Fernando Acero y la ciberseguridad aérea: "Me preocupa el acercamiento de Windows a Linux"

Guardar

coronel fernando acero 696 entrevista
coronel fernando acero 696 entrevista

El Coronel Fernando Acero,CISO Global en Oesia, ha participado como docente en el master de ciberseguridad de ICAI, concretamente en el #CiberJuevesICAI, de acceso gratuito el cuarto día laborable de la semana para aquellas personas que, como los alumnos de la Universidad Pontificia de Comilla, aspiren a mejorar sus conocimientos en el ámbito de la ciberseguridad. Escudo Digital estuvo presente.

Casi una hora y media duró el encuentro online, presentado por el profesor Rafael Palacios, en el que Fernando Acero, uno de los mayores influencers de este ámbito, Premio PETEC 2020 a la personalidad más relevante en Ciberseguridad, habló abiertamente de los problemas a los que se enfrenta la ciberseguridad aérea.

Una de las ideas que más impresionaron a los alumnos y suscitó más preguntas fue esta: "Hay que promover la redundancia, la resistencia y la resiliencia ante posibles ciberataque. Como piloto que soy tengo estos tres temas metidos en el código genético (....), y lo que más me preocupa es la resiliencia. La redundancia la tenemos resuelta, tenemos dos radios; la resistencia, también, hay que abundar en la resiliencia, y en este caso me preocupa el acercamiento de Windows a Linux.Estamos perdiendo esa protección genérica, esa separación de la tecnología para abordar soluciones de ciberseguridad" . Y es que, como explicó a uno de los alumnos, "si uno de los sistemas embarcados es vulnerable por usar determinada tecnología, si tenemos otro que usa otras tecnologías distintas, no tenemos problemasal recurrir al otro, pero si el otro tiene el mismo problema, la solución es complicada".

Los aviones están digitalizados y son susceptibles de ser atacados, incidió Acero. Los ciberataques existen y un documento remitido el GAO(Goverment Accountability Office) de los Estados Unidos alerta a las FAA (Federal Aviation Administration" del hecho de que"en cuanto a la aviónica no se están tomando las medidas adecuadas para que los sistemas que se están instalando en los aviones sean ciberseguros".

Fernando Acero habló del ataque a British, y también de uno especialmente preocupante en su opinión, el de Garmin, una empresa que desarrolla y fabrica dispositivos de GPS para el ámbito civil, pero también fabrica aviónica: "Durante el tiempo que estuvieron comprometidos no se pudieron usar los aviones".

No se obviaron las debilidades del sistema ADS-B: "Si alguien con un un emisor envía señales de ADS-B puede crear graves problemas, desde facilitarle información meteorológica falsa al avión a modificarle un plan de vuelo, o crear aviones fantasma", aunque el espacio radioeléctrico esté vigilado. Prácticamente las mismas vulnerabilidades reúne el sistema ACARS.

Hay un problema, reveló el CISO de OESIA, y es "el ciclo de vida de las aeronaves; gran parte de la ciberseguridad de un sistema aeronáutico está vinculado a la obsolescencia y a los sistemas IT de las aeronaves, y cuando pensamos que un avión está pensado para que dure treinta años nos encontramos con que hay aviones como el B52 que tienen que durar 94 años. Os podéis imaginar la pesadilla que es mantener todos esos sistemas actualizados y ciberseguros".

El grave peligro del ahorro de recursos

El grave problema, afirma, es que se ha optado por la búsqueda de sistemas comerciales dejando de lado los estándares militares con el ánimo de ahorrar recursos. Las certificaciones militares serían el último recurso. Luego llegó la normativa que imponía el uso de componentes que cumplieran con todas las especificaciones ambientales con unas características mínimas. Según explicó Acero: "En el entorno aeronáutico estamos hablando de unas vibraciones, cambios de temperatura y de presión muy exigentes para los sistemas embarcados. Y los que cumplen esos requisitos tienen un ciclo de vida muy corto".

El coronel Acero habló de los vídeos de drones interceptados en Irán y Afganistán en 2006, y el spoofin que se hizo a un Sentinel americano en el 2011. La infección de sistemas embarcados a través de wireless, y del troyano que se encontró en el caso del accidente de Spanair en el vuelo 5022, entre otros muchos incidentes.

"Es mejor evitar la obsolescencia que gestionarla", afirma el coronelFernando Acero, CISO DE OESIA, QUIEN recuerda QUE CASI TODOS LOS ACCIDENTES AÉREOS RECIENTES ESTÁN RELACIONADOS CON UN PROBLEMA DE SOFTWARE

Hay, en opinión del Coronel, un claro desequilibrio entre la safety y la security en las aeronaves: "Meter un cortafuegos en un avión para proteger unas comunicaciones vía satélite cuesta muchísimo porque hay que pasar un montón de filtros". Un tema que la apasiona es la obsolescencia: "Hay que pensar en el IoT que se avecina con el 5G, y nos tendremos que plantear si compensa tener una bombilla que hay que actualizar para que no ocurra como el caso famoso de unos crackers que pusieron en jaque a un casino desde el termómetro del agua salada conectado a internet de una pecera".

El problema de la obsolescencia es muy complejo, y en opinión de Fernando Acero, es mejor evitarla que gestionarla: "Es importante evitar las tecnologías problemáticas y usar un hardware lo más abierto posible para evitar las actualizaciones continuas de software". Y es que "un avión no es un ordenador que precise de funcionalidades nuevas".

Casi todos los accidentes aéreos que ha habido recientemente están relacionados, recalcó, con problemas de software: "El caso paradigmático es del del Boeing 737". Las líneas de actuación, en su opinión, están muy claras: fortalecer la prevención, detección, vigilancia y respuesta; adecuar los sistemas al esquema nacional de seguridad; fomentarel uso deproductos certificados y acreditados, concienciar en ciberseguridad al sector; establecer mecanismos de inteligencia y contrainteligencia y cooperar con otros estados a la hora de desarrollar la legislación.