For more discussions and topics around SP Mobility, please visit our Mobility Community: http://cisco.com/go/mobilitycommunity

1. Seguridad inalámbrica en contexto (also available in English)
Posted by Jorge Guzman Olaya on Apr 15, 2013 9:46:08 AM
¿Por qué seguridad?
Todo empezó con una cuenta de correo en el computador de escritorio, y ahora nos cuesta trabajo saber cuántos
perfiles digitales tenemos, más la tendencia de prestar poca atención sobre si accedemos a ellos por medio de
dominios digitales seguros, todo esto combinado forma un escenario donde las fallas de seguridad pueden
realmente perjudicar nuestra identidad digital. Es claro que la comunicación inalámbrica nos ha permitido adoptar la
tecnología de una forma diferente, podemos usar herramientas digitales sin estar amarrados a un lugar físico, pero la
realidad es que, cuando se usa la tecnología en cualquier parte, también se está expuesto en cualquier parte. La
popularidad de la tecnología inalámbrica ha alterado el uso de las herramientas digitales, los dispositivos móviles
son increíblemente poderosos y las redes crecen en complejidad para poder ofrecer mejores servicios, todo este
poder y complejidad se traducen en mayores dificultades para que el usuario pueda conocer todas las diferentes
vulnerabilidades y brechas accesibles de la tecnología.
Como se mencionó previamente, se tiene un escenario complejo; de una parte tenemos un crecimiento exponencial
y total éxito de la tecnología inalámbrica más un crecimiento de la exposición de información personal sensible en el
mundo digital, sumado a un mayor número de espacios físicos en los que se usa la tecnología lo que al mismo
tiempo se traduce en mayor número de contextos sociales y personales involucrados en nuestras transacciones
digitales. Por otro lado tenemos a un usuario que sigue en proceso de adaptación a este cambio rápido, lo qu e
probablemente significa que es menos consiente de cómo varios factores se integran para conformar el servicio, así
encontramos el primer eslabón débil de la cadena; la falta de conocimiento. Otro factor es la fiera competencia entre
actores de la industria; esto ocasiona que trabajen de forma aislada persiguiendo sus propios objetivos, lo que a su
vez crea un panorama de seguridad sin cohesión para la industria. Por el contrario las amenazas y las personas
malintencionadas se benefician de conocimiento de comunidades colaborativas y abiertas en Internet.
Actuando para mejorar la seguridad
Desde la perspectiva del usuario, la acción principal es aumentar el conocimiento de la tecnología, por ejemplo;
cómo se ajustan las configuraciones de seguridad del dispositivo o a qué información acceden las aplicaciones
instaladas en el mismo, también es importante conocer los riesgos de usar puntos de acceso Wi-Fi no seguros; al
final de esta entrada resumo varios de los consejos de seguridad que están en la red y mi recomendación personal.

2. Los desarrolladores de aplicaciones deben comprometerse de forma más responsable con la seguridad, e informar
al usuario sobre los esfuerzos realizados al respecto, especialmente considerando la privacidad de información
sensitiva del usuario y su gestión; aspectos como el tiempo de conservación de información del usuario inclusive
después de que éste ha desinstalado la aplicación así como los permisos de compartir dicha información personal
con terceros deben ser especificados. De los desarrolladores de sistemas operativos se espera no solo que las
nuevas liberaciones de SW tengan soluciones a las amenazas, sino también las versiones anteriores deben estar
cubiertas, adicionalmente que la frecuencia de actualizaciones de seguridad sea aumentada.
Otros colaboradores de la industria toman acción; por ejemplo la iniciativa de gobiernos nacionales sobre extender
bases de datos de EIR más allá de las fronteras geográficas para desalentar el robo de terminales. También
esfuerzos de países, que buscan obligar a gigantes de Internet a someterse a las políticas internacionales sobre el
manejo de información personal del usuario. La academia presenta técnicas innovadores de prueba para identificar
fallas de seguridad que incluyen lógica difusa y algoritmos genéticos para simular ambientes cercanos a la realidad,
aplicaciones inalámbricas emergentes como NFC y M2M crean grandes interrogantes para la industria que están
siendo considerados, soluciones como cifrado de la información durante la transferencia o durante el
almacenamiento se han integrado a las arquitecturas y regulaciones, pero el objetivo principal en el que la industria
debería trabajar es mejorar la visión que se tiene sobre la seguridad; las amenazas en seguridad no pue den
eliminarse sólo pueden gestionarse, y la gestión debe comenzar con un plan para alcanzar resultados claros.
Un marco de referencia para lograr un ecosistema inalámbrico más seguro
Si se considera que las amenazas en seguridad pueden solamente ser gestionadas, entonces, se puede formular un
marco de referencia para construir un plan o estrategia que permita gestionar de forma eficiente la seguridad, CITA
ha hecho un muy buen esfuerzo formulado este marco de referencia en el cual los elementos son:
 Consumidores
 MNO (Operadores de red móvil por sus siglas en inglés)
 Fabricantes de dispositivos
 Tiendas de aplicaciones en línea
 Proveedores de sistemas operativos
 Fabricantes de chipsets para dispositivos móviles
 Sistemas de servicios de red
 Proveedores de SW de soporte
 Proveedores de VAS (Servicios de valor agregado por sus siglas en inglés)
 Fabricantes de equipos de telecomunicaciones
Bajo este concepto de la CTIA se proponen cinco conceptos principales, alrededor de los cuales se deben ejecutar
las acciones y construir los esfuerzos:
1. Consumidores: Responsables de proteger sus dispositivos por medio de una configuración eficiente y la
instalación de aplicaciones para asegurar sus dispositivos y su información sensible, también deben mantener su
software actualizado, finalmente deben estar conscientes de la información que hacen pública y de las aplicaciones
que usan en sus dispositivos.
2. Dispositivos: Comprende todas las herramientas y métodos que la industria y el usuario pueden usar para
minimizar los riesgos inherentes, dada la alta complejidad de los dispositivos actuales y la gran cantidad de
información y actividades que realizamos con ellos.
3. Políticas de seguridad basadas en la red: Incluye todas las herramientas que los proveedores de red deben
usar a manera de acciones en contra de las fallas de seguridad, por ejemplo Análisis de políticas de encaminamiento
del tráfico, SSL VPN suministrada por el operador de red, y herramientas de Gestión de dispositivos móviles (Mobile
Device Management) para ambientes BYOD.
4. Control de autenticación: Cubre los métodos de autenticación del dispositivo con la red y del usuario cuando
accede al dispositivo, considerando la tendencia de factores múltiples de autenticación y propuestas biométricas.
5. La nube, las redes y los servicios: Comprende la red en toda su extensión, sus entidades funcionales y los
servicios que cada parte suministra tanto para los usuarios regulares como para los empresariales. También las
medidas preventivas y los planes que deben implementarse en caso de escenarios de recuperación de desastres,
así como las acciones que garanticen la integridad y privacidad de la información almacenada del usuario.
Mi opinión sobre la seguridad inalámbrica

3. Imagen cortesía de Paola Buelvas (papolareina@yahoo.es)
Como se mencionó previamente, un marco de referencia es útil solo en la medida en la que se utilice para
desarrollar algo alrededor de ese lineamiento, y en la introducción de esta entrada también mencioné que los actores
de la industria, trabajan de forma aislada y poco colaborativa, así que estoy de acuerdo con algunas propuestas que
presentan un ambiente de inteligencia de fuentes múltiples, para lograr dicho ambiente propongo un Sistema de
inteligencia de múltiples fuentes como la herramienta central que permitiría una colaboración de este tipo. De esta
forma la industria tendría una herramienta, transnacional, para todos los proveedores, y de múltiples tecnologías,
que contendría documentación detallada de amenazas de seguridad, soluciones temporales a problemas,
contramedidas y posibles parches y soluciones contra fallas en seguridad conocidas; todo esto aplicando lo mejor de
las prácticas en gestión de IT para organizar, producir, controlar y almacenar el flujo de información que surgiría de
resolver problemas de ingeniería relacionados con la seguridad en la industria inalámbrica.
Este repositorio de colaboración múltiple de la industria estaría disponible para todos aquellos miembros acreditados
de la industria, y/o colaboradores activos de soluciones de seguridad para el ecosistema, ellos alimentarían,
mantendrían y actualizarían el contenido de la herramienta. Por medio del uso de los lineamientos estipulados en los
cuerpos internacionales de conocimiento para la gestión de IT, sería posible asegurar la privacidad adecuada de
cada actor de la industria con respecto a información secreta, al mismo tiempo que se permite el desarrollo de
soluciones de amenazas conocidas así como de aquellas proyectadas por la academia. Los obj etivos principales de
un proyecto de este tipo serían:
 Suministrar un andamiaje para la industria a partir del cual los actores de la industria producirían esfuerzos
colaborativos para producir mejores medidas en contra de las amenazas en seguridad.
 Acelerar el proceso de producción y divulgación de medidas de protección efectivas para el usuario y la industria,
aprovechando conocimiento documentado previamente que evitaría doble trabajo y desinformación.
Por último, pienso que tecnologías emergentes como las Redes de contexto consiente pueden ayudar a conseguir
un ambiente más seguro para el usuario ya que permitirán ejecutar una acción en contra de una amenaza dada, en
el momento exacto en el que sea evidente y justo cuando se usa la tecnología además sin la necesidad de que el
usuario esté preparado o tenga conocimiento previo de todos los riesgos existentes para su transacción en curso; al
mismo tiempo se optimizan los recursos de la red dedicados a seguridad; por ejemplo, si la red detecta que un
usuario se conecta usando su propio cliente de VPN podría reasignar los recursos redundantes a otro cliente.
Una mirada al futuro de la seguridad inalámbrica
Campos que requieren estudio: Las redes BSN y BAN le dan a la seguridad un significado totalmente nuevo, ya que
esta tecnología pone información de su propio cuerpo en redes que hoy no pueden considerarse como seguras, de
forma que si este campo de la industria está destinado a algún tipo de éxito, varios aspectos de seguridad deben ser
desarrollados y reforzados. Por otro lado MTC (Comunicaciones entre máquinas por sus siglas en inglés) que no
requieren intervención humana, necesitan de la misma forma un sistema inteligente autónomo que pueda asegurar
los aspectos básicos de seguridad de una red: Confidencialidad, integridad, autenticación, no repudiación, control de
acceso, disponibilidad y privacidad.

4. Conceptos futuros de seguridad: como los virus benévolos, software que en la misma línea de los DRM permanece
inactiva pero en caso de “encontrarse” en un ambiente digital no autorizado entonces procede a borrarse junto con la
información asociada. Otro concepto es un software centinela activo, que a diferencia de un antivirus, se adapta
hasta cierto punto para identificar la amenaza aún si no existe una entrada similar en su base de datos, usando la
identificación de patrones sospechosos predefinidos. Métodos de autenticación biométrica novedosos como ondas
cerebrales que proporcionan diferenciación y rapidez.
Lista de consejos de seguridad para el usuario móvil
Cumpliendo lo prometido, aquí está la lista de “Tareas” y “Pecados” para el usuario de la tecnología inalámbri ca.
Tareas:
1. Permanezca informado y sea precavido cuando descarga aplicaciones, sigue URL, provee información a sitios en
línea, configura contraseñas y cuando enlaza cuentas digitales y perfiles en línea. Siempre considere en instalar
software de seguridad en sus dispositivos inalámbricos.
2. Revise los permisos de cada aplicación instalada y lea detenidamente los permisos que concede a las aplicaciones
que instala.
3. Sea precavido cuando usa puntos de acceso de Wi-Fi, revise el tipo de seguridad usada, si no existe o es menor a
WPA2, evite ingresar a cuentas sensibles y absténgase de realizar transacciones bancarias sin una solución de
VPN, si no la tiene, restringa su sesión a navegación simple si obligatoriamente debe acceder a la red.
4. Sea proactivo y organizado con sus contraseñas: ponga en marcha una estrategia para generarlas, cambiarlas y
almacenarlas, existen varias aplicaciones para este tema.
5. Revise los detalles de su cuenta de servicio inalámbrico para identificar uso no autorizado o patrones sospecho sos
de uso en sus dispositivos.
6. Actualice sus aplicaciones de confianza y su sistema operativo para todos aquellos dispositivos que usa
frecuentemente.
7. Reporte dispositivos perdidos o robados.
8. Use una solución de VPN para Wi-Fi no seguro.
9. Use contraseñas complejas para cuentas digitales importantes.
10. Configure preguntas de seguridad que realmente lo protejan.
11. Use cifrado digital para su información sensible mientras está almacenada en dispositivos móviles, se pueden
encontrar aplicaciones en las tiendas de aplicaciones de su preferencia.
Pecados:
1. Publicar información personal o información específica sobre sus dispositivos móviles (número telefónico, IME,
dirección MAC, etc.)
2. Modificar la configuración de fábrica de su dispositivo con el objetivo de personalizarlo.
3. Comprar un teléfono robado o de un proveedor sospechoso.
4. Descargar aplicaciones de tiendas no autorizadas o diferentes a las del fabricante de su sistema operativo.
5. Ser perezoso al configurar contraseñas, ingresar a cuentas sensibles, al intercambiar información bancaria y en
general con temas de seguridad, siempre use lo que considere más seguro aún si le toma más tiempo.
6. Tener solo un factor de autenticación para cuentas sensibles o perfiles en línea.
7. Tener la misma contraseña para varias cuentas digitales.
8. Confiar ciegamente en terceros la seguridad de su información, tome sus propias medidas, como por ejemplo,
respaldar su información y no usar puntos de acceso inseguros.
9. Enlazar varias cuentas digitales sin ser necesario, ya que puede estar suministrando grandes cantidades de
información sin saberlo.
Para más, sígame, @jomaguo
Read this blog post in English.
For more discussions and topics around SP Mobility, please visit our Mobility
Community:http://cisco.com/go/mobilitycommunity