SEGURIDAD EN UNIX Y REDES

38CAPÍTULO 3. ADMINISTRADORES, USUARIOS Y PERSONALguardia de seguridad, hasta la clásica anécdota que todos los auditores explican como suya, sobreel reconocedor de tarjetas inteligentes que abre la puerta de una sala pero que una vez abierta no sepreocupa en contar cuantas personas la atraviesan, podríamos estar durante días dando ejemplosde ataques exitosos utilizando la técnica del piggybacking.3.2.4 BasureoLa técnica del basureo (en inglés, scavenging) está relacionada tanto con los usuarios como con laseguridad física de los sistemas, de la que hemos hablado en el anterior capítulo; consiste en obtenerinformación dejada en o alrededor de un sistema informático tras la ejecución de un trabajo([Par81]). El basureo puede ser físico, como buscar en cubos de basura (trashing, traducido tambiénpor basureo) listados de impresión o copias de documentos, o lógico, como analizar buffers deimpresoras, memoria liberada por procesos, o bloques de un disco que el sistema acaba de marcarcomo libres, en busca de información.Aunque esta técnica no es muy utilizada en la mayoría de entornos, hemos de pensar que si unusuario tira a la basura documentos que proporcionen información sobre nuestro sistema, cualquierpotencial atacante puede aprovechar esa información para conseguir acceder al equipo; algo tansimple como una factura en la que se especifiquen números de teléfono o nombres (reales o deentrada al sistema) de usuarios puede convertirse en una valiosa información para un atacante.Además, en ocasiones ni siquiera es necesario andar revolviendo por los cubos de basura en buscade información comprometedora: la carencia de nociones básicas sobre seguridad informática haceposible que los usuarios dejen al alcance de cualquiera información vital de cara a mantener un sistemaseguro. Personalmente, en un aula de informática de la Universidad Politécnica de Valenciaencontré por casualidad una hoja de papel que estaba siendo utilizada a modo de alfombrilla parael ratón; esta hoja era una carta personalizada que el director de la Escuela Técnica Superior deIngenieros Industriales había enviado a cada alumno de esa escuela para informarles de sus nuevasclaves de acceso a ciertos recursos de la universidad, ya que las anteriores habían tenido que sercambiadas porque un pirata las capturó. Con esa sencilla hoja de papel (en la figura 3.1 se muestrauna copia – con los datos importantes ocultos, en el original no hay nada ‘censurado’ –) cualquierapodría haber leído el correo de ese usuario, utilizar su acceso remoto de la universidad, curiosearen su expediente o participar en foros de asignaturas bajo la identidad del usuario atacado.Como hemos dicho el basureo no es un ataque habitual en organizaciones ‘normales’, simplementeporque los datos con los que estan trabajan no suelen ser de alta confidencialidad. De cualquierforma, si deseamos evitar problemas lo más inmediato es utilizar una máquina trituradora de papel(su precio no suele ser prohibitivo, y la inversión quizás valga la pena) para destruir toda ladocumentación antes de arrojarla a la basura; incluso nos puede interesar contratar los servicios decompañías dedicadas exclusivamente a la destrucción de estos soportes. En el caso de sistemas dealmacenamiento lógico (discos, CD-ROMs, cintas. . . ) también es importante una correcta inutilizaciónde los mismos para que un potencial atacante no pueda extraer información comprometedora;no suele ser suficiente el simple borrado del medio o un leve daño físico (por ejemplo, partir un CD-ROM), ya que como comentaremos al hablar de recuperación de datos existen empresas capaces deextraer hasta el último bit de un medio borrado o dañado. Lo más efectivo sería un borrado seguro,seguido de una destrucción física importante que haga imposible la reconstrucción del medio.3.2.5 Actos delictivosBajo este nombre englobamos actos tipificados claramente como delitos por las leyes españolas,como el chantaje, el soborno o la amenaza. Esto no implica que el resto de actividades no sean(o deban ser) delitos, sino simplemente que en la práctica a nadie se le castiga ‘legalmente’ porpasear por una sala de operaciones en busca de claves apuntadas en teclados, pero sí que se lepuede castigar por amenazar a un operador para que le permita el acceso al sistema.