Lista negra (informática)

En informática , una lista negra , lista de exclusión , lista de bloqueo o lista de denegación es un mecanismo básico de control de acceso que permite el paso de todos los elementos (direcciones de correo electrónico, usuarios, contraseñas, URL , direcciones IP , nombres de dominio , hashes de archivos , etc.), excepto aquellos mencionados explícitamente. A los elementos de la lista se les deniega el acceso. Lo opuesto es una lista blanca , lista de permisos o lista de acceso , en la que solo los elementos de la lista pueden pasar por el mecanismo de control utilizado. Una lista gris contiene elementos que se bloquean temporalmente (o se permiten temporalmente) hasta que se realiza un paso adicional.

Las listas negras se pueden aplicar en varios puntos de una arquitectura de seguridad, como un host , un proxy web , servidores DNS , un servidor de correo electrónico , un cortafuegos , servidores de directorio o pasarelas de autenticación de aplicaciones. El tipo de elemento bloqueado depende de la ubicación del control de acceso. ^{[ 1 ]} Los servidores DNS pueden ser adecuados para bloquear nombres de dominio, por ejemplo, pero no URL. Un cortafuegos es adecuado para bloquear direcciones IP, pero no tanto para bloquear archivos o contraseñas maliciosas.

Algunos ejemplos de uso incluyen una empresa que podría impedir que se ejecute una lista de programas en su red, una escuela que podría impedir el acceso a una lista de sitios web desde sus ordenadores, o una empresa que quiere asegurarse de que sus usuarios no elijan contraseñas débiles y fáciles de adivinar.

Las listas negras se utilizan para proteger diversos sistemas informáticos. Es probable que el contenido de la lista negra deba estar dirigido al tipo de sistema que se protege. ^{[ 2 ]}

Las listas negras se distribuyen de diversas maneras. Algunas utilizan listas de correo sencillas . Una DNSBL es un método de distribución común que aprovecha el propio DNS . Algunas listas utilizan rsync para intercambios de datos de gran volumen. ^{[ 6 ]} Se pueden utilizar funciones de servidor web; ya sea solicitudes GET sencillas o interfaces más complejas como una API RESTful .

• Empresas como Google , Symantec y Sucuri mantienen listas negras internas de sitios web que se sabe que contienen malware y muestran una advertencia antes de permitir que el usuario haga clic en ellos.
• El software de control de contenido, como DansGuardian y SquidGuard, puede funcionar con listas negras para bloquear las URL de sitios web considerados inapropiados para un entorno laboral o educativo. Estas listas negras se pueden obtener de forma gratuita o a través de proveedores comerciales como Squidblacklist.org .
• También existen listas negras gratuitas para el proxy Squid (software) , como Blackweb.
• Un cortafuegos o un sistema de detección de intrusiones (IDS) también puede utilizar una lista negra para bloquear direcciones IP y/o redes hostiles conocidas. Un ejemplo de dicha lista sería el proyecto OpenBL .
• Muchos sistemas de protección contra copias incluyen la inclusión de software en listas negras .
• La empresa Password RBL ofrece una lista negra de contraseñas para el Directorio Activo de Microsoft , sitios web y aplicaciones, distribuida a través de una API RESTful .
• Los miembros de los sitios de subastas en línea pueden agregar a otros miembros a una lista negra personal. Esto significa que no podrán pujar ni hacer preguntas sobre tus subastas, ni tampoco podrán usar la función "comprar ahora" en tus artículos.
• Otro tipo de lista es la lista amarilla, que contiene direcciones IP de servidores de correo electrónico que, si bien envían principalmente correo legítimo, también envían algo de spam. Algunos ejemplos son Yahoo , Hotmail y Gmail . Un servidor en la lista amarilla es aquel que nunca debería ser incluido accidentalmente en una lista negra. La lista amarilla se consulta primero y, si aparece en ella, se ignoran las comprobaciones de la lista negra.
• En Linux modprobe , la blacklist modulenameentrada en un archivo de configuración de modprobe indica que se deben ignorar todos los alias internos del módulo en cuestión . Hay casos en los que dos o más módulos admiten los mismos dispositivos, o un módulo afirma erróneamente admitir un dispositivo.
• Muchos navegadores web tienen la capacidad de consultar listas negras antiphishing para advertir a los usuarios que, sin saberlo, intentan visitar un sitio web fraudulento .
• Muchos programas de intercambio de archivos entre pares admiten listas negras que bloquean el acceso desde sitios que se sabe que pertenecen a empresas que hacen cumplir los derechos de autor. Un ejemplo es el conjunto de listas negras de Bluetack ^{[ 7 ]} .

Como se expresa en un artículo de conferencia reciente centrado en las listas negras de nombres de dominio y direcciones IP utilizadas para la seguridad de Internet, "estas listas generalmente no se superponen. Por lo tanto, parece que estas listas no convergen en un conjunto de indicadores maliciosos". ^{[ 8 ] [ 9 ]} Esta preocupación combinada con un modelo económico ^{[ 10 ]} significa que, si bien las listas negras son una parte esencial de la defensa de la red, deben usarse en conjunto con listas blancas y listas grises.

Algunas importantes empresas e instituciones tecnológicas se han distanciado públicamente del término «lista negra» debido a una supuesta conexión con el racismo , recomendando en su lugar los términos «lista de denegación» o «lista de bloqueo» . ^{[ 11 ] [ 12 ] [ 13 ] [ 14 ] [ 15 ] [ 16 ]} La conexión del término con el racismo, así como el valor de evitar su uso, ha sido objeto de controversia. ^{[ 15 ] [ 17 ]}

En 2018, se publicó un comentario en una revista sobre un informe sobre la publicación depredadora ^{[ 18 ]} que afirmaba que "blanco" y "negro" son términos con connotaciones raciales que deben evitarse en casos como "lista blanca" y "lista negra", y que el primer uso registrado de "lista negra" fue durante "la época de la esclavitud masiva y la deportación forzada de africanos para trabajar en colonias europeas en América". El artículo alcanzó gran repercusión en el verano de 2020 tras las protestas por George Floyd en Estados Unidos. ^{[ 19 ]}

Varias empresas tecnológicas reemplazaron "lista blanca" y "lista negra" con nuevas alternativas como "lista de permitidos" y "lista de denegados", junto con cambios de terminología similares con respecto a los términos "maestro" y "esclavo" . ^{[ 20 ]} Por ejemplo, en agosto de 2018, Ruby on Rails cambió todas las apariciones de "lista negra" y "lista blanca" por "lista restringida" y "lista permitida". ^{[ 21 ]} Otras empresas respondieron a esta controversia en junio y julio de 2020:

• GitHub anunció que reemplazaría muchos "términos que pueden resultar ofensivos para los desarrolladores de la comunidad negra". ^{[ 22 ]}
• Apple Inc. anunció en su conferencia de desarrolladores que adoptaría un lenguaje técnico más inclusivo y reemplazaría el término "lista negra" por "lista de denegación" y el término "lista blanca" por "lista de permisos". ^{[ 23 ]}
• La Linux Foundation dijo que en el futuro utilizaría un lenguaje neutral en el código del kernel y la documentación, y que evitaría términos como "lista negra" y "esclavo" en adelante. ^{[ 24 ]}
• El equipo de ingeniería de Twitter declaró su intención de dejar de usar varios términos, incluidos "lista negra" y "lista blanca". ^{[ 25 ]}
• Red Hat anunció que haría que el código abierto fuera más inclusivo y evitaría estos y otros términos. ^{[ 26 ]}

ZDNet informa que la lista de empresas tecnológicas que toman tales decisiones "incluye a Twitter, GitHub, Microsoft, LinkedIn, Ansible, Red Hat, Splunk, Android, Go, MySQL, PHPUnit, Curl, OpenZFS, Rust, JP Morgan y otras". ^{[ 27 ]}

El problema y los cambios subsiguientes causaron controversia en la industria informática, donde las "listas blancas" y las "listas negras" son comunes (por ejemplo, listas blancas de IP ^{[ 28 ]} ). Quienes se oponen a estos cambios cuestionan la atribución del término a la raza, alegando que el término "lista negra" surgió de la práctica de usar libros negros en la Inglaterra medieval. ^{[ 20 ]}