Ingresa o regístrate acá para seguir este blog.
@isitreallysafe
Arolen, empresa contratista de UNE que, de acuerdo con la nota publicada por El Tiempo, debía divulgar resultados de las elecciones, en una declaración afirmó que hubo “fallas en el proceso de divulgación de datos” y que algunas empresas habían dirigido un ataque en contra de la Registraduría buscando tumbar el proceso. Indicó que esta semana interpondría las denuncias correspondientes ante la Fiscalía.
Esta declaración tiene mucha importancia por las siguientes razones:
(i) Si hubo ataques, ¿contra quién se dirigieron? ¿Quién los dirigió? Si efectivamente fue contra la Registraduría, habría sido el primer caso en Colombia de ataque a la infraestructura crítica del país y merecería la mayor atención investigativa por parte de las autoridades; sería el primer precedente de gran tamaño, porque, nada más y nada menos, fue entorpecida una jornada electoral y el libre ejercicio de la democracia.
(ii) Si hubo ataques, ¿por qué solamente hasta ahora Arolen acepta que ocurrieron, después de más de 48 horas del término de la jornada electoral, cuando la evidencia digital pudo haberse perdido irremediablemente tanto por el paso del tiempo como por la manipulación de las máquinas correspondientes?
(iii) Si hubo ataques, ¿los detectaron en el momento en el que estaban teniendo lugar o solamente mucho después? Si los detectaron en tiempo real, como ha debido ocurrir, ¿por qué no recurrieron inmediatamente a las autoridades? La unidad de la Dijín nos habría ahorrado muchos interrogantes y problemas. Ahora, aún no sabemos cuántos días después, Arolen interpondrá las denuncias que crea convenientes, buscando más cubrir su espalda torpemente que en realidad actuar de manera diligente y responsable: esas denuncias serán una simple formalidad y muy difícilmente permitirán sacar conclusiones relevantes.
(iv) Si no detectaron los ataques en tiempo real, ¿no estaban contractualmente obligados a hacerlo? No conozco el objeto del contrato suscrito entre UNE y Arolen, pero puedo presumir que una cláusula de su naturaleza habría sido precisamente la exigencia de un nivel de seguridad muy alto, con monitoreos permanentes y un sistema de detección de ataques.
(v) Si hubo ataques, ¿fueron acaso una denegación de servicios? Si sí, ¿cómo es posible que ni Arolen, ni UNE, ni la Registraduría hayan previsto e implementado un plan de continuidad que les permitiera salir adelante ante el escenario que se presentó, salvaguardando la integridad del ejercicio democrático? Prever que en un día así se necesitan muchos servidores de backup no es cosa de grandes genios, es puro y simple sentido común: medio país querrá conectarse al site de la Registraduría cada segundo para conocer la información. Prever que ese site deberá soportar decenas de miles de conexiones no es para grandes expertos en seguridad, es cosa de lógica de redes.
(vi) Si no hubo ataques, ¿las autoridades estarán en capacidad de descubrir que, entonces, Arolen habrá querido cubrir su espalda alegando que todo fue culpa de un tercero, cuando no habrá sido en realidad más que un caso de incumplimiento contractual por las razones que puedan ser?
(vii) Si el ataque fue dirigido contra la Registraduría, ¿por qué el Registrador no lo ha mencionado aún? ¿Acaso no lo detectaron en la Registraduría? ¿O lo detectaron y lo intentan ocultar? ¿Sí ocurrió ese ataque? ¿Contra quién se dirigió en realidad?
En fin, hice un break en algo que tengo entre manos para pensar en estas preguntas pero sé que hay muchas más que quedan pendientes. En la medida en la que surjan más las publicaré acá.
Me queda la enorme tristeza de pensar que este asunto pasará ante los medios como algo aislado sin mayor importancia, cuando en realidad, de haberse presentado esos supuestos ataques, habrá sido la primera vez en que Colombia sufre un ataque en su infraestructura crítica, por haberse tratado del medio usado por el gobierno para difundir los resultados de las elecciones, en plena jornada electoral.
Ojalá le den la dimensión que debe tener y se abran muchos ojos. La próxima vez el target pueden ser el acueducto, el control del tráfico o la energía, vaya uno a saber.
¿Qué otras preguntas se le ocurren a usted?
Actualización (17-Mar, 10:20 PM): hoy finalmente radicaron la denuncia, unas 60 horas después de los ataques. Vaya diligencia. Es clave estar encima de ese proceso. Insisten en que fue un DoS que excedió cualquier posible previsión; pero un DoS de 75.000 hits/segundo no suena a ataque sino a deficiente configuración. ¿Cómo no iban a prever que en el día de elecciones hubieran conexiones masivas al site de la Registraduría? Por Dios! Y los medios, que no entienden del tema, se quedan con el mensaje de que fue un ataque y se dejan deslumbrar, igual que el Registrador, que defendió a Arolen en RCN. Si fue un ataque real, que cuelguen el informe de Adalid para análisis de todo el mundo: no porque haya muchas conexiones por segundo y porque unos ingenieros privados lo digan, se configuró un ataque. ¿Si acaso esto no fue un ataque, es entonces una cortina de humo para deshacer una responsabilidad contractual encadenada–> Registraduría – UNE, UNE – Arolen? Ahí dejo la pregunta. No es una afirmación porque no tengo bases para hacerla, es solamente una pregunta.
Carlos S. Álvarez
blogladooscuro @ gmail.com
@isitreallysafe
Si totalmente de acuerdo con tus comentarios. Como no es raro en este país salen a culpar a los hackers… ese término que se volvió comodín para designar cualquier actividad que sobrepase los conocimientos de los mediocres ingenieros de sistemas que contratan para semejante tarea.
- Me gusta
0
- No me gusta
0
ReportarCalifica:
Yo creo que la Fiscalia deberia tomar en serio estas denuncias pues estan atentando contra la Democracia Colombiana es un delito grave, por lo que se debe hacer todo lo posible por determinar si en realidad fue un ataque o fue negligencia de la firma en cuestion, deben de contratar unos cuantos expertos en el tema nada y como minimo deberian determinar los siguientes puntos y hacerlos publicos el pueblo Colombiano lo exije:
A nivel de Infraestructura de Comunicaciones
1. Trafico asigando a este proyecto certificado por el proveedor de Internet
2. Graficos de trafico de consumo en las horas del incidente certificado por el proveedor de Internet
3. Listado de todas! las Ips concurrentes en las horas del incidente, asi se podria identificar cuales son las atacantes y cuales son los usuarios
legitimos.
4. Verificar reglas de seguridad en los Firewall, logs de eventos de seguridad, puertos abiertos.
esto garantiza si realmente fue un ataque, la tarea es ardua pues si fue un ataque informatico ya vendria la verificacion de las ip me imagino que mas de 50.000 pero toca hacerlo es por la democracia. igualmente para medir la responsabilidad de la empresa tambien se deberian realizar las siguientes verificacions:
A niverl de Aplicativo
1. Verificacion de los mecanismos de Autenticacion, comunicacion segura, encriptacion de Contraseñas se cumplan segun los nives de seguridad que exige una aplicaion de esta magnitud e importancia.
2. Ver las evidencias de las pruebas de carga transaccional (Concurrecia) que se le debieron hacer al aplicativo, y en general las evidencias de todas las pruebas realizadas sobre este.
3. Ver los planes de contingencia que se trazaron
y claro hacer publico el informe de estos resultados, lo exigo como ciudadano Colombiano!
- Me gusta
0
- No me gusta
0
ReportarCalifica:
Otras preguntas:
– Por que se asigno a la compania UNE a dedo, sin licitacion, en un campo en el que no tiene experiencia?
– Como pagaran los danos causados ante el incumplimiento del contrato?
– Puede una empresa escudarse en que fue un error de un subcontratista?
– Si el papel de UNE es solo de intermediadio y no van a responder por los danos, por que no se dio el contrato a argolen directamente ?
– Cual es el interes del presidente de la republica de descabezar al registrador?
– Como evitar que esto vuelva a suceder.
– Corresponden 70.000 hits por segundo( segun la ontratista) a un ataque o el flujo normal de un pais con mayor acceso a internet?
– Hubo fraude ?
- Me gusta
0
- No me gusta
0
ReportarCalifica:
Cuando de disculpas se trata, hay que echarle la culpa hasta Hugo Chávez. Seguramente fue H. Chávez quién pago los Hackers para que “atacaran la dirección IP de la Registraduría”.
Hombre, dejen de buscar el ahogado río arriba. Eso solo ocurre en el Charco-Nariño, donde los cadáveres hay que buscarlos aguas arriba porque el efecto de la marea del Pacífico es tan fuerte que produce contraflujo en río Tapaje. Admitan que tenían fraguado un chancuco y crearon un “sofisma de distracción” con lo de la Consulta Conservadora para pasar de agache y robarse unas cuantas curules al Congreso.
Bandidos, … Bandidos, ….Bandidos.
- Me gusta
0
- No me gusta
0
ReportarCalifica:
Perdón por el lapsus, es DOS no DNS.
- Me gusta
0
- No me gusta
0
ReportarCalifica:
Totalmente de acuerdo con sus comentarios. Lo del ataque DNS tiene la pinta de ser simplemente una excusa para intentar justificar que les quedó grande el reto. Además si el ataque fue cierto no los exime de responsabilidad porque es un hecho que, como usted dice, debió haber sido previsto y se debieron haber implementado las barreras o las contingencias necesarias para reaccionar ante esta situación. Para mi, lo del DNS es puro cuento chino de esta empresa.
- Me gusta
0
- No me gusta
0
ReportarCalifica: