ultimas noticias

20 febrero, 2015

FALLOS DE SEGURIDAD EN LAS ALARMAS EN DOMICILIOS

Un estudio pone de manifiesto cuatro importantes fallos de seguridad que las  hacen vulnerables


Desde hace algunos años, la mayoría de las alarmas, por lo menos las instaladas por las principales empresas de seguridad doméstica funcionan a través de conexión de Internet. Aunque las ventajas de este tipo de sistemas son infinitas, un estudio ha revelado que precisamente en la conexión a la red se encuentra la mayor vulnerabilidad del sistema.

 

Los sistemas de seguridad domésticos, como son videocámaras y detectores de movimiento, han ganado popularidad en los últimos años ya que, entre otros factores, se han unido al floreciente mercado del denominado Internet de las Cosas (IoT, por sus siglas en inglés).

Gartner, Inc., empresa que ha elaborado el estudio, prevé que se utilizarán 4.900 millones de objetos conectados en 2015, lo que supone un incremento del 30% respecto a 2014, cifra que alcanzará los 25.000 millones en 2020.

Un crecimiento que no va acompañado de las “compuertas” de seguridad pertinentes para la aplicación de este tipo de tecnología destinada fundamentalmente a la seguridad particular.

Este nuevo estudio revela que los propietarios de sistemas de seguridad domésticos conectados a Internet posiblemente no sean los únicos que monitorizan sus hogares

El estudio muestra que el cien por cien de los dispositivos estudiados que se emplean en la seguridad doméstica presenta importantes vulnerabilidades, entre las que se incluyen problemas en la seguridad de las contraseñas, de encriptación y autentificación.

 

Cuál es la causa de estos problemas de vulnerabilidad

Según explican los expresan los expertos en base a los datos del estudio, los fabricantes están introduciendo de forma muy rápida en el mercado sistemas de seguridad conectados que ofrecen capacidades de monitorización remota.

La conectividad de red y el acceso necesarios para la monitorización remota de estos aparatos generan nuevos problemas de seguridad que no existían antes, cuando los sistemas de seguridad no contaban con conexión a Internet, sino que funcionaban a través de la línea telefónica.

De este modo, este estudio pone en cuestión el que los dispositivos de seguridad conectados a la red inalámbrica realmente contribuyan a que nuestros hogares sean más seguros y plantea, si por el contrario, los exponen a una situación de mayor riesgo, al proporcionar un acceso electrónico fácil a través de productos inseguros vinculados al Internet de las Cosas.

En este contexto, HP empleó HP Fortify on Demand para evaluar 10 dispositivos domésticos IoT junto a sus componentes de aplicaciones “en la nube” y móviles, y se descubrió que ninguno de los sistemas requiere el uso de una contraseña segura y que el cien por cien de ellos no ofrece autenticación de dos factores.


Sin embargo, estos no fueron los únicos fallos que descubrió el equipo de HP durante su experimento.

Los cuatro problemas de seguridad 
 
El equipo de expertos que puso a prueba la seguridad real de los sistemas de alarmas que funcionan a través de Internet descubrieron cuatro problemas que vulneran en el cien por cien de los casos la efectividad de los aparatos.

Sin embargo, según explican en el informe, son fácilmente subsanables:

Insuficiente autorización:
  • Todos los sistemas que incluían sus propias interfaces web basadas encloud e interfaces móviles no requieren contraseñas de suficiente complejidad y longitud, de forma que la mayoría solo requerían passwords de seis caracteres alfanuméricos. 

  • Todos los sistemas también carecían de la capacidad de bloquear las cuentas después de un cierto número de intentos fallidos.

Interfaces inseguras:
  • Todas las interfaces web basadas en la nube que se probaron presentaron problemas relativos a seguridad de forma que permitían a un potencial atacante tener acceso a través de la vía de entrada a la cuenta al existir tres defectos de aplicación; enumeración de la cuenta, débil política de contraseñas y carencia de bloqueo de la cuenta

  • Del mismo modo, cinco de los diez sistemas probados mostraron problemas en la introducción de datos de entrada a través de la aplicación móvil exponiendo a los consumidores a riesgos similares.

Dudas sobre privacidad:  
  • Todos los sistemas recogen algún tipo de información de carácter personal, como el nombre, la dirección, fecha de nacimiento, número de teléfono e incluso números de tarjetas de crédito. 

  • La exposición de esta información personal es motivo de preocupación, dado que los problemas de recopilación de los datos de la cuenta alcanzan a todo los sistemas.

  •  También vale la pena señalar que el uso del video es una característica clave de muchos sistemas de seguridad para el hogar, que hace posible la visualización través de aplicaciones móviles e interfaces web basados en la nube. La privacidad de las imágenes de vídeo procedentes el interior de la casa se convierte en una preocupación añadida.
Carencias en el cifrado de los datos transmitidos: 
  • Si bien todos los sistemas tenían implementada la encriptación para la transmisión de datos, como SSL / TLS, muchas de las conexiones en la nube siguen siendo vulnerables a los ataques (por ejemplo, el ataque POODLE)

  • La importancia de contar con una encriptación correctamente configurada es especialmente importante ya que la seguridad es una función primordial de estos sistemas
.

16 febrero, 2015

IDENTIFICACIÓN EN CONTROL DE ACCESOS

INFORME DE LA UNIDAD CENTRAL DE SEGURIDAD PRIVADA-MIR

 

Respuesta a una Unidad Territorial de Seguridad Privada por cuestion relativa a la consideración actual en materia de controles de accesos, en relación con la entrada en vigor de la Ley 5/2014 de Seguridad Privada.



CONCLUSIONES

Cabe concluir que hasta que, en el futuro desarrollo reglamentario de la Ley 5/2014, de Seguridad Privada, contemple una delimitación normativa entre ambos tipos de controles de accesos, los de seguridad, exclusivos para vigilantes, y los auxiliares, para otro tipo de personal, es criterio de esta Unidad establecer una diferenciación acorde a lo siguiente:

A tenor del artículo 32 de la Ley 5/2014 de Seguridad Privada, serán efectuados por Vigilantes de Seguridad, en el ejercicio de sus funciones, los controles de acceso de seguridad, cuando estos conlleven sometimiento a medidas de seguridad, tales como scanner, arcos detectores, raquetas de detección, controles biométricos, expedición de tarjetas de accesos con fotografía u otros similares, así como la posibilidad de controlar a las personas, en cualquier momento y lugar del sitio al que se accede, la capacidad de impedir el acceso o forzar la salida del mismo, todo ello cuando la finalidad principal o común sea la de proteger, prevenir o evitar la posible comisión de actos dañinos o delictivos, etc.

Según establece el artículo 6.2.b, de la Ley 5/2014, se podrán realizar por personal ajeno al de seguridad privada, siempre que no impliquen la asunción o realización de servicios o funciones de seguridad privada, los controles de acceso auxiliares, como puedan ser, a modo de ejemplo: los controles documentales para el embarque en buques o aeronaves; para el acceso a determinados locales o productos a los menores de edad; para el pago con tarjetas; de visitas en inmuebles, despachos o consultas; para la asistencia sanitaria; para recoger a menores en la salida a guarderías o colegios; u otros de similar naturaleza a los citados, etc.. 

No obstante, estos servicios y funciones tambien podrán prestarse o realizarse por empresas y vigilantes de seguridad privada, siempre con carácter complementario o accesorio de las funciones de seguridad privada que se realicen y sin que, en ningún caso, constituya el objeto principal del servicio que se preste.