A partir de esta semana, nos pondremos en contacto con los mejores investigadores de seguridad para hacerles algunas preguntas importantes y compartir sus perspectivas aquí. Esta semana, me puse en contacto con @gowtham_ponnana, un Investigador Senior de Seguridad, alguien que ha liderado equipos de seguridad y también ha trabajado como Jefe de Servicios de Seguridad para una CEX, para preguntarle: ¿Qué es una cosa que los protocolos deberían hacer después de una auditoría que la mayoría de los equipos aún pasan por alto? Aquí está lo que él dijo: “El problema más común y recurrente que las equipos cometen es que inmediatamente lo lanzan a producción. Pero esto es lo que les digo a mi equipo o a mis clientes: Después de una auditoría, tómense un momento para consultar con los investigadores sobre cualquier implementación o idea específica. La mayoría de los investigadores de seguridad estarán encantados de hacerlo. Importante: permítanles ver los scripts de despliegue (o mejor aún, pídanles que los escriban) y sigan acompañándolos hasta que el protocolo llegue a producción con cuidado. Muchos protocolos omiten esto. Simplemente evitan hablar con los investigadores después de las auditorías, lo que apenas cubre aspectos relacionados con el despliegue. Para los investigadores: verifiquen al final que el código de producción coincida al 100% con el código que auditaron. Por supuesto, hay muchas más cosas relacionadas con OPSEC, pero lo principal es que les pido que establezcan un programa de recompensas por errores (al menos autoalojado). Esto les brinda una buena reputación y mejora la seguridad en general.” Gracias, Gowtham, por compartir tus ideas. Mis dos centavos: En mi opinión, Gowtham lo ha cubierto todo. Además, también aconsejo a nuestros clientes usar monederos y dispositivos separados exclusivamente para firmar y nada más. También recomiendo trabajar en entornos contenerizados y nunca mezclar el trabajo con tu entorno personal.