Asegure su sistema de radio: guia defensiva para prevenir accesos no autorizados y robo de equipos

Aviso de independencia: RunBoard es una plataforma de operaciones independiente y no esta afiliada, respaldada ni patrocinada por ninguna empresa, producto, red o agencia mencionada en este articulo. Los nombres se usan unicamente con fines de identificacion y educacion.

Por que el control de acceso y el inventario van primero

La mayoria de las conversaciones sobre seguridad de radios saltan directo al cifrado. El cifrado importa, pero es la ultima capa, no la primera. La primera capa es saber exactamente que hardware tiene, quien lo tiene y que puede hacer cada unidad en su sistema. Un departamento que no puede responder "cuantos portatiles tenemos y donde esta cada uno en este momento" no puede protegerlos, no puede notar que falta uno hasta que ya es demasiado tarde, y no puede darle a las autoridades la informacion que necesitan para recuperarlo.

El control de acceso y el inventario son la misma disciplina vista desde dos angulos. El control de acceso es el conjunto de reglas que su sistema hace cumplir sobre que IDs de radio pueden afiliarse, cuales pueden transmitir y cuales pueden tener claves. El inventario es el rastro fisico y en papel que conecta cada uno de esos IDs con un dispositivo real con numero de serie y con una persona identificada y responsable. Cuando ambos coinciden perfectamente, un radio no autorizado o robado resalta de inmediato. Cuando se desalinean, se pierde la capacidad de distinguir una unidad legitima de una que no deberia estar transmitiendo.

Trate esto como un programa continuo, no como una hoja de calculo de una sola vez. Los radios se mueven entre miembros, salen a reparacion, se reasignan cuando alguien se traslada y, en ocasiones, desaparecen. Cada uno de esos eventos debe actualizar el mismo registro autorizado.

Documentar cada numero de serie

Construya y mantenga un registro de activos que consigne marca, modelo y numero de serie de cada componente del sistema, con el mayor enfoque en los activos que usan los usuarios finales, porque son los que se van caminando. Eso significa los portatiles, los moviles y los microfonos parlantes remotos (RSM) que se sujetan al hombro, ademas de baterias y cargadores. Las baterias y los cargadores importan mas de lo que se espera porque se revenden por separado en el mercado usado y con frecuencia son lo primero que un ladron pone en venta.

Para cada radio, relacione el dispositivo con la identidad que usa en su sistema. Registre:

• Marca, modelo y numero de serie del radio en si
• El ID de radio y el alias que presenta en el sistema troncalizado
• El usuario asignado o el vehiculo o estacion donde se ubica
• Los seriales de bateria y RSM asociados a esa unidad
• La version del codeplug y si la unidad guarda claves de cifrado

No se quede solo con el registro en papel. Fotografie cada unidad y coloque un sello de seguridad o grabe un identificador de la agencia donde su politica lo permita. Los numeros de serie son el dato mas util que jamas tendra sobre un radio. Son lo que un oficial de policia ingresa en un registro de propiedad robada, y son lo que le permite marcar un anuncio de reventa como su equipo robado en lugar de uno parecido. Un numero de modelo por si solo no es suficiente. Hay miles de modelos identicos en el mercado usado. El numero de serie es lo que hace que un radio especifico sea suyo.

Autenticacion: rechazar el radio no autorizado

La forma mas solida de prevencion es un sistema que no permita que un radio no autorizado se una desde el principio. En los sistemas P25, la Autenticacion de Capa de Enlace (Link Layer Authentication) ofrece esto. Cuando esta habilitada, el sistema exige que un radio demuestre que tiene la credencial de autenticacion correcta antes de permitirle afiliarse. Una unidad que presenta un ID que parece valido pero no puede completar el intercambio de autenticacion es rechazada. Esto eleva el nivel de exigencia mucho mas alla de simplemente programar un ID conocido en un dispositivo.

Si su infraestructura y su flota de radios soportan la Autenticacion de Capa de Enlace, habilitela. Es uno de los pocos controles que funciona antes de que un radio robado llegue siquiera a transmitir, y cierra el vacio por el cual un dispositivo con un ID copiado o adivinado podria colarse en la red. Coordine el despliegue con su operador de sistema y su taller de radios, porque las credenciales de autenticacion deben aprovisionarse en cada unidad legitima, y un despliegue mal hecho puede bloquear a su propia gente.

La autenticacion se combina de forma natural con los mecanismos de rechazo y deshabilitacion de la base de datos de usuarios de su sistema troncalizado. Incluso con la autenticacion en funcionamiento, mantenga el habito de deshabilitar con prontitud el ID de radio de un miembro que se retira. El sentido de los controles por capas es precisamente ese. La autenticacion detiene al dispositivo desconocido, y una lista de rechazo mantenida al dia se encarga del dispositivo conocido que ya no deberia ser confiable.

• Habilite la Autenticacion de Capa de Enlace P25 donde la infraestructura y los radios lo soporten.
• Deshabilite o rechace el ID de radio de cualquier unidad perdida, robada o dada de baja.
• Revise la lista de IDs activos frente a su registro de activos en un calendario regular para detectar IDs huerfanos.

Deshabilitacion remota en los principales fabricantes

Cuando se confirma que un radio esta perdido o robado, la medida defensiva es deshabilitarlo en su propio sistema para que no pueda usarse en su contra. Esta capacidad es real, esta estandarizada y esta ampliamente disponible. Recibe distintos nombres segun la tecnologia y el fabricante, pero la funcion es la misma: un comando enviado por el aire que deja inoperable a la unidad de suscriptor en su red, usualmente con un comando equivalente para reactivarla si el radio se recupera.

• P25 define Radio Inhibit y Radio Uninhibit como comandos por el aire que deshabilitan y reactivan una unidad de suscriptor.
• Motorola ofrece funciones de deshabilitacion remota de radios, a veces descritas con la terminologia de stun (aturdir), kill (eliminar) y revive (reactivar).
• DMR, usado por sistemas de Hytera y Motorola MOTOTRBO, define Radio Disable y Radio Enable.
• NXDN, usado por radios de Kenwood e Icom, define Stun, Kill y Revive.
• L3Harris ofrece inhibicion de suscriptor a traves de sus herramientas de gestion de red.

La conclusion practica es que, sin importar la plataforma que use, los sistemas de fabricantes como L3Harris y Motorola, y los radios de Icom, Kenwood y Hytera, ofrecen una funcion de inhibicion o deshabilitacion remota. Las distinciones que hay que entender son entre una deshabilitacion reversible, que le permite reactivar la unidad si aparece de nuevo, y un borrado o eliminacion mas permanente que elimina el contenido sensible. Sepa que opciones soporta su sistema especifico antes de estar en medio de un incidente tratando de averiguarlo.

Rotacion de claves y la respuesta del OTAR selectivo

Aqui esta la pregunta que quita el sueno a los administradores que usan cifrado. Un radio que tiene sus claves de cifrado de trafico desaparecio. Si rota las claves, ¿el radio robado simplemente recibe la nueva clave junto con todos los demas? Si lo hace mal, si. Este es el detalle operativo mas importante de toda esta guia, asi que revisemoslo con cuidado.

El error que se debe evitar es un rekey por el aire (OTAR) ingenuo y general que envia la nueva clave a todo el grupo de rekey. Si la unidad robada todavia puede afiliarse y sigue siendo miembro de ese grupo, un rekey general puede entregarle la nueva clave directamente. Eso anula todo el proposito. El enfoque correcto es un rekey selectivo, y se ejecuta en un orden especifico:

• Primero, inhiba la unidad robada. Emita el comando de Radio Inhibit o deshabilitacion para que la unidad quede fuera del sistema antes de tocar las claves. Este es el paso que impide que reciba algo mas.
• Retire su ID del grupo de rekey en el Key Management Facility (KMF). Saque el ID de la unidad robada del grupo que el KMF va a rekeyar, para que quede excluida de la operacion. Algunos sistemas tambien soportan un borrado remoto por el aire que elimina directamente las claves almacenadas de la unidad. Usela si la tiene disponible.
• Envie la nueva clave de cifrado de trafico a todas las unidades excepto la excluida. Como el ID robado ya no esta en el grupo de rekey, la nueva clave llega a su flota legitima y no al radio robado.
• Deshabilite el ID del radio en la base de datos de usuarios del sistema troncalizado. Esto impide que la unidad se afilie en absoluto, de modo que incluso un dispositivo que de alguna manera conservo una clave anterior no pueda volver a conectarse al sistema para usarla.

Dicho claramente: el rekey selectivo, con el ID robado excluido del grupo de rekey, es lo que impide que el radio robado reciba alguna vez la nueva clave. El rekey general sin exclusion es lo que se la entrega. Si de este articulo se lleva un solo procedimiento, que sea este, y asegurese de que quede por escrito donde su personal de guardia pueda seguirlo bajo presion.

Ubicar y recuperar una unidad robada

La recuperacion es una funcion de las autoridades, y todo en esta seccion trata sobre recuperar propiedad de la agencia en cooperacion con la policia, no sobre rastrear a una persona. Con ese enfoque claro, existen herramientas legitimas que ayudan a los investigadores a ubicar el hardware de la agencia.

Los sistemas troncalizados registran a que sitio se afilia una unidad. Si un radio robado esta encendido y llega a su sistema, ese historial de afiliacion puede acotar un area general para entregarsela a los investigadores. Los radios equipados con GPS o servicios de ubicacion reportan su posicion, lo cual puede ser incluso mas directo. Donde una unidad este transmitiendo, la radiogoniometria (direction-finding) puede ayudar a triangularla. Toda esta es informacion que usted le proporciona a las autoridades, quienes actuan sobre ella.

Hay una disyuntiva real que hay que entender, y vale la pena plantearla de manera neutral. Un radio deshabilitado queda en silencio. Una vez que inhibe una unidad, esta deja de afiliarse y deja de darle senal de ubicacion. Por eso algunos administradores eligen ubicar primero y deshabilitar despues, reuniendo todos los datos de afiliacion o ubicacion posibles antes de cortar la unidad. Otros priorizan la deshabilitacion inmediata porque la exposicion de seguridad supera las probabilidades de recuperacion, sobre todo si el radio tiene claves. No hay una respuesta correcta universal. La decision depende de si la unidad esta cifrada, de que tan sensible es su trafico y de que tan realista se ve la recuperacion. Haga de esto una decision consciente en su SOP, en lugar de algo que un tecnico de guardia improvisa a las dos de la manana.

• Extraiga los registros de afiliacion de sitio del ID desaparecido y consérvelos para los investigadores.
• Si la unidad tiene GPS o servicios de ubicacion, capture las ultimas posiciones reportadas.
• Entregue los numeros de serie y cualquier dato de ubicacion a las autoridades, y deje que ellas actuen.
• Decida de antemano, segun su SOP, si una unidad cifrada se deshabilita de inmediato o si se intenta ubicarla primero.

Monitoreo de reventa, NCIC y el vacio de los registros

Los radios robados con frecuencia aparecen en el mercado usado, por eso sus numeros de serie cumplen una doble funcion. Establezca un monitoreo continuo en eBay y otros mercados de radios usados, buscando por modelo y, cuando sea posible, por numero de serie, y guarde esas busquedas como alertas para que le notifiquen sobre nuevos anuncios. Cuando encuentre un anuncio que coincida con uno de sus seriales robados, eso es evidencia para su investigador, no una confrontacion que usted deba manejar personalmente. Los centros de servicio de los fabricantes tambien pueden marcar numeros de serie, asi que notifique al fabricante si es posible que una unidad robada sea enviada a reparacion bajo garantia.

El mecanismo oficial en Estados Unidos es el NCIC, el Centro Nacional de Informacion sobre Delitos (National Crime Information Center) del FBI. Las autoridades ingresan los numeros de serie de propiedad robada en el NCIC, y la propiedad recuperada y las transacciones de casas de empeño se verifican contra este. Precisamente por eso un registro limpio de numeros de serie es tan valioso. Su oficial no puede ingresar un radio al NCIC sin su numero de serie. Facilitele el trabajo entregandole una lista completa.

Ahora la parte honesta, y quiero ser cuidadoso aqui porque es facil exagerar. Mas alla del NCIC, existen listas informales de comunidades y foros, y algo de marcado por parte de fabricantes o distribuidores, pero hasta donde se sabe no existe un unico registro publico autorizado de "radios robadas" que quienes encuentran o compran equipos consulten ampliamente, de la manera en que el NCIC sirve a las autoridades. Este es un vacio real en el sistema. Le recomiendo verificar el estado actual de las cosas para su region y su equipo en lugar de asumir que esto es permanente, porque es el tipo de cosa que puede cambiar, pero no asuma que existe una base de consulta publica conocida cuando planifique su respuesta. Sus herramientas confiables son el NCIC a traves de su reporte policial, su propio monitoreo de reventa y el marcado por parte del fabricante.

El SOP de respuesta inmediata ante radio perdido o robado

Todo departamento necesita un procedimiento escrito, disponible las 24 horas, para el momento en que un radio desaparece. La rapidez importa, porque la ventana en la que una inhibicion y un rekey selectivo hacen mas bien es la ventana justo despues de la perdida. Si la persona que descubre la perdida tiene que averiguar a quien llamar, ya perdio un tiempo que no puede recuperar.

Un SOP funcional responde estas preguntas antes de que ocurra cualquier incidente:

• ¿A quien se llama, a cualquier hora? Nombre al administrador de sistema de guardia o a la mesa de ayuda del operador y el numero exacto para contactarlo.
• ¿Quien esta autorizado para emitir una inhibicion? Deje clara la autoridad para que nadie dude y nadie se extralimite.
• ¿Esta unidad tiene claves? Su registro de activos responde esto de inmediato, y eso determina si se activa el procedimiento de rekey selectivo.
• ¿Ubicar primero o deshabilitar primero? Proporcione la regla de decision para que el personal de guardia no improvise la disyuntiva de la seccion anterior.
• ¿Que se reporta a la policia, y con que numeros de serie? Tenga los numeros de serie listos para entregar de modo que la unidad pueda ingresarse al NCIC sin demora.
• ¿Quien actualiza el registro de activos? El registro debe reflejar el estado de deshabilitado o desaparecido de la unidad ese mismo dia.

Imprimalo, plastifiquelo y colóquelo donde el supervisor de turno pueda encontrarlo. Practiquelo. Un SOP que solo vive en una carpeta que nadie ha abierto no va a ayudar a las 03:00 cuando se confirma que falta un portatil en una escena.

Politicas, auditorias y capacitacion

La tecnologia le da los controles. Las politicas, las auditorias y la capacitacion son lo que los mantiene funcionando mes tras mes. Las funciones cubiertas aqui solo lo protegen si estan configuradas, mantenidas y realmente usadas por gente que sabe como hacerlo.

Del lado de las politicas y la configuracion, ponga por escrito la linea base de proteccion y mantengala:

• Establezca contraseñas de lectura y escritura del codeplug para que un radio robado o prestado no pueda leerse ni reprogramarse a la ligera.
• Habilite los bloqueos de programacion del panel frontal para que la configuracion de campo no pueda alterarse sin autorizacion.
• Use contraseñas o PINs de encendido donde el hardware lo permita, para que una unidad robada sea menos util incluso antes de conectarse a la red.
• Mantenga listas de rechazo y deshabilitacion de IDs de radio en el sistema troncalizado, y elimine con prontitud los IDs dados de baja.
• Donde sus vecinos participen, comparta la informacion de las listas de rechazo a nivel regional para que un radio deshabilitado en su sistema tambien sea rechazado en los sistemas adyacentes que pueda alcanzar.

Del lado de las auditorias, concilie la lista de IDs activos con su registro fisico de activos en un calendario fijo. Cualquier ID que este en el aire y que no corresponda a un numero de serie conocido y a un usuario conocido es un hallazgo que hay que investigar. Cualquier radio en el registro que no se haya afiliado en mucho tiempo vale la pena confirmarlo fisicamente antes de que resulte estar perdido en silencio. Estas conciliaciones son donde se detecta la deriva lenta antes de que se convierta en una perdida que nadie noto.

Del lado de la capacitacion, asegurese de que las personas que puedan descubrir un radio perdido sepan que existe el SOP y sepan cual es la primera llamada que deben hacer. Asegurese de que sus administradores de guardia hayan realmente ejecutado una inhibicion y un rekey selectivo en un entorno controlado, no solo que hayan leido sobre ellos. La capacidad sin una mano capacitada detras no es proteccion.

Si administra un sistema de radio y quiere conversar sobre cualquiera de estos temas con mas detalle, ya sea construir su registro de activos, redactar su SOP de radio perdido o robado, o definir su procedimiento de rekey selectivo, puede contactar directamente al autor, Todd Bowden. Use el formulario de contacto a continuacion para comunicarse con el.

Aviso de independencia: RunBoard es una plataforma de operaciones independiente y no esta afiliada, respaldada ni patrocinada por ninguna empresa, producto, red o agencia mencionada en este articulo. Los nombres se usan unicamente con fines de identificacion y educacion.