Julio Canto, de VirusTotal: “Me dediqué a la seguridad por accidente”
Si hace unos días entrevistábamos en nuestro blog a Chema Alonso, hoy, Día de la Internet Segura, traemos a otro de los “cerebritos” de la seguridad informática a nuestro blog: Julio Canto. Julio, que no Toni (estamos seguros de que más de alguna vez le habrán confundido con el actor), es parte del equipo de Hispasec y Virus Total, y aunque confiesa que se dedicó a la seguridad más por accidente que por vocación, celebramos contar con este “peaso” de profesional entre la cantera que deja el pabellón español bien alto.
¿Por qué seguridad? ¿De dónde salió tu afición por este mundo?
Por accidente. Lo que de siempre me ha gustado es la programación como tal: modelizar y resolver problemas. Cuando me contrataron en Hispasec, allá por el 2002, aparte de programar tuve que desarrollar otras actividades que me sumergieron bastante rápido en el entorno de la seguridad. Aparte de todo esto, en este mundillo se conoce gente muy interesante que motiva para que aprendas más sobre una u otra disciplina. Eso es lo bueno, siempre hay muchas cosas que aprender 
.
Eres Senior Software Engineer en Hispasec. Exactamente, ¿a qué te dedicas?
Desarrollo software, a todos los niveles del ciclo de vida, y desde sistemas grandes (como el núcleo de VirusTotal) a pequeñas herramientas que nos sirven de ayuda dentro del laboratorio o el equipo antifraude.
Además de la informática y la seguridad, ¿cuáles son tus otras pasiones “inconfesables”?
Soy poco original: me gustan mucho los videojuegos, leer y beberme unas cervezas con los amigos.
Teniendo tus conocimientos, podrías haber elegido el camino “del mal”…
La verdad es que con lo que uno ve en el día a día, te das cuenta de que a día de hoy “el camino del mal” es fácil y rentable. Sobre el camino que he tomado, al final supongo que uno es producto de la forma en la que ha sido educado y de la gente a la que admiras o sigues.
¿Windows, Linux o Mac?
Los tres.
¿Por qué?
Porque es como elegir entre un destornillador, un alicate y un serrucho. Cada herramienta es buena para determinadas tareas, y aunque puedas usar una llave inglesa para clavar un marco de una puerta, lo ideal es que uses un martillo. El problema es que hoy día se da demasiado el síndrome del martillo, y se intenta realizar toda clase de tareas diferentes usando una misma tecnología o técnica que puede no ser la más adecuada.
¿Cuál es el problema más grave de seguridad, bajo tu punto de vista, en este momento?
El nivel de impunidad con la que los criminales actúan, y la falta de acción por parte de actores que son importantes en esta situación, como a nivel político como operativo a nivel ISP. La desgana política y la falta de medios (técnicos, económicos y legales) por parte de las fuerzas de la ley son un caldo de cultivo perfecto para todo esto. La falta de motivación de algunos proveedores de servicios a la hora de actuar contra el fraude es también bastante grande. Y no hace falta irse a los ejemplos típicos de Rusia o China: he tenido experiencias realmente bochornosas con proveedores o incluso entidades públicas aquí mismo.
¿Cómo será el futuro en cuanto a seguridad se refiere?
No se me da bien adivinar cosas, pero creo que a corto-medio plazo, mucha de la informática de uso general que realizamos se moverá a remoto, dejando nuestros terminales (ya sean ordenadores, tabletas o móviles) como algo que simplemente representa lo que estamos realizando fuera. Eso va a cambiar muchas cosas, pero no tengo claro cuánto tardará, ni qué vendrá luego. Solo tienes que ver cómo han cambiado las cosas en temas de TI en los últimos 10 años.
Dime tres cosas que deberíamos hacer todos los usuarios de la Red que, bajo tu punto de vista, no se están haciendo.
Mucha gente no entiende las máquinas que están utilizando. No hace falta entender de termodinámica para conducir un coche, pero conceptos básicos como que hay que echarle gasolina o cambiar el aceite si necesitan ser asimilados si no queremos tener problemas.
Luego está el tema de la sensación de seguridad: la gente no es consciente de lo que puede llegar a pasarles con los ordenadores si no aplican un poco del mismo sentido común que utilizan en su día a día en la calle, sobre todo en cuestiones de confianza y del ejercer un poco de paranoia constructiva.
Finalmente, tampoco se presta demasiada atención a la “higiene básica” de los sistemas: actualizaciones de programas, plugins y demás. Muchas infecciones ocurren porque la gente sigue teniendo versiones viejas y vulnerables de componentes y herramientas.
¿Cuál es el reto más importante al que te has sometido –profesionalmente hablando– en tu trabajo?
Los inicios de VirusTotal fueron complicados, y durante mucho tiempo sufrimos bastantes críticas en el mundo de la seguridad porque había sospechas sobre la naturaleza e intenciones del servicio. Ha sido una carrera de fondo larga y dura, y curiosamente siempre ha sido más complicado desde el punto de vista no técnico que del puramente técnico.
Tenemos la visión de que los informáticos, y más los especializados, son bichos “rarunos”. Pero la mayoría no lo sois… ¿Por qué crees que hay esa percepción?
Bueno… Como en todas partes, hay de todo, pero supongo que suele ser porque algunas personas tienen valores y prioridades diferentes a los que se consideran “normales”. A mí personalmente me gusta que sea así: la diversidad es imprescindible si no queremos que todo se quede estancado.
Háblanos de VirusTotal. Sabemos que fuiste una parte fundamental en su creación. ¿Cómo nació la idea?
Fue idea de mi jefe, Bernardo Quintero. Quería tener una herramienta interna que nos permitiera analizar algunos aspectos del comportamiento de los antivirus, además de poder analizar “en profundidad” malware del que se producía en esa época, y me contrataron para desarrollarlo. Tiempo después, Bernardo pensó que podría ser un servicio útil para la comunidad, y en coherencia con lo que hacía la empresa con el una-al-día, se hizo público. Desde luego, jamás se nos pasó por la cabeza que se convertiría en algo tan popular, y año a año ha ido creciendo de una forma bastante rápida.
¿Cuántas muestras recibís al día? ¿Habéis visto un crecimiento significativo en alguna plataforma en especial?
El número fluctúa bastante, pero suele rondar entre los 150.000 y 300.000 muestras diarias. La mayoría abrumadora está orientada a plataformas Windows, aunque últimamente se ve algo más de variedad, como lo que se desarrolla para plataformas Android. Sigue siendo una cantidad mínima comparada con lo que vemos para Windows, pero no deja de ser interesante observar esas tendencias.
Por tus comentarios en Twitter vemos que algunas veces recibes correos de lo más variopinto. ¿Nos podrías destacar alguno?
Recibimos de todo. Quizá algunos de los más memorables han sido amenazas legales por falsos positivos que generan en algunos casos los motores que usamos en el servicio online.
Danos “LA” recomendación de seguridad para los usuarios en una frase…
Internet no es tan diferente del mundo físico: hay que intentar conocerlo y aplicar normas básicas de sentido común para no ser presa fácil.
Yolanda Ruiz
Entrevista a Chema Alonso
Tras tener el placer de compartir escenario con él en las diferentes charlas que componen el Up to Secure, decidimos que estaría bien que nuestros lectores conocieran un poco a Chema Alonso, uno de los investigadores referentes en España que publica sus investigaciones y anécdotas de forma amena y divertida en su blog El lado del mal.
La primera pregunta es absoluta y rotundamente necesaria… ¿Por qué un gorro de lana?
La historia del gorro de lana la contaré pronto en mi blog, pero todo partió de que a José Parada le gusta mucho la nieve, y a mí me gusta el Snow. Nos enganchamos a tirarnos con la tabla y más de una vez juntamos evento y descenso, por lo que en el lanzamiento de Windows Vista salí con un gorro de lana e hicimos un teatrillo en el que el mensaje era: “Acabo de llegar de la nieve y ¿crees que me ha dado tiempo a enterarme de qué leches viene en Windows Vista?”. Hoy en día, si no llevo el gorro, la gente no me reconoce… }:P
¿Qué querías ser de pequeño?
Bon Jovi, pero no daba el perfil, así que mis vocaciones eran enseñar y dibujar. Con doce años descubrí los ordenadores y tenía que ser profesor, dibujante e informático. Por un tiempo pensé en ser profesor de diseño gráfico, pero mis incursiones acabaron solo en dar clases de Macromedia Director, Premier y Photoshop…, así que… seguí con la informática.
¿Qué te ha llevado por los caminos inescrutables de la seguridad informática?
Un reto hacking y el vicio de romper cosas. ¡Es como un veneno!
Define a grandes rasgos cuál es tu trabajo…
Me levanto, leo los RSS, posteo desde el baño, y luego… busco algo que romper. }:)) Al final me dedico a investigar temas de seguridad, divulgar tecnología y un poco lo que surja en Informática64.com. Creo que una de mis principales ocupaciones consiste en tener ideas peregrinas y convencer a alguien para hacerlas.
¿Por qué sigue existiendo el cibercrimen?
Porque da dinero fácil, y hoy en día un trabajo cómodo, siempre con demanda y sin pagar impuestos, es difícil de conseguir. El libro de Fraude Online de Mikel Gastesi y Dani Creus lo explica muy bien.
Bajo tu punto de vista, ¿cuál ha sido el gran avance que se ha hecho en cuestión de seguridad y cuál está pendiente todavía?
El principal avance, por desgracia, es que se ha visto que es de vital importancia. Fraude, espionaje, guerra o terrorismo se han mezclado con tecnología, haciendo que las cosas sean más rápidas y tengan más valor. Hoy en día todavía estamos muy en pañales. Los Gobiernos están empezando a andar en esta línea, pero los malos van muy rápido. Queda mucho por hacer… Mucho, mucho.
¿Se pilla antes a un mentiroso que a un cibercriminal?
Sí. De hecho, por desgracia, hay muchos cibercriminales que se han ido de rositas…
¿Conoces a algún cibercriminal?
… De oídas… }XD
Según tu opinión, ¿los usuarios de la Red somos temerarios?
Los usuarios de la red somos curiosos, impacientes y a veces imprudentes. Muchas veces la culpa la tiene Hollywood, que hace creer que esto de ser capaces de hacer el mal solo está al alcance de muy pocos…
¿Como Raulista confeso, crees que deberían darle otra oportunidad en la selección?
Of course.
En tu blog se tratan temas de lo más variopinto y los comentarios tampoco tienen desperdicio. ¿Podrías comentarnos qué posts destacarías entre todos los publicados?
Pues… seleccionar alguno entre todos es difícil. Pero… la aventura de cómo perdí y recuperé mi mochila en la RENFE no tiene desperdicio…
¿Qué hace falta para que nos sintamos seguros en la red? ¿De quién es responsabilidad? ¿De las autoridades, de los usuarios, de las compañías de seguridad, de las marcas desarrolladoras de sistemas operativos, redes sociales, etc…?
Por desgracia, de todos, y partiendo por uno mismo. Sin embargo, la seguridad, como tú bien dices, es una sensación, y algunos se sienten seguros aun estando infectados… ¡Qué bonito!
Muchas gracias por responder a nuestras preguntas Chema. ¿Hay algún apunte final que quieras añadir?
Solo añadiré que trabajando en seguridad informática se liga el doble que de informático. Es decir: nada de nada.
[Podcast] Aplicaciones maliciosas en Facebook
El uso de las redes sociales como medio para relacionarnos y comunicarnos con ha llegado a un punto en el que muchas personas las consideran indispensables en su vida diaria. Por desgracia, estas redes sociales, con Facebook a la cabeza también son un objetivo muy apetecible para los ciberdelincuentes puesto que pueden obtener una cantidad importante de víctimas con poco esfuerzo.
En este podcast analizaremos el estado de las aplicaciones de Facebook y cómo protegernos de aquellas que son maliciosas:
Esperamos que el contenido del podcast sea del agrado de nuestros usuarios y esperamos subir más en breve.
Josep Albors
Entrevista a Yago Jesús (SecuritybyDefault)
SecuritybyDefault es uno de los blogs sobre seguridad más importantes en habla hispana y fue ganador en 2010 del Premio Bitácoras al mejor blog de seguridad. Uno de sus responsables, Yago Jesús, tuvo la amabilidad de concedernos una entrevista que publicamos a continuación
¿Cómo surge la idea de crear SecuritybyDefault?
Lo cierto es que siempre nos había rondado por la cabeza la idea de hacer un ‘algo’ donde pudiésemos plasmar ideas y conceptos que comentábamos de una forma más informal. Un día dijimos ¿abrimos un blog? Y ahí empezó todo.
¿Cómo os definís y en qué os diferenciáis con respecto a otros blogs de seguridad?
En España hay muchos y muy buenos blogs sobre seguridad, pero tal vez la mayoría están enfocados más a publicar trabajos de investigación cada cierto tiempo, sin una continuidad definida. Nuestro objetivo fue añadir a eso, más enfoques que permitiesen llegar a un ritmo de publicación diario. Nosotros hacemos mucho I+D, hemos publicado decenas de herramientas, publicado investigaciones llevadas a cabo por nosotros, pero además también tenemos espacio para novedades y noticias que nos resultan interesantes.
Un punto fuerte y uno débil de vuestro lado más bloguero
La parte fuerte tal vez sea el compromiso y esfuerzo en el proyecto, y el punto débil que SbD es un blog relativamente nuevo, no pertenece a la hornada de blogs pioneros como Microsiervos o error500 que son los decanos del blogging en España
Sois el Premio Bitácoras al Mejor Blog de Seguridad de 2010, ¿ha cambiado en algo a SbD?
Lo cierto es que esa experiencia fue altamente positiva, ver cómo semana tras semana encabezábamos el ranking de votaciones era algo realmente emotivo. En la fase final (por votación de jurado) esperábamos que el premio fuese para alguno de los otros blogs nominados (Kriptopolis y ‘el lado del mal’) cuando salimos nosotros, ni siquiera teníamos un discurso preparado. Fue toda una sorpresa
En términos generales, ¿cómo ves el cibercrimen?
El cibercrimen, como muchas otras disciplinas, está sujeto a un tipo de ‘darwinismo’ muy acelerado. Evoluciona de una forma muy rápida y sofisticada. Mirando hacia atrás, recuerdo discursos de hace 5 años donde se enumeraban las amenazas informáticas del momento con frases tipo ‘increíblemente sofisticadas, casi de ciencia ficción’. Hoy, después de relativamente poco tiempo, todo lo que se relataba en ese momento ya está obsoleto y ampliamente superado por nuevas ciber-amenazas
¿Qué piensas del estado de la seguridad en España, desde el nivel usuario a la gestión de infraestructuras críticas?
No creo que España se diferencie, en líneas generales, a cualquier otro país europeo en cuanto a amenazas hacia los usuarios. Respecto a infraestructuras críticas, creo que España tiene a su favor no estar bajo la misma presión que otros países más representativos internacionalmente. Evidentemente EEUU, Inglaterra o Irán y Rusia sí son objetivos marcados ‘en rojo’
¿Cómo ves el nivel de los investigadores españoles?
Cada vez más arriba dentro del panorama internacional, el nivel técnico ha subido exponencialmente y ya no es nada raro encontrar Españoles dando charlas en los foros más importantes a nivel mundial
¿Algún consejo para aquellos que quieran encaminar sus estudios a este campo?
Yo creo que hemos pasado de una fase más ‘underground’ donde los conocimientos se adquirían de una forma autodidacta a un momento en el que ya existe formación reglada y certificaciones oficiales.
Los principales peligros actuales, en materia de seguridad informática, para SbD ¿cuáles son?
A nivel usuario, el principal problema puede llegar por algún fallo en alguno de los muchos servicios ‘en la nube’ que empleamos habitualmente. Ya no es suficiente con la auto-protección, ahora también hay que tener cuidado con el tipo de servicios que empleamos. Por ejemplo, WhatsApp es una aplicación muy popular y de la que nosotros ya hemos publicado varios fallos que permiten robar cualquier cuenta. Ante eso poco se puede hacer por parte del usuario.
A nivel empresa, las principales amenazas son los ataques elaborados con objetivos bien definidos. En este momento ese tipo de amenazas parece que son solo un problema para empresas grandes como Google o EMC, pero no tardaremos en ver incidentes hacia empresas menos conocidas.
Tu sueño, en materia de seguridad informática, es…
Supongo que, una sociedad donde ser profesional de la seguridad no sea visto como un ‘bicho raro’, o asociado a películas tipo ‘Operación Swordfish’, sería un avance positivo
¿Y personalmente?
Me atrae mucho la idea de integrarme profesionalmente en algún equipo orientado al I+D en seguridad.
¿Crees que en algún momento estaremos seguros en la Red?
Se avanzará, de eso no me cabe duda, pero no tengo muy claro si a costa de amenazar ciertas libertades personales. Creo que mucha gente intenta ‘regular’ la red y una de las excusas dadas es para ‘proteger’ a los usuarios
Para finalizar, ¿cual es tu top 3 de consejos de seguridad?
- Intentar limitar la exposición en servicios que no gestionas tu (correo, redes sociales, almacenamiento remoto…)
- Pensar de una forma ‘defensiva’ y asumir los menores riesgos posibles
- Aplicar el sentido común
Josep Albors