Tecnologías de la Información y más...

Todas las tecnologías para el desarrollo de aplicaciones web, son inherenemente inseguras. Ya sea por errores de implementación, por errores en el código de la tecnología, etc.. Y es por eso que usualmente se acostumbra no dar muchos detalles al público en general acerca de lo que se utilizó para su creación.

Por supuesto existen los casos donde lo que se quiere es dar a promocionar la tecnología, pero incluso en esta modalidad se cuida mucho el hablar de versiones y/o datos en específico.

También es relativamente fácil (por la misma naturaleza del web), el poder darse una idea de la tecnología utilizada en una aplicación. Ya sea por las extensiones de los recursos, revisando los headers, incluso viendo el html generado por la misma aplicación. Sin embargo como lo mencionaba con un compañero de trabajo, haciendo una analogía que es lo mismo cuando dejas a tu vehiculo muy bien protegido y esto no te garantiza que esté 100% seguro, pero quizas que el maleante la piense dos veces y mejor busque una víctima mas fácil.  Es un hecho que si alguien quiere hacerte daño lo va a hacer, y va a buscar diferentes mecanismos para poder encontrar tu información (hackeo, espionaje social, etc...), sin embargo eso no quita que como buena práctica no expongas tu información a campo abierto.

Hoy navegando me encontré con un portal que exhibe la siguiente información:

 Tecnología utilizada  

Servidor : Este sitio corre bajo Internet Information Server 6.0
Sistema Operativo : Windows 2003 Server SP2
Base de Datos : SQL Server
Lenguajes de programación : Este sitio fue desarrollado bajo tecnología .NET, utilizando C#, VB y JavaScript.

Como lo mencioné anteriormente quizas la mayoría si no es que toda la información podría deducirse sin necesidad que lo pongan o no, sin embargo el simple hecho de saber que corren con un service pack en específico y están sobre una versión  de IIS.

¿Consideran una buena practica el no publicar este tipo de información?

Como la mayoría de los empleados dentro de corporativos, estoy bajo la política de cambiar mi contraseña cada cierto tiempo y de no poder reutilizar ninguna de las tres anteriores. El hecho de estar creando nuevas contraseñas (y sobre todo recordarlas) personalmente es muy latoso. Hace aproximadamente 3 meses comencé a usar passphrases (frases como contraseñas), las cuales son bastante largas (la que uso actualmente es de 33 caracteres, sin embargo es super sencilla de utilizar. Lo mas interesante es que la combinación de estos 33 caracteres (aún cuando todas las palabras existen en el diccionario) sería muy difícil de adivinar con ataques de fuerza bruta.

Si a esto le aunas el uso de errores de ortografía intencionales, el cambio de alguna letra por otra, el uso de mayúsculas y minúsculas, se hace aún mas complejo el poder detectarlas. Les recomiendo que intenten el uso de frases, les garantizo que no van a necesitar anotarlas en un post it, u olvidandolas a cada rato.

¿Has implementado algún tipo de seguridad adicional a contraseñas en tu empresa? Como tarjetas de acceso, passphrases, etc...