Las unidades flash USB seguras protegen los datos almacenados en ellos del acceso de usuarios no autorizados. Los productos de unidades flash USB han estado en el mercado desde 2000 y su uso está aumentando exponencialmente. [1] [2] Dado que tanto los consumidores como las empresas han aumentado la demanda de estas unidades, los fabricantes están produciendo dispositivos más rápidos con mayores capacidades de almacenamiento de datos .
En las empresas se utiliza un número cada vez mayor de dispositivos portátiles, como ordenadores portátiles , portátiles , asistentes digitales personales (PDA), teléfonos inteligentes , unidades flash USB y otros dispositivos móviles.
Las empresas, en particular, corren un riesgo cuando los empleados que utilizan los dispositivos para transportar datos fuera de la oficina almacenan datos confidenciales en unidades flash USB no seguras . Las consecuencias de perder unidades cargadas con dicha información pueden ser significativas, incluida la pérdida de datos de clientes, información financiera, planes comerciales y otra información confidencial, con el riesgo asociado de dañar la reputación.
Principales peligros de las unidades USB
Las unidades flash USB plantean dos desafíos importantes para la seguridad del sistema de información: la fuga de datos debido a su pequeño tamaño y ubicuidad y el compromiso del sistema a través de infecciones de virus informáticos , malware y spyware .
Fuga de datos
La gran capacidad de almacenamiento de las unidades flash USB en relación con su pequeño tamaño y bajo costo significa que su uso para el almacenamiento de datos sin controles operativos y lógicos adecuados puede representar una seria amenaza para la disponibilidad, confidencialidad e integridad de la información. Se deben tener en cuenta los siguientes factores para asegurar activos importantes:
- Almacenamiento: las unidades flash USB son difíciles de rastrear físicamente, ya que se almacenan en bolsas, mochilas, estuches para computadoras portátiles, chaquetas, bolsillos de pantalones o se dejan en estaciones de trabajo desatendidas.
- Uso: el seguimiento de los datos corporativos almacenados en unidades flash personales es un desafío importante; las unidades son pequeñas, comunes y en constante movimiento. Si bien muchas empresas tienen políticas de administración estrictas para las unidades USB y algunas empresas las prohíben por completo para minimizar el riesgo, otras parecen desconocer los riesgos que estos dispositivos representan para la seguridad del sistema.
El costo promedio de una violación de datos de cualquier fuente (no necesariamente una unidad flash) varía de menos de $ 100,000 a aproximadamente $ 2.5 millones. [1]
Una encuesta de SanDisk [3] caracterizó los datos que los usuarios finales corporativos copian con más frecuencia:
- Datos del cliente (25%)
- Información financiera (17%)
- Planes de negocio (15%)
- Datos de empleados (13%)
- Planes de marketing (13%)
- Propiedad intelectual (6%)
- Código fuente (6%)
Ejemplos de violaciones de seguridad resultantes de unidades USB incluyen:
- En el Reino Unido:
- HM Revenue & Customs perdió datos personales de 6.500 titulares de pensiones privadas
- En los Estados Unidos:
Infecciones de malware
En los primeros días de los virus informáticos, el malware y el software espía, el principal medio de transmisión e infección era el disquete . Hoy en día, las unidades flash USB desempeñan la misma función de almacenamiento y transferencia de datos y software que el disquete, que a menudo se usa para transferir archivos entre computadoras que pueden estar en diferentes redes, en diferentes oficinas o propiedad de diferentes personas. Esto ha convertido a las unidades flash USB en una de las principales infecciones del sistema de información. Cuando una pieza de malware ingresa a una unidad flash USB, puede infectar los dispositivos a los que posteriormente se conecta esa unidad.
La prevalencia de infección de malware por medio de una unidad flash USB se documentó en un estudio de Microsoft de 2011 [6] que analizó datos de más de 600 millones de sistemas en todo el mundo durante la primera mitad de 2011. El estudio encontró que el 26 por ciento de todas las infecciones de malware del sistema Windows se debieron a que las unidades flash USB explotaban la función AutoRun en Microsoft Windows . Ese hallazgo estaba en línea con otras estadísticas, como el informe mensual del malware más comúnmente detectado por la compañía antivirus ESET, que enumera el abuso de autorun.inf como la primera entre las diez principales amenazas en 2011. [7]
El archivo autorun.inf de Windows contiene información sobre programas destinados a ejecutarse automáticamente cuando un usuario de PC con Windows accede a medios extraíbles (a menudo unidades flash USB y dispositivos similares). La configuración de ejecución automática predeterminada en las versiones de Windows anteriores a Windows 7 ejecutará automáticamente un programa enumerado en el archivo autorun.inf cuando acceda a muchos tipos de medios extraíbles. Muchos tipos de malware se copian a sí mismos en dispositivos de almacenamiento extraíbles: aunque este no es siempre el mecanismo de distribución principal del programa, los autores de malware a menudo incorporan técnicas de infección adicionales.
Algunos ejemplos de malware propagado por unidades flash USB incluyen:
Soluciones
Dado que la seguridad de la unidad física no se puede garantizar sin comprometer los beneficios de la portabilidad, las medidas de seguridad se dedican principalmente a hacer que los datos de una unidad comprometida sean inaccesibles para usuarios no autorizados y procesos no autorizados, como los que pueden ejecutar el malware. Un enfoque común es cifrar los datos para su almacenamiento y escanear de forma rutinaria las unidades flash USB en busca de virus informáticos, malware y software espía con un programa antivirus , aunque existen otros métodos posibles.
Cifrado de software
Las soluciones de software como BitLocker , DiskCryptor y el popular VeraCrypt permiten cifrar el contenido de una unidad USB de forma automática y transparente. Además, Windows 7 Enterprise, Windows 7 Ultimate y Windows Server 2008 R2 proporcionan cifrado de unidad USB mediante BitLocker to Go. El sistema operativo Apple Computer Mac OS X ha proporcionado software para el cifrado de datos de disco desde que se lanzó Mac OS X Panther en 2003 (consulte también: Utilidad de Discos ). [ cita requerida ]
Se puede instalar software adicional en una unidad USB externa para evitar el acceso a los archivos en caso de que la unidad se pierda o sea robada. La instalación de software en las computadoras de la empresa puede ayudar a rastrear y minimizar el riesgo al registrar las interacciones entre cualquier unidad USB y la computadora y almacenarlas en una base de datos centralizada. [ cita requerida ]
Cifrado de hardware
Algunas unidades USB utilizan cifrado de hardware en el que los microchips dentro de la unidad USB proporcionan un cifrado automático y transparente. [8] Algunos fabricantes ofrecen unidades que requieren que se ingrese un código pin en un teclado físico en el dispositivo antes de permitir el acceso a la unidad. El costo de estas unidades USB puede ser significativo, pero está comenzando a caer debido a que este tipo de unidad USB está ganando popularidad.
Los sistemas de hardware pueden ofrecer características adicionales, como la capacidad de sobrescribir automáticamente el contenido de la unidad si se ingresa una contraseña incorrecta más de un cierto número de veces. Un sistema de software no puede proporcionar este tipo de funcionalidad, ya que los datos cifrados pueden simplemente copiarse desde la unidad. Sin embargo, esta forma de seguridad de hardware puede resultar en la pérdida de datos si es activada accidentalmente por usuarios legítimos y los algoritmos de cifrado fuertes esencialmente hacen que dicha funcionalidad sea redundante.
Dado que las claves de cifrado utilizadas en el cifrado de hardware normalmente nunca se almacenan en la memoria de la computadora, técnicamente las soluciones de hardware están menos sujetas a ataques de " arranque en frío " que los sistemas basados en software. [9] Sin embargo, en la realidad, los ataques de "arranque en frío" suponen poca (si es que hay alguna) amenaza, suponiendo que se tomen precauciones de seguridad básicas y rudimentarias con sistemas basados en software.
Sistemas comprometidos
La seguridad de las unidades flash encriptadas es probada constantemente por piratas informáticos individuales, así como por empresas de seguridad profesionales. En ocasiones (como en enero de 2010) se descubrió que las unidades flash que se han posicionado como seguras estaban mal diseñadas, por lo que brindan poca o ninguna seguridad real, dando acceso a los datos sin el conocimiento de la contraseña correcta. [10]
Las unidades flash que se han visto comprometidas (y se afirma que ahora están reparadas) incluyen:
- SanDisk Cruzer Enterprise [11]
- Kingston DataTraveler BlackBox [12]
- Unidad flash USB segura corporativa Verbatim [13]
- Tecnología de Trek ThumbDrive CRYPTO [10]
Todas las empresas mencionadas reaccionaron de inmediato. Kingston ofreció unidades de reemplazo con una arquitectura de seguridad diferente. SanDisk, Verbatim y Trek lanzaron parches.
Gestión remota
En entornos comerciales, donde se utilizan las unidades USB más seguras, [1] un sistema de gestión central / remoto puede proporcionar a las organizaciones un nivel adicional de control de activos de TI, reduciendo significativamente los riesgos de una filtración de datos dañina. Esto puede incluir la implementación inicial del usuario y la administración continua, recuperación de contraseñas, respaldo de datos, seguimiento remoto de datos confidenciales y terminación de cualquier unidad USB segura emitida. Estos sistemas de gestión están disponibles como software como servicio (SaaS), donde se permite la conectividad a Internet, o como soluciones detrás del firewall.
Ver también
- Ley de Portabilidad y Responsabilidad de Seguros de Salud (HIPAA) (el traslado de datos confidenciales requiere cifrado).
- Cruzer Enterprise
- Remanencia de datos
- IronKey
- Tecnología Kingston
Referencias
- ^ a b c ENISA (PDF) , junio de 2006, archivado desde el original (PDF) el 19 de febrero de 2009
- ^ Unidades flash USB seguras . Agencia de la Unión Europea para la Seguridad de las Redes y la Información. 1 de junio de 2008. ISBN 978-92-9204-011-6. Consultado el 21 de julio de 2014 .
- ^ Encuesta de SanDisk , abril de 2008
- ^ Swartz, Jon (16 de agosto de 2006). "Las unidades pequeñas causan grandes problemas" . USA Today .
- ^ Watson, Paul (10 de abril de 2006). "El mercado afgano vende unidades flash militares estadounidenses" . Los Angeles Times .
- ^ Volumen 11 del informe de inteligencia de seguridad de Microsoft, enero-junio de 2011.
- ^ Informe de amenazas globales, diciembre de 2011.
- ^ Gestión jerárquica con criptografía b² , GoldKey (consultado en enero de 2019)
- ^ Informe técnico: Cifrado basado en hardware frente a cifrado basado en software en unidades flash USB , SanDisk (junio de 2008)
- ^ a b "SySS rompe otra unidad flash USB" (PDF) . Archivado desde el original (PDF) el 19 de julio de 2011 . Consultado el 6 de diciembre de 2016 .
- ^ [1] Archivado el 6 de enero de 2010 en la Wayback Machine.
- ^ "Copia archivada" . Archivado desde el original el 3 de enero de 2010 . Consultado el 7 de enero de 2010 .CS1 maint: copia archivada como título ( enlace )
- ^ "Verbatim Europa - Almacenamiento de datos, consumibles informáticos y de imágenes" . Verbatim.com . Consultado el 10 de febrero de 2014 .
enlaces externos
- Análisis de unidades flash USB en un entorno virtual , por Derek Bem y Ewa Huebner, Small Scale Digital Device Forensics Journal, vol. 1, No 1, junio de 2007 (archivado desde el original el 19 de octubre de 2013)
- Perspectiva de Dataquest: tendencias del mercado de unidades flash USB en todo el mundo, 2001–2010, Joseph Unsworth, Gartner, 20 de noviembre de 2006.
- Computerworld Review: 7 Secure USB Drives , por Bill O'Brien, Rich Ericson y Lucas Mearian, marzo de 2008 (archivado desde el original el 17 de febrero de 2009)
- BadUSB - Sobre los accesorios que vuelven malvados en YouTube , por Karsten Nohl y Jakob Lell