Hoy reproducimos un  artículo que apareció publicado originalmente el 13.08.2009 en “Una al día“, boletín dedicado al mundo de la seguridad informática y publicado, desde hace más de 10 años, por Hispasec Sistemas. Todo un clásico del sector.

Kudos a Bernardo Quintero, miembro de Hispasec y autor del artículo, y a José Luis Gordo Romero, por reenviarlo al resto de Negonators.

A medio camino entre la realidad actual y lo que nos puede deparar el futuro, una excelente lectura para un fin de semana de verano.

Que lo disfruten.

“Su concepto de refugio de datos es bueno pero tiene limitaciones importantes. ¿Qué pasaría si el gobierno de Filipinas corta su cable?  ¿O si el buen sultán cambia de opinión, decide nacionalizar todos sus ordenadores y leer todos los discos? Lo que se precisa no es UN refugio de datos sino una RED de refugios de datos; es más robusto, de la misma forma que Internet es más robusta que una única máquina.

Firmado El Almirante Isoroku Yamamoto”

Supongo que algunos habéis reconocido ese mensaje dirigido a randy@tombstone.epiphyte.com, uno de los personajes de Criptonomicón (1999), la célebre novela de Neal Stephenson. Otros lo habréis recordado ahora, no es que tengáis mala memoria, es que la obra es tan extensa como buena. Para los que os siga sin sonar la obra, apuntadla como pendiente si no os asusta la lectura densa, a cambio tendréis buenas dosis de humor e ironía inteligente.

Una de las tramas de Criptonomicón gira alrededor del objetivo de la empresa de Randy de montar un paraíso electrónico, similar a un servicio en Internet, donde se asegurará la privacidad y el anonimato de los datos fuera del alcance de gobiernos y terceros: la Cripta. Por descontado no aparece en la obra ninguna referencia al esnobismo de actualidad, pero es una de las muchas cosas que se me vienen a la cabeza cuando se habla de seguridad en la nube o cloud computing.

Por ejemplo, el tema que preocupaba al almirante Isokuro Yamamoto está vigente cuando se tratan aspectos del cloud computing relativos al hospedaje de los datos, su regulación y legislación aplicada dependiendo de la localización geográfica de los servidores que sustentan el servicio, así como aspectos relacionados con la integridad, disponibilidad, o recuperación en caso de desastre.

Otros de los puntos del cloud computing que suele ser motivo de discusión está relacionado con la privacidad y el anonimato, asunto que forma parte del eje central de Criptonomicón con múltiples referencias a la criptografía y que en la novela llevan a niveles de mucha mayor exigencia que en las soluciones actuales en la nube, que básicamente se preocupan en proporcionar seguridad web estándar extremo a extremo. En la Cripta tus datos viajan y se almacenan de forma cifrada, de forma que ni el proveedor del servicio puede tener acceso a ellos, e incluso se abordan temas como el anonimato en las transacciones.

Hay otro aspecto fundamental de la seguridad que no suele ser objeto de las discusiones bizantinas sobre la nueva generación de servicios en la nube: la autenticación. Es un tema muy trillado en seguridad, y que de momento se suele salvar en los servicios generales basados en cloud computing con el mecanismo más básico: usuario y contraseña de toda la vida.

El acudir a este sistema tan simple de autenticación tiene cierto sentido si tenemos en cuenta que una de las ventajas del concepto de los servicios para masas basados en la nube es la posibilidad de acceder a tus datos y aplicaciones en cualquier momento, desde cualquier lugar, desde cualquier dispositivo. Tu correo, tus documentos, tu agenda, tus bases de datos… desde el puesto de trabajo, el ordenador de casa, desde el móvil en la playa, desde cualquier cosa que tenga navegador y conexión a Internet. Ello implica que el sistema de autenticación debe ser global y estándar, aplicable por cualquiera en cualquier dispositivo. No, de momento no puedes meter tu eDNI en el iPhone, y en todo caso sería sólo aplicable por los españoles que dispongan de él, no es una solución global.

En Criptonomicón, durante una demo a posibles inversores de Epiphyte Corp, la solución era:

“Yo puedo escribir el mejor software criptográfico del mundo, pero sería inútil a menos que haya un buen sistema para verificar la identidad del usuario. ¿Cómo sabe el ordenador que tú eres tú? Las claves son muy fáciles de averiguar, robar u olvidar. El ordenador debe saber algo sobre ti que sea tan único como las huellas digitales. Básicamente debe mirar alguna parte de tu cuerpo, como por ejemplo la disposición de vasos sanguíneos en la retina o el sonido distintivo de tu voz, y compararlo con los valores almacenados en su memoria. Ese tipo de tecnología se llama biométrica. Epiphyte Corp. dispone de uno de los más importantes expertos en biométrica del mundo: el doctor Eberhard Föhr, que escribió el que se considera el mejor programa de reconocimiento de escritura manual del mundo. Ahora mismo tenemos reconocimiento de voz, pero el código es totalmente modular, así que lo podríamos cambiar por otro sistema, como un lector de la geometría de la mano. El cliente puede elegir.”

Tal vez en el futuro veamos un despliegue masivo de soluciones biométricas como factor de autenticación complementario al usuario y contraseña, ya es usual ver lectores de huellas en algunos ordenadores portátiles, y también se están produciendo movimientos más que interesantes en la telefonía móvil: reconocimiento de caras (vFace), del iris (OKI Iris Recognition Technology for Mobile Terminals), terminales con pantalla táctil que pueden leer las huellas (Asus M53), y diversas tecnologías de reconocimiento de voz.

Mientras tanto parece que no nos quedará más remedio que seguir con los usuarios y contraseñas en los servicios web para masas desplegados en la nube, más expuestos a sufrir ataques que en cualquier otro servicio que utilice este mecanismo de autenticación. Si alguien quiere forzar el usuario y contraseña de inicio de tu ordenador, o el pin de tu móvil, requiere acceso físico (los potenciales atacantes se reducen a las pocas personas que te rodean), si bien cualquiera puede probar a adivinar tu contraseña de correo web (el usuario es público, está en tu dirección de correo, y el servicio espera que te puedas conectar desde cualquier lugar del mundo). Eso sin hablar de la cantidad de malware especializado en robar credenciales de autenticación web.

Así que la próxima vez que accedas a tu cuenta en Gmail pregúntate quién más está viendo tu correspondencia, tal vez entonces te animes a cambiar la contraseña regularmente.  Hasta el más pintado se puede llevar un disgusto, que se lo digan a Dan Kaminsky.

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3946/comentar

Bernardo Quintero

FINAL
FINAL.FINAL
final.DE VERDAD
FINAL.version 2
absolutamente.FINAL
FINAL.2
FINAL.3
FINAL.3.01
FINAL.3.02
FINAL.en proceso

jPod, Douglas Coupland

Lo que sigue son los consejos de Loïc Lemeur a los emprendedores:
(cualquier inexactitud es culpa mía)

Ideas y Ejecución

Tu idea vale cero. Lo único que importa es la ejecución de la idea. Los emprendedores de éxito no se basan en ideas revolucionarias, se basan en la ejecución. Comparte tus ideas. ¿Crees que tu idea es única y no se le ha ocurrido a nadie más?. Preocúpate. ¿Quieres mantener tu idea secreta?. Un millón de personas hacen lo mismo. No protejas nada, excepto tu marca. En internet, todo va tan deprisa que, para cuando has protegido algo, alguien ya lo ha ejecutado. A modo de ejemplo, Loïc ahora invierte en algunos proyectos como business angel (¿rango de 100.000 €?) y dice que nunca firma acuerdos de confidencialidad (a.k.a. NDAs) porque la idea no es nada. Si todo tu valor está en la idea, no está interesado en invertir (esto me recuerda al curioso método de valoración de empresas de Derek Sivers, el fundador de CD Baby). Otro ejemplo, Loïc cuenta que ha llegado a publicar ideas en su blog que sabía que nunca ejecutaría (no es el único ). Loïc cuenta con orgullo como Julio Alonso de Weblogs S.L reconoce haber emprendido una idea que Loïc blogueó. ¿Donde conseguir ideas?. Intenta identificar “espacios vacíos”: algo que no se está haciendo o que se está ejecutando de forma deficiente por tus competidores. Loïc está muy interesado (en otras palabras, invierte) últimamente en podcasting y vídeo por internet (“Son espacios vacíos. No hay escuelas de podcasting“).

Indecisión y Miedo al Fracaso

Lo que diferencia a los emprendedores de la gente “normal” es que los emprendedores ejecutan sus ideas. No esperes. Cuanto más esperes, peor (hipotecas, familia, etc). Tírate al agua y luego aprende a nadar. Cuando empiezas, 10 amigos te dirán que fracasarás. No les escuches. Tienen envidia (¡vaya amigos!). Esta idea me recuerda a Guy Kawasaki cuando dice “Don’t listen to the bozos“.

Competidores

La competencia es buena para tí. Si estás en un “espacio vacío”, la aparición de competencia es un signo saludable. Habla con ellos. Aprenderás. Si das, ellos darán. Loïc recomienda sentarte con tus competidores para compartir ideas y “hacer crecer el mercado“. Colaborando recortas costes en acciones de comunicación, conferencias, etc. Algunos ejemplos: cuando estaba en B2L, una agencia de publicidad que vendió a BBDO, participaba en el “Internet Advertising Bureau” con sus competidores. Cuando fundó U-Blog S.A., una empresa de blogs luego fusionada con Six Apart, participaba en una “Union of bloggers”. Nunca critiques públicamente a tus competidores. Si uno te crítica, no respondas. Cuenta el caso de RapidSite, su empresa de hosting que define como “poner un montón de websites en una máquina para bajar los costes”. Consiguieron 10.000 clientes en 18 meses. France Telecom copió su servicio, su pricing y hasta su publicidad. En vez de enfadarse o demandarles, les invitó a comer. Durante la comida, France Telecom le ofreció comprar RapidSites y Loïc aceptó. Tenía 27 años, 1999, el tope de la burbuja… “I was lucky“. Moraleja: tus competidores pueden convertirse en partners. Piensa en el largo plazo, nunca en el corto. Crees que el mundo es grande y, en realidad, es un pueblo. Loïc recomienda leer “The World is Flat” de Thomas L. Friedman.

Empleados

Cuando entrevistas a tu primer empleado, tú eres al que están entrevistando. Sé super-transparente con tus empleados. Explícales que la compañía eres tú, que no hay nadie más. Diles que hay fondos para pagarles 6 meses, que solo tienes un cliente, que es super-arriesgado y que les pagarás con acciones (preferiblemente “stock options” por si las cosas van mal). La transparencia crea confianza mutua. Trata a tus empleados como iguales. Cada vez más la economía se basa en los individuos. No importan las empresas. No importan los diplomas. Loïc cuenta el caso de un ingeniero que le envío un CV totalmente en blanco. “No tengo diplomas pero leo un libro cada noche“, le dijo. Este ingeniero había envíado el mismo CV a IBM, Microsoft… ninguno le llamó para una entrevista. Loïc, impresionado por la pasión que derrochaba (“¡trabajaré grátis!“), le contrató con el salario mínimo, le ofreció acciones y afirma que ha sido el mejor empleado que ha tenido hasta la fecha. Le faltaban diplomas pero le sobraba capacidad de adaptación.

Networking

Nunca utilices el libro de Alumni de tu escuela o universidad. Llamar así, por teléfono y en frío, no es natural. En vez de eso recomienda ir a conferencias. Ahí está el networking. En su última conferencia, se le acercaron 10 CEOs después de su ponencia. “Planta semillas y déjalas crecer”. Esta idea me recuerda de nuevo a Guy Kawasaki cuando dice: “Let a hundreds flowers blossom“. Loïc cree que es muy importante para un emprendedor reconocer a tiempo tus limitaciones (algo que también repite a menudo Martín Varsavski: “emprender es una cura de humildad“). Se considera bueno en la parte creativa pero no en la ejecución. Por ello, Loïc “planta semillas” en las conferencias y deja que otra persona de su equipo se encargue de dar seguimiento y ejecutar dichas oportunidades de negocio.

Marketing

Olvídate del marketing tradicional. Las reglas han cambiado de forma drástica. El boca a oreja es la clave. Y para conseguirlo, debes hacer extremadamente felices a tus primeros clientes. ¿Qué prefieres: comprar un coche porque tiene un buen anuncio o porque te lo recomiendan 10 amigos?. Aconseja leer “All marketers are liars” de Seth Godin. Hay demasiadas marcas, demasiado ruído. Los medios de masas (periódicos, televisón) están perdiendo poder mientras que Digg lo gana. Pone el ejemplo de Nabaztag. Tras una mención en la CNN, su sitio sufrió un incremento de visitas puntual que no se transformó en ventas. Una mención en Boing, Boing y se quedaron sin stock.

Inversores

Consigue beta-testers, usuarios, clientes que hablén bien de tí y te ayuden a mejorar el producto. Primero muestra algo de “tracción” (visitas, reviews favorables, etc) y entonces acércate a los inversores. Recurre a business angels antes que al venture capital. Según su experiencia, un business angel no te dará problemas y te apoyará en todo. No hay una única respuesta a la pregunta “Dinero de VCs, ¿Sí o No?”. Cada negocio es diferente y tiene necesidades de financiación diferentes. Ahora bien, si coges dinero de un inversor de capital riesgo, cuantos menos inversores mejor. En su tercera compañía consiguió 6 millones de € de 6 inversores distingos y gastó demasiado tiempo haciendo reporting, powerpoints, etc para mantenerles informados. Al tratar con el capital riesgo, recomienda no fijarse tanto en la valoración como en los términos de la “term-sheet” (el contrato de inversión). Hay que prestar la débida atención a clausulas de acciones preferentes y derechos preferentes de cobro por parte de los inversores en caso de que las cosas vayan mal o no se alcancen determinados hitos (ventas, número de clientes, etc). En la práctica esto supone que al vender la empresa, a pesar de tener una buena parte de las acciones, el emprendedor se queda con una parte muy pequeña del valor de venta. Recomienda contratar a un buen abogado que conozca de estos temas aunque cueste 10-20.000 euros. Si alguien está interesado en profundizar en este tema, recomiendo leer este post de Rick Segal, un inversor canadiense de capital riesgo.

Conclusiones

La verdad es que Loïc tiene una forma curiosa de presentar. Mientras decía “Odio las powerpoints. Son unidireccionales“, “cargó” en su blackberry y en el proyector de la sala un artículo que escribió hace tiempo y lo utilizó como guión durante toda la ponencia. Cuando quería recordar el siguiente punto, consultaba su blackberry. Siempre mirando a la audiencia, nunca hacia atrás.

Al comienzo de la presentación, Loïc ha avisado de que iba a decir bastantes cosas obvias y ha cumplido su promesa. Sin embargo realmente he disfrutado escuchando “obviedades” de una persona que ha montado cuatro empresas (algunas con ingresos de 50 millones €/año) y que habla con sencillez de lo que le ha funcionado y lo que no.

Al terminar la ronda de preguntas, he podido hablar un ratito en corrillo con Loïc, Enrique Dans (acaba de bloguear sobre la conferencia) y Julián Martínez. Julián, fundador de adooS/habitamos.com, ha venido acompañado de dos miembros de su equipo. Por lo visto, en adooS están a punto de cerrar financiación, tienen ofertas de empresas de capital riesgo americanas muy, muy conocidas y tienen que tomar algunas decisiones difíciles. Les deseo toda la suerte.