Una de las tareas más importantes del administrador del sistema es que todo funcione de forma segura. Scout Culp, de Microsoft Security Response Center, publicó en el artículo “The ten inmutable laws of security� (http://www.microsoft.com/technet/treeview/default.asp?url=/technet/columns/security/essays/10inlaus.asp). A pesar de que la seguridad de Internet y de los equipos cambia a un ritmo vertiginoso, estas leyes permanecen estables; describiendo perfectamente algunas de las limitaciones que tiene la seguridad:

• 1. Si alguien puede convencerle de que ejecute su programa en su equipo, dejará de ser su equipo. Con frecuencia, los atacantes intentan animar al usuario a instalar software en nombre de éste. Muchos virus y caballos de Troya funcionan de esta forma. Por ejemplo, el virus ILOVEYOU tuvo éxito porque los usuarios impacientes ejecutaron la secuencia de comandos cuando llegaba en un mensaje de correo electrónico. Otra variante son las aplicaciones de espionaje. Una vez instaladas, las aplicaciones de espionaje supervisan las actividades de un usuario en su equipo y muestran los resultados al atacante.

• 2. Si alguien puede modificar el sistema operativo, dejará de ser su equipo. Si un atacante puede reemplazar o modificar cualquiera de los ficheros del sistema operativo o determinados componentes hardware del sistema, ya no podrá confiar en su equipo. Por ejemplo, un atacante puede reemplazar el fichero passfilt.dll que se utiliza para reforzar la complejidad de las contraseñas con una versión del fichero que también registre todas las contraseñas utilizadas en el sistema. Si el sistema operativo se ve comprometido o no puede comprobar si se ha comprometido, ya no debe confiar en el sistema.

• 3. Si alguien tiene acceso físico sin restricciones a su equipo, dejará de ser su equipo. Cuando un atacante tenga acceso físico a un equipo, poco podrá hacer por evitar que el atacante obtenga privilegios administrativos sobre el sistema operativo. Con los privilegios administrativos comprometidos, prácticamente todos los datos almacenados de forma persistente se verán afectados. De igual forma, un atacante con acceso físico podrá instalar hardware o software para supervisar y registrar pulsaciones de forma transparente al usuario. En caso de que un equipo se vea físicamente comprometido no confíe en él.

• 4. Si permite que alguien cargue programas en su sitio Web, dejará de ser su sitio Web. Un atacante que pueda ejecutar aplicaciones o modificar código en el sitio Web podrá apropiarse de él. Un corolario de esta ley es que si un sitio Web solicita datos al usuario, los atacantes pueden intentar introducir datos incorrectos. Por ejemplo, si tiene un formulario que solicite un número entre 1 y 100. Mientras que los usuarios normales escribirán números en el intervalo de datos especificado, un atacante intentará utilizar cualquier dato que considere que “rompeâ€� con la aplicación de servidor (algunos de estos ataques son XSS o SQL inyectado).

• 5. Las contraseñas débiles anulan una seguridad fuerte. Aunque un diseño de red sea seguro, si los usuarios y administradores utilizan contraseñas en blanco, predeterminadas o sencillas, la seguridad será del todo ineficaz si un atacante consiga descifrar la contraseña o consiga realizar un ataque de fuerza bruta.

• 6. Una máquina es tan segura como digno de confianza sea el administrador. Una constante en todas las redes es que se debe confiar en los administradores de red. Cuantos más privilegios administrativos tenga un administrador, más confianza habrá que tener en éste. Es decir, si no confía en alguien, no le conceda privilegios administrativos.

• 7. Los datos de cifrado son tan seguros como las claves de descifrado. Ningún algoritmo de cifrado protegerá el texto cifrado de cualquier ataque en caso de que éste posea o pueda conseguir la clave de descifrado.

• 8. Un programa antivirus no actualizado es poco más seguro que no disponer del mismo. Siempre aparecen nuevos virus informáticos, gusanos y caballos de Troya, y los ya existentes evolucionan. Por tanto, el software antivirus puede quedarse desfasado rápidamente. A medida que surjan nuevos o modificaciones de lo existentes, se deberá actualizar el antivirus.

• 9. El anonimato absoluto no es práctico en la vida real ni en la Web. Dos aspectos relacionados con la seguridad que a menudo se suelen confundir son la privacidad y el anonimato. El anonimato significa que la identidad y los detalles sobre un usuario son completamente desconocidos e imposibles de rastrear, mientras que la privacidad significa que la identidad y los detalles sobre la misma no se revelan. La privacidad es esencial, y la tecnología y las leyes posibilitan conseguirlo. Por otra parte, el anonimato no es posible ni práctico cuando el usuario está en Internet, o cuando se utilizan equipos en general.

• 10. La tecnología no es una panacea. Aunque la tecnología puede asegurar los equipos y las redes informáticas, no es una solución (ni lo será nunca) por sí misma. Por ejemplo, si tenemos un router y no lo configuramos correctamente éste no valdrá para nada.