Hace unos días estaba comprando periféricos en una tienda online de computación, esta tenía un login y por curiosidad quise saber qué tipo de hash utilizaban, pero al hacer una simple comprobación para mi sorpresa descubrí que el login estaba en texto plano. Esto me hizo pensar y cuestionarme de aquí en adelante, en qué páginas de este estilo confiar, ya que, en el usuario que utilizaba para esa página estaban datos personales, que perfectamente podrían ser utilizados con malas intenciones. (Cristóbal Saez, Coordinador Área Ciberguridad, Conytec, 2021). 

Un hash, que es básicamente un algoritmo matemático que transforma cualquier bloque arbitrario de datos en una nueva serie de caracteres con una longitud fija, lo cual permite mantener seguras las contraseñas, no había sido habilitado en una página de una empresa de computación, a pesar de que es muy simple de implementar, pero si este error pasaba en una página de estas características.

¿Por qué no podrá pasar que errores igual de básicos o más graves no pudieran suceder en páginas donde se manejen transacciones de mucho mayor envergadura?

Por distintos motivos, hoy en día, las páginas web pueden tener distintas vulnerabilidades que un atacante podría utilizar desde hacer pasar un mal rato a tu organización, hasta incluso filtrar datos sensibles de clientes o hacer estafas millonarias. Pueden ser vulnerabilidades no muy graves que consisten en dar más información de la necesaria o bien pueden ser de un carácter gravísimo como son la extracción de datos sensibles o el control del hosting como si fuera el administrador. Por estas razones el Pentesting es más importante que nunca y debería aplicarse en todas las páginas web o sitios que estén expuestos a internet de manera pública y por sobre todo las páginas que son del tipo transaccionales o que contengan algún tipo de intercambio de información.

¿Pero qué es pentesting?

Conocido también como test de penetración, es un conjunto de análisis y actividades que permiten verificar las vulnerabilidades que posee un sistema y qué tan explotables serían en caso de que alguien con malas intenciones pudiera hacer uso de estas.

Primeramente, se recopila toda la información que pueda ser obtenible pasivamente, ya sea en redes sociales, información de números y correos de las personas que trabajan en la empresa, etc. Luego se realizan análisis con diversas herramientas informáticas que puedan indicar brechas de seguridad en la página o sistema que se está analizando, como puertos abiertos, información del sistema operativo, si tiene habilitado comunicaciones obsoletas, etc. A continuación, según lo que se encuentre, se intenta vulnerar el sistema con las vulnerabilidades que se hayan encontrado, ya sea con ataques de diccionarios para acceder a logins de administración, ataques DDOS para ver si la página se cae por tantas consultas, ver el árbol del sistema y si expone información sensible, etc. Para finalizar se escribe un informe de todo lo encontrado y cómo podría resolverse, ya que todo lo que realiza un ethical hacker podría realizarlo un ciberdelincuente y hacer muy mal uso de esto.

Caja negra, blanca y gris

Existen tres formas generales con respecto a la información que se posee para realizar un pentesting y son las siguientes:

Caja Negra: Se realiza el análisis sin saber casi nada, por lo que no se manejarán credenciales, tipo de lenguaje en que se programó la web, etc. Es lo más cercano a realizar un ataque real

Caja Blanca: Es el análisis más completo, ya que se conocen todas las características y credenciales del sistema y es posible encontrar vulnerabilidades más allá de lo que se encontraría en un análisis sin tener información relevante.

Caja Gris: Es una mezcla de los dos tipos anteriores, ya posee cierta información específica para realizar la prueba de intrusión. Sin embargo, esta cantidad de información es baja y no se compara a la cantidad de datos disponibles en un Pentest de Caja Blanca.

Beneficios del pentesting

En conclusión, realizar una prueba de penetración en tu página web o sistemas, como firewalls, servidores, router, switch, bases de datos y todo a lo que alguien pudiese acceder, permite a tu organización saber qué tan bien posicionada está en la seguridad informática y cómo puede resolver las brechas de seguridad que posea. Tener un sistema seguro dará buena reputación y será más difícil ser víctima de un ataque que podría costar muy caro tanto en imagen como en lo monetario.