 |
 |
||||||||
|
|||||||||
| ||||||||||||
Contenido de la página dedicada a la Universidad de Alcalá y su entorno:
Ya hace tiempo que Vivat Academia viene informando sobre los problemas del servicio, sin que se hayan tomado medidas. Incluso el Prof. D. Julio Gutiérrez solicitó un punto del orden del día en Junta de Gobierno (con comparecencia del Director de los S.I.), sin que se tomara ninguna resolución al respecto. No hubo comparecencia del director y el vicerrector de Infraestructuras intentó minimizar el asunto, asegurando que se debía a la ignorancia del proponente del punto (?). Ahora "El Aprendiz nos envía la siguiente carta, a la que adjunta la página de entrada al portal que él mismo modificó, junto con una serie de correos electrónicos enviados por la citada Sección Sindical al Rectorado. Recomendamos su lectura porque la comunidad universitaria entera está afectada por el problema. Acerca de la "Guerra de Comunicados" en relación con los Servicios Informáticos de la UAH"El Aprendiz" Me pongo en contacto con ustedes a raíz de la publicación de un artículo en su revista "Vivat Academia" Nº 26 (Junio 2001): "Guerra de comunicados en relacióna los Servicios Informáticos". Desearía que el personal, alumnos y profesores de la Universidad de Alcalá estuvieran bien informados respecto de la seguridad de su entorno. Es un tema de gran importancia y, desgraciadamente, son muchos los afectados por una mala administración de la red informática. Les agradezco que hayan publicado dichos comunicados con distintas versiones sobre el tema de la seguridad en la Universidad, sin embargo, creo que la comunidad universitaria no está informada completamente de la gravedad del asunto y de que el problema les afecta individualmente como personal, profesorado o alumnado en distinta medida. Les adjunto un mensaje de correo del que no he modificado nada y sobre el que se pueden sacar algunas conclusiones. La contraseña que se especifica en dicho mensaje ya ha sido cambiada gracias a mi aviso, pero hay muchísimas más en el mismo caso. Lo único que ha cambiado desde entonces ha sido la instalación de un firewall que nuevamente está mal configurado, por no cubrir los accesos que debería, y, por tanto, se sigue pudiendo tener acceso total a todas las máquinas MS Windows del dominio ALCALA. Quiero dejar claro también que la persona con dirección mgila@latinmail.com no tiene nada que ver conmigo, ni lo conozco, ni hemos contactado nunca y corrobora lo que expresé públicamente. Creo que fui el primero en ponerlo de manifiesto (aunque no en denunciarlo) y, como imaginaba, no soy el único que conoce cómo entrar en los sistemas MS Windows de la Universidad de Alcalá, con lo cual la gravedad es mayor.
De: "Sección Sindical de CC.OO" <ssco@uah.es Para: "Rector de la Universidad de Alcalá" <rector@uah.es; "Gerente de la Universidad de Alcala" <gerente@uah.es; "Director Servicios Informaticos" <director.si@uah.es Asunto: Contestación de "El Aprendiz" al Comunicado de CC.OO. Fecha: lunes, 28 de mayo de 2001 13:04 Esta Sección Sindical de CC.OO. ha recibido un correo electrónico del hacker denominado "El Aprendiz" en contestación al Comunicado que sobre la falta de seguridad de los servicios informáticos de nuestra Universidad, se envió el pasado 24 de mayo de 2001 (se reenvía el texto al final de este escrito). Como se puede comprobar, en el citado correo electrónico se facilitan, no sólo los datos relativos a la cuenta de correo de esta Sección Sindical, sino incluso la contraseña. Es evidente que hasta la fecha no parece que se hayan tomado medidas efectivas para salvaguardar la seguridad de los datos, así como de las comunicaciones informáticas, cuya responsabilidad les corresponde a ustedes. Esta Sección Sindical de CC.OO., ante la gravedad de estos hechos, estudiará en profundidad las posibles medidas a adoptar frente a la dejadez de quienes son responsables de la seguridad de los servicios informáticos de nuestra Institución. SECCIÓN SINDICAL DE CC.OO. DE LA UNIVERSIDAD DE ALCALÁ
-----Mensaje original----- De: el_aprendiz@flashmail.com [mailto:el_aprendiz@flashmail.com] Enviado el: sábado, 26 de mayo de 2001 23:45 Para: ssco@uah.es Asunto: Acerca de su comunicado sobre SS.II. Hola: Me pongo en contacto con ustedes para aclarar ciertos aspectos de la modificación de la página inicial de la Universidad de Alcalá y realizar algún comentario sobre su comunicado. Quiero dejar claro que no pretendo nada más que se arreglen los fallos de seguridad existentes en la red de la Universidad de Alcalá. No culpo a nadie ni pido responsabilidades de ninguna persona en lo referente a la administración de la red. No persigo la dimisión de nadie, ni tampoco desprestigiar ninguna institución. Únicamente pretendo que se arregle esta situación (que se puede) antes de que ocurra algo grave. Respecto de la dimensión del problema, ya lo comenté en la página web modificada y puedo afirmar rotundamente que: toda información almacenada en cualquier máquina con sistema operativo Microsoft Windows que pertenezca al dominio ALCALA es susceptible de ser accedida, modificada y eliminada por cualquier persona. Asimismo, cualquier proceso ejecutado desde dichas máquinas hacia otras es susceptible de ser interceptado y, además, se puede suplantar la identidad de cualquier máquina MS Windows del dominio ALCALA. Sin duda alguna, son muchos los perjudicados: alumnos, profesores, personal administrativo, etc. Todos los que pertenecen al dominio ALCALA. Como muestra, les comento qué se puede obtener sin ni siquiera tener cuenta alguna en la Universidad de Alcalá: Nombre completo: Sección Sindical de CC.OO. Login: ssco Pertenencia a grupos: RAS y usuario del dominio ALCALA Días que hace que se cambió la contraseña: 1048 Veces que se ha utilizado la cuenta: 0 Y lo peor, contraseña: nhs609 Como puede ver, el sistema es bastante vulnerable. Y no crean que se tarda mucho en obtener su contraseña: conociendo que son 3 letras minúsculas y 3 dígitos, el diccionario a emplear es bastante pequeño desgraciadamente. No obstante, quiero que quede claro que no he utilizado su cuenta de usuario ni lo haré, pueden estar seguros. Perdón por transmitir su contraseña en texto claro. Borren este mensaje para que nadie la pueda leer, aunque han podido comprobar que es bastante fácil obtenerla. Hasta ahora no he recibido respuesta alguna de ningún responsable de Servicios Informáticos. Todo sigue EXACTAMENTE IGUAL. Para evitar que esto suceda, en mi humilde opinión y sirva como propuesta, se deberían tomar estas medidas a grandes rasgos: 1) Sustituir todos los sistemas operativos de Microsoft de todos los servidores y máquinas importantes del dominio ALCALA. Cualquier tipo de Unix es una buena opción y, si el presupuesto es un problema, la opción de cualquier GNU/Linux sería la más acertada ya que son de libre distribución, más estables y más seguros que los sistemas operativos de Microsoft. Sin duda alguna, todas las máquinas existentes serían más que suficientes ya que no consumen la excesiva cantidad de recursos que Microsoft Windows NT. 2) Si se sigue con el empecinamiento de mantener los sistemas operativos de Microsoft, estar al día en los múltiples parches de seguridad que se deben aplicar continuamente para estos sistemas operativos y establecer una configuración adecuada a la seguridad y no permitir acciones que vienen por defecto en estos sistemas operativos. 3) Aplicar una política de contraseñas con un planteamiento claro. Ocultar las máquinas importantes detrás de un cortafuegos. Establecer una política coherente de acceso y control a dichas máquinas e incluso impedir que se pueda acceder a ellas remotamente, ello implica configurar adecuadamente los puntos de acceso y los procesos encargados de mantener la seguridad. Para ello, basta con leer la ayuda que viene con los distintos Unix y los procesos encargados de ello se adquieren conjuntamente con el tipo de Unix elegido, cosa que no ocurre con Microsoft que, además, posee una exigua ayuda. 4) Por intentar tener control absoluto sobre todas las máquinas en una red tan amplia sin tener unas reglas preestablecidas claras, se ha invertido totalmente la situación: ahora cualquiera puede tener control sobre el total. Convendría distribuir el control en subcontroladores para cada área / edificio / facultad / departamento de manera jerárquica y tener un férreo control sobre dichos subcontroladores a los que se pueden delegar muchas funciones que no tendrían que realizar los encargados del nivel más alto y podrían dedicarse al control exclusivamente. 5) A medio plazo, sustituir la descontrolada asignación de IPs actual por una coherente con un poco más de previsión: la red privada existente de clase B es insuficiente y no sirve para nada si coexiste con direcciones públicas de manera bastante confusa y desordenada, debería asignarse un mayor control sobre los routers y cortar ahí el acceso desde fuera a las determinadas subredes internas, que deberían ser de otra clase para impedir el acceso y suplantación de identidad entre las subredes internas de la Universidad, que se pueden aislar perfectamente con los routers internos. Es decir, que se traspasaran las distintas subredes a través de los tramos ya existentes entre los routers internos mediante filtrado NAT hasta conseguir direccionamiento público en el acceso con RedIRIS. También les remito la página modificada original. Sin otro particular, un cordial saludo. "El aprendiz".
COMUNICADO DE LA SECCIÓN SINDICAL DE CC.OO. DE LA UNIVERSIDAD DE ALCALÁ EN RELACIÓN CON LA FALTA DE SEGURIDAD EN LOS SISTEMAS INFORMÁTICOS DE NUESTRA INSTITUCIÓN Recientemente se ha tenido conocimiento de la escasa seguridad que ofrecen los sistemas informáticos de la Universidad de Alcalá al haber irrumpido en la red informática de la misma una persona que ha llegado a modificar la página WEB de nuestra Institución, sustituyéndola por una nota en la que señalaba detalladamente los defectos y deficiencias de seguridad que presenta la administración de la red y las posibles soluciones. Estos hechos ha tenido eco incluso en el Semanario "Puerta de Madrid" (nº 1715 de 19 de mayo de 2001). La Sección Sindical de CC.OO. de la Universidad de Alcalá, dada la gravedad de los hechos, considera imprescindible manifestar lo siguiente: 1. Es imprescindible dimensionar la gravedad de lo ocurrido en su justa medida, y esto nos lleva a cuestionar si los gestores de la Universidad de Alcalá han adoptado las medidas de seguridad necesarias para preservar la confidencialidad de todos los datos que manejan (actas y notas académicas, títulos, datos personales de alumnos y trabajadores, datos económicos de los mismos, etc.). 2. A pesar de que los hechos detallados anteriormente se han producido, según parece, entre los días 5 y 6 de mayo de 2001, no se ha tomado ninguna medida hasta el momento, y esta circunstancia se ha podido constatar tras haber vuelto a ser sustituida la página WEB de la Universidad el día 21 de mayo de 2001. 3. Esta Sección Sindical de CC.OO. ha denunciado en reiteradas ocasiones la caótica situación de los Servicios Informáticos de la Universidad de Alcalá por carecer de un modelo definido, propio de una Institución dedicada a la docencia y la investigación, así como por la falta absoluta de planificación y objetivos básicos a medio y largo plazo; las consecuencias de todo ello las sufren todos los miembros de la Comunidad Universitaria día a día. Hoy añadimos a esta situación el bochorno, la vergüenza y el ridículo en el que se deja a nuestra Institución gracias a la dejadez de los responsables de estos servicios (Rector, Vicerrector de Infraestructuras y Gerenta) por no garantizar la seguridad de nuestros sistemas y dejar patente la vulnerabilidad de nuestra red informática. 4. Por último, desde la Sección Sindical de CC.OO. exigimos al Rector que informe a la Comunidad Universitaria de cuál es la dimensión real del problema, así como de las medidas adoptadas para evitar que hechos como éste vuelvan a suceder. Alcalá de Henares, 22 de mayo de 2001. LA SECCIÓN SINDICAL DE CC.OO. DE LA UNIVERSIDAD DE ALCALÁ. Volver al principio de la carta Volver al principio
Carta al Director del "Diario de Alcalá"Reproducimos esta interesante carta enviada al director del "Diario de Alcalá", publicada en su edición del lunes 2 de julio de 2001 LO QUE NOS ECHEN Me libre el "Padre" de la tentación del "distack". Sabios, sesudos, inteligentes y glamurosos profesionales dirigen, editan y hacen este periódico todos los días, lo que no es pequeña cosa. Al fin y al cabo, los lectores a lo nuestro, a leer lo que nos echen. Por ejemplo, la crónica precriticada de la fiesta de Gran Hermano, que saltando de la sección de televisión se viene hasta página noble de la ciudad para dar noticia gráfica y referenciada de lo acontecido en nuestra multifuncional Plaza de Toros por imperativo de adjudicación y cesión de parcela ¿a eso se referían? Pues vale. Ya se sabe que la noticia consiste en que un hombre muerde a un perro, o a un moldavo, por mucha filosofía que se editorialice. Salta también a página noble, desde la no menos noble sección de "Universidad" que desde hace algún tiempo acoge todo el protocolo rectoral y algún que otro evento periférico de nuestra querida y bien ponderada universidad local, y este tramo de semana desaparecida, la firma ¡por fín! del convenio que abre paso al Parque Científico Tecnológico. Ese mismo que se anuncia desde hace décadas y que con un poco de suerte, y cuando entre en funcionamiento, ya se habrá descubierto el misterio de la materia oscura del Universo. Pero justo es que ocupe lugar privilegiado en nuestro "nodo" local. Y aquí la cuestión epistolar que para empezar va de encuestas: esa que Rafael Simancas dice, en los noticiarios madrileños, haber realizado en toda la Comunidad ¡cielos! ¿ y la jefa de prensa de la FSM qué dice? Porque aquí se negó tres veces y nadie cuenta nada ahora. Y otra cosa ¿Qué pasa con el proyecto de macrovertedero en Los Santos de La Humosa? Porque vale la crónica social de un evento-debate del recientemente constituido Foro del Henares, pero al grano…algo más se sabrá o se habrá informado…en la web oficial del susodicho se cuentan cosas más perentorias que el ya clausurado y exitoso "Clásicos en Alcalá" que también se propala en la red. Les supongo a los promotores del tal Foro la mínima capacidad informativa. Y la última de la misiva: el topetazo en la bonita y gráfica sección de "gente" con un concurrido debate sobre la Ley Orgánica de Universidades, con presencia in corpore del Director General de Universidades ministerial entre otros ilustres. Esperaba uno algo más de información sustantiva, y en lugar correspondiente – la flamante sección Universidad por ejemplo – de un acontecimiento singular. Y también muchos universitarios de esta ciudad universitaria que se cuentan por miles. Al caso, somos ciudad patrimoniada, con vocación cultural y educativa, y el tema anda en danza mediática de primer nivel…pero así tendrá que ser…El Gran Hermano manda. Seguirá uno, eso sí, adquiriendo y leyendo este periódico que cuenta con mi máximo aprecio y respeto a mis colegas – lo que nos echen claro -. Y con ojo crítico que es lo divertido. Pedro Enrique Gómez Volver al principio de la carta Volver al principio |
|
