Más sobre el hackeo de Granada

Como continuación de mi post Hackeando en la Escuela de Informática de Granada, creo que ya tenemos información adicional para ir aclarando algunos aspectos del problema. Tanto en dicho post como en el de barrapunto y en la propia noticia+foro de Ideal han aparecido muchos comentarios, junto con aclaraciones de los responsables.

Me ha llamado la atención la cantidad de mensajes del tipo "¿y esto es para tanto?" Parece que mucha gente coincide conmigo en que instalar un sniffer y captuar contraseñas no es precisamente hacking avanzado. Si hubiéramos hablado de un ataque más habilidoso o el aprovechamiento de una sofisticada vulnerabilidad del sistema para obtener privilegios de root o cazar el archivo de contraseñas, todavía sí. Pero en este caso parece que el "hackeo" (vale, crackeo) es tan sofisticado como encontrarse las llaves del coche en la calle, usarlas para llevárnoslo y creernos unos ladrones de guante blanco.

Capítulo aparte es el ataque en sí, su causa y sus consecuencias.

Al responsable del equipo webero de la Escuela, José Luis Bernier, le ha caído lo más grande en estos días. Como me considero en parte responsable de la paliza, creo mi deber dejar algunas cosas claras. Él mismo lo ha hecho en este foro, pero voy a recordarlo de todos modos.

Lo primero que nos dice José Luis es que ni él ni su equipo son responsables de la seguridad del sistema, sino que se dedican a la página web. Bien, eso es cierto. Aunque sean de la Escuela de Informática (ETSII), los temas de seguridad informática los lleva un servicio aparte y común para toda la Universidad, el Centro de Servicios de Informática y Redes de Comunicaciones (CSIRC). Según sus propias palabras, "han robado las claves que se usan para identificar a los alumnos y profesores en las aulas, claves que se almacenan y gestionan en otro servidor que no tiene nada que ver con mi equipo ni mi persona". Cierto también. Cuando yo tengo que autenticarme para entrar por Acceso Identificado uso mi propio ordenador, no el de la web del Departamento ni nada por el estilo. El problema es que algún profesor se identificó en el ordenador que tenía un sniffer, éste capturó las contraseñas y eso le permitió el acceso al atacante. Lo mismo podía haberme pasado a mí con un sniffer en el ordenador de mi despacho, o en cualquier otro que yo hubiera usado para acceder.

Con esa contraseña, el atacante puede haber accedido a datos de los profesores como información personal, datos de gestión económica. Incluso podía haber rellenado el acta de una convocatoria abierta y darle un alegrón a sus compañeros poniendo sobresalientes a todos (aunque no podía haberse subido la nota de una convocatoria, pues el acta ya estaría cerrada y haría falta hacer una diligencia en secretaría).

Así que repitámoslo para que quede bien claro: el señor Bernier no es responsable de seguridad de nada y no debería reprochársele nada. De hecho, hizo lo que tenía que hacer: reponer la página seb (!vivan las copias de seguridad!), dar el aviso. Si quieren culpas busquen al que permite que se instale un sniffer en un ordenador accesible a los alumnos. Y aun eso creo que se habría hecho de ser factible. Porque, como algiuen dijo, en los círculos académicos se suele partir del principio de la confianza. Es algo ingenuo, pero en una fuente de conocimientos compartidos es lo habitual. Los ambientes compartimentalizados y la "necesidad de saber" son reglas más típicas de entornos militares que académicos.

Por su parte, todo lo que el atacante pudo hacer es a) borrar la web de la Escuela (cosa que hizo) y b) borrar información de los profesores cuyas claves capturó (lo que puede haber hecho o no, que no se sabe).

La única culpa de Bernier ha sido la de creer que los periodistas darían cumplida cuenta de lo que les contó. La información de ideal dijo "Borró información, eliminó el contacto y la ubicación de la escuela de la web, destruyó páginas importantes... Aún no sabemos si modificó los temarios". Bernier afirma nunca le dijo eso al periodista, no al menos con esas palabras; por el contrario, afirma que "yo simplemente le indiqué [al periodista] que quizás había borrado o modificado los temarios u otras páginas" (la negrilla es mía). Y en efecto, alguien en posesión de la clave de Acceso Identificado de un profesor puede acceder a su espacio web y borrar los archivos contenidos en él. Por supuesto, también puede haber quien piense mal, estilo "sí, claro, la ha cagado y ahora está echando balones fuera con el rollo ese del fuera de contexto". Yo no soy de esos, entre otras cosas, porque diversos compañeros mios han tenido experiencias similares con periodistas.

Y debe de andar en lo cierto, porque el diario Ideal ha publicado otro artículo en el que pone a Bernier por las nubes. De repente, han pasado de un extremo del péndulo al otro, del "qué barbaridad, hay que ver qué cosas pasan, dónde vamos a parar" del primer artículo a un panegírico según el cual la Universidad de Granada es lo más de lo más, su personal es fuera de serie y los granadinos pueden dormir tranquilos. Y por supuesto, nada de pedir disculpas por el jaleo.

Yo, por mi parte, sí las pido. Actué sin malicia en base a la información que tenía, pero acepto mi parte de responsabilidad en todo ese pollo y cada palo debe aguantar su vela. Lo siento, José Luis y te debo una cerveza (con tapa). El "sacador de contexto" de Ideal te debe al menos un jamón con Chivas Regal, pero eso es cosa suya. Salu2.