| Kriptópolis alojado en |
| Zilos-Veloxia Network |
| Tu mejor defensa: |
| Bufet Almeida |
Los peligros de un análisis forense
Enviado por infosniper el 26. Marzo 2007 - 8:07.
Después de la sorpresa al ver que mi anterior artículo publicado ("Cuento de Navidad: Manual para prevenir un infarto con portátiles ACER") ha sido todo un "best-seller" de lecturas, el listón me ha quedado bastante alto, así que voy a esforzarme para que éste sea lo suficientemente provocador como para que el personal no quede impasible. Pero antes de continuar me veo en la obligación de disculparme públicamente ante JMG (admin) por haberle metido en el dilema de decidir si publicar o no un artículo cortito que se me ocurrió mandarle hace unas semanas, un artículo que ahora desde la distancia y el tiempo he de reconocer que era demasiado sarcástico, ácido y corrosivo. Dicho lo cual vamos allá...
Érase una vez en un país muy-muy lejano en el que un ogro malo disfrazado de campesino mató a un pobre artesano y se dio a la fuga. Cuando llegaron los soldados del Rey y analizaron la escena del crimen la única pista que encontraron fueron varias colillas de cigarrillos de la marca Chesterfield. Pasaron los meses y un día el Rey preguntó al Jefe de la Guardia sobre el caso: "está en un punto muerto", respondió. Tras aguantar una soberana bronca al Jefe de la Guardia se le ocurrió un brillante plan: convencería a un magistrado menor para que le ofreciera la cobertura legal necesaria mediante un Edicto para poder llamar uno por uno a todos los ciudadanos del reino, indiscriminadamente y sin excepción, que constaran en las bases de datos reales como fumadores de Chesterfield, para analizarles su ADN; como el de alguno coincidiría con el de las pruebas del delito se daría así finalmente caza al asesino. Y así fue cómo sus soldaditos fueron casa por casa, de día o de noche, para buscar a los súbditos fumadores de Chesterfield. No, no estoy de cachondeo. Sigamos, sigamos...
A cualquier persona medianamente normal y con un poco de cerebro, que haya visto películas o seriales de investigación en la tele, se le ocurrirá rápidamente que el hecho de hallar unas colillas de Chesterfield en la escena de un crimen no implica necesariamente que el asesino sea fumador de Chesterfield, ni siquiera que sea fumador, ya que podría haber tirado las colillas de otra persona en la escena del crimen para despistar (recogidas previamente en una taberna). De la misma forma, dicho hallazgo tampoco implicaría necesariamente que el asesino estuviera en la base de datos (podría ocultar su adicción y así no constaría) o que fuera ciudadano del reino, pues podría haber venido del reino vecino o de otro reino mucho más lejano. A cualquier persona medianamente normal también se le ocurrirá pensar que "pobres de aquellos súbditos a los que se les llame para realizar el análisis de ADN, menudo trauma para ellos y sus familias, menudo estrés, daño moral y psicológico al encontrarse de repente como sospechosos de asesinato".
¿Alguien preguntó si era una broma? Pues no, no lo es. Un caso similar (no igual) a lo que se ha expuesto me ha obligado a plantearme que si hoy en día puede suceder algo parecido a lo descrito, a saber lo que ocurrirá en un campo como el que nos interesa a todos: el informático forense. Ciberterrorismo, amenazas, acoso, pornografía infantil, entrada a un ordenador o a una red sin permiso provocando daños o no, apropiación indebida de dinero o propiedades, espionaje industrial, plagio, piratería, robo de identidad o identidades, fraude, provocar la imposibilidad de acceso a los recursos de un ordenador o de una red, venta de drogas o armas, blanqueo de dinero, contrabando, etc., son delitos que pueden realizarse mediante el uso de un ordenador. Pero además un ordenador también puede almacenar pruebas de otro tipo de delitos: imágenes de asesinatos, de abusos sexuales no incluidos en el apartado de pornografía infantil, direcciones y contactos de miembros pertenecientes a bandas organizadas, etc., etc. Quienes deban realizar el análisis informático forense de un ordenador deberán tener los suficientes conocimientos y pericia para encontrar las pruebas incriminatorias. Pero a día de hoy ¿podemos decir que existe personal suficientemente especializado?
Vamos a la parte práctica. Todos sabemos que Microsoft y la NSA mantienen una estrecha colaboración (ver declaraciones de Hugo Scolnik en Ciberpaís). Si trabajamos desde un sistema operativo original ya sabemos lo que hay, por lo tanto habría que olvidarse de utilizar uno de esos sistemas operativos modificados que proliferan en las redes de intercambio, puesto que nadie garantizará que no lleven (más) puertas traseras o códigos maliciosos.
Desde mi humilde punto de vista la mejor solución existente hoy en día de cara a la seguridad en Internet es la congelación (desconozco si esa posibilidad ya existe en Linux). No hablo de sacar una imagen de una partición para recuperarla en caso de necesidad, aunque también debiera contemplarse esta posibilidad, sino de congelación. ¿Por qué? Pues porque cualquier ataque sufrido, rootkit o virus ejecutado, spyware... quedará inutilizado y desaparecerá en el siguiente arranque del sistema porque éste volverá al estado del mismo momento en que lo congelamos. Por lo tanto, cualquier alteración del sistema por parte de un atacante a través de Internet que quisiera involucrarnos en alguno de los delitos comentados anteriormente resultaría inútil.
Pero esto, que pudiera parecer la panacea, tiene también sus inconvenientes. Un sistema normalmente almacena una considerable cantidad de logs de servicios, conexiones, etc. Pero un sistema congelado, al reiniciarse, pierde dicha información. Esto significa que en el ordenador congelado no podrán encontrarse pruebas en contra, pero tampoco a favor. ¿Y la memoria de intercambio, también se congela? Claro. En Windows 98 y Millennium Edition la memoria de intercambio estaba constituída por el archivo win386.swp. La integridad de dicho archivo podía comprobarse fácilmente arrancando desde MS-DOS y extrayendo su hash con alguno de los programas que existen para ello; luego se arrancaba el sistema normalmente, se trabajaba con él con normalidad y una vez apagado se repetía la comprobación. Idéntico. En Windows XP puede experimentarse haciendo la prueba con Pagefile.sys (Un aviso: si a alguien se le ocurre emplear el programa Deep Freeze en versión P2P-warez que vaya con mucho cuidado, porque circula alguna que no hace lo que debiera, así que a pasar por caja en www.faronics.com).
Tal vez le demos demasiada importancia a la peligrosidad que supone Internet porque, a mi modo de ver, lo terrorífico puede encontrarse en un ataque local, sobre la mismísima máquina. Hablaré de lo que conozco: un portátil con varias particiones FAT32, Windows ME y protegido con un password en la BIOS y otro en el MBR. ¿Es posible entrar en él, dejar las hipotéticas pruebas incriminatorias que nos dé la gana y volver a salir sin que nadie se entere? Por supuesto, y no hablo de colocar una cámara oculta en la habitación del portátil para grabar las teclas que se pulsan como contraseña.
Sigamos. El único problema estaría en el password de la BIOS (sería sospechoso para su propietario que no existiera o que hubiera cambiado), pero de cara a una justificación con él podría decirse que a veces una sobrecarga en la línea eléctrica puede resetear la BIOS a su estado de fábrica, con lo cual no se solicitaría el password (se le llama ingeniería social ¿no?). Ahora bien, el mismo portátil con el sistema congelado hace inviable la protección del MBR (se complica mucho, ya que el programa de congelación se apodera de él), con lo cual la entrada ilegal es aún más fácil.
Pero lo bueno viene ahora. ¿Un hipotético análisis informático forense tendría en cuenta estas posibilidades? ¿El analista tendría los suficientes conocimientos para efectuar dicho ataque y por lo tanto valorar como posible tal extremo? ¿Tenemos abogados, fiscales y jueces, especializados en informática forense? ¿Tenemos abogados, fiscales y jueces que tengan la más mínima idea de informática forense? Si la respuesta es NO, el propietario del ordenador podría tener serios problemas con la Justicia.
¿Cómo evitar pues un ataque local? Cambiando el ordenador por una mountain-bike y cambiar la informática por las salidas al campo. Pero si lo anterior no es posible, habrá que tener en cuenta a las nuevas BIOS, que presentan la opción de una nueva contraseña -después de la de la propia BIOS- que impide el acceso al disco duro (hasta que se descubra cómo saltarla).
Otra posible opción sería la de emplear alguno de los carillos programas que trabajan en XP y que cifran el contenido completo del disco duro (DriveCrypt Plus Pack, SafeGuard), pero como de momento me da pereza meterme con ellos no puedo valorarlos, ni siquiera sé cómo responderán ante una congelación, y más teniendo en cuenta que un análisis correcto debiera efectuarse sobre unos programas originales (ya nos entendemos todos).
Seguro que me quedan cosas en el tintero, pero el desafío ya lo dejo en el aire.
infosniper
infosniper
Pero es que a la gente....
Le despreocupa muy mucho el tema de la seguridad.
A un usuario medio un ordenador le sigue pareciendo "una caja magica" de la cual obtiene una serie de beneficios (ya sea, ligues chateros, documentos, peliculas, musica, informacion...) y no sabe ni quiere saber como funciona.
Cuando a un usuario normal le dices que tener el windows lleno de spyware, sin firewall (para que el emule de ID alta) y en muchisimos casos sin antivirus es muy peligroso para su privacidad y que el peligro no esta en que le fastidien el ordenador que ese seria el menor de sus males si no que el peligro esta en que usando su ordenador se podria comenter algun delito y por ende el seria el responsable la respuesta siempre es:
- Na, si yo solo lo quiero para "(pegue aqui su uso favorito)" y no pasa na, nunca me han hecho na.
Yo personalmente uso una particion encriptada, tengo encriptado hasta el archivo swap, no por que tenga que ocultar nada, es solo por que a nadie le importa lo que tenga.
Recuerdo a un profesor mio que en clase comento que a raiz de una inspeccion de la policia judicial le fue confiscado el ordenador y usado el contenido de su interior en su contra (fue un caso sonado aqui en españa pero eso no viene al caso) asi que ahora usaba el /home encriptado, el swap encriptado e incluso un sistema telemetrico de seguridad (reconocia la huella de su dedo), cuando le pregunte por que lo tenia asi su respuesta fue "una y no mas santo Tomas".
Pese a que el hombre es el animal con mas inteligencia del planeta (eso se podria discutir en otro post) aprendemos de la misma manera que los animales, a base de golpes.
Hasta que no nos pase algo parecido no haremos caso ni nos preocuparemos nunca de nuestra seguridad/privacidad y es por ello que las grandes compañias se pasan por el forro todos nuestros derechos y libertades, ellos priorizan los ingresos de una u otra indole, lo demas no importa.
Un Saludo.
No entiendo nada...
¿Cuál es la cuestión que estás planteando?
¿Usar el suspend-to-disk como solución a los ataques informáticos?. Como tu dices, en el supuesto caso de que esto funcionara, como tú mismo dices no solo elimina los resultados del ataque, sino también la posibilidad de trazar y por consiguiente prevenir un nuevo ataque
Por cierto: en linux funciona muy bien, pero creo que -al igual que windows- el procedimiento no sirve para grabar una instantánea del sistema de forma permanente, sino para recuperar el PC en el mismo estado en el que se apagó. Seguro que lo primero también se podría hacer, pero no es lo normal. De hecho existen sofware "congelador" específico para lo que propones
Por otro lado ningún informático forense que se precie utiliza el sistema a analizar para realizar el análisis. Es de primero de carrera: se saca el disco duro, se le mete en otro sistema, "limpio" y se le analiza sin ejecutar nunca nada de lo que contenga dicho disco
En cuanto a insertar o borrar pruebas en el disco duro... El problema no es localizar el contenido, sino interpretar cuál es el significado y valor probatorio del contenido localizado. Si en estos momentos alguien viera mi disco duro, podría pensar que soy un terrorista... Lo normal es que un juez no dé valor probatorio a estas pruebas, sino solo tomadas en conjunto con otros hechos y circunstancias relacionadas con el caso
Con un buen abogado, y salvo que el delincuente sea idiota, nadie podría ir a la carcel basándose _solo_ en el contenido del disco duro de su ordenador
No me aclaro muy bien
No se lo que quieres decir ya que me parece todo muy difuso. ¿Que te pueden meter datos no deseados en ordenador? ¡Pues claro! Y en el bolsillo del abrigo en un dia de rebajas y en el coche cuando te lo reparan. Pero eso solo, sin ningún otro dato o indicio, no lleva a una condena automática.
El analista te mostrara un contenido y una fecha/hora de cuando fue introducido, modificado, enviado o recibido. Si usas internet podrá verificar la hora con la del ISP, correos, etc. El resto de la investigación las pondrá en su contexto. Te pueden encontrar en la Swap la frase cortada "coloca la bomba en la repisa superior" y si resulta que tienes la habitación llena de detonadores, explosivos y relojes te han pillado, no por la frase sino por el resto, pero si resulta que eres mecánico de barcos y tienes todo el ordenador lleno de manuales de montaje, entonces la frase indica otra cosa.
Los ordenadores no se analizan como salen en la peliculas, arrancandolo a pelo y buscando archivos o correos. Siempre se hace (o deberia) una copia y autenticarse con una hash y utilizar para esta labor y el posterior analisis herramientas, programas y procedimientos autorizados judicialmente previos informes de expertos. Que sean libres o propietarios es indeferente (muchos reactivos químicos son propietarios y se utilizan para detectar y analizar sustancias dando lugar a informes con valor judicial).
Aparatitos como el Forensic Talon, el Norton Ghost, el comando "dd" de Linux o el encase, son algunas de las cosas que puedes utilizar.
Por cierto un exceso de seguridad puede, en algún caso, ser igual de peligroso que ninguna. Por definición no hay sistema infalible y si de pronto te aparece algo en tu sistema hiperseguro el culpable "obviamente" serás tu. Y sino pasate por la web del bufet Almeida (este abogado si que está especializado) y verás algún caso donde demostrado el ataque NO se pudo determinar quien lo hizo pues compartian las contraseñas varios colegas (eso es inseguro, pero impidio determinar quien hizo el ataque)
Ya se de mas de una familia rota.
Y no quedara ahi la cosa, la gente no protege su ordenador, y los convierten en autenticos zombies, y ya me han comentado y he leido de mas de un caso donde se encuentra material pornografico infantil en ordenadores de chicas adolescentes o casos similares sin sentido.
El problema ahora es si la policia forense consiguen averiguar si ese pc esta infectado por rotkits o similares, espero que no se conformen con decir, este pc tiene este material ilegal, el dueño es culpable porque si. Si eso ocurre asi, van a empezar a tener mas de un disgusto las familias usuarias de sistemas endebles.
Me encanta esta web, pero cada dia me vuelvo mas paranoico con la seguridad, y es que lo que esta ocurriendo da que pensar.
Muy buen articulo por cierto.
pacogp.wordpress.com Porque todo grano hace montaña.
Me ha gustado el articulo.
Me ha gustado el articulo. La idea de la congelación con programas tipo Deep Freeze es muy buena. Una idea similar, en mi opinión mejor, es usar un cd/dvd live de linux con las particiones /home y swap encriptadas, a ser posible en un pendrive.
Todo depende de nuestro grado de paranoia, o como acaba de comentar alguien, de lo escarmentados que estemos.
Como con las drogas
Es tan fácil "plantarle" droga a alguien, creo que no se lo puede considerar narcotraficante a menos que se encuentren vínculos comprobables con otros narcos.
Lo mismo que si en un directorio temporal de tu disco encuentran el plano de la terminal Atocha. ¿Eso prueba algo?
Agradeciendo los comentarios
Hoy en día, tal como están las cosas en España, tener fe ciega en el aparato judicial es pecar de ingenuidad. Si las cosas no van bien en muchos de los aspectos de la vida éste en concreto no va a ser menos. Dicen que la generalización es mala, que no se puede generalizar, pero si nos ponemos a pensar en los Bancos y Cajas de Ahorros seguro que a la mente de todos nos vendrá aquello de "son todos una panda de chorizos". Está claro, no se puede generalizar, pero cuando las circunstancias de la vida te van enseñando (a base de palos, evidentemente) que cuando tienes que hacer uso, voluntaria u obligatoriamente, del aparato judicial los resultados pueden ser de lo más inesperados. Sólo hay que ver la cantidad de sentencias que anulan otras originadas en un Juzgado de Primera Instancia o de Instrucción, o las sentencias que anulan otras originadas en una Audiencia Provincial, o los recursos que en última instancia (y creyendo que se tiene toda la razón) son desestimados en un Tribunal Superior de justicia o en un Tribunal Supremo. Claro, ahora alguien podrá decir que cuando un tribunal superior anula una sentencia inferior es porque demuestra que la Justicia funciona... bueno, si funcionara siempre... Es evidente que cuando dos partes están en litigio no se las puede contentar a las dos. Pero lo que es triste es ver que existiendo un ordenamiento jurídico (unas leyes y reglamentos) éstos sean pasados por el arco triunfal de unas togas por aquello de "es que la Ley admite distintas interpretaciones". Ya. Pues está claro entonces que las cosas no van bien. Hecha esta introducción en virtud del Derecho de Expresión (y del derecho al pataleo), sigamos.
Respecto a los comentarios de Jonsito:
Sobre la forma de realizar un análisis forense yo NO he dicho en ningún momento que deba realizarse sobre el disco duro de forma directa. Existe mucha información colgada en la red y lo primero que señala es la OBLIGACIÓN de crear una o varias imágenes del disco para trabajar sobre ellas ya que cualquier trabajo directo, al no haberse respetado así la integridad de su contenido, comportaría de forma ineludible la anulación de las pruebas obtenidas. En cuanto a
"Lo normal es que un juez no dé valor probatorio a estas pruebas, sino solo tomadas en conjunto con otros hechos y circunstancias relacionadas con el caso"
estoy completamente de acuerdo, éso debería ser lo normal. Pero ahora me remito al primer párrafo.
Respecto a los comentarios de Kawjones:
"El analista te mostrara un contenido y una fecha/hora de cuando fue introducido, modificado, enviado o recibido."
Un archivo puede ser introducido ilegalmente en un ordenador y mostrar todos los datos citados falseados, por lo que un analista en un sitema congelado no encontrará nada de valor si la congelación se hizo con el S.O. y programas recién instalados y configurados, si empleó algún programa de eliminación de rastros especializado (Evidence Eliminator, o también CCleaner, Privacy Eraser, Smart protector, Window Washer, etc.) y si se encargó de eliminar de forma segura la memoria de intercambio desde MS-DOS (o Linux). Las únicas fechas que encontrará en los archivos de creación y de último acceso serán (si todas las operaciones anteriores se realizaron el mismo día) las mismas del día de la congelación. En cuanto a lo de
"Siempre se hace (o deberia) una copia y autenticarse con una hash"
aquí discrepo. Suele emplearse MD5 y pienso que para demostrar la integridad de la copia debieran emplearse varias hash. Es más, todas las posibles. ¿Por qué? Porque MD5 fue roto hace tiempo... En cuanto a
"Aparatitos como el Forensic Talon, el Norton Ghost, el comando "dd" de..."
también debo discrepar de haberse añadido el Norton Ghost ya que si bien realiza una imagen que sirva para una recuperación, en su momento fue criticado por no realizarla bit-a-bit, que es en definitiva lo que un análisis forense aconseja. En cuanto a lo de
"Por cierto un exceso de seguridad puede, en algún caso, ser igual de peligroso que ninguna. Por definición no hay sistema infalible y si de pronto te aparece algo en tu sistema hiperseguro el culpable "obviamente" serás tu."
tengo que decir que ahí has dado en el clavo. No hace mucho mantenía precisamente esa misma discusión y, la verdad, cuesta argumentar la necesidad de protección cuando ves que te la pueden meter doblada igualmente. En base a eso más de uno podrá pensar que "si me la van a meter doblada igualmente, pues paso de proteger nada, que tampoco tengo nada que proteger". Una argumentación contundente.
infosniper
infosniper.googlepages.com
Algunas precisiones
Cuando digo que el exceso de seguridad (más bien de aparente seguridad) puede ser tan peligroso como la ausencia no quiero inducir a eliminar toda seguridad. Roban casas y coches y por eso no voy a quitar la cerradura de mi casa ni dejar el coche abierto. Adoptas medidas razonables. El añadir medios más o menos complejos aumenta la seguridad (y la incomodidad de uso) y eso no puede hacer caer en una falsa sensación de seguridad. Un profesor puede bloquear el acceso al portatil con su huella dactilar y como es "inexpugnable" dejarlo en su despacho tambien cerrado con una cerradura electrónica bloqueada con su huella. Como algún estudiante quiere curiosear el próximo exámen. o algo peor, y halla visto a los cazadores de mitos, es posible que una simple fotocopia de una huella dactilar pueda abrir la puerta y/o el portatil.
En la investigación posterior el profesor puede afirmar muy ufano "Que nadie más que él puede abrir, que su huella es su seguro" y ante afirmaciones tan rotundas del ilustre profesor ¿Que pensará la policia sobre las fotitos encontradas en el portátil?
La ausencia total de seguridad puede implicar tres cosas: o eres un inmenso irresponsable o un ignorante o el más listo de los malos. Con el ordenador lleno datos comprometidos y plagado de troyanos siempre puedes alegar "Yo ser tonto y en Internet hay mucho malo". Se podria crear (sino se ha creado ya) una nueva eximente penal: La del troyano.
Por último me da la impresión de que la Justicia en España todavia anda un poco pez en estos asuntos. Al menos que se sepa no hay procedimientos más o menos generales, ni laboratorios, ni software homologado. Mucho voluntarismo pero poco más. Por ejemplo, lei hace tiempo, la problemática surgida en EEUU sobre el alcance del analisis de un ordenador. ¿hay que analizarlo todo o solo buscar los documentos o datos relacionados con la investigación? ¿Y si el ordenador es de un abogado o un sacerdote no se compromete el secreto profesional/confesión?
Creo que el analisis es lo mismo para cosas no informáticas.
El problema de un análisis forense es la profesionalidad de quien lo hace, creo que la legislación esta algo pez, porque la informática tiene conceptos que aún no se contemplan en derecho. Eso no quiere decir que un usuario medio no tenga algo de protección.
Recuerdo una anécdota que contaba mi profesor de legislación informática: Estaban juzgando si una empresa había copiado el software a otra, al juez se le entregan dos disketes con cada software en cada uno de ellos. El juez los mira y dice, efectivamente, hay copia porque los disketts (aspecto físico) son iguales. A ese juez le tuvierón que volver a explicar el concepto del software.
Con Linux no me parece complicado...
Si lo que quieres es tener un sistema "congelado", me parece bastante sencillo de conseguir con un sistema Linux: Se configuran las particiones para que se monten en read-only, y áquellas en las que queramos guardar logs (/var/log u otras), se montan con el "noexec", y de forma que el(los) usuario(s) no tengan acceso de escritura a dichas particiones. Ya estás "seguro"...
En cuanto al análisis forense, efectivamente, aún queda mucha legislación por ajustar, y mucha gente por enseñar para llegar a unos niveles suficientes para poder aplicar esta legislación.
Opinar