[01/10/2000]
Cortafuegos: la mejor defensa

Hackers, virus, contenido activo malicioso, violación de la intimidad, son sólo algunos de los peligros que acechan en Internet. Los cortafuegos representan la forma más eficiente de conectar su red al resto del mundo, y aun así permanecer protegido, bloqueando las amenazas antes de que lleguen hasta su ordenador.

Los grandes medios de comunicación se hacen eco diariamente de noticias relacionadas con incidentes de seguridad en Internet: virus transmitidos a través del correo electrónico, ataques coordinados a sitios web comerciales, intrusión en servidores de comercio electrónico con robo de tarjetas de crédito de sus clientes y otros sucesos parecidos. Los hackers se están convirtiendo en noticia con alarmante frecuencia y todo el mundo los teme.
En las páginas underground sobre hacking se ofrecen herramientas gratuitas de inusitada versatilidad y potencia para escaneo de puertos y detección de vulnerabilidades, que permiten localizar agujeros en los sistemas explorados con ellas. En las mejores de estas páginas también se ofrecen explicaciones de cómo explotar estos agujeros para hacerse con el control total de la máquina atacada. Habida cuenta de la facilidad con que se obtienen, instalan y ejecutan estas herramientas, y dada la cantidad de información detallada acerca de agujeros, vulnerabilidades y caminos para explotarlas, resulta que prácticamente cualquiera con un ordenador y una conexión a Internet puede atacar con éxito una extraordinaria cantidad de sistemas en línea.
Si bien es verdad que para los que se conectan con un módem de 56 Kbps, los hackers no representan un problema serio, cada vez más ordenadores utilizan conexiones de alta velocidad por RDSI, ADSL o cable con tarifa plana para permanecer en línea 24 horas al día. Cuanto mayor es el tiempo que un usuario pasa conectado, mayor es el riesgo de intrusión. En esta situación, toda precaución que se tome para protegerse es poca.
Nadie permanece a salvo, ni siquiera los usuarios domésticos o las pequeñas empresas, sin importar si su ordenador almacena información valiosa o ficheros irrelevantes. Un hacker puede querer penetrar en un ordenador para ejercitarse, para utilizarlo como puente para atacar otros sistemas o, simplemente, por el sádico placer de destruir. Cualquier sistema, desde el momento en que se encuentra conectado a Internet, puede convertirse en blanco. Los cortafuegos (firewalls, en inglés), sin ser la panacea de la seguridad informática, representan un poderoso muro de protección entre su ordenador o su red interna e Internet, barrera que conviene instalar en todo sistema que esté conectado a Internet 24 horas al día, por modesto que sea.

Qué son los cortafuegos
En su acepción común, un cortafuegos es una vereda ancha que se deja en los sembrados y montes para que no se propaguen los incendios. Su análogo informático persigue el mismo objetivo: aislar su red interna del resto del mundo, como si del foso de una fortaleza medieval se tratara, proporcionando un único punto de entrada y salida. El cortafuegos restringe el acceso de usuarios externos a la red interna y de usuarios internos al exterior, que tiene lugar exclusivamente a través de un punto cuidadosamente controlado (algo así como el puente levadizo); de esta forma se evita que los atacantes alcancen otras defensas interiores y que se produzcan filtraciones de información desde dentro, como las causadas por troyanos. Por este motivo, el cortafuegos se instala en el punto en el que su red interna se conecta con Internet.
Dado que todo el tráfico que entra desde Internet o sale desde la red interna lo hace a través del cortafuegos, éste puede examinarlo y posee la potestad de decidir si es aceptable o no y si lo retransmitirá a su destinatario. Ahora bien, es fundamental definir correctamente lo que significa “aceptable”. Para ello se confecciona una política de seguridad en la que se establece claramente qué tipo de tráfico está permitido, entre qué origen y qué destino, qué servicios se habilitan, qué contenidos se admiten, etc. Dependiendo del caso concreto, existirán políticas altamente restrictivas, en las que prácticamente nada está permitido, y otras muy permisivas, en las que no se habilitan apenas prohibiciones. La clave reside en alcanzar un compromiso entre sus necesidades de seguridad y su comodidad.

Qué ofrece un cortafuegos
1- Aislamiento de Internet. La misión de un cortafuegos es aislar su red privada de Internet, restringiendo el acceso hacia/desde su red sólo a ciertos servicios, a la vez que analiza todo el tráfico que pasa a través de él. Cuando una red de una empresa se conecta directamente a Internet, entonces todos los ordenadores pueden acceder a direcciones en el exterior y pueden ser igualmente accedidos desde fuera, exponiéndose a todo tipo de ataques, especialmente si la conexión es ininterrumpida. Si cualquiera de los ordenadores de la intranet sucumbe ante un atacante, el resto de la red local queda amenazada. El cortafuegos actúa de pantalla, permitiendo sólo aquellos servicios que se consideren como seguros (por ejemplo, sólo correo electrónico y navegación, o cualquier otra elección definida en la política de seguridad), mientras que se prohiben los superfluos o los potencialmente peligrosos.
2- Cuello de botella. El cortafuegos se constituye en un cuello de botella, que mantiene a los atacantes y peligros alejados de la red a proteger; prohibe en los dos sentidos servicios susceptibles a ataques; y proporciona protección ante algunos tipos de ataques basados en el enrutamiento de paquetes. El cortafuegos representa el enfoque de seguridad conocido como defensa perimetral, en la que se busca concentrar la administración y monitorización de la seguridad de la red en un solo punto en vez de intentar proteger a fondo cada una de las máquinas de la red, enfoque alternativo conocido como defensa en profundidad. Por supuesto, la mejor estrategia para la seguridad global hará uso de ambos enfoques, perfectamente complementarios. Dado que todo intento de conexión debe pasar por él, un cortafuegos adecuadamente configurado puede alertarle cuando detecta actividades sospechosas que pueden corresponder a intentos de penetración en su red o tentativas de enviar información desde ella, como los que realizarían troyanos que se hubieran colado dentro. Si, careciendo de cortafuegos, las intentonas de intrusión se realizaran sobre máquinas aisladas de la red, podría transcurrir mucho más tiempo antes de que se advirtieran, o incluso llegar a materializarse en un ataque con éxito antes de ser descubiertas.
3- Auditoría y registro de uso. El cortafuegos constituye un buen lugar donde recopilar información sobre el uso de la red. En su calidad de punto único de acceso, el cortafuegos puede registrar toda la actividad entre la red exterior y la interior. Con todos estos datos, el administrador puede posteriormente estudiar estadísticamente el tipo de tráfico, las horas de mayor carga de trabajo, el ancho de banda consumido y, por supuesto, todos los intentos de intrusión o las pistas dejadas por un atacante.
4- Seguridad de contenidos. Existen otras amenazas como los virus y el contenido activo malicioso, frente a las cuales los mejores cortafuegos ofrecen una protección limitada. La inspección antivirus del material transmitido a través de servicios como el correo electrónico, la Web o FTP es una característica incorporada por un número cada vez mayor de cortafuegos. Presenta el problema de consumir muchos recursos, ya que se deben descomprimir o decodificar ciertos ficheros (ZIP, MIME, Uuencode), escanearlos y tomar una decisión antes de retransmitirlos dentro de la red. A los virus se une la amenaza de programas en Java, controles ActiveX, guiones en JavaScript o en VisualBasic Script, que pueden ser potencialmente peligrosos, bien formando parte del contenido de un mensaje de correo o de una página web. Algunos cortafuegos bloquean también este tipo de contenido cuando resulta sospechoso. No obstante, el software de antivirus debería instalarse y ejecutarse regularmente en todas las estaciones de trabajo, ya que el cortafuegos no puede ofrecer una protección 100% segura ante estos peligros.
5- Autenticación. La determinación de la identidad de las personas o entidades que acceden a la red protegida, a través de servicios como HTTP, FTP o Telnet, resulta crítica en la mayoría de los entornos. Esta autenticación se logra tradicionalmente mediante nombres de usuario y contraseñas. Sin embargo, no puede considerarse una técnica fiable cuando los requisitos de seguridad son severos. En su lugar, algunos cortafuegos permiten autenticarse utilizando métodos más sofisticados, basados en tarjetas inteligentes, contraseñas de un solo uso, llaves hardware, etc. Traducción de direcciones de red (Network Address Translation –NAT–) Otras funciones adicionales que puede realizar el cortafuegos es la de ocultar el rango de direccionamientos internos de la empresa, realizando una traducción de direcciones. De esta manera, resulta posible contar con sólo una dirección válida (o un rango reducido de direcciones válidas en Internet) y disponer de un gran número de direcciones privadas para las máquinas internas no enrutables en Internet. Gracias al NAT, las direcciones de las máquinas internas quedan efectivamente ocultas para el exterior.

De qué no protege un cortafuegos
A pesar de todas sus virtudes y ventajas, los cortafuegos no suponen la solución definitiva a todos los problemas de seguridad. Existen amenazas fuera del alcance del cortafuegos, contra las cuales deben buscarse otros caminos de protección. Veamos los tipos de ataques.
Ataques desde el interior. El mayor número de ataques informáticos y de robos de información es perpetrado por gente de la propia organización, empleados desleales o espías infiltrados. Sería absurdo creer que el cortafuegos le protegerá frente a filtraciones de información. Resulta mucho más sencillo y práctico copiar la información confidencial de interés a un disquete o a un CD-ROM y salir con él en el bolsillo. La filtración de información no tiene por qué ser deliberada: a menudo los usuarios más ingenuos caen víctimas de ataques de ingeniería social y revelan confiadamente contraseñas de acceso y otros secretos.
Ataques que no pasan por el cortafuegos. Los accesos vía módem a ordenadores de la red no son filtrados por el cortafuegos, por lo que nada puede hacer en estas situaciones. Se los conoce como puertas traseras a la red, ya que permiten entrar sin pasar por la puerta principal (el cortafuegos). Representan una de las formas favoritas de intrusión de hackers en redes fuertemente protegidas. La política de seguridad debería recoger claramente este punto, ya que se trata en muchos casos de un problema de educación del personal.
Infección de virus sofisticados. A pesar de la protección antivirus y de contenido malicioso que proporcionan algunos cortafuegos, la variedad de plataformas y redes, la diversidad de codificaciones de ficheros binarios y la mutabilidad de los virus, vuelven esta labor extraordinariamente difícil. Por este motivo, la defensa antivirus nunca se debería concentrar exclusivamente en el cortafuegos (defensa perimetral), sino que debería extenderse a todas las máquinas de la red (defensa en profundidad), que deberán contar con su software antivirus debidamente actualizado. En materia de virus, el cortafuegos debe considerarse solamente como una primera línea de defensa, nunca como la barrera absoluta.
Ataques basados en datos. Existen ataques basados en fallos en programas que se ejecutan en el servidor, como sendmail o ghostscript, o programas en CGI diseñados para comercio electrónico o gestión de datos. Dado que muchos de ellos se acceden a través de protocolos permitidos por el cortafuegos, éste se ve impotente a la hora de impedir que se lleven a efecto. Para una descripción más detallada (véase el recuadro Ataques por la puerta grande).
Ataques completamente nuevos. El ingenio de los hackers siempre corre un paso por delante de los diseñadores de aplicaciones de protección. Con el tiempo, descubren nuevas formas de ataque utilizando servicios considerados seguros o inventando ataques que no se le habían ocurrido a nadie antes. Aunque los buenos cortafuegos protegen de los ataques conocidos y otros aún por descubrir, no son un pasaporte de seguridad total para siempre.

Tecnologías de cortafuegos en Internet
Los cortafuegos suelen construirse utilizando alguna de las tecnologías siguientes: filtrado de paquetes, pasarelas de aplicaciones o la inspección multinivel de estados. Los productos más sofisticados y seguros hacen un uso combinado de ellas para proporcionar la máxima protección frente a todo tipo de ataques.

1- Filtrado de paquetes
Los enrutadores (routers) de filtrado de paquetes sirven para enrutar paquetes entre las máquinas internas y las externas, pero de forma selectiva, ya que permiten o rechazan ciertos paquetes según los criterios reflejados en la política de seguridad de la empresa a proteger. Es decir, trabajan a nivel de red. Dado que los servidores para ciertos servicios particulares de Internet residen en puertos predeterminados (véase recuadro Paquetes en Internet), el enrutador puede bloquear o permitir ciertas conexiones sin más que especificar el número de puerto apropiado en el conjunto de reglas de filtrado. Igualmente, se pueden bloquear todas las conexiones procedentes de sistemas de los que se desconfía, basándose en la dirección IP de la máquina que intenta conectarse.

Puntos fuertes
- Dado que la mayor parte del software de enrutadores ya incorpora la capacidad de filtrado de paquetes, resulta muy rápido y económico instalar un control basado en esta solución, ya que no se necesitaría comprar software ni hardware adicional.
- Si el número de reglas creadas no es muy elevado, tampoco llega a imponer una sobrecarga importante de procesamiento en el enrutador, por lo que el rendimiento de la red no se verá afectado.
- No suelen correr sobre sistemas operativos generales, como Unix o NT, por lo que no son vulnerables a ataques contra ellos.
- Una ventaja importante es que resultan totalmente transparentes, por lo que las máquinas de la red no necesitan que se les instale software adicional ni que los usuarios tengan que hacer nada especial.

Debilidades
- Definir las reglas de filtrado puede convertirse en una tarea muy complicada, ya que existen muchos recovecos en la especificación de los servicios de Internet y de los protocolos que, si no se conocen a fondo para su correcta configuración, pueden dejar abierta la puerta a ataques variados (ataques de falsificación de dirección IP origen, ataques de enrutamiento de origen, ataques de fragmentación, etc.).
- Además, cuanto mayor sea el número de reglas, menor será el rendimiento del enrutador, que en principio está diseñado únicamente para enrutar paquetes, no para tomar decisiones acerca de si debería o no debería hacerlo.
- Por último, no debe perderse de vista que el filtrado de paquetes, por operar a un nivel tan bajo, desconoce el contenido de los paquetes. Aunque puede bloquear un servicio, si lo acepta no es capaz de bloquear selectivamente ciertos comandos del servicio o rechazar ciertos contenidos, por lo que son susceptibles a ataques basados en datos. Este tipo de control debe prestarse a más alto nivel, para lo que existen las pasarelas de aplicaciones.

2- Pasarelas de aplicaciones
La idea básica de un servidor proxy es actuar de pasarela (gateway) entre su máquina o su red e Internet, trabajando a nivel de aplicación. El proxy espera a una petición desde la red interna y la reexpide al servidor remoto en el exterior, lee la respuesta y la envía de vuelta al cliente. Igualmente funcionaría para clientes en el exterior que quisieran conectarse con un servidor en el interior de la red protegida. De esta forma, el cliente y el servidor no se ven uno a otro cara a cara, sino que solamente ven al proxy, que actúa de intermediario entre ambos, de forma más o menos transparente, gestionando toda su comunicación y creando la ilusión de que el cliente está hablando con el servidor. El proxy puede además evaluar las peticiones del cliente y decidir cuáles acepta o ignora, basándose en la política de seguridad de la compañía. Por ejemplo, podría prohibir ciertos comandos de FTP, como el put, mientras que los más sofisticados pueden incluso restringir contenidos, por ejemplo, bloqueando los URL de páginas pornográficas. Las pasarelas de nivel de aplicación a menudo se denominan bastiones, en cuanto que están especialmente protegidas ante ataques, diseñadas con la máxima seguridad posible en mente: ejecutan una versión segura del sistema operativo, normalmente tipo Unix; sólo permanecen instalados los servicios que se consideran seguros y absolutamente necesarios; antes de que los usuarios accedan a los servicios proxy, pueden requerirles autenticación fuerte, por ejemplo, basada en tarjetas inteligentes y certificados digitales; no tienen por qué soportar todos los comandos y funcionalidades de los servicios que ofrecen, ya que pueden eliminar los más problemáticos; no suelen realizar accesos a disco una vez que han leído su propia configuración; y otras características que los vuelven menos vulnerables que las máquinas convencionales.

Puntos fuertes
-Proporcionan al administrador de red un control absoluto sobre los servicios a los que los usuarios tienen acceso, ya que sólo pueden utilizar aquellos servicios soportados por el proxy y, dentro de cada servicio, sólo los comandos permitidos.
- Dado que las aplicaciones proxy son componentes software ejecutándose en el bastión, se trata del lugar ideal para realizar registros de actividad (logging), informes de auditoría y controles de acceso.
- Pueden utilizarse como traductores de direcciones de red (NAT), ya que por ellas pasa todo el tráfico en uno y otro sentido, por lo cual pueden enmascarar la dirección de las máquinas de la red interna.
- Por último, hay que tener en cuenta que la definición de las reglas de filtrado a nivel de aplicación es mucho más sencilla que a nivel de paquete, pudiendo implementar reglas más conservadoras con mayor flexibilidad.

Debilidades
- Los más antiguos requieren que el usuario de la red interna instale software de cliente especial para cada servicio proxy al que se conecta, o bien que, utilizando el software de cliente habitual, siga ciertas instrucciones especiales de uso. Nuevas aplicaciones de Internet exigían escribir e instalar nuevos servicios proxy en el cortafuegos y nuevos clientes proxy en los ordenadores de los usuarios. Actualmente, los modernos cortafuegos de nivel de aplicación son completamente transparentes para los usuarios finales.
- El hecho de tener una aplicación corriendo entre el usuario y el servidor puede redundar en degradación del rendimiento, si son muchos los servicios proxy en la misma máquina y si las reglas de filtrado son muy complejas.
- Desde el punto de vista de la seguridad, los servicios proxy son útiles sólo si se utilizan junto con un mecanismo que restrinja las comunicaciones directas entre las máquinas de la red interna y las del exterior, como por ejemplo el filtrado de paquetes. De nada sirve un cortafuegos de nivel de aplicación si se puede salir al exterior a través de otro punto.

3- Inspección multinivel de estados
La tecnología Stateful Multi-Layer Inspection (SMLI) busca combinar el buen rendimiento del filtrado de paquetes y la elevada seguridad a nivel de aplicación de los proxies, por lo que muchos cortafuegos actuales la incorporan. SMLI constituye una extensión del filtrado de paquetes, ya que no se limita a examinar los paquetes a nivel de red, sino que los analiza a todos los niveles de la pila de protocolos, extrayendo la información relevante sobre el estado de la comunicación y de la aplicación. Para cada conexión TCP o UDP, el cortafuegos crea una tabla con las direcciones IP de origen y destino, números de puertos, números de secuencia de los paquetes y otros datos adicionales asociados a la conexión en particular (véase recuadro Paquetes en Internet). Gracias a su motor de inspección y la información de estado de la conexión almacenada en las tablas, el cortafuegos puede implantar las políticas de seguridad definidas por la empresa, con una mayor conciencia de la aplicación que se está ejecutando que los filtros de paquetes. Así se asegura que los paquetes que no estén asociados a una conexión no pasarán a través del cortafuegos.

Puntos fuertes
- El cortafuegos es transparente para las aplicaciones y usuarios, que no necesitan modificar o instalar software adicional. El motor de inspección puede adaptarse a protocolos y aplicaciones nuevamente definidos. Esta característica facilita la escalabilidad.
- Dado que operan principalmente a los niveles bajos de la pila de protocolos, son más rápidos que las aplicaciones proxy, por lo que el rendimiento de la red no se ve notablemente afectado, aunque aumente el número de usuarios conectados a través del cortafuegos.

Debilidades
- En la medida en que en las implantaciones reales el filtrado no inspecciona datos de nivel de aplicación, aunque teóricamente sería posible, SMLI no es capaz de evitar los ataques más sofisticados enmascarados a nivel de aplicación, como desbordamientos de búfer o comandos de aplicación ilegales o inseguros.
- A pesar de la propaganda con la que se anuncian, la mayoría de expertos en seguridad convienen en aceptar que la arquitectura de cortafuegos basados en pasarelas de aplicación son más seguros que los sistemas basados en filtrado de paquetes, incluso SMLI.

El dilema: ¿comprarlo o hacérselo?
Si está pensando en instalar un cortafuegos en su red, debe sopesar cuidadosamente si le trae más cuenta hacérselo usted mismo o comprarlo ya listo para funcionar. Ambas posibilidades presentan innegables ventajas e inconvenientes.
En primer lugar, debe evaluar cuidadosamente cuáles son sus necesidades de seguridad. No pueden tratarse por igual los requisitos de un usuario doméstico con un PC conectado a Internet a través de un módem que los de una gran compañía con servidores Web, de correo, de datos, etc. El usuario doméstico o la pequeña empresa pueden elegir entre la gran variedad de productos existentes en el mercado de los cortafuegos personales, con precios que oscilan desde gratis total hasta las 10.000 pesetas. En el caso de una empresa con mayores recursos informáticos y un compromiso importante con la seguridad, la elección debe recaer en un cortafuegos más potente, cuyos precios varían desde las 100.000 pesetas hasta varios millones. Tanto si se piensa en comprarlo como en montarlo uno mismo, se debe poseer un conocimiento profundo de los protocolos involucrados, los tipos de servicios y el funcionamiento de los cortafuegos. Si dispone de mucho dinero y poco personal con conocimientos técnicos elevados, comprar puede ser la mejor opción. Si sus recursos económicos son más escasos, pero cuenta con personal muy cualificado, construirlo uno mismo puede constituir una alternativa mejor. Con un viejo PC corriendo bajo Linux, tres interfaces de red y software gratuito de fuentes abiertas, puede instalar un cortafuegos que tenga poco o nada que envidiar a los mejores del mercado. Pero eso, claro está, requiere un buen nivel de conocimientos técnicos sobre Internet y la seguridad. No obstante, no se engañe, configurar correctamente un buen cortafuegos comercial puede requerir un nivel de conocimientos análogo. En definitiva, si su red u ordenador están conectados permanentemente (o durante largos períodos de tiempo) a Internet, si ofrece servicios accesibles desde el exterior (acceso remoto a ficheros, servidor Web o FTP, etc.), si utiliza software de conexión remota (como Telnet, Laplink, PC Anywhere, etc.) y desea protegerse de ataques de intrusos y de troyanos, entonces necesita un cortafuegos. Su sofisticación dependerá ya de sus necesidades concretas de seguridad. Pero eso sí, no lo olvide, sin un cortafuegos está expuesto a todo tipo de peligros.


Ataques por la puerta grande
-----------------------------------------
Aunque parezca mentira, muchos ataques se producen por la puerta grande, explotando errores tan obvios que ni los expertos en seguridad sospechaban de su existencia. Se trata de olvidos o descuidos en la programación en HTML, JavaScript, CGI o ASP.

Muchos autores de programas CGI no son conscientes de que el programa que escriben se ejecutará en un servidor Web, al que accederá cualquier persona, introduciendo cualquier entrada, incluso las insospechadas, para las que el programa no está preparado. El no tener la seguridad en mente a la hora de escribir un programa CGI puede tener consecuencias desastrosas, pero ¿cuántos programadores están preparados para el reto? Un descuido puede permitir a un atacante desde husmear el contenido de archivos del servidor, hasta ganar acceso de administrador al sistema. Dentro del capítulo de CGI, se puede incluir a los Server Side Includes (SSI), que permiten toda clase de trucos para llegar a ejecutar comandos arbitrarios o listar el contenido de ficheros seleccionados.
Por otro lado, los formularios en páginas web, tal vez debido a su sencillez de programación en HTML, resultan muy descuidados. Es común que no se comprueben las longitudes de las entradas de los usuarios, que a veces, deliberadamente o no, serán inusualmente largas, provocando un fallo del programa que debe procesarlas. En el caso peor, se podría producir una caída del servicio o un desbordamiento de pila utilizable para ejecutar comandos arbitrarios en el servidor, mientras que en otros casos se puede revelar indeseadamente el nombre de algún programa o fichero de datos, información sobre la estructura de directorio del servidor, software utilizado, y otros datos parecidos, valiosos en manos de un atacante. Otros errores comunes consisten en la utilización de campos ocultos en formularios para asignar el valor a ciertas variables, como por ejemplo el precio de un producto. La manipulación del formulario y de dicha etiqueta resulta trivial usando cualquier editor de texto, permitiendo que cualquier atacante pueda modificar a voluntad el valor de estos campos. Si no existe una programación en el servidor que contraste los datos enviados desde el formulario, el comercio virtual puede experimentar grandes pérdidas.
Los URL también pueden explotarse para obtener información acerca de otros usuarios. A menudo, los programadores creen que una página sólo será accedida desde otra página anterior o un formulario. Pero un atacante podría crear un URL, escribiéndolo directamente en la ventana de dirección, e intentar acceder a algún recurso protegido, como los datos de clientes o bases de datos confidenciales, saltándose los filtros del programador, que se encontraban en la página anterior.
Nuevos ataques están proviniendo de la utilización de etiquetas en JavaScript, que se incluyen en ventanas que se presentan al cliente en un formulario para que introduzca un texto, como su opinión acerca de un producto o la descripción de las características de un cierto artículo. El usuario medio introducirá texto sencillo, mientras que el avezado intentará introducir incluso programas en JavaScript, que a veces pueden llegar a ejecutarse en la página web del comercio cuando la visite el siguiente cliente. Un truco común en este caso es la petición al siguiente usuario de su nombre y contraseña, que confiado los introduce sin reservas, pasando así a ser conocidos por el atacante.
En resumen, existe toda una serie de ataques ingeniosos basados exclusivamente en la Web, que no hacen uso de sofisticadas herramientas de hacking para saltarse el cortafuegos, ni requieren grandes recursos computacionales, ni explotan características de protocolos de difícil conocimiento. Utilizan la puerta grande. Se llevan a cabo rellenando formularios y escribiendo los URL de manera ingeniosa. La única herramienta que precisan es un navegador. Por lo tanto, pasan a través de todos los controles estándar de filtrado de paquetes y de control de contenido del cortafuegos, al ser ataques disfrazados tras el tráfico Web permitido.
Puede encontrar información completa sobre este tipo de ataques en el apartado Seguridad en CGI de la dirección www.iec.csic.es/criptonomicon/cgi.


Paquetes
-------------
Los datos transmitidos entre dos nodos de Internet (por ejemplo su máquina y el servidor Web desde el que quiere descargar una página) se segmentan en pequeños paquetes que son encaminados a través de un número variable de nodos intermedios hasta que alcanzan su destino. Toda conexión se establece entre dos máquinas finales, cada una con su propia dirección IP única en Internet, y sobre un puerto determinado, que identifica el tipo de servicio (80 para HTTP, 25 para SMTP, 21 para FTP, etc.). La combinación de una dirección IP junto con un número de puerto se denomina socket, de manera que un socket identifica unívocamente a un proceso de red en toda la Internet. Un par de sockets, uno para la máquina que inicia la comunicación y otro para la destino, definen la conexión para protocolos orientados a conexión, como TCP o UDP. Entre otros muchos campos de información, todo paquete debe proporcionar los siguientes datos: dirección IP del origen, puerto del origen, dirección IP del destino y puerto del destino.


Cortafuegos personales para el mercado doméstico
-------------------------------------------------------------------------
Hasta hace bien poco, todos los productos comerciales de cortafuegos quedaban restringidos para su uso empresarial, debido a su elevado precio, su dificultad de configuración y la exigencia de conocimientos especializados para operarlos. Sin embargo, a medida que crece el número de usuarios domésticos y pequeñas empresas conectados a Internet las 24 horas del día a través de nuevos medios de acceso, como ADSL, RDSI o cable, aumenta de forma pareja la necesidad de protección del sistema informático, desde instalaciones modestas con un solo ordenador a otras algo más completas con menos de una docena de ordenadores. En la mayoría de estos casos resultaría descabellado plantearse la compra de un potente cortafuegos, porque ni las economías lo permitirían ni los requisitos lo exigen. Sin embargo, este gran mercado de pequeño poder adquisitivo está de enhorabuena, porque están saliendo a la luz nuevos productos de cortafuegos personales, con grandes prestaciones y seguridad notable
En general, lo que debe esperar de un buen cortafuegos personal son las siguientes características:
• Proteger su sistema de acceso no autorizado a través de Internet.
• Alertar de intentos de intrusión y mantener un registro para seguir sus pistas.
• Cierta protección frente a virus a través del correo electrónico.
• Bloqueo de contenido peligroso en Internet: applets de Java, controles ActiveX, cookies, etc.
• Filtrado a nivel de aplicación para conexiones hacia el exterior (usadas por caballos de Troya).
• Facilidad de instalación, configuración y uso.
A continuación se muestran en una tabla los productos más importantes en el mercado de cortafuegos personales.


Cortafuegos Personal Empresa Plataforma Precio (ptas)
----------------------------------------------------------------------------------------
Norton Personal Firewall 2000 www.symantec.com Windows 9x/NT4/2000 9.000
BlackICE Defender www.networkice.com Windows 9x/NT4 7.200
McAfee.com Personal Firewall www.mcafee.com Windows 9x/NT 3.600
ZoneAlarm www.zonelabs.com Windows 9x/NT4/2000 Gratis
DoorStop www.opendoor.com Macintosh desde 10.000
Tiny Personal Firewall www.tinysoftware.com Windows 9x/NT4/2000 5.400
Internet Firewall 98 www.digitalrobotics.com Windows 9x 5.400
Sybergen Secure Desktop www.sygate.com Windows 9x/NT4 5.400
ConSeal PC Firewall www.signal9.com Windows 9x 9.000