Sistemas Intersat de la Policía Federal Argentina

Los Sistemas Intersat de la Policía Federal Argentina, necesitan mayor inversión
Los Sistemas Intersat de la Policía Federal Argentina, necesitan mayor inversión
Los Sistemas Intersat de la Policía Federal Argentina, necesitan mayor inversión
Los Sistemas Intersat de la Policía Federal Argentina, necesitan mayor inversión

Analizando los Sistemas Intersat de la Policía Federal Argentina, vemos que el denominador común es atraso y baja inversión.

Esta nota no pretende ser una crítica al personal que sostiene estos sistemas que con enorme esfuerzo y que llevan adelante una tarea titánica sin herramientas, sin presupuesto y fundamentalmente sin capacitación.

La división computación de la Policía Federal Argentina, emitió un certificado digital con GeoTrust RSA CA 2018, el pasado 14 de agosto de 2018 y estará vigente hasta el 13 de septiembre de 2020, para los Sistemas Intersat.

Si la fuerza federal de seguridad de la república argentina, contrata un certificado digital a una entidad extranjera, estamos ante un problema de ética gubernamental, el estado argentino es una entidad certificante.

Igual respeto la decisión soberana del CISO que controla los Sistemas Intersat, si su opinión es que GeoTrust es más segura, yo lo apoyo, pero no deja muy bien parado al resto del Estado Argentino, tecnológicamente hablando.

Los Sistemas Intersat manejan datos críticos de la ciudadanía argentina, y de sus fuerzas de seguridad, utiliza un server Server: Apache/2.2.15 (Unix) mod_ssl/2.2.15 OpenSSL/1.0.1e-fips DAV/2 PHP/5.3.6

El sentido común nos indica que, si mañana aparece una vulnerabilidad para este tipo de configuración de servidores, la mayoría de los grupos hacktivistas cibercriminales, van a probar la sustentabilidad del sistema.

Dejar esta información visible, es quizás una de los mayores actos de inocencia tecnológica de los últimos tiempos.

Otra vulnerabilidad expuesta en los Sistemas Intersat

El servidor también nos revela que están utilizando una versión de PHP bastante desactualizada, lo cual revela que la posibilidad de inyección de código malicioso para infectar y acceder a datos sensibles, queda abierta para que cualquier criminal haga de las suyas.

Solo recordemos la vulnerabilidad CVE: 2011-2202 para esta versión de PHP.

Además, si hacemos un ranking de lenguajes inseguros, en una escala de cero a tres trillones, siendo cero muy seguro y tres trillones, muy inseguro, tengan consciencia que PHP, si no es tres trillones, anda muy cerca.

Otro dato preocupante es que el sistema de identificación de usuarios es de un solo factor, lo cual facilita mucho el trabajo de los cibercriminales, para vulnerar estos sistemas, sin que el personal a cargo de la seguridad pueda hacer mucho al respecto.

El sistema no tiene etiquetas “canonical”, con lo cual la posibilidad de duplicar el sitio y exponer al personal de seguridad a un ataque de phishing, es al menos alta. (No sé si recuerdan que estas etiquetas tienen 10 años de antigüedad, apenas.)

No quiero ahondar más en el sistema, la información aquí revelada es pública y expuesta por la misma fuerza.

¿De qué sirven millones de cámaras de vigilancia, si la básico lo dejan descubierto?

 

Por Marcelo Lozano – General Publisher IT Connect Latam