HPE Discover 2016: Llegó la hora de la transformación
 

HPE Discover: Llegó el momento de la transformación

 
Pokémon Go podría llevar a multas por HIPAA
 

Pokémon Go podría llevar a multas por HIPAA

 
Diez consejos para evitar el ransomware
 

Diez consejos para evitar el ransomware

 

Cuando el super user es demasiado “super”

File illustration photo of a magnifying glass being held in front of a computer screen in Berlin May 21, 2013. n encrypted email service believed to have been used by American fugitive Edward Snowden shut down abruptly August 8, 2013, amid a legal fight that appeared to involve U.S. government attempts to win access to customer information. Lavabit LLC owner Ladar Levison said he has decided to "suspend operations" but was barred from discussing the events over the past six weeks that led to his decision. That matches the period since Snowden went public as the source of media reports detailing secret electronic spying operations by the U.S. National Security Agency. The U.S. Department of Justice had no immediate comment. TO GO WITH STORY USA-SECURITY/SNOWDEN-EMAIL REUTERS/Pawel Kopczynski/Files (GERMANY - Tags: BUSINESS TELECOMS POLITICS SCIENCE TECHNOLOGY)

La seguridad en el Cloud abre una caja de pandora que emitirá una cantidad considerable de técnicas que presentan retos directos para los profesionales del campo de la seguridad cibernética y las redes. Los ejecutivos de manejo de información, CIO, y los que manejan la seguridad de sistemas CISO, son los principales objetivos del paradigma que rodea la basta incertidumbre sobre los procesos adecuados a la hora de controlar la seguridad en el Cloud. El manejo de Big Data puede ayudarnos a obtener un objetivo más claro y filtrado sobre los patrones más comunes y el perfil  de un hacker. La manera en que estas aplicaciones inteligentes de seguridad operan superan la capacidad original de detección de intrusos, malware o cualquier otra penetración ilegal en nuestros sistemas. Pero, todo esto no incluye un factor importante y es el de los retos que esto conlleva. Retos como

  1. protocolos de comunicación;
  2. la política basada en el acceso cifrado;
  3. gran privacidad de los datos;
  4. gestión de claves;
  5. preocupaciones de integridad de datos y la intoxicación;
  6. la búsqueda y filtrado de datos encriptados;
  7. la recopilación de datos segura;
  8. colaboración segura;
  9. prueba de almacenamiento
  10. la externalización segura de computación para que los entornos de nube pueden computar en los datos cifrados con sacrificar la privacidad de extremo a extremo.

Todos estos retos presentan un amplio y complejo universo en donde las organizaciones tendrán que buscar las mejores herramientas de criptografía en hardware y software.

Por ejemplo, si un cliente quiere enviar todos sus datos confidenciales a una nube: fotos, historias clínicas, registros financieros y así sucesivamente, podría enviar todo cifrado, pero esto no sería de mucha utilidad si quería la nube para realizar algunos cálculos sobre ellos, tales como la cantidad que gastó en películas el mes pasado. Con el cifrado totalmente homomórfico (FHE), una nube puede realizar cualquier cálculo en el texto plano subyacente al mismo tiempo que los resultados están cifradas. La nube obtiene ninguna pista sobre el texto plano o en los resultados. Esto es muy importante ya que si la nube lo sabe, lo sabe toda la infraestructura.

En general, siempre que sea necesario que haya un límite de confianza entre los propietarios de los datos y los proveedores de computación de almacenamiento, este desafío surge de forma natural. Supongo que la única solución que ofrece garantías de matemáticas de la vida privada en este ajuste, sin la necesidad de confiar en el hardware de un tercero, es proporcionada por la criptografía.

El control de acceso es también uno de los principales desafíos a la protección de datos. Los controles de acceso deben aplicarse sin depender del sistema host. Tradicionalmente el control de acceso a los datos se ha hecho cumplir por los sistemas – sistemas operativos y las máquinas virtuales – que restringen el acceso a los datos basados ​​en alguna política de acceso. Los datos son todavía en texto plano así que dos paradigmas emergen: Uno, los sistemas pueden ser hackeados, dos, la seguridad de los mismos datos en tránsito es un problema aparte. El otro enfoque es proteger los datos en sí en un “shell” de cifrado en función de la política de acceso. Personalmente odio cuando el Super user es demasiado “super”. La capacidad de descifrado sólo es posible por las entidades autorizadas por la política. Pero si la política no es implementada correctamente podríamos estar abriendo la puerta e invitando a que los sistemas sean vulnerables en algo que se supone que sea lo primero que hagamos, cerrar el riesgo obvio.

Hoy las cosas han cambiado tanto que he tenido la experiencia de ver cómo se extraen “Keys” directamente desde equipos legacy y no legacy. Sin embargo, esto expone una superficie de ataque ucho más pequeño. Aunque los ataques de Side Channel son posibles, extraer claves secretas me pone para los pelos. Aunque estos ataques son mucho más difícil de montar y requieren entornos desinfectados, son posibles. También los datos cifrados se pueden mover alrededor, así como mantenerse en reposo, haciendo su manejo uniforme. La buena noticia es que la tecnología de encriptación tanto en la fase de investigación y en el despliegue limitado puede permitir análisis de Big Data privada y de gobierno que “las técnicas de cifrado plain vanilla” no tiene, y la investigación emergente está dirigida directamente a ocuparse de las características de propiedad complejas, autenticación y las expectativas de anonimato.  Hay, por supuesto, los desafíos de la reorientación de las soluciones criptográficas existentes debido al volumen cada vez mayor, la variedad y la velocidad y el cambio de infraestructura debido a los grandes datos. Sin embargo, hay problemas emergentes de Big Data, así que la criptografía va a tener desafíos los cuales no necesariamente serán los mismos de la criptografía interoperacional sino más bien por cumplimiento.