🚀 go-pugleaf

CAPITULO IV - III

T�cnicas no presenciales

Muchas de las actuaciones de los ingenieros sociales se realizan a
distancia, utilizando ya sea el tel�fono, el fax, las redes de datos o
incluso cartas tradicionales.

A lo largo de los a�os se han ido perfeccionando las formas de operar y
abriendo el abanico de las mismas a otros medios, he aqu� algunas de ellas.

La contrase�a perdida

Todos hemos le�do muchas veces que no es bueno utilizar en las contrase�as
palabras que tengan significado, fechas que se relacionen con nosotros,
n�meros de DNI, nombres de familiares, etc. Esta recomendaci�n no siempre se
sigue, adem�s de ello, existe una tendencia generalizada a utilizar la misma
contrase�a en m�ltiples servicios y esto facilita mucho el trabajo a
aquellos que pretenden obtenerla de forma il�cita. No olvidare tampoco a
aquellos que guardan en sus agendas los n�meros secretos de los cajeros (
ATM para los americanos ), contrase�as de los PC de casa u oficina, mail,
etc.

Para obtener una contrase�a, y antes incluso que las de aplicaciones basadas
en el uso de diccionarios y la fuerza bruta, est�n los propios sistemas de
recuperaci�n de contrase�as de casi todos los servicios de la red.

A veces creo que los analistas que desarrollan esos sistemas no los han
utilizado nunca.

Estudiemos  algunos con su nombre y apellidos :

Terra.es

En la secci�n de usuarios registrados de Terra hay una opci�n llamada "�Ha
olvidado su contrase�a? En la cual y una vez que se introduce un usuario
valido, presenta la pregunta que dicho usuario selecciono para recuperar la
contrase�a. Por ejemplo � como se llama mi perro? Y si tecleamos "toby" que
es como se llama el perro de nuestro usuario, el sistema muestra la
contrase�a.

En esta caso el sistema es endeble pues depende �nicamente de la calidad de
la pregunta que el usuario haya puesto.  Si cualquiera conoce la respuesta a
esta pregunta tendr� la contrase�a del sistema y podr� suplantar a otro
usuario y lo peor de todo es que lo har� sin que nadie se de cuenta de ello.
Y es que se mantiene la misma configuraci�n que nuestro usuario propietario
del buz�n ten�a.


Elistas.net

En ese sistema la opci�n de recuperar contrase�a esta un poco mas escondida,
en la secci�n :"Mi cuenta" en la cual podemos leer "Sino recuerdas tu clave
de acceso averigua como conseguir una nueva" Tras esto y una vez que se
introduce un mail valido el sistema env�a a dicho mail una nueva contrase�a.

Esto es mucho mas seguro pues aun  sabiendo el login  de un usuario, no
recibir� dicha contrase�a si no soy el propietario de la cuenta valida. Pero
esto tiene un inconveniente importante, ve�moslo:  si un usuario que esta
registrado en el sistema ya no mantiene la cuenta con la que se dio de alta,
perder� el acceso a su cuenta ya que nunca recibir� la nueva contrase�a. Una
curiosa forma de "denegaci�n de servicio" basada en el conocimiento que un
tercero tiene de los datos que un cierto usuario utiliza para entrar en
E-listas.

Lycos Mail

En este caso se utiliza un sistema mixto en el cual un usuario puede recibir
su contrase�a en su mail alternativo, que sufre del mismo problema que en
Elistas.net o contestar a la pregunta secreta, que como vimos antes es mucho
menos seguro. No es mala idea pero es algo as� como que nos permitan elegir
el m�todo por el que un ladr�n entrara en casa ( pulse 1 para ventana, 2
para puerta blindada, 3 para escalera de incendio) .

Telepolis.com

Utiliza el esquema de realizar la pregunta que el usuario selecciono al
registrarse pero obliga a cambiar la contrase�a si se acierta la respuesta.
Una vez mas alguien que conozca la respuesta a la pregunta podr�a no
solamente hacerse con la cuenta sino adem�s dejar a otro usuario sin acceso
a ella  � peor el remedio que la enfermedad? Vosotros juzg�is.

Hotmail.com

Personalmente creo que es un sistema razonablemente equilibrado. Realiza
varias preguntas al usuario como filtro antes de presentar la pregunta que
se  selecciono al registrarse, y solo despu�s de haber respondido a varios
datos diferentes permite que se cambie la contrase�a. Lo que se consigue es
que la informaci�n necesaria para realizar el cambio sea mucho mayor y eso
eleva el list�n de la seguridad.

Tras estos ejemplos concretos lo que sabemos es que no existe un sistema
perfecto y que por lo tanto es casi siempre la imaginaci�n del usuario lo
que har� que sea verdaderamente seguro dentro de lo que los diferentes
sistemas permiten.

Los sistemas mas seguros son aquellos que env�an dicha contrase�a a una
direcci�n postal ya que esta no suele cambiar. Sin embargo en estas
situaciones se pierde la posibilidad de anonimato del posible usuario.

Como recomendaci�n a los usuarios tanto la contrase�a como la pregunta de
recuperaci�n deber�an modificarse cada cierto tiempo y en ambos casos
utilizar como respuestas series pseudo aleatorias de letras y n�meros sin
significado y con longitudes iguales o mayores a 8 caracteres, se que quiz�
son mas complejas de recordar pero tambi�n ser� mucho mas complejo su
recuperaci�n por personas no autorizadas. Por otro lado recordemos que es
importante utilizar una contrase�a distinta para cada servicio. Una t�cnica
de "contraingenieria social"  es utilizar una respuesta falsa a la pregunta
de recuperaci�n de contrase�a. Un ejemplo "en que ciudad nac�? = 275Hm-.".
Es sencillo utilizar reglas nemotecnicas para recordar las correspondencias.

    LeStEr ThE TeAcHeR
    FrOm ThE DaRk SiDe
http://lestertheteacher.cjb.net
( Aqu� los cap�tulos anteriores)