¿Se extinguieron los dinosaurios?

La respuesta a esta pregunta es un evidente sí. Sin embargo, si rehacemos la pregunta dentro del entorno de las TICs, no llegaremos a una respuesta tan tajante. A día de hoy, todavía podemos encontrar en los CPDs de todo el mundo sistemas que, por su fecha de aparición en el mercado, podrían considerarse arcaicos. Sin embargo, antiguo no es igual que obsoleto. Éste es el caso del conocido sistema de rango medio de IBM AS/400 - también conocido como iSeries, System i o IBM i for Power Systems -. Muchas compañías del sector financiero, de los seguros, de las grandes superficies, empresas logísticas y un largo etcétera, cuentan con este sistema como el corazón de sus infraestructuras tecnológicas.

Figura 1. Una familia de “Tyrannosaurus rex” en actitud desafiante.

Este sistema es considerado como uno de los sistemas más seguros, fiables y robustos. Incluso, algunos han llegado a manifestar que AS/400 es inmune a cualquier tipo de malware. Cuestión que, como muchos ya intuiréis, es falsa. Ya que el sistema invulnerable es aquel sistema no construido. Sin embargo, es interesante enumerar algunas de las características que hacen que este sistema sea capaz de alcanzar altas cotas de seguridad.

¿Por qué el sistema AS/400 puede alcanzar altas cotas de seguridad?

El sistema AS/400 fue uno de los primeros sistemas de propósito general en obtener el nivel C2 de la NSA. Las siguientes son algunas de las características que permitieron este hecho:

El sistema operativo del AS/400 (OS/400) es un sistema operativo basado en objetos. Un programa es un programa y un fichero es un fichero. Un programa no puede ser leído y/o actualizado como un fichero por medio de otro programa. Esto dificulta enormemente la creación de virus cuyo objetivo sea esta plataforma.

El sistema AS/400 es un sistema integrado. Incorpora su propio sistema de gestión de base de datos relacional y sus propios periféricos hardware. Esto último quiere decir que no se puede instalar hardware de terceros en el sistema con sus respectivos controladores. O, lo que es lo mismo, que no hay posibilidad de introducir código que se ejecute dentro del dominio kernel y que pueda “danzar por allí a sus anchas” (o, al menos, es estadísticamente improbable).

El sistema AS/400 incorporaba, desde sus comienzos, una máquina virtual con la que se pretendía aislar el código de aplicaciones de los posibles cambios futuros del hardware subyacente. Esta característica, por ejemplo, permitió el pase de la tecnología CISC a la tecnología RISC sin necesidad de modificar una línea de código por parte de los programadores de aplicaciones.

Todo programa de usuario es compilado, en una primera fase, a un lenguaje de tipo ensamblador y que es independiente de la arquitectura del procesador (MI). Posteriormente, un elemento llamado “el traductor de confianza” realiza una segunda compilación desde la representación MI hacia el código máquina nativo del procesador. El traductor de confianza realiza una verificación sobre el código para sólo traducir a código nativo aquellos programas con “un comportamiento correcto”.

El sistema AS/400 dispone de una pila de datos separada de otra pila de código. Esto imposibilita que ataques de desbordamiento de buffer basados en pila tengan éxito en este sistema. 

Prácticas de ingeniería conservativas. Es decir, se prima más la seguridad y la fiabilidad del sistema antes que el Time to market de nuevas características o funciones.

Sin embargo, la potencialidad de alcanzar altos niveles de seguridad no implica el hecho de alcanzarlos. De hecho, la experiencia demuestra que muchas instalaciones de AS/400 cuentan con implementaciones de seguridad ineficientes o inapropiadas.

¿Por qué hay instalaciones de AS/400 inseguras?

Existen varias razones por las que existen instalaciones de AS/400 inseguras:

Existe una falsa sensación de seguridad entre los clientes de la plataforma. El que el sistema incorpore numerosas herramientas y características de seguridad no sirve de nada si éstas no se activan y se configuran de forma correcta. 

Por el principio de seguridad por oscuridad, se piensa que el desconocimiento mayoritario de esta plataforma lo hace seguro. Hoy en día, existe numerosa información a alcance de cualquiera de cómo tratar de circunvalar la seguridad de esta plataforma. Es más, cuando la amenaza es de tipo APT (Advanced Persistent Thread), el principio de seguridad por oscuridad se desvanece como el amor en la pobreza. Muchos profesionales piensan que los creadores de malware y/o aquellos interesados en romper la seguridad de un sistema, buscarán objetivos que, por su popularidad y difusión, puedan otorgarles mayor notoriedad. Sin embargo, es conocido que en la actualidad los cibercriminales están más interesados en “hacer negocios” que en obtener fama. Los datos que normalmente se almacenan en un sistema AS/400 son para un cibercriminal como fruta fresca para las moscas en un día de verano. 

En un principio, el modelo de seguridad en este sistema se basaba en la restricción de las acciones del usuario final por parte de interfases basadas en menús. Aquel modelo debió morir cuando en el 1993 la plataforma incorporó una completa pila TCP/IP. Sin embargo, a día de hoy, muchas instalaciones se siguen basando en este modelo donde no se contemplan nuevos métodos de acceso (FTP, ODBC, etc.) Los sistemas AS/400 suelen estar ubicados, lógicamente y físicamente, en el centro de las infraestructuras tecnológicas. Por tanto, suelen estar bien “rodeados” de medidas de seguridad perimétricas y de red. Esto, en ocasiones, se interpreta como que es innecesario diseñar, configurar e implementar medidas y controles de seguridad en el propio sistema. Cuestión que rompe con la estrategia de la seguridad por capas o en profundidad. Además, deja el sistema abierto al 80% de los ataques. Ya que, como es conocido, el 80% de los ataques proceden del interior de la infraestructura y no del exterior.

Conclusiones

AS/400 es un sistema muy seguro, fiable y robusto, pero aún así es necesario realizar procesos de auditoría de seguridad en AS/400. El tener una alta capacidad de amar, por sí solo, no te hace un buen amante. Si piensas que estás a salvo de cualquier amenaza cibernética por disponer de un AS/400 como núcleo de tu sistema de información: ¡ Piénsalo otra vez !

Autor: Diego Camacho.