La USBA anuncia una clase abierta y gratuita sobre seguridad informática

Casi nadie fuera del mundo informático sabe qué es PHP, y sin embargo lo usa todos los días. Es el lenguaje de programación con el que están construidos WordPress, el sistema detrás de buena parte de los diarios, blogs y páginas institucionales; Moodle, el aula virtual de la mayoría de las universidades argentinas; Wikipedia; y los sitios de miles de comercios, estudios y organismos públicos. Según la estimación que difundió la empresa de seguridad Wiz, está detrás de cerca del 70 % de los sitios web. El martes 21 de octubre, la fundación que mantiene ese lenguaje publicó una actualización de emergencia para dos fallas que en el ambiente ya se conocen como PHP2Shell. Básicamente, son dos agujeros que permiten que alguien, sin usuario ni contraseña, ejecute programas propios en el servidor que las tenga. Uno de ellos, además, deja leer la memoria de los procesos, que es donde quedan guardadas contraseñas, claves de acceso a otros servicios y certificados.Como si fuera novedad, OpenAI advirtió, en el mismo comunicado en que anunció el hallazgo, que las capacidades que sirvieron para encontrar la falla sirven también para fabricar el ataque. ¿Qué debemos hacer los humanos? La mayoría de la gente no tiene un servidor a su cargo y puede pensar que esto es un asunto entre técnicos. El problema es que lo que sale de un servidor atacado son los datos de sus usuarios: nombres, correos, documentos, contraseñas. Nadie puede actualizar un servidor ajeno, pero cada persona puede limitar el daño que una filtración le causa. Las recomendaciones que circularon esta semana son las de siempre, y por eso mismo vale la pena repetirlas: una contraseña distinta en cada servicio, idealmente administrada con un gestor de contraseñas o reemplazada por llaves de acceso; revisar los resúmenes de tarjeta en las próximas semanas; desconfiar de pedidos de inicio de sesión o de descargas que aparezcan sin motivo, aunque vengan de sitios conocidos. Qué pasó en las primeras horasUn primer relevamiento de Palo Alto Networks contó 22,6 millones de instalaciones de PHP potencialmente vulnerables. Cloudflare, que filtra el tráfico de una porción grande de internet, registró decenas de miles de intentos de explotación en los primeros 45 minutos posteriores al anuncio, cientos de miles a las dos horas y millones hacia la noche del 21.
El problema es que lo que sale de un servidor atacado son los datos de sus usuarios: nombres, correos, documentos, contraseñas”
Varios gobiernos prefirieron apagar sus sitios mientras actualizaban. Lo hicieron Francia, Dinamarca, Finlandia y los Países Bajos, incluida la propia agencia holandesa de ciberseguridad. Moodle, la plataforma de aulas virtuales que usan buena parte de las universidades argentinas, bajó su sitio hasta aplicar la corrección. La NSA, el FBI, el equipo de respuesta a emergencias informáticas de la Unión Europea y la Dirección de Señales de Australia emitieron alertas.La seguridad informática funcionó durante mucho tiempo sobre una ventaja práctica: encontrar un error profundo en un sistema que miles de personas revisan desde hace años pedía meses de trabajo de gente muy escasa. Esa ventaja se achicó, y las mediciones del instituto METR sobre la duración de las tareas técnicas que un modelo puede completar solo indican que va a seguir achicándose, porque esa capacidad se duplica cada cuatro a siete meses.Nuestro compromiso como UniversidadCasi nadie fuera del mundo informático sabe qué es PHP, y sin embargo lo usa todos los días. Es el lenguaje de programación con el que están construidos WordPress, el sistema detrás de buena parte de los diarios, blogs y páginas institucionales; Moodle, el aula virtual de la mayoría de las universidades argentinas; Wikipedia; y los sitios de miles de comercios, estudios y organismos públicos. Según la estimación que difundió la empresa de seguridad Wiz, está detrás de cerca del 70 % de los sitios web. El martes 21 de octubre, la fundación que mantiene ese lenguaje publicó una actualización de emergencia para dos fallas que en el ambiente ya se conocen como PHP2Shell. Básicamente, son dos agujeros que permiten que alguien, sin usuario ni contraseña, ejecute programas propios en el servidor que las tenga. Uno de ellos, además, deja leer la memoria de los procesos, que es donde quedan guardadas contraseñas, claves de acceso a otros servicios y certificados.Como si fuera novedad, OpenAI advirtió, en el mismo comunicado en que anunció el hallazgo, que las capacidades que sirvieron para encontrar la falla sirven también para fabricar el ataque.
Palo Alto Networks contó 22,6 millones de instalaciones de PHP potencialmente vulnerables”
¿Qué debemos hacer los humanos? La mayoría de la gente no tiene un servidor a su cargo y puede pensar que esto es un asunto entre técnicos. El problema es que lo que sale de un servidor atacado son los datos de sus usuarios: nombres, correos, documentos, contraseñas. Nadie puede actualizar un servidor ajeno, pero cada persona puede limitar el daño que una filtración le causa. Las recomendaciones que circularon esta semana son las de siempre, y por eso mismo vale la pena repetirlas: una contraseña distinta en cada servicio, idealmente administrada con un gestor de contraseñas o reemplazada por llaves de acceso; revisar los resúmenes de tarjeta en las próximas semanas; desconfiar de pedidos de inicio de sesión o de descargas que aparezcan sin motivo, aunque vengan de sitios conocidos.Qué pasó en las primeras horasUn primer relevamiento de Palo Alto Networks contó 22,6 millones de instalaciones de PHP potencialmente vulnerables. Cloudflare, que filtra el tráfico de una porción grande de internet, registró decenas de miles de intentos de explotación en los primeros 45 minutos posteriores al anuncio, cientos de miles a las dos horas y millones hacia la noche del 21. Varios gobiernos prefirieron apagar sus sitios mientras actualizaban. Lo hicieron Francia, Dinamarca, Finlandia y los Países Bajos, incluida la propia agencia holandesa de ciberseguridad. Moodle, la plataforma de aulas virtuales que usan buena parte de las universidades argentinas, bajó su sitio hasta aplicar la corrección. La NSA, el FBI, el equipo de respuesta a emergencias informáticas de la Unión Europea y la Dirección de Señales de Australia emitieron alertas.La seguridad informática funcionó durante mucho tiempo sobre una ventaja práctica: encontrar un error profundo en un sistema que miles de personas revisan desde hace años pedía meses de trabajo de gente muy escasa. Esa ventaja se achicó, y las mediciones del instituto METR sobre la duración de las tareas técnicas que un modelo puede completar solo indican que va a seguir achicándose, porque esa capacidad se duplica cada cuatro a siete meses.Nuestro compromiso como Universidad En la Universidad del Sur de Buenos Aires veníamos diseñando desde hace meses una Diplomatura Universitaria en Ciberseguridad que no exigiera formación previa en informática. La decisión de crearla se apoyó en una observación bastante elemental: las personas que deciden sobre datos ajenos, en una pyme, en una oficina pública, en un estudio jurídico o en un área de administración, rara vez son las que saben cómo se protegen esos datos. Lo de esta semana es una ilustración bastante cara de ese desfasaje.La formación está pautada para el año próximo, pero antes del inicio vamos a ofrecer una clase abierta, gratuita y por Zoom, titulada “Conectados, pero ¿seguros? Desafíos de la ciudadanía digital”. Queremos abrir un espacio público de capacitación para todos aquellos que tengan preocupación sobre esta temática. La clase abierta será el 18 de noviembre a las 19 horas y la inscripción no tiene requisitos.No escribimos esto para llenar un aula y sacar una foto, sino porque estamos convencidos que una hora dedicada a entender a qué está expuesto cada uno, y qué parte de esa exposición depende de sus propios hábitos, es hoy una medida de defensa tan básica como cerrar la puerta de casa. Las fallas que se encontraron en agosto llevaban catorce años en un código que revisan miles de programadores. ¡Catorce años! Las que vengan se van a encontrar más rápido, y con impactos más severos. Nuestro rol como universitarios es habilitar espacios de debate y formación para dar respuesta a estos contextos a los que estamos expuestos. Los esperamos el próximo 18 de noviembre.