Comparativa de la gestión de riesgos de los sistemas de Información: Blockchain (Ethereum) vs Infraestructuras Centralizadas in Company.

Objeto de este artículo:

Este artículo se realiza con la intención de poner en evidencia el cambio de paradigma que plantea en términos de seguridad las nuevas tecnologías descentralizadas.

Metodología de la comparación:

Los resultados que se muestran en este artículo, analizan la comparativa de los riesgos de seguridad de los sistemas de información de 3 PYMEs comparádos respecto a soluciones en tecnologías distribuidas. Estas PYMES son una muestra muy pequeña, por lo tanto los datos que aquí se muestran deben ser interpretados simplemente a nivel cualitativo más que cuantitativo, ya que lo que busca es provocar una reflexión sobre el cambio de paradigma que plantean las soluciones planteadas sobre tecnología distribuida.

La metodología que se ha utilizado, parte de  los criterios de evaluación de riesgos de los sistemas de información que las Administraciones Públicas utilizan. La metodología MAGERIT desarrollada por la Dirección General de Modernización Administrativa, es una metodología que permite evaluar el nivel de riesgo tanto infraestructuras Públicas (Administración del Estado, CC.AA. y Entes locales), como también para toda la sociedad, como consecuencia de la importancia social y económica que tienen los sistemas de información.

Nota: con este artículo no se busca definir con rigor el estado actual de la seguridad de las PYMES, sino definir unas métricas de referencia (orden de magnitud) para comprender el alcance del cambio de paradigma que suponen estas nuevas tecnologías.

 

 

by Alberto García-Lluis Valencia · Solucionesblockchain.com

Madrid 5/03/2019

 

¿Por qué este análisis comparativo?

La irrupción de la tecnología Blockchain desde 2008, ha supuesto una sacudida fuerte en el mundo tecnológico por aportar ideas disruptivas que obligan a tener que reflexionar sobre el futuro y transformación digital de la sociedad en el siglo XXI.

Sobre Blockchain, se ha escrito mucho, y uno de los temas que ha suscitado un gran interés es el cambio de paradigma que supone las redes descentralizadas o peer to peer (P2P).

Concepto de una Red Descentralizada o P2P:

(También se conoce como Red de pares o red entre iguales.)

Se caracteriza por:  No precisa un servidor central (modelo  Red Centralizada), sino se constituye como una red de ordenadores (iguales entre sí), en la que todos actúan simultáneamente como clientes y servidores respecto a los demás.

  • Los ordenadores pasan a ser denominados Nodos o peers.
  • Las redes P2P permiten el intercambio directo de información, en cualquier formato, entre los ordenadores (nodos) interconectados.

Su origen:

  • Aunque parezca mentira está estrechamente vinculado a la idea inicial de Internet (ARPAnet), La visión de Tim Berners-Lee para la World Wide Web era similar a la de una red P2P, ya que suponía que cada usuario de la web sería un editor y colaborador activo, creando y vinculando contenido para formar una «red» de enlaces entrelazados.
  • NAPSTER. Creada en 1999 por Sean Parker y Shawn Fanning, fue la primera gran red P2P para el intercambio de música en formato MP3. Supuso una idea tan disruptiva, que su impacto económico supuso el principio del fin del sector musical tradicional. (ampliar información)
  • Sobre la Idea de las redes P2P, también surgen otros conceptos muy interesantes como son los Distributed Disk (DD). Una de las Primeras ICOs incluso lanzada antes que Etherium fue STORJ uno de los primeros proyectos de almacenamiento descentralizado (en la nube) de objetos.. Otro proyecto importante es IPFS (Inter Planetary File System) es un protocolo + una Red diseñada para crear un método P2P para compartir Hipermedia. Tanto STORJ como IPFS nacen  en 2014 aprovechó el protocolo Blockchain de Bitcoin y la infraestructura de red para almacenar datos inalterables. Su combinación con las tecnologías DLT y Blockchain hacen de esta, un aliado muy potente para la inmutabilidad de documentos y ficheros.

Aún y así los efectos de las temidas gotas frías, los movimientos sísmicos, y los accidentes industriales así como ataques terroristas, hacen que la valoración del riesgo sea una variable incierta y latente. Para evaluar el nivel de riesgo de otros países y zonas geográficas recomendamos analizar informe.

Informe “The World Risk Report 2018

Análisis comparativo

 

Este análisis ha partido de una tecnología descentralizada (Ethereum, IPFS, SORTJ, etc.) y de una infraestructura Cliente Servidor “tipo” de una PYME.

Para comparar pros y contras de una tecnología distribuida vs una centralizada, es inevitable tener que adelantar que las valoraciones, están sujetas a las características de cada organización (los datos que se muestran son simplemente orientativos) . Este análisis es generalista y posiblemente sujeto a muchos matices. A pesar de ello, consideramos que es un ejercicio de reflexión necesario para poder establecer un orden de magnitud, que permita hacerse una idea de los cambios que supone la irrupción de la tecnologías descentralizadas, como  blockchain (y otras).

Partimos de una sala de servidores y comunicaciones que cumpla con los requisitos de seguridad y diseño de instalaciones para estos fines, si bien, el concepto de una sala de servidores que dan servicio a toda una organización (empresa) plantea concentrar todos los recursos críticos (o la mayoría de ellos) en un espacio reducido. La seguridad de ese espacio es crítica.

(a) Ante amenazas Naturales, Industriales y Accidentes:

Se analiza el grado de exposición a riesgos críticos, ante accidentes provocados por la fuerza de la naturaleza, de origen industrial o accidentes industriales (también terrorismo). La metodología Magerit contempla las posibles amenazas, y nuestro análisis se centra en analizar en qué grado (del 1 al 10) afectaría al servicio y a la integridad de los datos.

Los riesgos por desastres naturales para España en el Informe The World Risk Report 2018, nos pone en el tramo de “bajo riesgo” (puesto 146/172) con una probabilidad de riesgo baja del 2,8%.

Tabla (1): Desastres Naturales.

En este análisis, el factor de riesgo acumulado es el siguiente:

  • Red Centralizada: 133
  • Res Distribuida: 8

La Red Centralizada está en un 94% más expuesta a riesgos de las amenazas de riesgos naturales, industriales o accidentes.

 

(b) Ante errores y fallos no intencionados:

La principal amenaza de seguridad de los sistemas informáticos, se considera a los usuarios. Está estrechamente ligado a cuestiones de “Cultura” en seguridad y buenas prácticas. Por lo tanto esto afecta no solo a los usuarios de los sistemas de información, sino a todos aquellos que operan y trabajan a diferentes niveles con equipos informáticos.

En 2015, la empresa Sophos publica un informe que deja entender que de los 8.114 ayuntamientos que hay en España, solo una revisión de los 77 ayuntamientos más grandes a nivel nacional plantea que 9 de cada 10 ayuntamientos son vulnerables a ciberataques, poniendo en grave riesgo información sensible de personas. Y esto es así a pesar de que cumplen con la normativa vigente.

El informe avanza que de los 77 ayuntamientos analizados:

  • 4 de cada 10 ayuntamientos soportan SSL.v2 (esta versión se considera muy insegura desde hace varios años.)
  • 4 de cada 10 ayuntamientos son vulnerables a un ciber ataque POODLE (lo que podría permitir la suplantación de usuarios legítimos.)
  • 3,4 de cada 10 son vulnerables a un Ciber ataque FREAK (pudiendo espiar comunicaciones seguras).
  • 2,3 de cada 10 admite parámetros inseguros de intercambio de claves Diffie-Hellman (logjam attack), mientras que 2 de cada 10 utilizan información números primos comunes, al venir proporcionados, como ejemplo, por el servidor web.

El informe de Amenazas 2019 de SophosLabs plantea que “Las victorias sobre la ciberdelincuencia requieren un cambio radical en las defensas” Joe Levy, director tecnológico de sophos. Esto plantea otra nueva variable que se analizará posteriormente, que son los costes de la seguridad de infraestructuras críticas. Que en el caso de las Administraciones Públicas son especialmente complicadas, ya que tiene que ir a través de dotación presupuestaria.

Acceso: Informe Amenazas 2019.

 

Tabla (2): Errores y fallos no intencionados.

En este análisis, el factor de riesgo acumulado es el siguiente:

  • Red Centralizada: 158
  • Res Distribuida: 33

La Red Centralizada está en un 79% más expuesta a riesgos de las amenazas de riesgos de errores y fallos no intencionados.

(c) Ataques intencionados:

Según el Computer Security Institute (CSI) de San Francisco, aproximadamente entre el 60 y 80 por ciento de los incidentes de red son causados desde dentro de la empresa, es decir, por usuarios o personal técnico. Las calificadas como amenazas internas pueden ser más destructivas que las amenazas realizadas desde el exterior.

También hay cuestiones de carácter estratégico que como Estado pueden comprometer la integridad de las infraestructuras, recientemente en prensa nacional se cuestiona determinadas decisiones de carácter estratégicas con proveedores de infraestructuras TIC con empresas que han sido denunciadas por trabajar para servicios de inteligencia de países como China.

(artículo: España deja el futuro de sus telecomunicaciones en manos de empresas chinas acusadas de espionaje.)

 

Tabla (3): Ataques intencionados.

En este análisis, el factor de riesgo acumulado es el siguiente:

  • Red Centralizada: 249
  • Res Distribuida: 32

La Red Centralizada está en un 87,15% más expuesta a riesgos de las amenazas de riesgos de errores y fallos no intencionados.

 

Otras consideraciones del análisis

La tecnología distribuida plantea un nuevo cambio de paradigma en el campo de la seguridad. Este cambio de paradigma tiene más de una cara que de manera directa afecta a la seguridad de servicio, y la integridad de la información. Todas ellas afectan a lo que se conoce como Cultura de seguridad, algo a lo que no se le da la suficiente importancia.

Blockchain y todas las tecnologías distribuidas, son tecnologías nuevas, todavía está en fase de maduración, a pesar de ello ha demostrado que en un periodo muy breve, ha logrado madurar a gran velocidad gracias a una implicación de técnicos a nivel global. A pesar de ello, hay cuestiones que ya están identificadas como posible amenazas y que conviene tener en cuenta.

Nuevas vulnerabilidades:

  • Perdida de claves Privadas: En el caso de bitcoins, se estima que hay aproximadamente unas 44.000 wallets que han perdido la clave privada y que han dejado alrededor de 1,7 millones de euros.  El caso más reciente diciembre de 2018, la muerte repentina del CEO de Quadriga CX ha supuesto que se llevara a la tumba las claves privadas que daban acceso a 126 millones de Euros en criptomonedas del

Exchange. (noticia)

  • Overflow: Cómo ya hemos explicado en las tecnologías distribuidas cada peer o nodo actúa simultáneamente con el equivalente de servidor y cliente. Dependiendo del tipo de tecnología distribuida que sea, es posible que la parte del disco duro que se comparte  sea insuficiente para el volumen de datos que la propia red genera, en estos casos se produce el overflow. La forma en que cada red de respuesta a este caso determinará su nivel de riesgo.
  • Concentración (Antitrust): Los algoritmos de consenso, en las redes distribuidas, tienen como principal objetivo  establecer los mecanismos de confianza. Esto es, quién da por bueno un registro en el Ledger (libro mayor), o quien dice que los datos registrados “notarizados” son los auténticos (genuinos). Para que nadie pueda alterar estos datos durante el registro, se establecen sistemas que distribuyen el registro de las transacciones de manera aleatoria en toda la Red. Bitcoin utiliza el proof of work (PoW), donde los mineros deben calcular un código variable (nonce) que en combinación con el hash (de todos los datos y de la transacción anterior) debe cumplir que tenga una determinada estructura numérica, esto supone un reto matemático que quien primero lo logre resolver, se lleva una recompensa. La dificultad y probabilidad de descubrir este nonce es tan compleja, que toda la Red tarda aproximadamente entre 8 y 12 min en poderlo calcular.  La fortaleza de una red y de sus algoritmos de consenso es directamente proporcional al tamaño de la red y al número de actores que la controlen, a mayor dispersión de los actores que la controlen, mayor grado de confianza en la Red. Esto es, no solo importa el tamaño de la Red ( 9.000 ó 15.000 nodos o peer) sino también quien los controlan (control antimonopolio). En 2015, solo tres empresas controlaban el 50,70% de la minería de bitcoin: Antpool (17,82%); Discusfish/f2pool (16,49%); Bitfury (16,4%). Y 16 de las mayores empresas de minería de Bitcoin controlan más del 91% de la minería a nivel global.

Las 16 empresas más grandes en la minería bitcoin (noticia)

  • Ataques de Computación cuántica: La computación cuántica supone un salto cualitativo y cuantitativo en el calculo computancional. Se centra en un nuevo paradigma de computación que pasa de los bits a los cúbit. Sin tener que entrar en detalles técnicos incrementa poderosamente la capacidad de cálculo. Un ejemplo si en 2017 para factorizar una clave RSA2048 bits, un ordenador potente doméstico tardaría 2300 millones de años, si utiliza una biblioteca  infineon, se reduce solo a unos cientos de años, si se utiliza el crowd computing (varios ordenadores en red sincronizados) se puede reducir a días. Un ordenador cuántico lo puede hacer en pocos segundos. Esto significa que puede comprometer la seguridad de los registros en blockchain, pero de pasar esto, posiblemente sería el menor de los problemas ya que antes afectaría de manera crítica a la seguridad de instalaciones bancarias, instalaciones críticas o áreas de defensa nacional. Por lo tanto, la computación cuántica es una amenaza trasversal a todos los sistemas existentes ahora mismo.

Why Quantum Computing’s Time Is Now  (Noticia)

  • Errores de escalabilidad: Este error de las tecnologías distribuidas y en particular de Blockchain, sucede cuando el volumen de demanda de servicios sobrepasa (desborda) la capacidad transaccional en un momento dado. Es el verdadero dolor de cabeza de las principales blockchain. Bitcoin solo puede realizar 7 transacciones por segundo (TPS), Ethereum está en 15 (TPS) Hyperledger Fabric está en 5.000 (TPS) y aún son insuficientes si consideramos que VISA realiza 24.000 (TPS). En este sentido se están explorando otras tecnologías que permitan incrementar la capacidad de las TPS, como son los hashgraph, DAG, o el Holochain.

 

Transparencia, nueva forma de entender la seguridad.

Desde el principio hemos hablado de la importancia que tiene la cultura en el campo de la seguridad. En este sentido Blockchain y las tecnologías distribuidas, plantean una nuevo forma de entender la seguridad y la lucha contra los ataques, Lope de Vega, lo reflejó muy bien en Fuenteovejuna, “todos a una”. La seguridad en redes distribuidas, es un trabajo en comunidad, los parches o soluciones de código que se implementa, una vez validadas y aprobadas por la comunidad de desarrolladores se distribuye a toda la red parcheando todas las aplicaciones que corren sobre ella. En los sistemas tradicionales esto es impensable, la seguridad es opaca. En la discreción o en el ocultismo aún se sigue pensando que aporta un cierto nivel de seguridad superior. Y lo cierto es que los errores de actualización, obsolescencia de equipos, o mal uso de los usuarios terminan por poner en evidencia la seguridad de las organizaciones más seguras.

Conclusión

1.- Desde un punto de vista cualitativo más que cuantitativo, la comparación entre tecnologías centralizadas vs distribuidas, es evidente. La casuística de cada empresa puede tener valoraciones diferentes a las tomadas,  pero para la mayoría de las PYMES plantea un cambio de paradigma importante.

 2.- También desde un punto de vista cualitativo, se plantea un cambio drástico a la hora de identificar la exposición a amenazas. Esto no debe interpretarse en términos absolutos de sí A es más segura que B, ya que ambas tienen debilidades manifiestas. Personalmente creo que la valoración cuantitativa no es posible desde este análisis, si bien este artículo deja la puerta abierta a otras investigaciones más técnicas. (El objetivo de este artículo no era hacer una análisis técnico, sino más bien reflexionar sobre las posibles implicaciones de la irrupción de las tecnologías distribuidas).

3.- Una de las posibles conclusiones a las que si he llegado es que,  los modelos de tecnología centralizada, tienen un modelo de sostenibilidad menos eficiente, y puede que más costoso, ya que las actualizaciones dependen de cada usuario, y de las configuraciones personalizadas de sus arquitecturas (hardware y software). Esto plantea un modelo basado en el “ocultismo” u opacidad de la seguridad que comparado con un modelo transparente de trabajo en comunidad (colaborativo) y transversal (las soluciones desplegadas afectan de manera síncrona y simétrica a toda la comunidad). Este cambio cultural, es uno de los más potentes y disruptivos que tendrá un profundo efecto transformador, en la industria tecnológica, en los negocios y en la cultura, para los próximos años.

4.- Desde un punto de vista estratégico, la soluciones basadas en tecnologías distribuidas, plantean cambios profundos en la forma de entender los negocios. La transparencia es uno de ellos, y a pesar de que hoy existen resistencias muy evidentes a que los clientes y competencia conozcan determinados detalles de sus procesos, no tardará mucho tiempo en el que esto será utilizado como una ventaja competitiva, que expulsará del mercado a los competidores que son menos honestos, o que no generan confianza en los mercados o a sus clientes. La cadena del valor de la Honestidad será un activo estratégico en los próximos meses.