EEUU recurre a hackers para proteger sus redes informaticas

Las autoridades federales, ante la marea de ataques diarios a sus redes cibernéticas, buscan ciberpiratas... pero no para enjuiciarlos, sino para contratarlos a fin de que aumenten la seguridad de las redes nacionales. La empresa General Dynamics Information Technology publicó el mes pasado un anuncio en nombre del Departamento de Seguridad Interna en busca de alguien "que pueda pensar como los malos". Los solicitantes, agregó, deben entender las herramientas y tácticas de los hackers así como poder analizar el tránsito de la internet.

[#6 davidrgh]

¿Hackers? ¿Los de EEUU (o los del periódico) saben lo que es un hacker de verdad? ¿Saben distinguir entre hacker y cracker?

#1 #2 #3 #4 Un "hacker" no es un delincuente. Los delincuentes son los crackers. Los hackers son expertos en seguridad y redes: "podrían" asaltar de la misma forma que un empleado de Prosegur "podría" disparar a alguien o que yo como programador "podría" apropiarme de los programas que hago para mi empresa: pero eso no convierte en delincuente

[#4 Desactivado]

#1 #2 nada tiene de raro...nosotros llevamos años pagando a los banqueros para que "cuiden" nuestro dinero... Piensa si eso no es poner al lobo a vigilar a las ovejas...

[#1 Piamonte]

Han aprendido la técnica de nuestros contratistas de obras, que contratan como vigilantes a los mismos que podrían robar materiales de la obra.

[#8 davidrgh]

#7 Un cracker suele ser peor que un simple gamberro.

[#20 xenNews]

Llevando unos pocos años en Internet, y conociendo algo el mundo de la seguridad informática... joder, cada vez que veo a alguien soltando la típica respuesta de "hackers(buenos) vs crackers(malos)" me viene a la cabeza la palabra NOVATO, sinceramente

Primero porque es una respuesta que está más trillada que yo que sé, y segundo porque en cualquier caso los crackers no dejan de ser hackers. Una cosa es la ética que tenga cada uno, el hacker "benigno" o el que aprovecha sus conocimientos para el mal, que algunos llaman "cracker". ¿Deja de ser hacker el "cracker"? Pues no, es un jodido hacker. A lo mejor es un cabronazo y un criminal, pero es un hacker.

Eso sin tener en cuenta que también podríamos hablar de crackers como expertos en romper la seguridad de aplicaciones software, en buscar fallos en sistemas cifrados, o en romper las contraseñas de archivos protegidos. Si eres experto en crackear software/cifrado/archivos, eres un cracker, y no necesariamente eso te convierte en un criminal.

¿Es un matemático experto en criptografía un criminal? Porque si encuentra vulnerabilidades y revienta el cifrado, lo está crackeando, y no por eso se convierte en un criminal que yo sepa...

En fin, respuesta bastante cansina la verdad...

[#9 anxosan]

#4 Este país está lleno de paradojas.
Los banqueros "cuidan" de nuestro dinero. (haciéndolo suyo)
Los políticos cumplen la "voluntad popular". (que quiere que nos estafen)
En los juzgados se imparte "justicia". (salvo si eres poderoso)
Todos somos "iguales" ante la ley. (y unos más iguales que otros)
El Canon compensa a los "artistas". (artistas del robo)
Vivimos en una "Democracia". (que se parece mucho a una oligarquía)
Etc.

[#5 Desactivado]

#0 Eso no es nuevo

[#11 davidrgh]

#10 Lo decía porque en el artículo están poniendo al mismo nivel a los hackers y a los ciberpiratas (por si aún quedase alguien entre sus lectores que aún supiese la diferencia).

Y tampoco delinquen para ellos: un hacker contratado usa sus conocimientos para poner a prueba los sistemas de seguridad y detectar vulnerabilidades para corregirlas.

[#13 davidrgh]

#12 ¿Me estás comparando un grafitero respecto al dibujo con un hacker respecto a la seguridad?

Un hacker es un experto en seguridad, no alguien que haga chapucillas. Son precisamente quienes mejor trabajo pueden hacer al analizar la seguridad de una empresa.

Por cierto, eso de juzgar la mentalidad así a la ligera no es algo muy inteligente, que digamos (la SGAE también nos juzga a todos los que descargamos mediante el derecho a la copia privada y nos llama criminales).

[#29 Desactivado]

#16 "un hacker es un experto en seguridad? Dónde pone eso y quién le dio ese título? ... por el simple hecho de ser (decir que es) hacker sabe de seguridad? "

Más bien al contrario, un título oficial por sí mismo no demuestra nada.

Un experto con 'titulación acreditativa' puede blindar los ordenadores de la NASA, pero si tú eres capaz de saltarte las protecciones y entrar en el sistema estás demostrando que tienes más conocimientos.

Lo que dice la noticia es que van a recurrir a esos hackers expertos, lo cuál es bastante lógico.

[#26 kikuyo]

¿Les pagarán con pizzas?

[#16 Desactivado]

#13 un hacker es un experto en seguridad? Dónde pone eso y quién le dio ese título?
Quieres decir tú que un hacker (es eso una capacitación profesional o garantía de algo?) por el simple hecho de ser (decir que es) hacker sabe de seguridad?
Por cierto, todos los "hacker" saben lo mismo? Tienen unos conocimientos mínimos garantizados y por quien?

La cosa cómo sería? Llega un tío a una empresa y dice: "soy hacker" y? Eso que se pone en cv? Y lo contratan sin más? Dejan acceder a la red de una empresa y responsabilizarse de su seguridad así?

El mejor trabajo lo hace un profesional, con formación y titulación acreditativa

#17 tú estás hablando no sólo de hackers también de "cracks" Gente que se sale de lo normal

[#32 Desactivado]

#29 con eso te vas a cualquier empresa y cuando te pidan cv, experiencia y acreditaciones le dices: "... un título oficial por sí mismo no demuestra nada" (sic)

Si te contratan avisa

[#3 Desactivado]

#1 Si no puedes con tu enemigo, unete a el

[#30 jm22381]

Aaaah! Ahora lo entiendo... El FBI utiliza software espía en sus investigaciones (ING)

El FBI utiliza software espía en sus investigacion...

[#24 jm22381]

General Dynamics... es una matriz de http://www.massivedynamic.com/ ?

[#25 Desactivado]

Relacionada: http://www.tiraecol.net/modules/comic/comic.php?content_id=224

[#34 taibo]

#32 A ver Nemigo #29 también tiene parte de razón si vas a ser contratado por una empresa para anlizar la seguridad a ese nivel obvio que van a pedir un titulo, pero desde luego con el titulo no arreglas nada.

Yo puedo llegar con un titulo de ingeniería informática, tener un mcse de microsoft, ser profesional de routers Cisco, un certificado java de j2ee de Sun y un certificado Comptia.

Y el tío o tía que tenga sólo la ingeniería informática a lo mejor incluso con menos nota que yo para esto me pule y me deja para el arrastre...

Los certificados y los titulos tienen dos problemas uno que hay que pagarlos y otra que te debes ceñir a un programa de estudios específicado.

La información de los routers cisco o cualquier otra cosa la puedes encontrar por internet y sólo estudiartela y no pagar los 1500 euros o mucho más que vale un curso que al fin y al cabo la diferencia es el papel un papel que en muchos casos caduca y tienes que pagarte otra cantidad importante para renovarlo...

Claro que en las empresas medianas si no tienes papel ya ni se molestan pero a una persona que tenga ese nivel tampoco le interesa trabajar para esas empresas es más por un trabajo que yo mataría (metáforicamente hablando) por conseguirlo ese perfil lo desprecia y muchos quizá no tengan por ejemplo el clásico master de Cisco pero digamos que casí y tal vez alguno sin el casí le podrían enseñar a Cisco como se hacen los Routers.

[#17 taibo]

#1 #2 Esto no es nuevo, muchas empresas informáticas y de seguridad han contratado a gente que fueron hackers en el pasado...

Un cracker no es necesariamente malo, el hacker se dedica a la seguridad en sistemas y los crackers en seguridad de claves.

De hecho mucho software antes de ser envíado para el consumo es testado por hackers y crackers que se dedican a intentar sabotear el sistema de todas las formas posibles para que después estos o otro personal de la empresa solucione la volnerabilidad.

Y no sólo en informática si no en muchos sistemas que requieren alta seguridad pasando por bancos e incluso la misma policía el pentagono etc

ejemplos:

Microsoft: http://www.sputnik.com.mx/index.php?option=com_content&task=view&id=2997&Itemid=1

Kevin Poulsen es un tío que ya ha congido a más de 700 delincuentes sociales en myspace y es un hacker.

Stephen Wozniak cofundador de apple.

Tim Berners-Lee al que se le atribuyen la creación de la Word Wide Web (www)

Linus Torvalds --> Linux

y bueno un largo etc casi cualquier compañía donde prime la seguridad o esté dedicada a la tecnología lo raro es que no tenga uno.

[#40 silverman]

#39 emulación virtual de un número de tarjeta de red falsa = cambiar la direccion MAC. Es mas facil de decir y de entender

El ARP spoofing consiste en modificar tablas e inyectar paquetes en una red modificados dependiendo de lo que quieras hacer. Modificas la ip y mac de origen del paquete que vas a inyectar para desviar ese paquete a donde quieras.
pero bueno.. mas o menos es eso que dices

Por otro lado siempre se podría atacar primero a otros terminales y luego usar la fuerza de todos los atacados conjuntamente para romper una clave ???? No entiendo esto ...supongo que te refiriras a crear un cluster de equipos para buscar una clave probando a fuerza bruta.
Eso debe de ser complicado

[#2 Desactivado]

es intrínseco a los USA. La CIA y fuerzas armadas recurren a asesinos para "defenderse"

[#19 Desactivado]

#18 en tv también llama pirata a cualquiera que señale la $GAE

Si quieres trabajar en seguridad informática necesitas titulación acreditativa te lo va a pedir cualquier empresa medianamente seria

[#12 Desactivado]

#6 hay algún asesor en seguridad que recomienda encarecidamente NO contratar a hackers, porque tienen mentalidad criminal, dice

Posiblemente un grafitero tanga creatividad y sepa (de lo suyo) pero de ahí a ponerlo en un departamento de diseño y cratividad... Piensas tú que sabrá estar sentado horas pensando en una idea? Será capaz de entender lo que espera un cliente y lo que es su marca y venderlo? Entenderá las diferencias en un diseño para un periódico, web o tv?

[#39 taibo]

#38 Yo no, dado que soy un informático tirando a básico...

Por otro lado creo que el arpspoofing consistía en suplantar los equipos emisor y receptor de la información mediante cambios de ip y emulación virtual de un número de tarjeta de red falsa.

Por otro lado siempre se podría atacar primero a otros terminales y luego usar la fuerza de todos los atacados conjuntamente para romper una clave.

Pero bueno ya son ideas místicas, igual hay formas mejores o más fáciles, pero bueno yo no tengo ese nivel no tengo la necesidad de entrar en la red de un banco.

[#41 taibo]

#40 Evidentemente, esta parte se puede hacer todo dependera del numero y capacidad de "zombies" que tengas, por otro lado desde el lado legal existen aplicaciones que hacen eso coger procesamiento de tu ordenador para por ejemplo colaborar en proyectos biológicos, de astronomía etc

Claro que en ese caso sería con tu conocimiento y consentimiento y la otra no vas a poner..

-oye cedeme la capacidad de tu cpu para que yo pueda romper la contraseña del banco xxxxx

Pero bueno igual habría gente que se prestase

[#22 Desactivado]

Si no puedes con el enemigo...

[#10 Desactivado]

#6 No creo que hagan este tipo de distinciones a la hora de contratar a alguien. Si tiene conocimientos y capacidad, lo ficharan sin pensar en si la ultima vez que se colo en un sistema dejo una nota avisando del problema de seguridad o si formateo el disco. Es mas, a lo mejor hasta le indultan los delitos pasados siempre que a partir de ahí solo delinca para ellos

[#23 sorrillo]

#12 Ese experto en seguridad o genio de los sprais deben estar muy supervisados por sus jefes, quitándoles la carga administrativa y pesada que normalmente tienen esos trabajos para que se centren en su ámbito donde son realmente geniales, donde sobresalen por encima de los demás.

En el mejor de los casos se les puede enseñar las partes que no conocen, que es mucho mas sencillo que intentar enseñar a cualquiera a ser un genio.

[#15 Desactivado]

Como si fuese la primera vez...

[#37 taibo]

#35 No hablé con los términos concretos porque consideré que aquí leía más gente que no era informática pero realmente silverman te puedo decir y comprobado que vpns que dan la risa concretando más el punto ese de las cuentas bancarias de #28 lo que quiero decir es y comprobado que determinadas vpns no hacen caso a la definición propia de vpn y te puedes instalarla como cliente en tu casa sin tener rdsi ni nada con tu mismo isp y algunos casos hasta permiten entrar como usuario ánonimo y bastantes sin un certificado digital, vamos que no hay que ser muy hacker para entrar... y hasta ahí puedo leer.

Por otro lado la seguridad intima es eso debería ser intima y no estar sujeta a que un desarrollador o manejador del sistema pueda acceder a tus datos personales como por ejemplo lo que te dije si yo por motivos de trabajo tengo más acceso que una persona normal puedo incluso sin ser mal intencionado conseguir datos que supuestamente nunca entraría.

Yo con mis conocimientos actuales evidentemente no sería capaz de romper la seguridad de una vpn bien formada pero sí que sería capaz de saltarme muchas protecciones... pero lo dicho eso no es ser un hacker eso es que la seguridad está mal diseñada a nivel básico.

Por otro lado existen muchas técnicas como el arp spoofing etc y el cifrado MD5 hace tiempo que ha sido destruído.

[#33 taibo]

#28 No sé que es lo que tu consideras dato más confidencial porque:

cuenta bancaria y relacionados: Tus datos están almacenados en una base de datos valga la redundancia y esta base de datos es accesible de modo interno por internet y por los cajeros automáticos cierto que va encriptada y que es una red privada, pero yo te digo desde mi experiencia como informático que muchas redes bancarias son totalmente inseguras desde el punto que yo puedo coger desde la empresa el cd con las claves el software interno que se usa para comunicarse instalarlo en mi casa y no comprueba que mi equipo no está dentro de la red de confianza del banco.

Datos sanitarios: Tus datos son almacenados también en otra base de datos interna ahí se guarda tu grupo sanguineo, las vacunas que te has hecho cuando has ido al médico, historial de enfermedades, operaciones, incluso no sólo tuyas si no historial familiar.

Propiedades: En la agencia tributaria están guardadas todas tus declaraciones y donde has trabajado legalmente aunque bueno para eso también tienes las bases de datos del inem, y si debes no sé si te suena la lista esa negra de morosos que aunque te quiten públicamente existen métodos para saber si has estado o no en una lista de morosos, por otro lado tienes las bases de datos de catastro donde puedes localizar geográficamente donde están ubicadas dichas propiedades.

Actos delictivos: En la base de datos de la policía se guarda un registro de si has cometido algún delito o no y en caso de cometerlo cual y cuando fue, a parte también de las multas de tráfico.

Si a eso le sumamos que las compañías telefónicas guardan un registro por x tiempo de tu actividad se puede saber a quien sueles llamar por telefono o que haces en internet, todos los pagos que hagas con tarjeta quedan registrados (todos la compra díaria, el pago de un peaje...) y a esa pequeña lista le añadimos los datos que el usuario facilita abiertamente en sitios de internet como pueden ser redes sociales, correos electrónicos y las bases de datos que corren por ahí en bases de datos ilegales con tus costumbres etc.

Es decir que a mi nada me impide (salvo la seguridad claro está, y en muchos casos es muy burda) que te llamas xxxxxxxxxx con dni xxxxxxxxxxx que estás casada con fulanito xxxxxxxxxxxx dni xxxxxxxxx tienes una hija de 8 años llamada xxxxxxxxxxx que va al colegio xxxxxxxxxxxxx pero esta hija no es de tu marido actual, hace 8 años estabas con xxxxxxxxxxxxxx que era un narcotráficante que murió en un accidente de tráfico el día tal y te que quedó como legado el piso situado en xxxxxxxxxx y tienes tanto dinero en la cuenta del banco xxxxxxxxxxxx y bueno todo lo que quieras...

Ahora bien si tu dices que no se pueden saber tus datos confidenciales repito que es lo que consideras tu como dato confidencial.

[#21 taibo]

#19 Sí y no como te dije antes es muy raro que no la tengas si eres un hacker real, pero el andar se demuestra andando.

Imaginate que yo detecto un fallo critico en los servidores de Oracle, pero algo gordo que por ejemplo me permita una escalada de privilegios para adueñarme del servidor que corre el servicio...

Si sé hacer eso es raro que no tenga el titulo pero sin tenerlo sería raro que dando a conocer el error y como evitarlo no me concedan al menos una entrevista "para ver de lo que soy capaz".

[#18 taibo]

#16 hombre... pues un hacker no es lo que te suelen sacar por televisión y dan el tono peyorativo al término hacker, eso la mayoría son unos tíos que encontraron algo básico o se aprovecharon de una herramienta.

Lo de ser hacker no te hace falta titulo que seguramente lo tengas, es todo a base de estudiar y practicar cosas que no están escritas en los líbros.

Y si eres bueno con decir tu nombre y apellidos ya está.

[#14 garuse]

#8 Un simple gamberro, no te desmonta el chiringuito y te hace perder tu trabajo. Por contra un hacker, lo que haria seria dejar un mensaje del tipo "Perdona, pero tienes un buen agujero de seguridad..jeje"

Como dice Wardog en su blog: "...no se pueden liar tan gordas sin esfuerzo"
http://www.mundowdg.com/blog/

[#27 zelda666es]

Nada nuevo bajo el sol,llevan años haciendo eso

[#28 sadida255]

Los datos mas confidenciales no son accesibles a traves de la red, aunque si que es verdad que se pueden meter en NASA y sitios de estos.

[#31 Desactivado]

#6 #8 #11 Suerte normando el lenguaje, dado que la RAE ha fallado en eso que bueno que tenemos paladines que definan el correcto significado del termino hacker (XD)
#20 Totalmente de acuerdo.

[#35 silverman]

#33 cd con las claves el software interno que se usa para comunicarse instalarlo en mi casa y no comprueba que mi equipo no está dentro de la red de confianza del banco??? Bueno.. vamos a ver...

1º Las lineas de los bacos son VPN-RDSI partiendo de eso... es "imposible" acceder a la informacion que va por ellas. A no ser que tengas un amigo en la compañia de telecomunicaciones que proporciona la linea.

2º Tu en tu trabajo tienes acceso a el software interno de la empresa y CD de claves. El que trabaja en hacienda de administrador de BD tendra acceso a lo mismo... pero de Hacienda pero segun la LOPD ya sabes lo que tienes que hacer con ellos

3º Algunas de las BD que nombras ahí. Me da.. que no vas dar entrado en la vida. O te saltas una VPN, o enchufas el cable directamente a la red interna y descifras el certificado antes de que caduque ( cosa poco probable.. con la tecnologia de hoy en dia... ).

Un comentario mio al respecto de la seguridad:
-----------------------------------------------------------------------------------
"" Un sistema seguro es: el que en un intervalo de tiempo puede proporcionar acceso solo a determinados usuarios "" ( Los sistemas mas seguros son los que cambian mas rapido, que el tiempo que tardan en saltarselo los crakers )

[#38 silverman]

#37 lo de la RDSI lo decia por que es la que usan los bancos para realizar las transacciones. Por tener un caudal garantizado de dados. Era un mero ejemplo. Una VPN como tu dices se puede hacer utilizando cualquier medio... RDSI,S/ADSL,Fibra,...

Y eso es como todo.. existen VPN's mal configuardas obviamente. Pero una VPN que pasa unos controles de calidad acreditados por empresas especialistas en la materia ( como las de los bancos ) te puedo asegurar que antes de que puedas encontrar el cifrado de la VPN aplicando ARP spoofing ya lo han cambiado... y mas si es de 256 bits =) Por que una clave 128bits usando ese metodo.. si es de 8 caracteres esta muy bien... que bueno.. depende del equipo que tengas... en menos de 1 hora la sacas eliminado combinaciones al comprobar las cabeceras de los paquetes y demas historias... pero el problema esta en si tiene 10, 12, 14,...caracteres que ahi se complica la xcosa un poco mas. Que puede pasar de 1hora a 1 mes el obtener el cifrado.
Ahora piensa que pasaria si la clave fuese 256Bits

[#36 Desactivado]

Denunciarse ante un Gobierno es suicidarse. ¿Te fiarías tú de un asesino, ladrón y mentiroso? Pues eso...

[#7 Desactivado]

#6 Más bien hay que distinguir entre hackers y gamberros