Mucho se esta hablando sobre el tema de los hackers, últimamente y cada día mas, se esta poniendo de moda el hablar de ellos, y se esta poniendo de moda porque el fenómeno hacker vende, eso nadie lo puede poner en duda.

Pero pasa el tiempo y se sigue pasando por alto un detalle, se sigue pasando por alto lo que a mi modo de ver es el verdadero problema. Gracias a los hackers y gracias a la gran cantidad de direcciones de Internet que albergan información sobre agujeros de seguridad de distintos sistemas operativos (algo que sirve muy bien para que "algunos" se agarren a ello) ese problema sigue pasándose por alto y me sigue pareciendo increíble que tenga yo que escribir estas líneas para intentar que muchas empresas cambien su pensamiento y afronten el problema de la seguridad informática desde el lado que hay que afrontarlo.

En el documental sobre "Internet – zona peligrosa" creo que es el único medio de comunicación en el que aparecieron opiniones similares a la que voy a dar.

¿Realmente hay tantos hackers sueltos?, si y no. Desde luego que cuando alguien hace algo que en teoría no se podría hacer, es porque ha hackeado ese servidor donde lo ha hecho, o como se le quiera llamar a la realización de dicha acción. Ahora bien, hackers de verdad, lo que se debería entender por un hacker, desde luego que hay muchísimos menos de los que muchos tratan de hacer ver.

Pongamos un ejemplo..... ¿qué pasaría si a alguien le roban el coche porque lo ha dejado toda la noche con las puertas abiertas y con las llaves puestas?. El dejar un coche en esas condiciones desde luego que no quita que si alguien entra y se lo lleva no lo este robando, el delito sigue ahí por mucho que se le hayan dado todas las facilidades al ladrón pero como mucho, si saliera en los periódicos, no se haría hincapié en que el ladrón ha robado el coche, sino que se haría hincapié en que el propietario se lo tenia merecido por no prestar atención a lo que hace y dirían que posiblemente estaría borracho.

Que a nadie le parezca idiota este ejemplo porque es la realidad de lo que esta pasando en estos momentos. Quienes están "hackeando" los servidores (sigo diciendo que a mi eso no me parece hackear) lo único que están haciendo es aprovecharse de ese "coche" que está con las "puertas abiertas" y las "llaves puestas" y lo único que han necesitado para "robar" ese "coche" es tener carnet de conducir nada mas, es decir, de lo que se refiere a aptitudes de ladrón de coches (saber abrir una cerradura o hacer un puente), no han necesitado saber nada, pese a que al día siguiente le denominen en los medios de comunicación como "ladrón de coches".

Este es el verdadero problema de todo esto, no hay tantos ladrones de coches, sino que hay muchos operadores que se dejan el coche con las llaves puestas y las puertas abiertas. Es decir, no hay tantos hackers, sino que muchos operadores ponen las cosas tan fáciles que basta un poco de información y algo de tiempo para poder "hackear" los servidores que esos supuestos administradores mantienen. Es tan sencillo como estar informado de los agujeros de seguridad que se van encontrando y el método para explotarlos, y limitarse a buscar servidores que no hayan parcheado el fallo de seguridad. Es decir, buscar administradores que se las dan de mucho pero tienen completamente desatendida la seguridad de los sistemas que administran y ni siquiera se molestan en estar atentos a los fallos de seguridad que cada día aparecen en los sistemas operativos y comprobar si alguno de esos fallos esta en los sistemas que administran. Es decir, supuestos hackers que realmente no tienen ni idea de lo que estan haciendo. Simplemente aires de superioridad unidos a una dejadez extrema en muchos administradores, lo cual conduce a que les entrarán a sus sistemas una vez, y otra, y otra..... y así sucesivamente hasta que alguien se de cuenta de lo que realmente esta sucediendo.

Con esto no quiero decir que todos los administradores de sistemas sean programadores en cobol reciclados, desde luego que hay muchos operadores que son auténticos profesionales pero también hay muchos que están ocupando puestos de trabajo que no les corresponde, y son precisamente la incompetencia de estos señores la que por desgracia más se ve y la que pone en duda muchas cosas.

La administración de un sistema (y mucho mas los que están en Internet) no es cosa de un cursillo de 3 meses, ni de un titulo universitario, es cosa de una experiencia en el sistema operativo que se esta administrando, una experiencia adquirida día a día durante años. No se puede introducirse en un Unix (por ejemplo) de la noche a la mañana, es algo que requiere años manejándolo de verdad, manejándolo a nivel de administrador, algo que solo se puede conseguir metiendo horas en casa con un Linux propio y experimentando a sabiendas que pase lo que pase como mucho a reinstalar todo de nuevo otra vez. Eso unido a una experiencia laboral de manejo de un servidor es lo único que sirve. Administrar un sistema no es solamente aprenderse el manual, es estar atento, saber ver lo que sucede, comportarse como un hacker y día a día estar navegando las paginas de Internet que los mismos hackers navegan para poder adelantarse a las acciones que alguno pudiera hacerte.... y así muchas cosas mas.

El problema incluso está llegando mas lejos, hace años cuando un administrador cometía un error con perdida de datos, pues lo reconocía y procuraba no volver a cometer el error, ahora no, ahora cuando ese operador comete un error, enseguida se apresura a colocarle las culpas a "algún hacker que me ha entrado" y así conseguir algo que muchos trabajadores les gustaría, nunca cometer errores en su puesto de trabajo. Desde luego que esto que acabo de decir no esta generalizado, pero puede existir.

Para finalizar un ejemplo práctico que va a ilustrar la idea que estoy tratando de transmitir. ¿Es culpable quien entro en la pagina web de La Moncloa?, ¿es culpable quien entro en la pagina web de la guardia civil y desvelo el agujero de seguridad que tiene?, o por el contrario el verdadero culpable es el/los administrador/es que están al mando de cada servidores y que se empeñan en utilizar un sistema operativo que no es nada seguro y encima de eso ni siquiera estan al tanto de los fallos de seguridad que día a día aparecen y que, por ejemplo en el caso de la guardia civil, era un agujero de seguridad que era conocido desde Noviembre o principios de Diciembre como mucho.

Y para terminar y como último detalle. En que un informático sea bueno en un campo no quiere decir que sea bueno en todos. Esto va por gran cantidad de empresas que entienden que si un informático es bueno programando en tal lenguaje va a ser bueno administrando un servidor. No es así. La informática es un campo muy amplio, y quien es bueno en una cosa, puede ser un autentico fracaso en otra. La informática es muy amplia y nadie puede ser competente en todo, ya que eso, salvo casos muy puntuales y concretos, seria imposible.

Aquí finalizo mi articulo, vuelvo a incidir a que esto no es una critica a la totalidad de los administradores de sistemas, y vuelvo a incidir en que hay muchos profesionales administrando sistemas, pero no por ello hay que pasar por alto lo que en estas líneas digo e invito a todos a una reflexión sobre el tema ya que creo que es un problema muy importante y que de una vez por todas tiene que ser solucionado.

Alvaro – (acm@cryogen.com)