Ensayo seguridad desarrollo de aplicaciones

¿POR QUÉ DESARROLLAR APLICACIONES SEGURAS?

IVÁN DARÍO SUÁREZ BETANCOURTH

UNIVERSIDAD EXTERNADO DE COLOMBIA

ESPECIALIZACIÓN EN ADMINISTRACIÓN DE RIESGOS INFORMÁTICOS

FACULTAD DE CONTADURÍA PÚBLICA

SEGURIDAD EN APLICACIONES

BOGOTÁ. 06 DE NOVIEMBRE DE 2009

ENSAYO

JUAN MARIO POSADA

¿POR QUÉ DESARROLLAR APLICACIONES SEGURAS?

Introducción

“El único sistema seguro es aquel que está apagado, desconectado, dentro de una caja fuerte de titanio, enterrado en un bunker de concreto, rodeado de gas tóxico y vigilado por guardias armados y muy bien pagados. Y aún así, no apostaría mi vida a que es seguro"^[1].

Lo aplicativos de software se han convertido en un activo esencial para la supervivencia, proyección, y competitividad de las organizaciones. Las empresas soportan sus procesos y la toma de decisiones en ellos, así como la salvaguarda de la información que considera relevante, lo cual los convierte en un objetivo típico para cualquier atacante que desee realizar algún tipo acción maliciosa (fraude, robo de información, destrucción de información entre otros) que afecte los intereses de la organización.

Para realizar sus acciones, los atacantes generalmente sacan provecho las siguientes vulnerabilidades:

1. Fallos en los controles de acceso a las aplicaciones
2. Fallos en las aplicaciones o huecos de seguridad en las mismas los cuales son producto de errores de programación o falta de un modelo de seguridad no implementado o implementado incorrectamente a través de todo el ciclo de vida de desarrollo del software.

En este documento, se formularan algunas preguntas que tratarán directamente con la segunda vulnerabilidad y ayudaran a entender la razón por la cual es importante incluir la seguridad en el desarrollo de aplicaciones de software.

¿Por qué es tan sencillo realizar un fraude electrónico a través de un aplicativo?

En los últimos años y gracias al avance de las TIC^[2], los crímenes de carácter electrónico se han convertido en el pan de nuestros días. Muchos casos de virus, gusanos, spyware, malware, accesos no autorizados, modificación de datos y robos de la información son explotados por causa de los errores de seguridad en todas nuestras aplicaciones, los cuales vienen desde el desarrollo de las mismas. Hackers^[3], crackers^[4] y hasta los propios empleados de las organizaciones, sacan provecho de los errores en el desarrollo o de la falta de controles a tomar en cuenta desde la planeación del desarrollo, para obtener beneficios (generalmente monetarios) o simplemente hacer daño.  

Lo anterior nos lleva a pensar que siempre estaremos expuestos al riesgo de que un atacante pueda aprovecharse de los fallos en nuestros aplicativos, lo que por consiguiente nos lleva a concluir en que se deben tomar medidas en todo el ciclo de desarrollo de software para mitigar el riesgo de dejar brechas de seguridad que puedan ser aprovechadas por personas mal intencionadas.

¿Por qué se presentan errores al codificar una aplicación?

Existen varias razones del por qué de los errores de seguridad en las aplicaciones al momento de su desarrollo. Para empezar, se debe mirar desde la formación académica de los desarrolladores. Generalmente en las instituciones de educación superior se les enseña a los estudiantes muchas técnicas de programación, redes, bases de datos e ingeniería de software, pero nunca se les enseña a los estudiantes a revisar la seguridad de sus desarrollos, ni mucho menos a desarrollar con buenas prácticas. Es muy común (ya que errar es de humanos), encontrar cientos de errores simples de programación en un desarrollo medianamente grande. Estos errores podrían disminuirse si en las instituciones se les enseña a los estudiantes mejores prácticas de codificación.

Cuando un desarrollador ya se encuentra laborando, en las empresas siempre prima la funcionalidad antes que la seguridad. Los desarrollos deben satisfacer las necesidades del cliente de cualquier forma,  a cualquier costo y en el menor tiempo posible, lo que conlleva a que la seguridad en el desarrollo pase a un segundo plano. En adición a lo anterior, los arquitectos de software que son los encargados de construir las bases de los aplicativos, no saben de seguridad y no la tienen en cuenta para el diseño de las aplicaciones. Generalmente, ninguno de los componentes humanos involucrados en un proyecto de desarrollo, es consciente del real problema que se puede generar una vez implementada la aplicación, al priorizar la funcionalidad de un sistema y el tiempo de entrega del mismo, sobre un modelo de seguridad que pueda evitar estos futuros dolores de cabeza. Con esto, queremos decir que el modelo de seguridad debe priorizarse sobre la funcionalidad, lo que queremos dar a entender es que debe existir un equilibrio entre funcionalidad y seguridad para obtener un resultado correcto que satisfaga tanto las necesidades del cliente como las necesidades de seguridad del propio sistema.

¿Por qué es importante el desarrollo de aplicaciones seguras?

Para resolver a este interrogante, vamos primero a revisar un caso de fraude muy famoso que ocurrió en el año 2007, por causa de un error de programación de un software vía Internet.

Absolute Poker,  es un una sala de Póker en internet que usa un software propietario el cual permite reunir personas de todo el mundo que pueden jugar póker y realizar apuestas de dinero real. Cada jugador posee un usuario en el software con una cuenta de dinero para realizar las apuestas. El software contaba con las restricciones y validaciones que debería tener un aplicativo de este tipo. A partir del 14 de agosto del año 2007 aparecieron 8 usuarios cuyas cuentas de dinero se incrementaron 100 veces más rápidamente que las de cualquier usuario, lo cual es algo imposible por el tipo de juego en el que están participando.  Estos jugadores, los cuales eran ex empleados de la compañía, sacaron provecho de una vulnerabilidad del software que les permitía ingresar código malicioso para así convertir sus cuentas en cuentas súper usuarios que les daba la posibilidad de ver las cartas de los demás participantes del juego y así sacar ventaja en sus apuestas. Gracias a esta trampa, estos usuarios pudieron defraudar a muchas personas y obtener una suma que ascendió a los 75 millones de dólares. El fraude fue descubierto y la compañía fue obligada a pagar una multa de 500 mil dólares y a arreglar el problema en su software. Además, la compañía deberá estar sujeta a auditorías aleatorias.

...