La seguridad del software es el Salvaje Oeste (y nos va a costar la vida)

Publicado originalmente en CSO Online

Como hacker ético (semirretirado), profesional de la seguridad y entusiasta de la informática en general, podría decirse que me importa mucho la tecnología. Me interesa cómo se ha creado, qué hace y cómo va a mejorar o hacer más eficiente algún aspecto de nuestras vidas. Constantemente miro "bajo el capó" de los dispositivos, viendo algunos de los mejores (y peores) ejemplos de código que existen. Hace poco, analicé cómo mi sistema de aire acondicionado podía controlarse de forma remota con una aplicación de Android (imaginen mi sorpresa al descubrir que cualquiera en la red WiFi podía controlar ese aparato sin ningún tipo de autenticación).

La seguridad del software es una prioridad constante para mí, al igual que el peligro real que suponen nuestros estilos de vida, cada vez más digitales y centrados en compartir información personal. Al fin y al cabo, nos encontramos en un territorio en gran medida sin regular, sin supervisión y felizmente ignorado. Estamos en el Lejano Oeste.

Como sociedad, no estamos mirando bajo el capó de la tecnología que usamos a diario. Aunque series de televisión populares y aclamadas como Mr. Robot ayudan a la concienciación general, no tenemos una mentalidad orientada a la seguridad... de hecho, la mayoría de nosotros no tiene idea de cuán seguro es el software dentro de la miríada de aplicaciones, servicios y cosas cada vez más conectadas que compramos y usamos. Ni siquiera es que confiemos en ellos por naturaleza; simplemente no pensamos en ello en absoluto.

Sony PlayStation Network (PSN), Ticketmaster, Yahoo!, Facebook, Target: todas y cada una de estas empresas de uso generalizado han sido víctimas de una brecha de datos. Sus vulnerabilidades de software fueron explotadas y millones y millones de registros de clientes quedaron expuestos. Estos ejemplos representan una fracción de las brechas globales que han ocurrido en los últimos diez años. Son una costosa consecuencia de una seguridad de software deficiente que permite a los delincuentes robar nuestra valiosa información.

Cuando la mayoría de la gente piensa en brechas de datos, piensa en brechas de seguridad de la información. Se entienden como una pesadilla para la empresa afectada y un inconveniente para aquellos cuyos datos personales se han visto comprometidos, pero, sinceramente, ¿cuál es el problema? Si se sigue ignorando la seguridad, ¿son realmente tan grandes las consecuencias? Hasta ahora no ha ocurrido nada tan grave: las brechas de datos tienen un impacto severo para las empresas responsables, pero es su problema, ¿verdad? Pierden negocio, pierden la confianza del consumidor; en última instancia, es su trabajo solucionarlo y pagar por los daños.

La seguridad del software debería ser la prioridad de toda organización.

Existe una razón bastante sencilla por la que la seguridad del software no es la preocupación número uno para todas las organizaciones que cuentan con un equipo de desarrollo: aún no ha muerto suficiente gente y no hay suficiente conocimiento sobre los riesgos.

¿Morboso? Quizás. Pero es la pura verdad. La regulación, las normas de construcción y la atención para cambiar las leyes (por ejemplo, por parte de agencias gubernamentales) se prestan cuando hay un coste humano real.

Tomemos un puente, por ejemplo. Los ingenieros civiles (una profesión con cientos de años de antigüedad) consideran la seguridad como una parte fundamental de la construcción de un puente. Su enfoque va mucho más allá de la estética y la funcionalidad básica. Se espera que cada puente construido cumpla con estrictas normas de seguridad, y tanto la profesión de ingeniería civil como la sociedad en su conjunto han aprendido con el tiempo a esperar un alto nivel de seguridad. Un puente actual que no cumple con los requisitos de seguridad se considera peligroso e inutilizable. Esta es una evolución que todavía necesitamos alcanzar en la ingeniería de software.

A modo de ejemplo más moderno, echemos un vistazo a la industria del juguete. La década de 1950 vio un enorme aumento en la producción y venta de juguetes gracias al baby boom de la posguerra. Curiosamente, también se informó de un incremento en las visitas a urgencias relacionadas con incidentes con juguetes durante este tiempo. Las flechas de juguete causaban lesiones oculares, se ingerían juguetes pequeños (y piezas desmontables de juguetes más grandes), y los hornos de juguete comercializados para niñas eran capaces de alcanzar temperaturas más altas que los hornos domésticos normales.

Era una especie de "Lejano Oeste", con poca regulación salvo por algunas prohibiciones aisladas y retiradas de productos en las circunstancias más extremas. Los fabricantes de juguetes eran esencialmente libres de producir los juguetes que quisieran, y cualquier preocupación por la seguridad solía señalarse después de que ya hubieran ocurrido varios incidentes. No fue hasta que se aprobaron leyes como la Ley de Seguridad de Juguetes de 1969 de Richard Nixon que las pruebas y la posterior prohibición de juguetes peligrosos se convirtieron en norma, en EE. UU. y en todo el mundo. Aunque los accidentes seguirán ocurriendo, hoy en día el proceso general de fabricación de juguetes adopta una política de "seguridad primero", y nuestros niños están en mucho menos peligro potencial.

En la seguridad del software actual, estamos en el Lejano Oeste. Aparte de las leyes y reglamentos obvios en relación con la privacidad (especialmente recientemente con el RGPD) y la protección de los datos de los clientes, así como la legislación sobre notificación obligatoria de brechas en algunos países, se dice y se hace muy poco en el ámbito empresarial o comunitario sobre el nivel de seguridad integrado en el software. Incluso esas leyes se refieren más a la responsabilidad de la empresa que al software en sí mismo, o a tener un estándar de seguridad obligatorio que cumplir.

Llegaremos allí, pero puede que primero requiera un camino de destrucción.

Gartner estima que habrá 8.4 mil millones de dispositivos conectados a internet en uso para 2020; una cifra que representa un aumento del 31 por ciento desde 2016. Esto incluye electrónica de consumo, así como cosas como dispositivos médicos y equipos específicos de la industria. Eso es un montón de oportunidades para un hacker.

Imaginen que el software que controla el marcapasos de alguien no es seguro. Un hacker podría entrar y potencialmente detener el corazón de su víctima (¿creen que es ridículo? Los médicos desactivaron el WiFi del marcapasos de Dick Cheney para evitar un posible asesinato mediante hackeo). Un microondas o un hervidor conectado podrían explotar de forma remota (junto con todo tipo de dispositivos del Internet de las Cosas que disfrutamos en nuestros hogares), o un coche eléctrico conectado podría ver sus frenos desactivados. Esto puede sonar a película de acción de Hollywood descabellada, pero si el software de cualquiera de estos avanzados dispositivos conectados puede ser vulnerado, realmente tenemos un desastre potencial entre manos, al igual que las amenazas que ya hemos cubierto con las explosivas ramificaciones de los ciberataques en la industria del petróleo y el gas.

Podemos anticiparnos a las terribles consecuencias del hackeo malicioso a medida que nuestras vidas se vuelven cada vez más dependientes de lo digital. Todo comienza con lograr que los desarrolladores se entusiasmen más con la codificación segura y con tomarse en serio el desarrollo de una mentalidad y una cultura de seguridad sólidas en los equipos de desarrollo.

Tu revolución de software comienza aquí. El sector bancario lidera la adopción de formación gamificada para combatir el código defectuoso, con un enfoque innovador que transforma la formación tradicional (léase: aburrida). De hecho, los seis principales bancos de Australia ya involucran a sus desarrolladores de esta forma, potenciando su mentalidad de seguridad. Descubre lo que nuestro cliente, IAG Group, logró con su torneo de alto nivel.