05 diciembre 2011

Entrevista a Álvaro Ibáñez (@Alvy) de Microsiervos

Todos conocemos Microsiervos, el blog Nº1 tecnológico en España, empezaron en el 2003 y a base de buenos contenidos y su particular forma de contarlos, siempre aplicando el rigor por encima de la exaltación o la búsqueda del sensacionalismo, les ha convertido en un referente.

Hemos tenido la oportunidad de entrevistar a Álvaro Ibáñez, mas conocido como @Alvy la persona que escribe sobre seguridad (y otras cosas) en Microsiervos. Álvaro no es una persona que se prodigue demasiado en actos públicos o que acuda a eventos (yo llevo 2 años intentando desvirtualizarlo !) y también es raro que se deje entrevistar, así que todo un honor poder tenerlo por aquí.

- Háblanos de ti, como llegaste a ser un geek y en que punto empezó tu interés por la seguridad informática, que has estudiado y a que te dedicas profesionalmente

Desde pequeñito me han gustado los ordenadores, mamé "Juegos de Guerra", obviamente y luego me interesé mucho a raíz de las noticias de los primeros virus; por ejemplo del gusano de Morris todavía guardo los recortes de los periódicos de la época, me parecía algo increíble.

También me gustaban mucho las historias de los míticos hackers desde los años 50, y me leí unos cuantos libros al respecto. 

Viví la llegada de PGP a través de los foros de CompuServe, de la revolución RSA y aprendí algunas cosas sobre criptografía, durante una época incluso di algún curso para enseñar a la gente a usar las primeras versiones de PGP, el cifrado, las firmas, etc. Me empollé el Applied Cryptography y también The CodeBreakers, que es como la prehistoria de la criptografía, esa parte matemática era mi favorita. En la actualidad profesionalmente tengo una empresa con un socio y nos dedicamos a crear y vender contenidos, algunos los publicamos en nuestro blog (Microsiervos) otros los publicamos en blogs o webs de otros clientes.

- Año 2011, problemas con CAs que son comprometidas para emitir certificados falsos, importantes redes de ocio como Sony Playstation Network hackeadas, Malware como Stuxnet o Duqu ... ¿Cual es tu visión de la seguridad informática hoy día? ¿Tienes la sensación de que estamos en 'permanente peligro'?

La verdad es que en los últimos años he estado ligeramente más desconectado de todo esto porque me he dedicado más a otros temas, pero me parece casi de ciencia ficción todo lo que veo; lo de Stuxnet por ejemplo supera casi a algunos relatos o películas que siempre nos han parecido "demasiado increíbles". Lo cierto es cuando examinas con detalle estos temas y los de los virus, los ordenadores zombies, la privacidad, los phising, etc. te parece que todo el mundo esté en un "peligro horrible", pero luego en el día a día tampoco es para tanto... 

La mayor parte de los antivirus y sistemas de seguridad caseros funcionan bien, el resto es usar el sentido común. Lo peor es la pérdida de tiempo y confusión y molestias que ocasionan, sobre todo a la gente a la que la informática no le interesa mucho y tienen menos conocimientos.

- En tu opinión, ¿Hacia donde crees que camina el mundo de la seguridad informática ? ¿Crees que se avanza en materia de seguridad o por contra que estamos peor que hace unos años?

Creo que más o menos la batalla buenos-malos sigue igual, se ha sofisticado por parte de ambos bandos, y la gente en general está un poco más concienciada de que esto no es campo de flores sino un bosque con zonas claras y oscuras un poco chungas. Hace años hubiera sido impensable que las batallitas de crackers fueran guerras de bots con millones de ordenadores infectados contra otros agentes y sistemas de seguridad, o que pudieras pagar en el mercado negro por ataques a medida, o por enviar spam, como el que compra cromos en Paypal. Digamos que hoy en día "hacer el mal" parece relativamente más fácil, e incluso con las herramientas de creación de virus lo puede hacer cualquier script kiddie, como el que roba un Wifi, pero también las medidas defensivas se han sofisticado mucho.

- Todos recordamos con 'cierto cariño' la primera vez que nos infectó un virus, ¿Cual fue el tuyo y como recuerdas la experiencia?

En la época de los primeros para PC ya ni me acuerdo, supongo que el Viernes 13 o alguno de esos. También había algunos en los ordenadores Amiga, un poco fastidiosos, se pasaban de disquete en disquete.

En la última empresa grande en la que estuve recuerdo uno que entró hasta a la cocina porque una de las redactoras recibió el típico PowerPoint ñoño que venía "con bicho", y a la media hora todos los PC estaban infectados, debió ser en 2001 o 2002 más o menos, tampoco la gente se preocupaba demasiado de eso. Sólo se salvaron los Mac. Luego le dijeron, "pero mujer, cómo abres ese PowerPoint, que no sabes ni de quién viene, si huele a virus que no veas"... y ella decía "¡Es que cuando recibo uno de esos noto como un impulso que me obliga a abrirlo al momento, sea de quien sea!"; en fin, así es la naturaleza humana, siempre se aprovechan de los más débiles y con mejor corazón.

- Cuales son tus fuentes de información sobre seguridad: blogs, webs, gente en twitter ...

Especializados en el tema estoy suscrito a (y no en ningún orden ni prioridad en particular, te los digo tal y como los tengo en mi lector) Kriptopolis, Danger Room y por supuesto a Bruce Schneier. También leo al Informático en el lado del Mal, vuestro Security By Default como es natural, a la gente de S21sec, de Trend Micro y Aerópago 21

Aparte de todos estos me llegan enlaces por cien sitios y correos que me mandan los colegas cuando surge alguna cosa; y estoy suscrito también al tradicional boletín de CriptoRed    

En twitter la verdad es que no sigo a nadie en particular, porque lo uso solo con mis amigos (los que conozco en persona).

- De entre todos los incidentes de seguridad que conoces (y has publicado en Microsiervos), ¿cual te ha llamado más la atención?

Hay varios curiosos, algunos de mis favoritos de toda la vida son el hackeo de copiar llaves a distancia y la ingeniería social de "perder pendrives" cerca de alguna empresa para conseguir que los pinchen y colarte. 

Me encantan también los que tienen mérito por la jeta que le echa la gente, como aquel del Coronel Amadeo Martínez Inglés que se saltó toda la seguridad de la boda de los príncipes.

De lo técnicamente más interesante y apasionante que he visto, por sus diversas implicaciones, son todas las investigaciones en temas de máquinas virtuales que se "engullen" unas a otras, las píldoras rojas y azules de Rutkowska y todo lo relacionado  

Tengo un colega en la Universidad de Toronto que trabaja en seguridad en un laboratorio especializado en esos temas y me comentó que es de lo más prometedor y relevante a lo que se enfrentan ahora mismo, tanto desde el punto de vista teórico como práctico.

- ¿Cual ha sido tu 'hackeo memorable' particular del que te sientas mas orgulloso?

En los 80, en la época del WordPerfect, me cargué la protección con la que se podían guardar los ficheros "con contraseña"; tuve acceso a un artículo de la revista Cryptology sobre el sistema de cifrado --que era muy rudimentario, un César enrevesado-- y el resto fue ampliar la idea y automatizarlo. Los de Worperfect Corp en España se enteraron y hasta me pidieron que fuera a verlos, les llevé una copia del código y todo, aunque fijo que ya tendrían sus propios sistemas... en fin una pequeña criptoaventura.

De hecho se publicó la explicación en una de las ediciones de uno de mis libros

La verdad es que en su momento, principios de los 90 --joer, hace casi 20 años-- tuvo su punto de "memorable", ciertamente, en aquella época pocos se interesaban por esos temas y cualquier cosa que sonara a "criptografía" también sonaba a la NSA y a "imposible de romper"... visto ahora casi es de risa el sistema que usaban, pero tuvo su "momento hack", desde luego.
 
- Dinos tres herramientas indispensables para ti como usuario

Aparte de las obvias como los navegadores, correo y demás, te diré tres de las que son un poco "distintos" y que yo uso fielmente en mi Mac:

* Ecto, que es un editor de contenidos para blogs, te evita tener que editar vía navegador con el editor de la ventana, que es muy pobre. Para Mac desde luego va genial, la versión Windows la probé alguna vez pero no era gran cosa. http://illuminex.com/ecto/

* NetNewsWire, mi lector de RSS favorito, es donde paso la mayor parte del día; más o menos por lo mismo que Ecto, lo prefiero al Google Reader: es más rápido, permite búsquedas instantáneas, puedes guardar cosas cómodamente y demás http://netnewswireapp.com/

* BBEdit, mi editor de toda la vida, que te sirve igual para escribir HTML que PHP que para trabajar con texto plano en diversos formatos, realizar conversiones, filtros, cambios de formato, búsquedas multifichero, grep... muy completo. http://www.barebones.com/products/bbedit/
 
- Para terminar, la pregunta polémica: ¿Windows, Linux o Mac?

Mac. La gente es por lo general mucho más productiva con un Mac que con otros sistemas. (Y si hablamos de seguridad y virus y todo esto... con un Mac pierdes mucho menos tiempo lidiando con ese tipo de "bichos", la verdad.)

Muchas gracias por tu tiempo y haber compartido con los lectores de SbD tu conocimiento

11 comments :

David dijo...

Buena entrevista :)

lost-perdidos dijo...

La pregunta final le ha delatado. xD

PedroJ dijo...

La pregunta final le ha delatado por que piedes mucho menos tiempo lidiando con ese tipo de "bichos", ya que no puedes hacer nada para solucionarlo... solo esperar 300 días y esperar que los de Apple trabajen...

No entiendo como gente con unos minimos conocimientos en seguridad puede utilizar Macs, y decirlo orgulloso...

fon dijo...

Hombre, hay que matizarlo, depende en qué sector trabajes, sí que puede tener algo de razón, pero con respecto a la seguridad estoy de acuerdo contigo

PedroJ dijo...

En eso estoy de acuerdo (no del todo, pero puedo llegar a entenderlo)... También admito que igual me he dejado llevar un poco, aun así es innegable.

SrSmith dijo...

Me encanta Microsiervos justamente por lo que decís, enseñan un montón y no van de gurús por la vida. Grande Alvy !

Ffff dijo...

¿Enseñar? Casi todo el contenido son referencias a terceros

Saludos, I. dijo...

Que pena, otro ejemplo de que por mucho que se trate de alquien interesante, con un discurso a la altura, todo queda en nada por el menor y menos importante de sus comentarios (con más o menos razón, o acertado).

Yago Jesus dijo...

No seáis Talibanes. Lo que ha dicho es empíricamente cierto. Los usuarios de MAC tienen que invertir un considerablemente menor número de horas en seguridad que la gente que usa Windows. Que luego ya hablamos de respuesta ante incidentes, flexibilidad, ASLR mejor o peor implementado, etc etc. Eso es otro debate

Alvy dijo...

Simplemente por aclarar: no trabajo en temas de seguridad ni a día de hoy es mi especialidad.

También creo que casi siempre hay un sistema adecuado para cada persona y cada ocasión y tipo de trabajo; yo simplemente he mencionado el que uso y el que según mi experiencia mejor se adapta a las necesidades de la gente corriente; y hablando de seguridad, el que menos problemas de seguridad causa a un usuario «de a pie», digamos.

¡Gracias por los comentarios!

PedroJ dijo...

Sigo sin estar de acuerdo, pero eso ya son otros temas, y respeto las decisiones de los demás (obviamente).

De todas formas, enhorabuena por la entrevista y por el blog!