Según nos informan por correo desde Roman Reputation Matters:

La Comisión Nacional de los Mercados y la Competencia (CNMC) ha publicado un acceso no autorizado a su sistema informático que ha supuesto la exfiltración de datos de titulares de telefonía móvil. Concretamente, dos mil millones de registros de datos sensibles correspondientes a titulares de telefonía móvil que dicho organismo custodiaba el pasado julio.

Según la propia CNMC:

[Se trata de] ficheros del Sistema de Gestión de Datos de Abonado (SGDA). La Comisión gestiona dicho sistema en el marco de sus competencias en el sector de las telecomunicaciones.

Los datos afectados corresponden a abonados al servicio telefónico y son de naturaleza exclusivamente identificativa. En ningún caso incluyen datos de tipo financiero o especialmente protegidos.

A mi dos mil millones de datos me parecen muchos, así que más que de personas en concreto puede que sean números de SIMs o dato de geoposicionamiento de terminales, registros de llamadas o similares. Jugosos, en cualquier caso. Veremos qué dice la investigación y cuántas cabezas ruedan.

Hay un mínimo de información de momento en Acceso no autorizado al sistema informático de la CNMC. Aquí la (hoy suena un tanto irónica) página de protección de datos de la Comisión… «La CNMC es consciente de la importancia de la protección de los datos de carácter personal que gestiona». Ejem.

En una nota de Lukasz Olejnik se menciona un reciente cambio que ha publicado el NIST (Instituto Nacional de Estándares y Tecnología, del Departamento de Comercio de Estados Unidos) en forma de documento técnico, titulado Recomendaciones sobre Identidad Digital, publicación especial SP 800-63.

Incluye muchas de las consideraciones de seguridad habituales para la gente corriente, aplicaciones y sitios web, y viene a decir que a partir de ahora lo de mezclar estilos (mayúsculas, minúsculas, símbolos…) y lo de cambiar la contraseña periódicamente ya no es algo que se considere «seguro», entre otras cuestiones.

El documento es muy detallado, técnico y fuera del ámbito de interés de los usuarios normales, a quienes quizá sólo interese saber un poco por encima cuáles son estas nuevas consideraciones.

En general parece que el NIST ha usado el sentido común y recogido tanto las peticiones de los expertos como el saber de las multitudes y los usos corrientes. Respecto a las contraseñas y sistemas de autenticación de usuarios, en concreto, las aplicaciones y sitios web…

Deberían:

• Deberían requerir contraseñas de al menos 8 caracteres (15 a ser posible).
• Deberían admitir contraseñas de hasta 64 caracteres.
• Deberían admitirse espacios, caracteres ASCII y Unicode.

Y cambio NO deberían:

• No deberían imponer otras reglas de composición («combinación de estilos», como mayúculas/minúsculas/números).
• No deberían imponer cambiar contraseñas periódicamente, a menos que estén comprometidas o haya habido algún problema de seguridad concreto.
• No deberían mostrar «pistas» si no se está autenticado.
• No deberían sugerir contraseñas o pistas para cambiar la contraseña del tipo «el nombre de tu perro».

Así que si eres un simple usuario no tienes mucho más que hacer. Pero si desarrollas un app, gestionas un sitio web o estás planeando diseñar o gestionar uno, ya estás tardando en modernizarte y considerar estas reglas como las más adecuadas y convenientes.

Web-Check es una especie de llave inglesa de la seguridad web, de esas para guardar y mirar de vez en cuando. Su finalidad es resumir en un pantallazo todo sobre la seguridad de un sitio web en particular. Es una especie de «lo que los hackers verían desde fuera» con buena presentación y bastantes datos.

Todo lo que hay que hacer es teclear la URL principal del sitio web y a los pocos segundos aparece el resumen, en colores oscuros y verde fosforito muy Matrix (¡la ambientación cuenta!) Entre otras cosas proporciona información sobre la ubicación del servidor, los registros DNS (whois) y DNSSEC, del dominio, los certificados SSL y el cifrado TLS y si hay algunos potenciales problemas con los protocolos y estándares más modernos (como por ejemplo el security.txt).

También incluye algo de información sobre enlaces sociales, el icono del sitio web / página, los puertos que tiene abiertos, si está bloqueado o no en los CDN (servidores de distribución de contenidos, como CloudFlare) y algunas cosillas más, como la presencia en listas de Phising o Malware. Es bastante completo y se puede añadir a la checklist de revisión de sitios web, porque estos detallitos son los que hacen de una web algo artesanalmente completo.

Además de todo lo anterior en el pie de página hay enlaces a decenas de otros sitios interesantes para profundizar en ciertas pruebas, desde Virus Total a Built With, que están bastante actualizados y siempre vienen bien. Esta herramienta está además disponible en Github; es obra de la gente de Terminal Trove.

Relacionado:

• Identificar un usuario aunque use distintos navegadores
• El archivo «security.txt» ya es oficialmente el RFC 9116
• Cómo saber si te están espiando el correo
• Privacidad en Internet: llega la «cookie eterna» imposible de borrar
• Sale a la luz otro grave agujero de seguridad relacionado con LexNet

En esta página de Evervault se recopilan lo que consideran Los 20 trabajos académicos más importantes sobre criptografía, apuntando a los PDF originales para que cualquiera pueda leerlos a gusto. Me recordó a la lista aquella sobre los 100 trabajos acerca de ingeniería de software.

Nombres como los de Blaze, Diffie, Schneier, Shimomura, Chaum, Merkle, Shor están junto a otros como Diffie, Hellman, Shannon, Rivest, Shamir y Adleman. Y también hay un anónimo: Satoshi Nakamoto.

Entre estas publicaciones (lo que en inglés se conoce generalmente como papers) están algunos de los fundamentos de la criptografía moderna: A Mathematical Theory of Cryptography de Shannon, New Directions in Cryptography de Diffie y Hellman y A Method for Obtaining Digital Signatures and Public Key Cryptosystems de Rivest, Shamir y Adleman. Añádase Bitcoin: A Peer-to-Peer Electronic Cash System de Satoshi Nakamoto como aplicación práctica relevante, a gusto del consumidor.

Relacionado:

• Una lista con más de cien publicaciones sobre ingeniería del software
• Explainpaper: un «explicador» y chatbot capaz de resumir en lenguaje sencillo los trabajos científicos y técnicos más enrevesados