Comprensión de las preocupaciones de seguridad en el alojamiento compartido

Resumen

Hay quien me paga para que lo hackee, con la condición de que le explique cómo lo he hecho, para evitar futuros ataques. Como consultor de seguridad, busco puntos débiles en las apps, tiendas online y sitios web de mis clientes. Muy a menudo, un ataque empieza aprovechando un agujero de seguridad que se ve desde fuera. Sigue leyendo para saber cómo encuentran los hackers esos agujeros y qué puedes hacer para taparlos.

Texto completo

Para hackear una app, una tienda online o un sitio web, los hackers suelen ir a por los servidores que lo alojan. Para entender por qué lo hacen, primero tienes que saber qué es el alojamiento y qué tipos hay.

¿Qué es el alojamiento?

El alojamiento es un servicio que hace que tu app, tu tienda online o tu sitio web esté disponible en internet. Se hace con unos ordenadores especiales llamados servidores. Cuando alguien escribe la dirección de tu sitio web en el navegador, su dispositivo se conecta a tu servidor.

Si los hackers consiguen hacerse con el control de un servidor, pueden acceder a toda la información que hay en él y manipularla. Además, pueden aprovechar la red y la capacidad de cálculo del servidor para hacer cosas malas. Eso es lo último que quieres...

Distintos tipos de alojamiento

Tu app, tu tienda online o tu sitio web se pueden alojar de varias maneras. Cada tipo de alojamiento tiene sus propios riesgos de seguridad, pero es bastante fácil de entender, porque todo depende de cómo se reparta el servidor físico (en el centro de datos) entre los sitios web.

Las empresas de alojamiento suelen tener varios servidores y reparten su capacidad entre los sitios web que necesitan alojamiento. Un servidor grande puede alojar sin problema varios sitios web, según el tráfico que tenga cada app, tienda online o sitio web.

Hay tres tipos de alojamiento:

• alojamiento compartido: el servidor aloja varios sitios web que comparten el sistema operativo, la memoria, los núcleos del procesador y el espacio en disco. No hay separaciones estrictas entre los sitios web.
• alojamiento VPS: el servidor físico ejecuta varios servidores privados virtuales (VPS), cada uno con su propio sistema operativo y su propia parte de memoria, procesador y almacenamiento. Un VPS puede configurarse para alojar un sitio web o un par de ellos (relacionados entre sí). Como la separación entre los VPS es estricta, a un hacker le resulta muy difícil saltar de uno a otro.
• alojamiento dedicado: el servidor físico aloja un único sitio web. No se comparte nada: todos los recursos son para una sola app, tienda online o sitio web. Gracias a esta separación física, los ataques a otros sitios web no te afectan.

Ojo: el “alojamiento en la nube” suele ser alojamiento compartido con otro nombre

Hay que tener claro que la mayoría del “alojamiento en la nube” actual es en realidad alojamiento compartido con un nombre pomposo. Las agencias de diseño web suelen configurar su propio servidor dedicado o privado virtual para venderles alojamiento compartido a sus clientes. Así que, a menos que gestiones tu propio VPS o servidor dedicado, lo más probable es que estés en alojamiento compartido.

Riesgos de seguridad del alojamiento compartido

Los riesgos del alojamiento compartido vienen precisamente de que se comparte. Cuando hackean uno de los sitios web que están en el mismo servidor que el tuyo, es muy probable que el tuyo también salga afectado. En ese caso, las medidas de seguridad que hayas aplicado a tu propio sitio web pueden no bastar para protegerlo de los hackers.

Dirección IP compartida

Además, el alojamiento compartido suele significar que todos los sitios web comparten la misma dirección IP. Tendrás problemas si otro sitio web hace cosas indebidas, como enviar spam o alojar contenido ilegal. Tu sitio web podría acabar en una lista negra, bloqueado o relegado en los resultados de los buscadores.

Rendimiento

Si piensas que las empresas de alojamiento suelen meter centenares, y a veces incluso miles (!), de sitios web en el mismo servidor compartido, entenderás por qué aumenta la probabilidad de que te hackeen. Además de los problemas de seguridad, el alojamiento compartido afecta al rendimiento de tu sitio web, porque tiene que competir con los demás por unos recursos del servidor limitados. Si uno de los otros sitios web recibe un tráfico extremo, ¡también puede ralentizar tu app, tu tienda online o tu sitio web!

Servicios de red compartidos y expuestos

Otro problema del alojamiento compartido es que el servidor suele tener muchos servicios de red activados, como web, correo, FTP y base de datos. Esos servicios están disponibles a través de puertos abiertos. Tener todos los puertos abiertos para todo el mundo es una mala práctica, porque deja expuestos a los exploits los servicios que escuchan en esos puertos. Los cortafuegos pueden limitar quién puede conectarse a un puerto concreto, pero en un entorno de alojamiento compartido esas restricciones suelen ser poco estrictas (por la cantidad de cosas distintas que se alojan en el mismo servidor).

Hackear una app, una tienda online o un sitio web

Para hackear tu app, tu tienda online o tu sitio web, un hacker puede escanear tu servidor en busca de puertos abiertos y averiguar qué servicios se ejecutan en él. Para eso se suele usar el programa de Unix nmap. Después el hacker se conecta al servicio que escucha en cada puerto abierto para descubrir de qué programa se trata.

Con esa información se puede comprobar si los servicios de red en marcha tienen puntos débiles conocidos. Existen bibliotecas en línea donde se pueden consultar por nombre y versión del software. Encontrar una vulnerabilidad conocida es tan fácil como una búsqueda en Google. Si el hacker encuentra una, puede usarla para entrar en el servidor.

Mirando la dirección IP del servidor, el hacker puede saber si se comparte con otras apps, tiendas online o sitios web. Con búsquedas inversas de DNS se pueden listar todos los sitios web alojados en el mismo servidor. Puede que el tuyo esté actualizado y seguro, pero otros del mismo servidor quizá usen software anticuado (con puntos débiles). El software habitual para sitios web está muy documentado, y de las versiones antiguas de PHP y WordPress se sabe que tienen graves problemas de seguridad.

Conclusión

La mejor forma de proteger tu app, tu tienda online o tu sitio web es limitar al máximo su exposición a los exploits. Mantener actualizado el software de tu sitio web es fundamental, pero puede no ser suficiente si tu alojamiento es compartido.

Para evitar que los ataques a otros te afecten, deberías plantearte alojarlo en un servidor físico o virtual dedicado, con su propia dirección IP. Así podrás reforzar la seguridad filtrando los puertos abiertos y apagando los servicios de red que no uses.

De esta manera reduces lo que los expertos en ciberseguridad llaman la “superficie de ataque”. Cuanto más pequeña, más fácil es defenderla. ¡Buena suerte, y recuerda que hay ayuda disponible!