Dias atras lei un post de Bruce Schneier sobre un estudio realizado en la Carnegie Mellon University, llamado "Crying Wolf: An Empirical Study of SSL Warning Effectiveness".En el mismo los investigadores estudiaron el comportamiento de los usuarios ante mensajes de error de certificados digitales, los cuales se muestran en caso de no poder verificar la identidad de un sitio por no estar el certificado emitido por una autoridad conocida ( ejemplo ), o el certificado esta vencido ( ejemplo ),o porque el mismo esta mal instalado ( ejemplo ) o en el peor de los casos porque estamos bajo un ataque de Man-in-the midle.
El estudio demostro que los usuarios actuaban negligentemente ante la repeticion de mensajes de error de certificados. Incluso muchos caian en el falso sentido de seguridad por estar ejecutando sistemas operativos diferentes a Windows.
Esto nos recuerda la fabula de Esopo del Pastor y el Lobo.
Este tipo de problemas muchas veces los vemos en empresas que gastan toneladas de dinero en comprar sensores, IDS, IPS, firewalls, sistemas de correlacion de eventos y olvidan que todos estos equipos necesitan detras gente capacitada para su mantenimiento y administracion.
Ocurre que luego de instalado estos sistemas, empiezan a generar alarmas por falso positivos y los administradores que no estan dedicados 100% a la tarea de la seguridad, empiezan a ignorarlas y caen en la falsa sensacion de seguridad que les da el tener el hardware de deteccion de intrusos.
Lamentablemente esto no solamente se circunscriben al mundo digital. Por ejemplo el Departamento de Seguridad Interior de los EEUU tiene un sistema de alerta que siempre esta en nivel elevado.
Por ejemplo hoy 20/08/09 :
Current Threat Level
August 20, 2009- The United States government's national threat level is Elevated, or Yellow.
- For all domestic and international flights, the U.S. threat level is High, or Orange. See the Transportation Security Administration
- Everyone should establish an emergency preparedness kit and emergency plan for themselves and their family, and stay informed about what to do during an emergency.
- All Americans should continue to be vigilant, take notice of their surroundings, and report suspicious items or activities to local authorities immediately.
Hablando con un amigo que vive alli, me decia que la gente no le presta atencion.
Lamentablemente muchas veces estas situaciones de falsos positivos llevan al desastre. El caso mas cercano es el vuelo de LAPA 3142 que termino con la vida de 65 personas.
Texto extraido de WikiPedia :
El vuelo 3142 de LAPA, de la aerolínea argentina LAPA, se estrelló en el Aeroparque Jorge Newbery de la Ciudad de Buenos Aires el 31 de agosto de 1999 a las 20:54 hora local, cuando despegaba hacia la ciudad de Córdoba, protagonizando uno de los accidentes más graves de la historia de la aviación argentina.
Al iniciar la aeronave Boeing 737-200 su carrera de despegue comenzó a sonar una alarma a la que los pilotos hicieron caso omiso. Esa alarma, que los pilotos no pudieron determinar a qué se debía, indicaba que los flaps se hallaban retraídos, lo que les impidió despegar pese a haber superado la velocidad mínima que habían calculado que necesitaban para hacerlo. Imposibilitados de frenar antes del fin de la pista por la velocidad que traían, continuaron la carrera fuera de ella, rompiendo luego las vallas del perímetro del aeropuerto, cruzando la avenida Rafael Obligado a más de 250 km/h, arrastrando en su trayecto a un automóvil que circulaba por ella, para terminar colisionando sobre unas máquinas viales y un terraplén. La pérdida de combustible sobre los motores calientes y el gas expelido por la rotura de una planta reguladora de gas existente en el lugar, provocaron el incendio y destrucción total de la aeronave.
La película Whisky Romeo Zulu llevó la historia de este accidente al cine. Fue escrita, dirigida y protagonizada por Enrique Piñeyro, actor, médico y ex piloto de LAPA.
El filme relata en forma de ficción el trasfondo del accidente desde la visión del mismo Piñeyro, quien fue piloto de LAPA desde 1988 y renunció a su puesto en junio de 1999 —sólo un par de meses antes del accidente— tras haber denunciado su desacuerdo con las políticas de seguridad de la empresa. En relación a la motivación para realizar esta película, Piñeyro comentó:
A mi lo que me interesaba era contar el cómo se llega al accidente, no contar que los pilotos se olvidaron los flaps entonces se quema un avión, sino por qué llegaron a olvidarse los flaps. Y cómo fue el proceso, porque olvidarse los flaps fue la última gotita que rebalsó un vaso de una serie de violaciones a la reglamentación tremendas. Me interesaba contar lo que no se ve del accidente, no sólo el último eslabón (el piloto). Porque todos los eslabones anteriores convenientemente se ocultan porque comprometen a la autoridad, a la empresa.Interesante es lo que declaro esta semana Piñeyro sobre el tema de las alarmas y falsos positivos :
Piñeyro señaló, en ese punto, la responsabilidad de la empresa porque en un lapso de cinco meses y ocho días habían sonado “94 falsas alarmas” en el momento del despegue, lo que llevaba a la confusión de los pilotos. Subrayó que el tema es importante porque “cuando suena la alarma, eso requiere resolución inmediata.
No comments:
Post a Comment