MTFBWY
Como recordarás, la ciberseguridad del Imperio Galáctico no era del todo saludable. El robo de los planos de la Estrella de la Muerte de unas instalaciones de almacenamiento altamente clasificado y el descuido que causó la pérdida de unas instalaciones de infraestructura crítica son tan solo algunos de los incidentes registrados. Vimos la segunda temporada de The Mandalorian, ansiosos por descubrir si el Imperio ha aprendido de sus errores, lo que parecía ser el tema principal de la nueva temporada, y porque, después de todo, consideramos a Moff Gideon, principal antagonista de la historia y antiguo oficial de la Oficina de Seguridad Imperial, como una especie de colega.
Capítulo 11. La heredera
Incidente: Asalto a un buque de carga imperial durante el despegue
Este incidente es más relevante para la seguridad física que para la seguridad de la información, pero como se trata de un vehículo controlado por computadora, cualquier nave espacial se considera un sistema ciberfísico. Esta nave en concreto solía transportar armas, pero, aun así, no contaba con la función de seguridad más obvia: el bloqueo de puertas y montacargas desde la cabina. Como consecuencia, los mandalorianos consiguieron penetrar en su seguridad sin problemas y tomar rápidamente el control de la nave. La aptitud profesional de los atacados merece una mención especial también, ya que se las arreglan para encerrar a los asaltantes en la sala de control del compartimento de carga, la misma que alberga los controles para desbloquear las puertas o incluso despresurizar el compartimento. Además, estos sistemas críticos no solicitan ningún tipo de autenticación para su acceso. Sin duda a estos tipos les convendría asistir a una clase de concienciación en materia de ciberseguridad.
Capítulo 12. El asedio
Incidente: Asalto a una base de investigación imperial en Nevarro
Las instalaciones imperiales en Nevarro parecen otra base de operaciones a medio derruir, pero se trata de un laboratorio de investigación. Desconocemos si el Imperio simplemente confía su seguridad a la apariencia desértica del lugar o simplemente no cuentan con profesionales de la seguridad eficientes. El mandaloriano y sus aliados neutralizan la seguridad y penetran en la base sin activar ninguna alarma. Además, se adentran en la sala de control y toman posesión del cilindro de código, que parece ser la llave maestra de todas las puertas.
Con él, consiguen abrir las puertas de la sala del reactor de energía de la base, muy bien ubicado, justo al lado del cierre del sistema de refrigeración del reactor. En teoría, si la base hubiera estado equipada con una solución de seguridad de grado empresarial, concebida para supervisar los sensores industriales y alertar a los ingenieros u operadores del sobrecalentamiento, éste se podría haber evitado, así como la consecuente explosión.
En los laboratorios, los súbditos del Imperio se muestran hábiles al apresurarse a eliminar los datos para evitar que los intercepten en el ataque. El problema es que no tienen tiempo de eliminar todo antes de someterse a una muerte repentina y el mandaloriano consigue echar un vistazo al vídeo secreto del Dr. Pershing dirigido a Moff Gideon. Esto es tan solo una demostración de cómo la falta de una solución de cifrado de datos de alta calidad puede afectar a la seguridad. Si los datos del laboratorio hubieran estado cifrados, el Imperio podría haberse centrado en la evacuación en lugar de tener que eliminar los archivos presas del pánico, y el mandaloriano no habría descubierto que Moff Gideon seguía con vida.
Capítulo 15. El creyente
Incidente: Asalto a la refinería secreta del Imperio en el planeta de Morak
El mandaloriano anda detrás de las coordenadas de la nave de Moff Gideon, y para ello libera a Migs Mayfeld, un exsoldado imperial ahora preso quien pudiera recordar los protocolos del Imperio. Para conseguir las coordenadas, necesita encontrar el camino hacía una base secreta utilizada por el Imperio para la minería y el procesamiento de rhydonio, un mineral muy inestable y explosivo.
Los encargados de gestionar las instalaciones son unos exoficiales de la Oficina de Seguridad Imperial que se toman la seguridad muy en serio. Una de sus medidas de seguridad, de acuerdo con Mayfeld, es que la base está equipada con un sistema biométrico que contrasta las firmas genéticas con las de las bases de datos. Por ello, la exrebelde Cara Dune no puede asaltar la base, y tampoco los criminales buscados Fennec Shand y Boba Fett, quien además lleva la cara de un clon imperial.
Pero algunos asuntos no quedan claros. ¿El sistema controla por sí solo el acceso al terminal de información o comprueba la identidad de cualquiera que llegue a la base? En el primer caso, no quedaría claro por qué ninguna de las personas mencionadas anteriormente acompaña a Mayfeld, ya que no tendrían que coincidir con el terminal. Y, en el segundo caso, ¿entonces por qué iba el sistema a dejar pasar al soldado desertor Mayfeld? Y, dicho sea de paso, ¿qué pasa con el mandaloriano, que ni aparece en la base de datos? Un sistema como este debería operar en modo de denegación por defecto. Y la pregunta clave es por qué esta instalación minera de tercera categoría sería la única equipada con este sistema tan avanzado.
El mandaloriano y Mayfeld acaban secuestrando un vehículo de carga (saltando por encima). Una vez hecho esto, se visten de soldado de asalto, se defienden de unos enemigos locales y llegan a la base como héroes. Bueno, en cuanto a la llegada, no hay nada que resaltar, ¿quién rechazaría la entrada a su propio vehículo de carga cuando acaba de recibir un ataque enemigo? Pero ¿cómo es posible que el tan alabado sistema biométrico no descubra que las firmas de los pilotos no coinciden con las de la tripulación original? Permitir que el personal que entre se mueva por la base a su antojo sin comprobar su autenticación es un grave error.
El sistema de protección del terminal de información también resulta un tanto extraño. Para acceder a los datos hay que realizar un análisis facial, pero, al parecer, el hecho de que ese rostro no se encuentre en la base de datos no parece ser relevante. Entonces, ¿para qué sirve? ¿Acaso el escáner no va seguido de una comprobación en la base de datos? ¿O también está configurado en modo de denegación por defecto?
Capítulo 16. El rescate
Incidente: Ataque a la nave de Moff Gideon
El mandaloriano y sus amigos atacan la lanzadera del Dr. Pershing, adquieren su cilindro de código y obtienen la información secreta sobre los compartimentos de la nave de Gideon. Después, llevan a cabo un ataque usando un método basado básicamente en la ingeniería social: mientras fingen que están siendo perseguidos por la nave de Boba Fett, solicitan un aterrizaje de emergencia en el crucero. Las tropas no les conceden permiso para aterrizar, pero, como ya habían caído en la trampa, tampoco abren fuego contra la lanzadera.
Con ayuda del cilindro de código del Dr. Pershing, el mandaloriano abre la cámara del compartimento que contiene a los droides de combate del Imperio (los Dark Troopers) y los lanza al espacio. ¿Qué nos dice esto? Nada excepto que el Imperio tiene una pésima gestión de los derechos del personal. Pero, por otro lado, ¿por qué un médico y un especialista en clones estarían autorizados a activar los droides de combate? En unas instalaciones de infraestructura crítica (y está claro que el crucero de Moff Gideon entra dentro de esta categoría), los derechos de acceso deben seguir una política de acuerdo con el Principio de mínimo privilegio, concediendo únicamente los permisos necesarios de acuerdo con la tarea de cada empleado.
¡Pero todavía hay esperanza! Las compuertas de la nave por fin se pueden bloquear desde la cubierta de mando del capitán. Aunque esto no ayuda a lo que queda del Imperio, ya que son los amigos del mandaloriano los que capturan la cubierta de mando y no los Imperiales que la protegen quienes han usado esta función.
Conclusión
Los restos del Imperio han heredado muchos problemas de ciberseguridad y todas sus innovaciones, como el sistema biométrico, están muy mal configuradas. Recomendamos acortar el intervalo entre las auditorías de los sistemas de seguridad y no ser quisquillosos con las pruebas de penetración.
