Todos hemos oído las noticias de virus informáticos que atacan la integridad de nuestros ordenadores. Hace unos meses estuvo en portada de todos los informativos mundiales una forma especializada de virus informático del tipo ransomware, denominado WannaCry. En este artículo no hablaremos de los crímenes que cometen otros con nuestros datos, sino de los que cometemos nosotros mismos al no contar con una adecuada estrategia de protección, y repasaremos brevemente los modos más obvios que podemos utilizar para evitar el castigo de la pérdida de datos, en muchos casos sin posibilidad de recuperación. Después nos centraremos en uno de los métodos más sencillos y fiables a día de hoy para protegernos: el almacenamiento en la nube.
En mayo de 2017 oímos por primera vez el nombre WannaCry y pronto nos hicimos expertos en el tipo de virus ransomware, es decir, un programa que encripta la información en el disco duro dejándola inaccesible si no se paga el rescate que los secuestradores/
WannaCry tuvo repercusión mundial por los miles de equipos informáticos que llegó a infectar por todo el mundo (se cifra en 75 000 ordenadores) gracias a una inteligente forma de transmisión e infección que explotaba una debilidad en los sistemas operativos Windows.
Recordemos que WannaCry no hubiera podido infectar ningún ordenador que tuviera actualizados los parches de seguridad.
Pero recordemos que WannaCry no hubiera podido infectar ningún ordenador que tuviera actualizados los parches de seguridad, y en concreto el que cerraba la puerta a WannaCry estaba disponible un mes antes de que el virus atacara por primera vez. Recordemos también que estos parches se instalan de forma automática y sin ningún esfuerzo por parte del usuario. Por tanto, ¿a quién golpeó WannaCry?
Por un lado, a usuarios particulares de Windows que trabajaban sin licencia o con una licencia pirata (se mire como se mire, una forma de robo) y que probablemente no tuvieran acceso a las actualizaciones automáticas. ¿Crimen y castigo?
Por otro lado, a empresas, entre ellas grandes multinacionales que, debido a sus inadecuados procesos internos de actualización del software, no instalaron los parches en los ordenadores de sus empleados a tiempo. ¿Negligencia y castigo?
En cualquier caso, si se dispusiese de una adecuada copia de seguridad de la información «raptada», WannaCry no pasaría de ser una pequeña molestia de la que recuperarse con una reinstalación del sistema operativo y recuperación de la copia de seguridad… Claro que para ello debemos tener una copia de seguridad. Que levanten la mano las personas que no hagan una copia al menos diariamente…
Que levanten la mano las personas que no hagan una copia al menos diariamente…
Y esto me lleva al tema de este artículo. Las copias de seguridad. ¿Dónde almacenarlas? ¿Es la nube una buena opción? Voy a responder ya: SÍ. La nube es para el 99 % de la gente la mejor opción. Pero vamos a ver por qué.
Para empezar
Para poder dormir tranquilos sabiendo que nuestro trabajo está a salvo, lo primero sería tener la licencia tanto del sistema operativo como de los programas que utilizamos en nuestro trabajo, para poder recibir las actualizaciones y parches de seguridad que el fabricante produce de forma constante. Si trabajamos con una copia pirata, probablemente no tengamos acceso a los parches de seguridad, y en muchos casos el software que habremos instalado ya vendrá con un virus de fábrica, pues la instalación de software obtenido de fuentes dudosas es una de las formas más sencillas de infectar un ordenador.
Como segundo paso deberíamos tener instalado un antivirus decente. Estos programas no solo se encargan de comprobar la salud de nuestro ordenador, al buscar infecciones existentes, sino que nos protegen de ser infectados; por ejemplo, antes de dejarnos instalar un nuevo programa, comprobarán que este no contenga ningún virus conocido. De nuevo, instalar un antivirus pirata es totalmente inútil, ya que sin las actualizaciones de los patrones de búsqueda que se descargan automáticamente de forma periódica cuando disponemos de licencia solo estaríamos protegidos por los virus conocidos en el momento de la instalación y perderíamos la defensa ante las mutaciones de los virus que se desarrollan para sortear los patrones de reconocimiento.
Una vez que el sistema operativo, el programa que utilicemos para traducir y el antivirus estén en regla y nos comportemos como prudentes ciudadanos digitales, el siguiente paso es tener copias de seguridad, esto es, guardar una copia del documento de trabajo de forma que, si este se ve infectado, corrompido o borrado, podamos recuperar la copia de seguridad.
Copias de seguridad tradicionales
Un buen sistema de copia de seguridad debe salvaguardar los documentos con los que trabajamos de forma que no los perdamos de ninguna manera, ya sea por causas «naturales»: avería en nuestro ordenador o disco duro, «chamuscado» del equipo por subida de tensión en la red; por causas criminales, como infección por un virus; o por errores humanos, como el borrado accidental, la muerte por ahogamiento debido a un café derramado sobre el portátil, siniestro total por caída del portátil cuando lo íbamos a meter en su mochila… Además, nos interesa hacer la copia de seguridad con la suficiente frecuencia, de forma que en caso de tener que utilizarla solo perdamos el trabajo desde la última copia. Esto es, si solo hacemos la copia de seguridad una vez a la semana los domingos por la noche y el error se produce el viernes, habremos perdido la última semana de trabajo.
La forma más pedestre de hacer copias de seguridad es crearlas dentro del mismo disco que el documento original.
La forma más pedestre de hacer copias de seguridad es crearlas dentro del mismo disco que el documento original. Está claro que esta forma de operar no va a salvarnos de la mayor parte de los riesgos de lo que queremos protegernos y creo que con pocas dudas se puede considerar que esta es una operativa negligente.
Una mejora de la operativa sería hacer las copias en un disco externo, de los que se conectan por USB al ordenador. En este caso estaríamos protegidos de averías en nuestro ordenador y de borrados accidentales, pero no nos protegería de un virus tipo Wannacry que encripta los discos montados en el ordenador, ni de una inundación en casa o de una subida de tensión. En todos estos casos perderíamos tanto el original como la copia y nos dejaría con ganas de llorar.
Para una mayor protección deberíamos sustituir el disco externo USB por un disco NAS.
Este tipo de productos ofrecen una alta capacidad y redundancia, ya que se puede instalar más de un disco de forma que el fallo de uno de ellos no suponga pérdida de datos. Además, al no estar conectados directamente a nuestro ordenador, nuestro sistema de almacenamiento externo no se vería afectado por los WannaCry de turno… ¿Pero qué pasa con las inundaciones y las subidas de tensión?
Si realmente queremos estar seguros, nuestro sistema de almacenamiento externo no debería compartir ubicación física con nuestro ordenador.
Si realmente queremos estar seguros, nuestro sistema de almacenamiento externo no debería compartir ubicación física con nuestro ordenador. La solución sería llevarse el NAS a la casa de nuestros padres, instalar una red VPN y un cortafuegos entre nuestra casa y la de nuestros padres…. Sí, puede sonar muy rocambolesco, pero aunque no lo creáis, esta es exactamente la configuración que tienen dos de mis amigos.
Queda claro que obtener el nivel de seguridad óptimo con métodos tradicionales no es fácil ni barato. La alternativa es utilizar servicios en la nube.
Copias de seguridad en la nube
Existen varios proveedores que nos ofrecen servicios con los que salvaguardar nuestro trabajo de forma sencilla y barata.
Existen varios proveedores que nos ofrecen servicios con los que salvaguardar nuestro trabajo de forma sencilla y barata. Por ejemplo, Dropbox, Google Drive o Microsoft OneDrive. Cualquiera de estas alternativas nos ofrece un disco externo en la nube donde poder almacenar nuestros preciados ficheros. Y a un coste casi ridículo: para empezar, los tres ofrecen un servicio gratuito hasta un determinado volumen. Por ejemplo, Google Drive es gratis hasta 15 Gb, hasta 100 Gb tiene un coste de 2 € al mes y si incluso eso se queda corto, 1 Tb (1024 Gb) tiene un coste de 10 € al mes. Si lo que almacenemos no son fotos ni vídeos, sino documentos de texto «normales», con la capacidad gratuita tendremos para literalmente miles de ficheros.
Iniciarse en el uso de cualquiera de las tres opciones anteriores es sencillo e intuitivo: basta con descargar y ejecutar el programa de instalación. Durante la instalación nos pedirá la inscripción en el servicio y creará un directorio en nuestro ordenador.
Cualquier cosa que escribamos en ese directorio se copiará «automágicamente» a la nube. Así de fácil. No hace falta ejecutar ningún programa de copia de seguridad ni preocuparnos por nada más: lo que dejemos en ese directorio estará guardado en la nube, a salvo de virus, humedades catastróficas y subidas de tensión. Además, la sincronización es casi instantánea, con lo que se reduce casi a cero la ventana de tiempo sin copia de seguridad. Si por cualquier motivo hiciéramos un cambio no intencionado sobre nuestro fichero, podríamos recuperar cualquier versión anterior.
La sincronización funciona en los dos sentidos, así que los cambios que hagamos en el sitio web también se trasladarán a nuestro ordenador.
Estos servicios de sincronización son totalmente agnósticos: cualquier tipo de fichero que guardemos en su directorio se guardará en la nube y también podremos acceder a los ficheros almacenados en remoto si accedemos desde cualquier navegador al sitio web del servicio. La sincronización funciona en los dos sentidos, así que los cambios que hagamos en el sitio web también se trasladarán a nuestro ordenador (por ejemplo, si movemos un fichero de un directorio a otro).
Además de ofrecernos un sistema de respaldo sencillo, la nube abre nuevas posibilidades. Por ejemplo, si instalamos el programa en nuestro dispositivo móvil, tendremos acceso a nuestro trabajo allí donde vayamos. Si lo instalamos en otro ordenador, tendremos sincronizado el contenido en 3 sitios distintos: en el primer ordenador, en la nube y en el segundo ordenador; cualquier cosa que hagamos en uno de ellos se verá reflejada en los otros dos de forma automática.
Pero se puede ir más allá. Tanto Google como Microsoft ofrecen la posibilidad de no necesitar ningún programa de edición instalado en nuestro ordenador. Se pueden utilizar editores, hojas de cálculo o generadores de presentaciones que funcionan directamente en el navegador de nuestro ordenador. El resultado se almacena en la nube directamente, sin necesidad de escribir nada en el disco duro local. Los costes son también muy atractivos en este caso: Google Documents es directamente gratis (solo se paga por el almacenamiento contratado, no por el uso del programa), mientras que la opción de Microsoft más barata cuesta 7 € al mes.
Este nuevo paradigma facilita trabajar de forma colaborativa sobre un mismo documento. Por ejemplo, el traductor y el corrector podrían editar simultáneamente el mismo documento y aumentarían la productividad al evitar idas y vueltas vía correo electrónico de diferentes versiones del mismo documento.
Al editar directamente sobre la nube podemos acceder a nuestros ficheros y modificarlos en cualquier lugar, incluso desde el móvil, y sin necesidad de tener instalado ningún programa en el ordenador: un simple navegador es todo lo que se necesita. Esto significa que podemos meternos en el ordenador de un amigo o en un cíber cuando estamos de vacaciones por Tailandia, tener acceso a todos nuestros documentos y poder trabajar como desde casa.
Y ya puestos: en casa, ¿por qué necesitamos tener instalado el antivirus y Windows? Lo único que necesitamos es un navegador. Y para eso nos vale Ubuntu que, además de funcionar mejor que Windows, es gratuito.
Información en la nube, ¿cuáles son nuestros miedos?
Con el uso de los servicios de almacenamiento en la nube surgen dudas en cuanto a la propiedad, disponibilidad, seguridad y confidencialidad de la información que guardamos en la nube. Vayamos por partes.
Propiedad
Desde un punto de vista de propiedad intelectual, estamos seguros de que no perdemos ningún derecho sobre nuestro contenido.
La propiedad de la información que subimos a la nube está reglada por el acuerdo de servicio que aceptamos con el proveedor (esto es, Google, Microsoft o DropBox, por ejemplo). En cualquier servicio serio de este tipo (y las empresas de las que hablamos en este artículo son serias) garantizan que no adquieren derecho de propiedad sobre nada de lo que almacenemos en su servicio. Así que, desde un punto de vista de propiedad intelectual, estamos seguros de que no perdemos ningún derecho sobre nuestro contenido.
Disponibilidad y durabilidad
La disponibilidad (es decir, que nuestros datos y el servicio estén disponibles cuando los necesitemos) y la durabilidad de la información (esto es, que no vamos a perder nuestros datos ante cualquier tipo de evento) son dos conceptos en los que los proveedores en la nube trabajan incansablemente con el fin de mejorar sus ratios. Estas empresas obtienen índices de disponibilidad y durabilidad muy elevados, al mantener múltiples copias de la información en centros de datos diferentes. Es decir, aunque nosotros solo vemos un fichero en la nube, el proveedor mantiene más de una copia del mismo fichero en dos o más centros de datos diferentes, de forma que, por ejemplo, un incendio, una caída de energía o cualquier otro suceso que pueda afectar a un centro de datos no suponga pérdida de nuestra información, que se mantendrá a salvo en los otros centros. Aunque ni Google Drive ni OneDrive ni DropBox dan detalles sobre la durabilidad, Amazon S3 —un servicio con el que compiten— ofrece una durabilidad del 99,999999999 %. Google Drive publica una disponibilidad del 99,978 %. Podemos por tanto asegurar que los datos que almacenamos en la nube van a tener un menor riesgo de que los perdamos que si los almacenamos en casa: recordemos que el disco duro que tenemos en nuestro ordenador o sistema de copia de seguridad tiene una tasa de fallo mecánico media anual de 1,85 % y esto no tiene en cuenta los otros riesgos de los que hablamos anteriormente: caídas de café, cortocircuitos, etc.
Seguridad
La gente tiene la percepción de que nuestros datos están más expuestos en la nube que en nuestra casa, pero esta es una percepción falsa.
La seguridad, es decir, que un hacker no pueda acceder a la información, es otro punto caliente cuando hablamos de la nube. La gente tiene la percepción de que nuestros datos están más expuestos en la nube que en nuestra casa, pero esta es una percepción falsa. Las empresas de las que estamos hablando tienen cientos de personas velando por la seguridad de sus sistemas, creando arquitecturas que limitan el perímetro de los ataques, aplicando los últimos parches de seguridad que se conocen, contando con equipos que supervisan en todo momento los intentos de penetración que continuamente se lanzan sobre sus sistemas y actuando de forma inmediata ante cualquier ataque. Si comparamos esta protección con lo que ocurre en casa, donde la mayoría de la gente mantiene la contraseña que viene de fábrica de su wifi, a la que en ocasiones cualquier hacker casi inexperto puede acceder en menos de 5 minutos sin que el usuario se entere nunca, vemos que estamos ante el día y la noche…
De todos modos, no olvidemos que la seguridad es tan fuerte como el elemento más débil de la cadena. Y en este caso el eslabón más débil es el usuario. Si utilizamos como contraseña «password», «12345» o similares (no bromeo, la contraseña «password» es la más utilizada en internet), si repetimos la misma contraseña para diferentes servicios (amazon, google, hotmail, forocoches y el blog de Pepita) y si no utilizamos contraseñas fuertes (con letras mayúsculas y minúsculas de forma aleatoria), más que un eslabón débil seremos uno de calamina.
Para aumentar la seguridad recomiendo:
- Utilizar un gestor de contraseñas. Estos programas permiten tener acceso a todas las contraseñas de todos los servicios en los que estamos dados de alta simplemente recordando una única contraseña maestra (y, por favor, que esta sea fuerte). Personalmente el sistema que utilizo se llama LastPass.
Cada vez que me inscribo en un nuevo servicio, LastPass me ayuda a generar una nueva contraseña segura y aleatoria (por ejemplo «n7!pI8d0r8%2»), que queda almacenada y asociada al nuevo servicio en una base de datos en la nube, encriptada y a la que solo yo tengo acceso. Cuando quiero acceder al servicio, LastPass rellena la contraseña asociada al servicio por mí. Si no se quiere utilizar un gestor de contraseñas, una hoja de papel que llevemos doblada en la cartera con todas las contraseñas de todos los servicios en los que estemos suscritos también es una opción válida (aunque incómoda).
Utilizar, siempre que estén disponibles, mecanismos de autenticación multifactor.
- Utilizar, siempre que estén disponibles, mecanismos de autenticación multifactor. La seguridad por contraseñas se basa en algo que solo nosotros conocemos (la contraseña), pero puede verse aumentada si le añadimos algo que solo nosotros podemos poseer (por ejemplo, el teléfono móvil) o en algo que forma parte de nosotros (por ejemplo, la huella dactilar, el patrón de las venas de los ojos o la identificación de nuestro timbre de voz).
Google, Microsoft y Dropbox admiten una autenticación en dos pasos: primero tenemos que insertar nuestra contraseña y, si esta es válida, nos envían un mensaje a nuestro teléfono móvil con una clave que debemos introducir por pantalla para que nos dejen continuar. La autenticación biométrica todavía no está disponible para estos servicios, pero no me cabe duda de que pronto lo estará.
Confidencialidad
El último aspecto que quiero comentar es el de la confidencialidad, es decir, quién tiene acceso a nuestra información.
¿Podrían acceder a mis datos mientras los envío a la nube? No. Mientras enviamos la información a la nube esta viaja por un canal cifrado, por lo que, aunque alguien estuviese escuchando, no podría tener acceso a ella.
Cuando los datos se almacenan en la nube, Google, Microsoft o Dropbox se encargan de encriptarlos antes de que estos lleguen al disco.
¿Y qué pasa con los datos guardados en disco, pueden acceder a ellos? No. Cuando los datos se almacenan en la nube, Google, Microsoft o Dropbox se encargan de encriptarlos antes de que estos lleguen al disco. Además, guardan las contraseñas de encriptado en un lugar seguro, separadas de nuestra información, de forma que si alguien llegase a tener acceso a los discos donde está nuestro precioso trabajo, solo vería un galimatías de caracteres sin ningún sentido.
Si la NSA, el FBI o la Interpol quisiesen acceder a mis datos, podrían hacerlo requiriendo a Google, Microsoft o Dropbox acceso a las claves.
Si tuviera como cliente a la mafia rusa o fuera un friki de la ciberseguridad ¿utilizaría Google Drive, OneDrive o Dropbox? La verdad es que no, como tampoco utilizaría cuentas de correo gmail o hotmail. Si bien estaría tranquilo porque mis datos están a salvo de los chicos malos, no lo estaría tanto por los chicos buenos. Estas empresas disponen de las claves de cifrado para acceder y descodificar mis datos. Si la NSA, el FBI o la Interpol quisiesen acceder a mis datos, podrían hacerlo requiriendo a Google, Microsoft o Dropbox acceso a las claves.
Aun así, seguiría utilizando servicios en la nube. Hay alternativas «seguras» a los servicios de almacenamiento que hemos comentado en este artículo; por ejemplo, Tresorit que, a diferencia de los otros servicios, encripta los datos en mi ordenador antes de subirlos a la nube. Las claves de cifrado no se comparten con nadie, por lo que, aunque la policía requiriera los datos almacenados en la nube, la empresa no podría proporcionarlos de ninguna manera. El precio del servicio es un poco más caro que cualquiera de los anteriores, pero seguramente los servicios para la mafia rusa estén lo suficientemente bien pagados como para soportar la diferencia.
Espero haber demostrado que utilizar los servicios en la nube nos permite trabajar de forma más eficiente, más segura, más económica y más legal. La nube, ¿crimen y redención?
P. D.: Por si quedaba alguna duda, a pesar de que tengo licencia de MS Office de escritorio, este artículo lo he escrito con Google Documents, como casi todos los documentos que genero. La edición la he hecho desde dos ordenadores: mi PC personal con Windows 10 y un Ubuntu 16.04 que utilizo como estación de trabajo.
Miguel Cuervo Escribano
Es ingeniero industrial superior en la especialidad de electrónica. Formó parte del departamento de Arquitectura y Tecnología de Ordenadores de la Universidad de Oviedo durante tres años y trabajó en proyectos de investigación europeos. En 1996 se pasa a la empresa privada y empieza a trabajar para AMS (American Management System), una multinacional tecnológica americana. En 2004 AMS es adquirida por la multinacional canadiense CGI con 70 000 empleados y allí ocupó toda clase de puestos, tanto técnicos como de gestión y ventas: analista-programador, jefe de equipo, jefe de proyecto, responsable de cuenta, director de sector…, en proyectos nacionales e internacionales que incluyeron estancias en el extranjero (Reino Unido y Estados Unidos). Dejó la compañía con el rango de vicepresidente responsable de desarrollo de soluciones en el sur de Europa. En 2015, tras abandonar CGI después de 20 años de servicio, monta la start-up Nubizzi con el objetivo de facilitar a las empresas la migración a servicios en la nube.
