¿Por qué lo necesito?
Porque configurando de forma segura mi software estoy más protegido con lo que ya tengo.
¿Qué es?
Muchas veces instalamos software y no somos expertos en dicho software, sin embargo, ciertas configuraciones de seguridad son comunes para multitud de sistemas, y es conveniente conocerlas.
Dejar la configuración por defecto en el software no tiene por qué ser la mejor opción. Muchas veces la configuración por defecto hace que el software sea más sencillo de utilizar, más compatible con más sistemas, … sin embargo no tiene por qué ser la configuración más segura.
¿Qué debo controlar/configurar en mis aplicaciones?
Actualizaciones
Hay que actualizar cualquier programa siempre que sea posible, ya que corregirá errores y vulnerabilidades, que harán el software más seguro frente a ataques que se hayan corregido.
Por lo general suele ser conveniente tener habilitadas las actualizaciones automáticas. De esta forma, se mantendrán actualizadas de forma automática, sin tener que estar pendientes de ejecutar estas actualizaciones de forma manual.
Contraseñas
Algunos sistemas donde es conveniente utilizar una contraseña robusta son:
- La red wifi
- El usuario administrador del router de acceso a internet.
- El pin para emparejarse vía bluetooth
Las contraseñas deben ser difíciles de deducir u obtener por fuerza bruta. La longitud de la contraseña al menos debe ser de al menos 12 caracteres, y contener distintos tipos de caracteres:
- Números (0123456789)
- Letras minúsculas (abcdefghijklmnopqrstuvwyz)
- Letras mayúsculas (ABCDEFGHIJKLMNOPQRSTUVWYZ)
- Símbolos ($%&*-.,:;?!)
No deje su contraseña anotada en un papel. No se deben almacenar las contraseñas en ningún programa excepto en aquellos especialmente diseñados para almacenar contraseñas. Por ejemplo, guardar las contraseñas de las páginas web en el navegador no es la opción más segura. Hay software específico que puede ser utilizado para la gestión de contraseñas, como por ejemplo, keepass.
Siempre que sea posible, es conveniente habilitar además de la contraseña un segundo factor de autenticación para validar que realmente seamos nosotros y no un atacante que ha conseguido nuestra contraseña. Otros factores de verificación son:
- Huella dactilar
- Reconocimiento facial
- Un código de un solo uso (SMS, otra aplicación en otro dispositivo, …).
No deberían incluir palabras que podamos obtener de otros medios como: nombre, apellido, matrícula de vehículo, fechas significativas, …
Se deben cambiar habitualmente, por ejemplo, cada 3 meses.
No deben reutilizarse credenciales para servicios distintos
No utilizar nunca las claves establecidas por defecto por el fabricante.
En los móviles los tipos de autenticaciones de más seguro a menos son: Contraseña, PIN y Patrón
Desinstala todo el software que no utilizas
Muchas veces dejamos programas instalados que no utilizamos nunca o que utilizamos una única vez. El software por definición tiene agujeros de seguridad, cuanto menos software haya instalado en un dispositivo, menor será su superficie de ataque, por lo que en general será más difícil comprometerlo.
Configuración de privacidad
Cifrar la información siempre que sea posible permite que sólo el destinatario legítimo podrá acceder a la información.
Cuando lo que se cifra es la comunicación entre emisor y receptor, impedimos que terceros “escuchen/entiendan” la comunicación.
Algunos métodos/algoritmos de cifrado antiguos pueden ser vulnerables, asegúrate de utilizar versiones seguras y deshabilitar los métodos de cifrado antiguos o débiles.
Eliminar las cookies o navegar en modo privado es recomendable, sobre todo si accedemos a una web que no es de confianza o a la que no accedemos habitualmente.
Permisos de aplicaciones
Normalmente utilizaremos un usuario no privilegiado, es decir, que no seremos administradores del equipo.
Al realizar las instalaciones como usuario no privilegiado las aplicaciones tienen permisos de usuario no privilegiado. Y en el caso de solicitarnos permisos de administrador, debemos asegurarnos de que aplicación que lo solicita lo hace de forma legítima o si es algo que suceda sin nuestro consentimiento.
Control Parental
Hoy en día los fabricantes de sistemas operativos están incluyendo algunas opciones de control parental
- Android - https://families.google.com/
- Apple - https://support.apple.com/es-lamr/HT201304
- Microsoft - https://account.microsoft.com/family/about
Estas aplicaciones permiten a los padres a proteger a los menores a su cargo de:
- Contenidos Inapropiados
- Pérdida de Privacidad
- Incorrecta gestión de información de terceros
- Suplantación de Identidad
- Sexting
Software Antirrobo
Algunos sistemas operativos disponen de software que permite localizar o bloquear los dispositivos de forma remota. Estos sistemas pueden ser útiles en caso de robo o pérdida, pero es recomendable comprobar su correcto funcionamiento previamente.
- iPhone: https://www.icloud.com/find
- Android: https://android.com/find
- Microsoft: https://account.microsoft.com/devices
Bastionado
Si eres un usuario más avanzado, se pueden seguir guías de bastionado o hardening para hacer más seguros tus sistemas. De esta forma, se dificulta el compromiso de los sistemas por parte de atacantes.
A nivel nacional disponemos de las guías del CCN-CERT (https://www.ccn-cert.cni.es/guias/guias-series-ccn-stic) estás guías nos propones configuraciones seguras para distintos productos (sistemas operativos, aplicaciones, dispositivos de red, etc …).
Partir de guías realizadas por profesionales de la seguridad como las de CCN-CERT (NIST, CIS, … ) y adecuarlas a nuestro entorno es lo habitual en estos casos. Aplicar las guías sin adaptarlas puede provocar problemas y hacerlas de cero puede suponer un esfuerzo innecesario.
Referencias
https://www.ssllabs.com/ssltest/clients.html
https://wiki.mozilla.org/Security/Server_Side_TLS
https://www.ccn-cert.cni.es/guias/guias-series-ccn-stic/500-guias-de-entornos-windows.html
https://www.lastpass.com/es/features/password-generator
http://docs.hardentheworld.org/
https://www.cisco.com/c/en/us/support/docs/ip/access-lists/13608-21.html
