolo IKE el estándar para la configuración de las VPN por sus características.

Implementaciones y tipos de conexión 

 Dentro de las implementaciones tenemos dos grandes divisiones que son vía hardware y vía software. Tal cual el nombre lo dice, vía hardware es emplear configuraciones a nivel de routers o cortafuegos para conectarse de forma remota a una red privada virtual, y vía software es emplear un programa o conjunto de programas en un equipo final para hacer la conexión a la VPN.    A partir de esto, tenemos tres tipos de conexiones hacia una VPN, primeramente  la conexión de acceso remoto, que es realizada por un cliente o usuario a través de un computador a la red privada, los paquetes enviados a través de la conexión VPN son originados al cliente de acceso remoto, autenticándose éste al servidor y el servidor al cliente, generalmente por software.    

 El otro tipo de conexión es router a router, y tal como el nombre dice, es un router el que se conecta a la red privada; en éste tipo de conexión, los paquetes enviados desde cualquier router no se originan en los routers, y es el router quien se autentifica ante el router de la red privada y viceversa, sirve también para red interna.    El tercer tipo es conexión firewall a firewall, en la cual un cortafuego de origen se conecta a la red privada virtual. En este tipo de conexión, los paquetes son enviados desde cualquier usuario en Internet. El firewall que realiza la conexión se autentifica ante el que responde y viceversa.

Conclusiones

En definitiva, las redes privadas virtuales resultaron un tema bastante sencillo de abordar en primera instancia, pues la información es relativamente abundante y fácil de entender, mas lo complejo vino al ir entendiendo y profundizando en el tema. Estas redes artificiales nacieron para poder abaratar costos a nivel empresarial, reemplazando las conexiones dedicadas punto a punto por cables físicos al utilizar la Internet como su estructura y camino esencial. 

 ¿Cómo poder controlar todo lo que se trafica? En la red son solo algunos los participantes, no cualquier usuario en la Internet puede aparecer en ésta, y así nacen una serie de protocolos que ayudan a las bases de la VPN, aportando confidencialidad, integridad y autenticación. Siendo IPSec el estándar “de-facto” para las VPN, nuestro foco se mantuvo en comprender sus componentes y cómo actúa el set de protocolos y cómo los datos son transmitidos entre emisor y receptor. 

 Los tipos de conexiones, implementaciones y de redes privadas virtuales en sí son las que ayudan a resolver distintos escenarios y necesidades de conexión tanto para clientes finales como grandes empresas, siendo esto lo que nos llevó a nuestra parte práctica. Configurar un cliente y servidor VPN a nivel Internet es complejo, son muchas variables de seguridad en el equipo los que hay que manejar y comprender para que otros usuarios puedan participar de nuestra red, mas con ayuda de Hamachi, que es un VPN personal con directorio y servidor centralizado, estos problemas son fácilmente solucionables para un usuario estándar.   

 Siendo que las configuraciones de VPN actuales disponibles en routers, firewalls, y en los mismos sistemas operativos parecen simples, queda el reto de hacerlas disponibles para usuarios finales, así sería más eficiente y sencillo el uso para cualquiera con nociones de redes de computadores, pues la multiplicidad de protocolos y opciones parecen aturdir el proceso. Pero, es ésta misma la que facilita la disponibilidad para un amplio espectro de dispositivos.  

CIBERCRIMEN ORGANIZADO

Era imposible evitar este tipo de crímenes, por el contrario, cada día aumentan, porque cada día la sociedad empeora en cuánto a la delincuencia, en todos los ámbitos. Es algo inherente al ser humano. Y la tecnología no podía estar ajena a este tipo de situaciones.

Estos crímenes se realizan en el espacio cibernético, un espacio sin límites y difícil de proteger, para ello nació la Ciberseguridad, un departamento encargado de la Seguridad Cibernética y que todas las organizaciones, tanto grandes o pequeñas, deberían implementar. Pero aún no se toma conciencia del real peligro que significa un ataque o crimen cibernético para una organización.

“Los delitos en la web suponen un impacto de un billón de euros a nivel mundial, mientras que el gasto en seguridad digital es de 70.000 millones”. Según el portal el mundo.es

Como vemos, la ciberdelincuencia es el negocio ilícito más lucrativo, supera al narcotráfico. Los ataques informáticos y el fraude económico a través de la tecnología alcanzan un grado de sofisticación hasta ahora inimaginable.

Debemos estar conscientes, primero que nada, que las ciberamenazas están y estarán siempre, son inevitables. Lo importante es estar preparados para cuando ocurran, tener un plan de prevención, de acción y de solución.

En cuanto al abuso sexual de menores, la web está invadida de imágenes, desde hace mucho tiempo. Las autoridades se ven sobrepasadas, no es mucho lo que pueden hacer, lamentablemente. La pornografía infantil viaja por la web a una velocidad indescriptible, dejando a todas las víctimas expuestas a merced del público, sin medir el inmenso daño para las víctimas como para sus familias.

En cuanto a la Dark Web, que también está incluida en los delitos cibernéticos, podemos decir que no todo lo que se dice de ella es verdad, también hay mitos. Lo que sí es cierto, y que su nombre lo dice, es la parte oscura de la web, la parte oculta. No se puede entrar a la Dark Web sin pagar, generalmente. Allí se encuentran páginas que no encontraremos fácilmente en un buscador, ahí hay páginas de libre expresión y un sinnúmero de información.

Evaluación de amenazas del crimen organizado por internet

El constante desarrollo tecnológico, el potencial de las TICs y en general, la nueva era digital han potenciado los ciberataques a escala mundial.

Los nuevos delitos informáticos ya hacen frente a barreras territoriales y en ocasiones exceden la normativa legal. Por ello, detener el cibercrimen se ha convertido en una inquietud por parte de organismos nacionales e internacionales para garantizar la seguridad del Estado.

El Informe anual de la Europol sobre la Evaluación de Amenazas del Crimen Organizado por Internet (IOCTA) de este año, refleja el panorama actual de las principales amenazas y tendencias, según las autoridades policiales y fuerzas del orden Europeo.

Entre ellas tenemos, el crimen ciberdependiente, donde el Ransomware sigue siendo una de las mayores amenazas, pero el volumen de los ataques ha disminuido, ya que los atacantes se centran en objetivos menores pero más rentables.

“El phishing y los protocolos vulnerables de escritorio remoto son los principales vectores de infección de malware“, según el informe IOCTA.

“Los datos siguen siendo un objetivo clave, un producto básico y un facilitador para el cibercrimen.
Tras el aumento del ransomware destructivo, como los ataques de Germanwiper de 2019, existe una creciente preocupación dentro de las organizaciones por los ataques de sabotaje”.

“Se necesitan esfuerzos continuos para sinergizar aún más la red y el sector de seguridad de la información y las autoridades de aplicación de la ley cibernética para mejorar la resiliencia y la seguridad cibernéticas en general”.

En cuanto al abuso sexual infantil por internet, el informe dice, que la cantidad de niños abusados sexualmente en línea ha seguido aumentando, esto es en gran medida, por el aumento de dispositivos en manos de niños sin supervisión de un adulto. Algunos expertos dicen, que los niños se sienten más seguros frente a un ordenador que conversar con un adulto sobre sus inquietudes y no se dan cuenta que una vez que han subido sus fotos, no pueden hacer nada para evitar estar en la web.

Otro delito tipificado en el informe es, fraude de pago, CNP ( Tarjeta No Presente). “El fraude del CNP sigue siendo la principal prioridad dentro del fraude de pagos y sigue siendo un facilitador para otras formas de actividad ilegal.
El descremado continúa evolucionando con delincuentes que se adaptan continuamente a las nuevas medidas de seguridad. Los ataques de Jackpotting son cada vez más accesibles y exitosos”.

La Dark Web o Web Oscura, también está dentro de los cibercrímenes. “La web oscura sigue siendo el facilitador clave en línea para el comercio de una amplia gama de productos y servicios criminales y una amenaza prioritaria para la aplicación de la ley”.

Con respecto a la convergencia de Ciber y Terrorismo, el informe dice lo siguiente: “La amplia gama de proveedores de servicios en línea (OSP) explotados por grupos terroristas presenta un desafío importante para los esfuerzos de interrupción. Los grupos terroristas suelen ser los primeros en adoptar las nuevas tecnologías, explotando plataformas emergentes para sus estrategias de comunicación y distribución en línea.
Con suficiente planificación y apoyo de comunidades simpatizantes en línea, los ataques terroristas pueden volverse virales rápidamente, antes de que los OSP y la policía puedan responder”.

Conclusion

Existe una deficiencia en la discusión técnica por parte del Gobierno y la adopción de correctos y definidos procedimientos de investigación y la toma de acciones legales contra el cibercrimen, omitiendo cosas como la recolección de datos y la custodia de los mismos y los sistemas incorporados bajo estándares internacionales

Bibliografía

[1] Miniwatts Marketing Group, “World Internet Users Statistics and 2015 World Population Stats”, Miniwatts Marketing Group, 2015. [Online]. Available: http://www.internetworldstats.com/stats.htm. [Accessed: 8 -Abr- 2016]

[2] S. Kemp, “Global Social Media Statistics 2016”, we Are Social, 2016. [Online]. Available: http://www.smartinsights.com/social-media-marketing/social-media-strategy/new-global-social-media-research/. [Accessed: 8 -Abr- 2016]

[3] J. Vacca, “Occurrence of cyber crime”, Computer Forensics: Computer Crime Scene Investigation, Massachusetts, Charles River Media, 2002, p. 56.

[4] PwC,  “US State of Cybercrime Survey”, 2014. [Online]. Avalilable: http://www.pwc.com/us/en/increasing-it-effectiveness/publications/assets/pwc-2014us-state-of-cybercrime.pdf. [Accessed: 13 -Abr- 2016]

[5] Fortune, “Cyber Security Investing Grows, Resilient to Market Turmoil – Fortune”, Reuters,  2015. [Online]. Available: http://fortune.com/2015/09/23/cyber-security-investing/. [Accessed: 13 -Abr-2016]

[6] “Internet Security Threat Report”, 2015. vol. 20 [Online].  Avalilable: https://www.symantec.com/content/en/ us/enterprise/other_resources/21347933_GA_RPT-internet-security-threat-report-volume-20-2015.pdf. [Accessed: 15-Abr-2016]

INTRODUCCIÓN
Seguramente alguna vez habrá escuchado eso de “El sistema más seguro es aquel que se encuentra desconectado”. Pero, ¿y si alguien hace una llamada y convence a quien sea oportuno para que lo conecte?

Existe un elemento común a todos los entornos TIC: el ser humano. Considerar a las personas como parte del sistema es fundamental para lograr un análisis de seguridad completo. Siempre hay personas tras los sistemas de información, ya sean usuarios, desarrolladores o administradores.

Imagine que es un ciberdelincuente. Nuestro objetivo es acceder a un servidor de documentos corporativos de un colegio donde se guarda información académica y personal de todos los alumnos. Este servidor, como es lógico, no está público y sólo es accesible a través de la red de la Consejería. Lo primero que tenemos que conseguir entonces es acceder a la red de la Consejería. ¿Por donde?, Por donde sea más sencillo, por ejemplo, a través del equipo de un usuario cualquiera (preferiblemente no técnico:
administrativos, comerciales, departamentos de cuentas, etc). Un email que se descarga un archivo malicioso, un pendrive infectado (que regalamos en una falsa visita comercial), una página falsa de acceso al correo corporativo, etc. Todas estas amenazas, combinadas con una buena estrategia de ingeniería social pueden llevar al delincuente a conseguir su objetivo de acceder a la máquina de la víctima esquivando cualquier sistema de protección de la organización.

Este tipo de tácticas suponen una gran amenaza contra la seguridad ya que son extremadamente difíciles de evitar y no requieren en muchos casos de conocimientos de tecnología ya que no se basan en ésta, sino más bien en la psicología humana.

EL ARTE DEL ENGAÑO
Se conoce por ingeniería social al “arte” de manipular y engañar a las personas. Para ello se suele hacer uso de técnicas de manipulación psicológica, que nos permitirán conocer y aprovechar reacciones humanas predecibles ante determinadas situaciones.
La aplicación de este tipo de técnicas puede tener diferentes motivaciones. Intentar convencernos de algo, por ejemplo, que compremos una determinada marca de un producto. Provocar en alguien un cambio de actitud (positiva o negativa) sobre algo, por ejemplo, ante la percepción que tenemos de un determinado partido político. Forzar la realización de una acción, confundir ideas o sacar información. Son sólo algunos de los objetivos que podríamos conseguir mediante la ingeniería social.

En el estudio de la ingeniería social se mezclan la tecnología con áreas como la psicología social, el análisis de la confianza humana o el de la persuasión. Por tanto, no le extrañe si en este documento se encuentra con cuestiones más próximas al dominio de las ciencias sociales que al tecnológico.

ASPECTOS EXPLOTABLES
La base de la ingeniería social es la aplicación de técnicas de psicología social para manipular a las personas. La psicología social es el estudio científico de cómo los pensamientos, sentimientos y comportamientos de las personas son influidos por la presencia real, imaginada o implícita de otras personas. La pregunta que intenta responder la psicología social es la siguiente:

Dentro de la psicología social encontramos 3 aspectos que resultarán importantes para los propósitos de la ingeniería social:
• Las técnicas para la persuasión y la influencia.
• Las actitudes y creencias que afectan a la interacción social.
• La falsa confianza.

EJEMPLO DE ATAQUE DE INGENIERÍA SOCIAL
A continuación se describe un escenario ficticio en el que, por medio del uso de la ingeniería social, se lleva a cabo un ataque a un banco electrónico.
Hoy tiene lugar una importante reunión en las oficinas del banco e-MoneyBank, S.A. La dirección ha convocado al responsable de seguridad y a los jefes de los diferentes departamentos de la empresa para tratar un asunto de máxima urgencia. El director general explica que durante la pasada semana, en la cual el responsable de seguridad ha estado de vacaciones, se ha producido una transferencia irrevocable de una enorme suma de dinero a una cuenta de Las Maldivas, sin autorización alguna.
Pese a las muchas y robustas medidas de seguridad desplegadas en la empresa, el robo ha tenido lugar y nadie tiene una explicación ante tal situación. De repente, Martín, del departamento de sistemas, quien escuchaba los hechos atentamente, empieza a ponerse nervioso.
La semana pasada, Martín recibió una llamada telefónica. Un técnico del departamento de servicios informáticos interno le llamaba en relación con un cambio de software que se había de producir en breve. Martín estaba al tanto de este cambio dado que durante este mes toda la organización había estado recibiendo un aviso interno a este respecto. El técnico le comentaba que había hablado con Francisco González, responsable de seguridad, antes de que se fuera de vacaciones y habían acordado que le pasarían el código de seguridad para la administración de cuentas para comprobar que todo
funcionara correctamente en la nueva versión antes de ponerla en producción. Cada día, la clave iba cambiando, por tanto, no se la había dado el propio Francisco antes de irse (era inútil). A Martín no le hacía mucha gracia dar aquella clave, pero finalmente, considerando racionalmente la situación: el técnico sabía dónde estaba el jefe, sabía que él estaba a cargo ahora, y, como le hizo ver, no dársela supondría retrasar el cambio del software por culpa suya y, muy probablemente, una reprimenda de Francisco, terminó optando por darle la clave. Además, al conectarse desde su navegador
a la URL que le dio el técnico pudo validar la veracidad de lo que le decía: bajo el logotipo corporativo estaba la hoja de seguimiento del proceso de cambio, y en la tarea #8 decía que él mismo debía proporcionar el código al recibir esta llamada.
Unas semanas antes, alguien con no muy buena apariencia, rebuscaba en la basura en los contenedores de papel de la empresa. Algunos empleados que le vieron pensaron que era algún indigente buscando entre la basura algo que vender. Nada más lejos de la realidad.
Este personaje estaba muy contento porque había encontrado un aviso donde se avisaba de un cambio de software, un resguardo de una reserva de un billete de avión a nombre de Francisco González Montero, y algunas copias de facturas de proveedores de servicios. No le costó mucho establecer cierta confianza con la recepcionista de mañanas de la empresa: después de muchas llamadas haciendo ver que era de una de las empresas proveedoras, ¡ya eran casi amigos! Sin mucho esfuerzo le sustrajo qué posición ocupaba en la empresa Francisco (“por cierto, ¿no conocerás a un tal Francisco González que trabaja allí, que es primo lejano de mi cuñada?”), y quién lo sustituía.

RECOMENDACIONES
Los riesgos derivados de la ingeniería social son difíciles de combatir, al igual que todo aquello en los que el factor clave es el ser humano.

“Hay gente por no querer quedar mal o crear un posible escándalo, es capaz de brindar a cualquiera que le solicita información sensible, y ahí es donde juega un papel importante la educación, el enseñarle a los empleados a decir no”.

(Kevin Mitnick)

Aunque no son soluciones infalibles, las maneras más apropiadas de afrontar el problema son:

• Formación
• Políticas de seguridad
• Auditorias