Porno en la página del Ministerio de Seguridad Publica

Hace unos días mientras almorzaba, leí una noticia en la Nación, con el título “Desconocidos colocan porno en página web de Seguridad”, y debido a mi trabajo de Consultor en IT, el titular llamo grandemente mi atención.

En resumidas cuentas para los que no leyeron el trabajo del periodista Otto Vargas, les comento que nos indicaba que unos supuestos “hackers” habían utilizado un tipo de programa llamado “robot”, para colocar enlaces con contenido pornográfico, en los mensajes del foro en la página del Ministerio de Seguridad Publica.

El señor Vargas, utilizo como respaldo tecnológico para su nota a uno de los responsables informáticos del Ministerio, de apellido Jiménez.

Aquel día no me preocupe por ingresar a ver el sitio, debido a que ya tenía claro, que muy probablemente en el Ministerio habían escogido utilizar un sistema gratuito de foros (phpBB), y que no habían instalado el add-on (extra) para añadir un código de seguridad (Captcha), para que los “robots” no pudieran violentar a nivel masivo, la publicación de mensajes en el sitio.

Por este incidente el Ministerio tiene la siguiente disculpa en su sitio web:

“Este foro estará fuera de línea, mientras se realizan ajustes de seguridad.

Esperamos nos disculpen por este inconveniente, ya que deseamos que el público tenga una herramienta donde pueda expresar sus inquietudes sobre la seguridad en nuestro país, y aportarnos sus comentarios valiosos, para nosotros brindar un mejor servicio, a la ciudadanía

Gracias”

Hoy por la mañana, ingrese a ver si ya habían resuelto el problema, y me tope con que todavía seguían teniendo la misma disculpa, y que el problema no estaba solucionado del todo.

¿Qué es lo que tiene que hacer cualquier empresa o entidad que quiera tener un sistema de foros “seguro”?

Lo primero es que si trabajamos de manera profesional, nuestra última opción debe ser un sistema de foros gratuito. phpBB es un sistema muy popular mundialmente por sus muchas características, pero también por su interminable lista de errores a través de los años.

La gran mayoría de veces, es mejor utilizar un foro de pago, con soporte actualizado permanente, antes que ahorrarnos $200 al año, y sufrir este tipo de daños.

Si se desea utilizar un foro gratuito como el phpBB, ¿Cómo podemos hacerlo seguro?

Es sencillo. Lo primero es dejar atrás que todos los informáticos, saben de Internet. Para eso hay especialistas como en todos los campos, y raramente si alguien se dedica a reparar computadoras o a realizar trabajos más de escritorio a tiempo completo, podrá brindar una consultoría en seguridad apropiada. Aclaramos que desconocemos el grado académico de los responsables del proyecto, y que este comentario no es un ataque personal, sino más bien una recomendación para los lectores en general.

En el caso especifico del phpBB, es indispensable mantener nuestra versión actualizada. También para el phpBB existen cientos de add-ons que mejoran la seguridad y rendimiento del sistema, por lo que no debemos quedarnos con la versión de “fabrica”.

¿Cómo se evitan los “robots”?

Este fue otro error del artículo, probablemente, por la rápida respuesta del departamento de informática.

Un “robot” es un conjunto de aplicaciones que realizan una tarea específica, que generalmente son utilizados por los motores de búsqueda como Google, para indexar contenido. También existen de otros tipos, más sencillos y complicados, pero en general diferimos de llamarle así.

Lo que utilizaron con el phpBB del MSP, fue un script malicioso, que al encontrar al sistema de foros phpBB sin ninguna protección adicional, simplemente creó un usuario, lo valido, y escribió los mensajes. En general un script que haga esta tarea, no ocuparía más de 100 líneas de código.

¿Qué debería hacer el MSP?

Activar los foros phpBB, añadir el CAPTCHA, e instalar un addon de inclusión de enlaces, que límite el poner links, hasta que se alcance un número mínimo de mensajes, que permitan al sistema “confiar” en el usuario final.

Lo anterior, es trabajo de una hora como máximo.

En TicosLand.com, utilizamos las últimas tecnologías de Internet, y procuramos hacer de la experiencia del usuario final, la mejor posible, es por ello que instamos a los personeros del Dpto. de Informática del MSP, a tomar expeditas cartas sobre el asunto, pues es una vergüenza, que propiamente nuestro Ministerio de Seguridad Publica, no pueda solventar rápidamente un problema común por descuido en Internet.

Entendemos, y aclaramos para nuestros lectores, que ningún sistema es impenetrable, pero este tipo de incidentes están ampliamente documentados a través de la red, por lo que pudo ser prevenida.

También, agradecemos al periodista Otto Vargas, por dar a conocer la noticia, y permitirnos a los costarricenses, el enterarnos de este acontecimiento.