31 dic 2015

Cisco auditará su código en busca de backdoors

La semana pasada el fabricante de routers, switches y firewalls empresariales Juniper, hizo público que a raíz de una auditoría interna de sus sistemas operativos ScreenOS habían detectado varios backdoors críticos que permitirían acceder al sistema con permisos de administrador y capturar el tráfico VPN. Ahora Cisco, su más directo rival, va a realizar también una completa auditoría de seguridad.

"Cuando las barbas de tu vecino veas pelar, pon las tuyas a remojar", esto es lo que ha hecho la empresa Cisco al ver que uno de sus más directos rivales (Juniper) había encontrado un gravísimo backdoor en su sistema operativo ScreenOS. La compañía Cisco, en un comunicado, ha declarado que uno de sus principios y política más importante es que no incorporan ningún backdoor en su código fuente. Las prácticas de desarrollo de Cisco prohíben específicamente la creación de puertas traseras o código malicioso que permita el acceso a un dispositivo de red cuando no tenemos autorización para ello, también prohíben de manera explícita cualquier método de desviación de tráfico, creación de canales de comunicaciones secretos con el dispositivo e incluso la creación de cuentas de usuario secretas. Hay que recordar que Cisco ya ha tenido problemas similares en el pasado reciente.

Cisco también ha declarado que han estudiado a fondo el problema que ha tenido Juniper, y no han encontrado ningún código no autorizado en ninguno de sus productos, no obstante van a realizar una completa auditoría de seguridad con sus ingenieros y con investigadores de seguridad de otras empresas para garantizar que sus sistemas operativos están libres de este tipo de puertas traseras.

Si en cualquier momento de esta auditoría se encuentra un fallo de seguridad o una puerta trasera, se pondrá cuanto antes en su boletín de seguridad para avisar a todos sus clientes del fallo y que tomen las medidas pertinentes. Cisco ha hecho especial hincapié que nadie le ha obligado a realizar esta auditoría de su sistema operativo, pero viendo el gran problema que ha tenido Juniper, han decidido hacer lo propio para mantener intacta la confianza de sus clientes.

Por último, desde Cisco se pide a los clientes que reporten cualquier tipo de sospecha de vulnerabilidad o backdoor que tengan sus equipos.

Fuente: RedesZone

30 dic 2015

Descifran el ransomware GoMaSom y permiten recuperar los datos

Estas navidades está pegando fuerte un ransomware bautizado por Fabian Wosar de Emsisoft como Gomasom (GOogle MAil ranSOM) ya que utiliza direcciones de Gmail en los nombres de ficheros cifrados, por ejemplo [email protected]_.crypt, a los que los usuarios infectados deben escribir para seguir las instrucciones de "rescate".

El propio Fabian ha creado una herramienta muy sencilla decrypt_gomasom.exe que permite obtener la clave de descifrado simplemente arrastrando un fichero cifrado y el equivalente original sin cifrar:
Es decir, al menos necesitaremos un archivo original para poder recuperar el resto. Si no lo tenemos podríamos buscar por ejemplo un PNG de la instalación por defecto de Windows, obtenerlo de otro equipo o descargarlo de Internet y utilizarlo para obtener la clave.
Básicamente el programa realiza una fuerza bruta probando diferentes claves para obtener el mismo fichero cifrado, cuando la encuentre (puede llevar su tiempo).

Fuente: HackPlayers

Chrome y Mozilla no aceptarán SHA-1 a partir de julio de 2016

A la hora de establecer conexiones seguras con servidores de páginas web o diferentes plataformas se utilizan certificados criptográficos. Existen muchos tipos de certificados diferentes que, según pasa el tiempo, van siendo más sencillos de crackear (debido al aumento de las técnicas de hacking y a la potencia de los equipos informáticos) así como pueden aparecer diferentes vulnerabilidades que permita a usuarios no autorizados descifrar la información protegida por estos certificados. Por ello, cuando un certificado se considera como inseguro, es habitual que los gigantes de Internet empiecen a rechazarlos, evitando establecer conexiones a través de ellos.
El próximo algoritmo que está en el punto de mira es SHA-1. Este algoritmo, creado por la NSA en 1995, ha sido considerado como inseguro por varios expertos de seguridad, quienes empezaron a recomendar su abandono a favor de otras opciones más robustas como SHA-2 con el fin de evitar que los datos de los usuarios pudieran verse comprometidos. En un principio, Google tenía previsto configurar su navegador Google Chrome para rechazar las conexiones seguras que utilizaran este algoritmo a principios de 2017, sin embargo, es posible que haya cambiado de idea y agilizado el proceso.

Según afirma el gigante de Internet, a partir de julio de 2016 su navegador web dejará de ser compatible con las conexiones SHA-1, forzando a los servidores a utilizar algoritmos más seguros y bloqueando la carga de las páginas web en caso de que no se puedan establecer conexiones que realmente sean consideradas como seguras. La decisión se basa en estudios académicos recientes del Centrum Wiskunde & Informatica (CWI), Inria en Francia y Nanyang Technological University de Singapore (NTU Singapore). Desde aquí se puede descargar el PDF del estudio.
Hemos computado SHA-1 en Kraken, nuestro cluster de 64 GPU compuesto por 16 nodos, baratos y ampliamente disponible: 4 GPUs GTX-970, 1 procesador i5-4460 de Haswell y 16GB de RAM. El costo de romper SHA-1 es significativamente más bajo de lo que se pensaba.
Google no es el único que rechazará el uso de los certificados SHA-1 en los próximos meses. Mozilla, por otro lado, también bloqueará el uso de los certificados SHA-1 en su navegador Firefox a partir del 1 de julio de 2016.

Aunque todo movimiento relacionado con la seguridad es bueno, grandes empresas de Internet como Facebook y Cloudflare aseguran que esto puede llegar a ser un problema, ya que muchos usuarios no tienen dispositivos compatibles con navegadores web modernos adaptados a los algoritmos más seguras, especialmente los usuarios de dispositivos móviles antiguos, quienes, una vez eliminado el soporte para las conexiones SHA-1, se verán, literalmente, desconectados de Internet.

Lo más probable es que antes de que esto ocurra, las principales desarrolladoras actualicen sus navegadores o creen alguna alternativa para que estos usuarios puedan seguir conectados a Internet sin problemas. Por el momento habrá que esperar a ver cómo se realiza el cambio y si no afecta a gran escala a Internet.

Fuente: RedesZone

29 dic 2015

La guerra contra el cifrado: los gobiernos vs. la privacidad

Este año, diversos países han expresado su interés por poner puertas traseras al cifrado o hacerlo ilegal. Parece que la guerra contra el cifrado apenas comienza.

Si bien los gobiernos de todo el mundo nunca han sido especialmente fans del cifrado, en meses recientes la guerra contra el cifrado y el anonimato se ha enardecido. Diversos países han hecho públicos sus planes de romper la criptografía de dispositivos móviles y comunicaciones, entre ellos el Reino Unido y Francia, y por supuesto, el Gran Hermano que nos observa a todos, Estados Unidos, se ha acercado a diferentes compañías tecnológicas, ejerciendo presión para obtener acceso a comunicaciones cifradas.

El Reino Unido se encuentra considerando una ley que haría que cualquier forma de comunicación (ya sea un correo electrónico, un mensaje de texto o una llamada) pueda ser leída por la policía o por los servicios de inteligencia si tienen una orden. Kazajstán, a partir de enero, requerirá que todos sus ciudadanos instalen un certificado de seguridad nacional permitiendo la intercepción de todas las comunicaciones cifradas de sus ciudadanos (básicamente, un ataque "man-in-the-middle" legal). El Ministro de Interior francés recomendó prohibir el uso de Tor, con la finalidad de "luchar contra el terrorismo". Parece, también, ser el único punto en el que los candidatos presidenciales estadounidenses Hillary Clinton y Donald Trump están de acuerdo: la libertad de expresión no es sino una "queja" que elevarán los activistas ante la introducción de puertas traseras en el cifrado, una queja que debe ser ignorada, sin importar cuántas veces los expertos en cifrado les hayan explicado que tal "solución" no es sino la creación de un problema mayor.

Sin importar que el anonimato sea reconocido por organizaciones como Naciones Unidas como esencial para la libertad de expresión, el "problema" que representa el cifrado para las autoridades no es reciente. Mecanismos de cifrado han sido usados por miles de años, pero por mucho tiempo fueron un privilegio de las élites, y sus técnicas eran controladas por gobiernos y ejércitos. Sin embargo, con el surgimiento de la tecnología de llave pública, la popularización del cifrado -entendida como la posibilidad de que éste fuera usado por cualquier ciudadano de a pie- se convirtió en un problema para los gobiernos, quienes preferirían seguir controlando la tecnología y manteniéndola fuera del alcance de los ciudadanos.

La Agencia de Seguridad Nacional estadounidense (mejor conocida como la NSA) tiene el poder de obtener acceso a dispositivos inteligentes simplemente enviando un SMS. El cifrado de llave pública se convierte de este modo en la única manera que posee un ciudadano cualquiera para proteger sus comunicaciones, y es precisamente ésta la última frontera que los gobiernos desean romper. Jon Callas, uno de los inventores de PGP, el sistema de cifrado de correo electrónico más utilizado, lo plantea en los siguientes términos:
"Supón que el gobierno estadounidense dice que los terroristas se están vacunando, y en respuesta a eso, deciden que van a poner agua salada en vez de vacuna en cada aguja de vacunación en el mundo. Eso sería terrible, sería inhumano. Pero si es verdad (refiriéndose a los esfuerzos de la NSA), sería algo así".
¿La excusa? La misma utilizada para llevar a cabo proyectos de vigilancia masiva e indiscriminada: la guerra contra el terrorismo. A pesar de que los programas de vigilancia gubernamentales incumplen los principios de necesidad y proporcionalidad indispensables para la preservación de los derechos humanos involucrados (que incluyen la libertad de expresión e información, la intimidad, la privacidad y la libertad de asociación), y en incumplimiento de la Declaración Universal de Derechos Humanos, que establece que la vigilancia sólo puede estar justificada cuando es prescrita por ley, es necesaria para lograr un objetivo legítimo, y es proporcional al objetivo perseguido, estos programas siguen llevándose adelante sin el menor resquemor por parte de las autoridades involucradas.

El cifrado de extremo a extremo y el anonimato parecen asustar a los gobiernos con ansias de totalitarios. Sin embargo, la infraestructura misma de Internet hace difícil de controlar la capacidad de los ciudadanos digitales de protegerse de las invasiones. El enjambre, descentralizado y veloz, se mueve más rápido que cualquier burocracia, y vuelve dudosa cualquier predicción sobre cuál será el final de la guerra contra el cifrado.

Fuente: Hipertextual

Google indexará páginas HTTPS por defecto

Google ha anunciado que su motor de búsqueda ha comenzado la indexación de páginas HTTPS por defecto, el Protocolo seguro de transferencia de hipertexto o lo que es lo mismo, la versión segura de HTTP, usada principalmente por entidades financieras, comercio electrónico y otro gran número de servicios que requieran envío de contraseñas o de datos personales.

La medida se enmarca en la "búsqueda de la seguridad del usuario", una prioridad según Google. "Con los años, hemos trabajado duro para promover una red más segura y proporcionar una mejor experiencia de navegación para los usuarios".
Navegar por la web debe ser una experiencia privada entre el usuario y el sitio web y no debe ser objeto de espionaje, ataques man-in-the-middle ataques o modificación de datos. Es por esto que hemos estado promoviendo con fuerza y en todas partes el protocolo HTTPS.
Como una continuación natural de esa estrategia, Google está ajustando su servicio de indexación en la búsqueda de un mayor número de páginas HTTPS. En concreto, el gigante de Internet indexará páginas HTTPS equivalentes de páginas HTTP, incluso cuando las primeros no están vinculados desde cualquier página. Cuando dos direcciones URL desde el mismo dominio parezcan tener el mismo contenido, pero se sirven en diferentes esquemas de protocolo, indexará la URL HTTPS más segura.

Google lleva tiempo promoviendo la adopción de este protocolo y hace tiempo anunció el uso automático de conexiones cifradas HTTPS en el envío y recepción del 100 por cien de los mensajes de su servicio de correo electrónico web Gmail.

El pasado año, Google también anunció la inclusión de los protocolos de conexiones cifradas como factor para posicionar los sitios web en sus búsquedas.

Fuente: Muy Seguridad

28 dic 2015

Hacking del cifrado cuántico usando luz clásica

El cifrado cuántico, la criptografía que utiliza principios de la mecánica cuántica para intentar asegurar al 100% la confidencialidad en las comunicaciones, no es totalmente infranqueable según una investigación de científicos suecos.

El cifrado cuántico fue propuesto como teoría en 1970 y en 1984 se publicó el primer protocolo. Conocido como Quantum Key Distribution (QKD) y basado en el teorema de Bell, algunas empresas han desarrollado dispositivos bajo este protocolo desde 2002 pero en realidad pocos se han utilizado fuera de entornos de prueba aunque se considera(ba) inrompible.

Basado en una propiedad única de la física cuántica para cifrar y descifrar mensajes, se considera totalmente seguro para garantizar confidencialidad absoluta en la transmisión de información entre dos partes. La transmisión se logra utilizando fotones polarizados enviados entre el emisor (A) y el receptor (B) mediante un canal cuántico, por ejemplo, fibra óptica.

Utilizando la polarización de los fotones para codificar información binaria se conforma la clave secreta. Si un atacante pretende escuchar secretamente las comunicaciones durante la creación de la clave secreta, el proceso se altera advirtiéndose al intruso antes de que se transmita información privada.

Sin embargo, los investigadores suecos, aseguran que hay lagunas en la forma de trabajar de este protocolo y que no es totalmente irrompible, por ejemplo reemplazando fotones por una fuente de luz tradicional. "Con este agujero de seguridad, es posible espiar el tráfico sin ser detectado. Lo descubrimos en nuestros cálculos teóricos y nuestros colegas en Estocolmo fueron posteriormente capaces de demostrar experimentalmente este argumento", explican.

Los investigadores detallan que este problema se puede resolver y proponen una serie de medidas para hacerlo y asegurar este cifrado cuántico.

Fuente: Muy Seguridad

Decálogo de la concienciación en ciberseguridad en la empresa

La utilización de las nuevas tecnologías en el desempeño de nuestra actividad profesional con smartphones, tablets, ordenadores portátiles, etc. unido a la facilidad de acceso a Internet, ha convertido nuestro puesto de trabajo y el de cualquier empleado en un puesto móvil. De esta forma podemos trabajar desde cualquier parte y en cualquier momento.

Este nuevo escenario de trabajo ha hecho que, desde el punto de vista de la seguridad de la información, el perímetro de seguridad de la organización se desvanezca. Ha convertido a cada empleado en el nuevo perímetro de seguridad a proteger, en el punto más importante.

Por ello, es si cabe aún más importante la implicación del empleado en la protección de la información que maneja. No desde el punto de vista técnico, sino adoptando unas pautas de comportamiento seguro en el uso de las tecnologías. Ante esta situación, la formación y la concienciación en ciberseguridad se convierten en iniciativas básicas y fundamentales.

Los tres pilares en la ciberseguridad son: las personas, de los procesos y de la tecnología. La formación y concienciación de los empleados se centra en la dimensión de las personas. El objetivo de la concienciación no es convertir a los empleados en expertos en seguridad de la información. El objetivo es trasladar las mejores prácticas en materia de seguridad para que adopten pautas de comportamiento seguro en los distintos entornos en los que desempeñan su actividad profesional. De esta forma mejora la cultura de seguridad de la organización. Incluso el empleado puede extender estas pautas en su ámbito personal.

A continuación veremos los puntos más importantes sobre los que debemos concienciar al empleado de cualquier organización.
Fuente: INCIBE

27 dic 2015

BOOTRASH, Nemesis y FIN1, ecosistema de malware financiero

Recientemente Mandiant identificó un nuevo grupo de desarrollo de malware y APTs al que bautizó como FIN1. Ahora se ha encontrado un nuevo tipo de "bootkit" que se carga antes de que el sistema operativo Windows cargue, resultando muy difícil de identificar y/o de quitarlo.

Se cree que esta es una parte del ecosistema de malware llamado "Nemesis" desarrollado por FIN1, en el cual atacantes financieramente motivados buscar robar datos de tarjeta de crédito y débito y otras operaciones de ATMs. Este tipo de ataques se han visto en el pasado, pero esta vez, la cuestión parece real monstruosa. Esperamos que las instituciones financieras y Microsoft recuperarán antes de que sea demasiado tarde.

La investigación completa de la empresa Fireeye identificó estas actividades durante una investigación reciente en una organización del sector financiero. Némesis incluye puertas traseras, canales de comunicación para el C&C, captura de pantalla, registro de pulsaciones de tecla, proceso de inyección y programación de tareas. A principios del 2015, FIN1 actualizó sus herramientas para incluir una utilidad que modifica el registro de Volume Boot Record (VBR) para comenzar a cargar componentes de Nemesis antes de la carga del código del sistema operativo Windows. Esta utilidad se indentifó como BOOTRASH.

En Windows, la tabla de partición MBR es fundamental para el proceso de arranque y almacena información sobre el disco, la disposición de las particiones y una pequeña cantidad de código que se utiliza durante el proceso de arranque. Este código busca la partición primaria activa y pasa el control a la VBR.
La VBR se encuentra en el primer sector de una partición y contiene código máquina específico para ser reconocido por el sistema operativo. BOOTRASH se apropia de este proceso de arranque para cargar parte del código de Nemesis antes de la carga del sistema operativo.

Fuente: Fireeye

26 dic 2015

Seguridad en el almacenamiento de contraseñas + SALT

De un tiempo para acá algunas páginas importantes han sufrido por el robo de sus contraseñas. Recientemente LinkedIn perdió más de 6 Millones de passwords y a Yahoo le metieron un gol de 450 mil contraseñas. Lo más preocupante de estas fugas es que es posible deducir las contraseñas con relativa facilidad.

LinkedIn guardaba las contraseñas en forma de un Hash SHA-1 y Yahoo por su parte tenía los passwords en texto plano, sin nigún tipo de protección.... eso amigos, no se hace!

Antes de hablar sobre como asegurar ese tipo de información en una base de datos, empezemos por lo más básico....

¿Que es Hashing?

Un hash (también conocido como digest) se puede visualizar como una huella digital relacionada a algún dato (sea un archivo, un string, etc). El hash se logra atraves de un proceso matemático de una sola vía, lo que quiere decir que es complicado recuperar el dato/texto original a partir del hash.

SHA y MD5 son algoritmos para calcular hashes, cada uno genera strings con una cantidad fija de caracteres (que depende del algoritmo que se use). Hay muchos más algoritmos, la función hash_hmac en php nos sirve para calcular muchos más.

Ahora, recordemos algo, como los algoritmos para hashear datos, convierten una cantidad arbitraria de datos a un string con una longitúd fija. Eso deja abierta la posibilidad de que 2 strings distintos resulten en un mismo hash. Esa situación no es algo que suceda con frecuencia, de hecho es muy improbable!

LinkedIn guardaba las contraseñas como un hash SHA-1. Cual es el problema? Que pueden usar un ataque de fuerza bruta (o con un diccionario) para dar con el texto que resulte en ese hash. Este es un problema aún más preocupante si la contraseña es muy popular, como por ejemplo '123456'. De ahí la importancia de usar una contraseña segura... pero ese ya es otro tema.

Adicionalmente también existen las tablas arcoíris y lookup tables que también son herramientas que se usan a la hora de crackear hashes.

En este post de Michael Pratt se brindan los detalles para generar hash y SALT seguros en PHP utilizando las funciones mcrypt_create_iv, Blowfish, crypt y bcrypt y aquí se pueden ver ejemplos de su implementación.

25 dic 2015

Nueva actualización crítica de seguridad para Joomla!

Hace apenas una semana Joomla! publicaba la versión 3.4.6 para evitar una vulnerabilidad 0-day, pero vuelve a publicar una nueva versión (3.4.7) destinada a corregir dos nuevas vulnerabilidades (una de gravedad alta). También se mejora la seguridad del controlador MySQLi para evitar ataques de inyección de objetos.

Tras la corrección de la vulnerabilidad crítica de la semana pasada, el equipo Joomla Security Strike ha seguido investigando sobre el problema. De esta forma se ha hecho evidente que la causa es un error en el propio PHP. Este fallo ya fue corregido por PHP en septiembre de 2015 con las versiones de PHP 5.4.45, 5.5.29 y 6.5.13 (esto ya estaba corregido en todas las versiones de PHP 7). Y aunque afecta a todas las versiones desde Joomla 1.5 a 3.4.6 los únicos sitios Joomla afectados por este error son aquellos en los que se encuentra alojado con versiones de PHP vulnerables. El equipo de Joomla es consciente de que no todos los sitios mantienen las instalaciones de PHP actualizadas, por lo que esta versión corrige el problema en versiones vulnerables de PHP.

Otra vulnerabilidad corregida reside en un filtrado inadecuado de datos que da lugar a una vulnerabilidad de inyección SQL. Afecta a Joomla 3.0.0 hasta 3.4.6.

Actualización: ya se publicó la versión 3.4.8 que soluciona un bug incluido en la versión anterior.

Fuente: Hispasec

Nuevo código de Error HTTP 451: no disponible debido a restriciones legales

Se ha asignado un nuevo código de Error HTTP 451 - Unavailable for Legal Reasons para denotar instancias donde los gobiernos restringen el acceso a sitios web específicos. El número es una referencia a la novela distópica de Ray Bradbury Fahrenheit 451.

Tim Bray, el co-inventor y desarrollador de Android presentó un borrador para el nuevo código de estado HTTP para ser usado cuando los contenidos no están disponibles debido a restriciones legales. El código 451 podrá ser usado para dar a conocer a los usuarios que una página web o recurso solicitando no puede ser accedido por un estado de censura sobre el mismo. De acuerdo con el borrador, la respuesta deberá indicar detalles acerca de la restrición legal pertinente.

Con la cantidad de sitios que han sido censurados en línea, Internet Engineering Steering Group (IESG) finalmente decidió aprobar la publicación del borrador de una futura norma que señala el código de estado HTTP 451 como una indicación de que no se puede ingresar al servidor como consecuencia de una demanda legal.

Otro ejemplo lo represensa el HTTP 450 status code "Blocked by Parental Controls" que introdujo Microsoft para control parental.
Si bien el código de 403 ("forbidden") sería suficiente para estos casos, después de que algunos sitios comenzaron a adoptar el código 451 como un experimento, el grupo de trabajo pensó en hacerlo oficial.

Se espera que la versión final del proyecto sea abierto pronto para realizar comentarios.

Fuente: The Verge

24 dic 2015

DoS en Whatsapp para Android y web (con emojis)


Hace más de un año, un experto de seguridad llamado Bhuyan descubrió un fallo en el cliente de mensajería que permitía bloquear el cliente de un destinatario enviando una secuencia de más de 7MB. También se descubrió otro fallo que con un mensaje de tan solo 2000 palabras con caracteres extraños (2kb) la aplicación se bloqueaba igualmente. WhatsApp solucionó estos fallos poco después de hacerlos público, sin embargo, parece que la compañía ha vuelto a cometer el mismo fallo.

El mismo experto de seguridad ha descubierto que Facebook no aplica ningún límite al número de caracteres ni de emojis que se pueden enviar en un mismo mensaje, por lo que, al igual que en las ocasiones anteriores, es posible aprovecharse de ello para explotar el fallo y bloquear el cliente de mensajería en Android. De esta forma, cuando un usuario envía una cadena muy larga de emojis, el WhatsApp del destinatario se bloquea al recibirlos todos a la vez, dejándolo sin servicio y obligando al destinatario a eliminar toda la conversación, e incluso a restaurar la configuración del cliente de mensajería.

En ocasiones, el número de emojis que hay que enviar en un solo mensaje es de 4200 y en otras ocasiones con 6600 el cliente remoto se bloquea. Todo depende, generalmente, de la potencia del smartphone que ejecuta WhatsApp. En nuestro caso, un Nexus 4 ha sido capaz de cargar los 6600 caracteres (aunque ha tardado bastante en hacerlo), pero, efectivamente, no ha podido cargar el mensaje cuando hemos enviado 10.000.
Podemos elegir la opción de esperar para intentar que el smartphone cargue la conversación, sin embargo, lo más probable es que tengamos que eliminar la conversación entera (si es que podemos) o, de lo contrario, borrar todos los datos y conversaciones de WhatsApp para empezar de nuevo desde cero.

Este fallo de seguridad solo afecta a los usuarios de Android. Cuando enviamos una cadena tan grande de emojis a un usuario de iOS, este lo único que nota es que su dispositivo se ralentiza durante algunos segundos, aunque poco más tarde recupera de nuevo la normalidad.

Por desgracia, los usuarios no podemos hacer nada para evitar ser víctimas de este fallo ya que depende de la compañía. WhatsApp ya será consciente de este problema, sin embargo, por el momento no se sabe de ninguna solución a este fallo. Lo único que podemos hacer es esperar a que la compañía actualice su cliente de mensajería, corrija el problema o, como alternativa, aplique una limitación ce caracteres/emojis por mensaje.

Fuente: RedesZone

UE aprueba nueva ley de protección de datos

Bruselas llevaba tres años en busca de una buena ley de protección de datos que proteja la información de los ciudadanos europeos. Este martes, el Parlamento Europeo —reunido en pleno en Estrasburgo (Francia)—, junto a las otras instituciones de la UE, ha dado finalmente el visto bueno a la propuesta de la Comisión liderada por la comisaria del ramo, Vera Jourová, para dotar a la UE de una nueva ley de protección de datos.

"Este es un acuerdo fundamental, con consecuencias muy importantes. Esta reforma no sólo fortalece los derechos de los ciudadanos, sino también la adaptación de las reglas en la era digital para nuestros negocios, al tiempo que reduce la carga administrativa", ha declarado Félix Braz, ministro de Interior luxemburgués, país que ostenta la presidencia de turno de la UE hasta final de 2015.
Se prevén multas de hasta el 4% del ingreso de una empresa en caso de violar la privacidad
Aunque aún no se han desvelado todos los detalles de este acuerdo, las fuentes consultadas lo consideran "equilibrado" tanto para las personas como para las empresas. Por ejemplo, las empresas no podrán compartir datos de los usuarios sin su autorización. Los consumidores deberán dar su consentimiento “explícito” para el intercambio de datos. Las empresas también verán su parte de beneficio, pues podrán reducir sus cargas porque la obligación de notificación previa a la autoridad supervisora será eliminada. Así, las obligaciones de las compañías se graduarán en función del riesgo potencial para la privacidad.

Algunas claves:
  • Habrá mayor y más fácil acceso a los datos de cada uno. Cada individuo tendrá más información sobre qué tratamiento reciben sus datos personales.
  • Habrá derecho a la portabilidad de los datos. Es decir, habrá más facilidad para trasladarlos de un servidor a otro.
  • Derecho al olvido. Si un ciudadano lo desea, y bajo algunos requisitos, sus datos serán eliminados.
  • Las empresas deben informar al ente supervisor de cada Estado cuando los datos que maneja han sido pirateados. El ciudadano tiene derecho a saber si ha sufrido un ataque pirata que ha afectado la privacidad de sus datos.
  • Un continente, una ley. Bruselas quiere ir armonizando las normas entre los 28 Estados miembros.
Otra de las implicaciones que tendrá la nueva norma es que las empresas podrán sufrir multas de hasta el 4% de sus ingresos en caso de que haya violado la privacidad de un usuario comunitario. Braz así lo atestigua diciendo que se trata de dos textos (un reglamento y una directiva) "ambiciosos y prometedores".

Sobre la edad límite para acceder a plataformas como Instagram o Facebook sin autorización paternal, se ha acordado que se dejará libertad de decisión a los Estados miembros siempre y cuando se fije entre los 13 y los 16 años.

El eurodiputado Jan Philipp Albrecht, de los verdes y miembro del comité de Libertades de la Eurocámara, ha confirmado también a través de su cuenta de Twitter que el texto está cerrado. "Hecho. La información oficial llegará en cualquier momento", ha avanzado. Albrecht ha sugerido que las empresas designen a un oficial de protección de datos si se procesa información sensible a gran escala, como por ejemplo, de un gran número de consumidores.

Más protección en la era digital

La reforma de la directiva de los años noventa consta de dos elementos fundamentales. El primero de ellos es la protección de los datos personales y el segundo, el uso de los datos personales para fines policiales, algo que preocupa cada vez más a las autoridades dada la situación de alarma terrorista en la que está sumida Europa desde los atentados de París del 13-N.

La Unión Europea quiere blindarse ante el flujo de información masivo que se intercambia con otras potencias, como Estados Unidos, especialmente desde el caso de espionaje por parte de la NSA destapado por el exespía estadounidense Edward Snowden en 2013. Lo que quiere evitar la UE es que los datos de sus ciudadanos puedan ser objeto de violaciones de privacidad. Por ejemplo, una de las propuestas es dotar de potestad a los jueces nacionales para frenar el traslado de datos de la UE a EE UU de una persona concreta a través de una plataforma como Facebook. Así lo confirmó, además, el Tribunal de Luxemburgo, una sentencia del pasado octubre.

http://ec.europa.eu/justice/data-protection/reform/index_en.htm

Fuente: Pablo Manso

23 dic 2015

Guía de seguridad para pagos electrónicos y PCI [ISACA]

Implementar los requerimientos de la norma PCI DSS (Payment Card Industry Data Security Standard) es una cuestión que no sólo deben atender los empresarios y profesionales en TI, también deberían preocuparse los técnicos, gerentes, y el staff de las organizaciones. La nueva guía ISACA, organización global de TI, simplifica el proceso, con un modelo de implementación, un método de autoevaluación y un programa de auditoría y control calidad.

La norma A Practical Guide to the Payment Card Industry Data Security Standard (PCI DSS) también facilita:
  • Un conciso resumen de los requerimientos de PCI DSS
  • Publicaciones acerca de PCI DSS
  • Información adicional y consejos ante los puntos más desafiantes
  • Técnicas para examinar e implementar los requerimientos
  • Exigencias de PCI DSS adecuadas a los procesos de COBIT 5 y las regulaciones
  • Escenarios de riesgo
  • Explicaciones detalladas de cómo diseñar un plan profesional de auditoría y control de calidad
El fraude con tarjetas bancarias es un continuo y desafiante reto que impacta a los consumidores, comerciantes e instituciones bancarias y genera pérdidas sustanciales. PCI DSS pretende debilitar la actividad criminal a través de cambios en los procesos de pago con tarjeta de crédito y su encriptación, con las actualizaciones correspondientes en Terminales Punto de Venta.

"A pesar de que los estafadores siempre intentarán infringir cualquier medida de seguridad para proteger a los participantes del sistema, PCI DSS ayuda significativamente a reducir el riesgo que implica" dijo David Lacey, autor del libro "La guía auxilia con asesoría técnica, desarrollo de políticas y promoción de una cultura de prevención".

Más de medio billón de documentos con información importante se ha visto comprometido debido a los diversos ataques sufridos por algunas organizaciones, además incluye incidentes particulares como los casos de TJ Maxx, Target y Home Depot. La popularidad de pagar productos y servicios con tarjeta bancaria va a incrementar en los próximos años. La guía elaborada por ISACA también incrementa la seguridad, cuida la estrategia de negocio, aumenta la eficiencia y reduce costos.

Fuente: ISACA

Script para detectar nodos maliciosos en TOR

En Tor cada nodo es capaz de decidir si es un nodo medio o de salida, en función de su propio estado de configuración. Si el nodo decide ser un Exit Point expondrá su propia dirección IP pública.

Ya sabéis que Tor es una de las principales redes (que no la única) para mantener el anonimato y acceder a la Deep Web, lo que le ha convertido en uno de los principales objetivos de múltiples organizaciones y gobiernos. En consecuencia han surgido numerosos tipos de ataques y han proliferado los nodos Tor maliciosos, ya sean de retransmisión o de salida, con el fin de espiar o comprometer los flujos de comunicación que pasan a través de ellos.

Los ataques podrían ocurrir de muchas maneras pero los más utilizados son principalmente tres:
  • Envenenamiento DNS: Esta técnica consiste en redirigir las llamadas DNS relacionadas con sitios web conocidos a páginas falsas que normalmente contienen exploit kits.
  • Parcheo de archivos: Esta técnica consiste en alterar el archivo solicitado de vuelta a su destino mediante la adición de contenido malicioso: esto sucede directamente en el ExitPoint/Relay antes de ser entregado al solicitante original.
  • Sustitución de certificados (SSL-MITM). Esta técnica consiste en la sustitución del certificado de sitio web real por uno falso con el fin de ser capaz de descifrar el flujo de comunicación e interceptar las credenciales y parámetros.
Marco Ramilli ha publicado recientemente un pequeño script en Python para averiguar cuando el flujo TOR pasa por nodos maliciosos, haciendo algunas comprobaciones rápidas para ver si se han realizado algunas de las tres principales técnicas arriba descritas: Poison DNS, parcheo de archivos o SSL-MITM.

La idea es muy simple: "vamos a grabar certificados, direcciones IP y archivos sin pasar a través de la red TOR (o pasando a través de circuitos de confianza) y luego repetir el proceso de pasar por todos los nodos disponibles. Luego comparar los resultados y comprobar si alguien ha modificado el terreno".

La implementación la tenéis aquí.

Fuente: HackPlayers

22 dic 2015

Guía de cómo responder a una infección de malware en la empresa

La incidencia del malware en las empresas considera tres variables: cantidad, complejidad y diversidad. A pesar de su antigüedad, sigue siendo una de las principales preocupaciones de las empresas y se materializa con frecuencia, por lo que resulta necesario conocer cómo responder ante un incidente.
A tales fines, el Laboratorio de Investigación de ESET Latinoamérica desarrolló una nueva Guía de respuesta a infección de malware [PDF], considerando que se trata de una amenaza latente que continuará creciendo, con métodos de infección cada vez más sofisticados. Estos se traducen en retos para la protección de la información, y esta guía práctica detalla las acciones a seguir antes, durante y después de un incidente.

El documento repasa los distintos tipos de malware y aplicaciones potencialmente indeseables (PUAs), junto a los riesgos de seguridad que podrían ocasionar. Luego, detalla las acciones a seguir enmarcadas en los siguientes aspectos:
  • Identificación de la infección
  • Determinación de su alcance
  • Mantención de la continuidad del negocio
  • Contención de las acciones maliciosas
  • Eliminación de la infección y el vector de ataque
  • Recuperación de la normalidad de las operaciones
  • Registro de las lecciones aprendidas
Fuente: We Live Security

Cryptolocker y Cryptowall a la venta

Existen varios tipos de ransomware, cada uno con unas peculiaridades, un cifrado mucho más complejo o diferentes técnicas para evadir a los principales sistemas antivirus, quienes no terminan de detectar al 100% este tipo de software malicioso.

Cryptolocker, también conocido como su variante Cryptowall, son probablemente los ransomware más conocidos y peligrosos de la red. Al igual que otros ransomware, estos cifran los datos de los usuarios y piden un rescate por poder recuperarlos.

Las principales características de Cryptolocker y Cryptowall son:
  • Usa un algoritmo de cifrado BlowFish de 448 bits, mucho más fuerte que AES
  • El ransomware genera una clave privada y única de 448 bits, la cual se envía al servidor de control y se elimina del PC y de la RAM.
  • El servidor C&C se cifra con un algoritmo RSA de 1024 o 2048 bits para que, aunque sea robado, las claves no se puedan recuperar sin la clave maestra.
  • Toda comunicación se realiza de forma segura a través de la red Tor.
El responsable de este malware, conocido como “whiterocks” o “firew0rm”, ha puesto a la ventana su software para que cualquier interesado en pagar la sospechosamente baja cantidad que pide por él pueda disponer tanto de los binarios como del código fuente para continuar con el desarrollo y mantenimiento de la herramienta maliciosa.

Más información sobre la venta del ransomware puede encontrarse en el anuncio oficial de Pastebin.
La venta de este ransomware puede ser buena o mala, según en las manos de quién caiga

El pirata informático ofrece varios tipos de venta. El primero de ellos, más económico, es vender por 400 dólares pequeñas licencias unitarias, con un máximo de 8 clientes en total, donde solo se envía el binario.

Si algún usuario quiere ser dueño total del ransomware, el segundo tipo de venta permite al comprador que, por un total de 3000 dólares, pagados íntegros en Bitcoin, disponga de acceso total al código fuente y al manual para saber editar el malware, así como a soporte gratuito por parte del creador.

En ambos casos, los nuevos dueños siempre se quedan con el 100% del dinero ganado mediante las extorsiones, en ningún momento este pirata informático se quedará con una comisión. Una vez venda el malware, este dejará de formar parte de él.

Teniendo en cuenta todo lo que nos ofrece este malware, el precio no es caro, lo que puede abrir la puerta a diferentes empresas de seguridad a hacerse con el código fuente completo (347 MB) para poder estudiarlo y analizarlo en detalle y, quien sabe, igual gracias a dicho código fuente se consigue comprender mejor el funcionamiento de este complejo software malicioso y actualizar así el los diferentes motores antivirus para ser capaces de aplicar una nueva capa de seguridad frente al cifrado no deseado de datos.

Sin embargo, existe también el riesgo de que este malware caiga en malas manos, en manos de piratas informáticos que sigan utilizándolo para robar dinero secuestrando los datos de los usuarios y estos lleven a cabo una campaña mucho más agresiva convirtiendo esta herramienta en una mucho más peligrosa de lo que era hasta ahora.

Por el momento el ransomware aún sigue a la venta. Es cuestión de esperar.

Fuente: Redes Zone

21 dic 2015

Mensajes en Cadena por Whatsapp llevan a infectar tu celular

De forma similar a lo que apelaban las cadenas de mensajes para supuestos servicios de saber quien te admite en MSN (rip), han adaptado ahora ese engaño al Whatsapp y nos llega de algún conocido un mensaje como este:


En el mensaje viene este enlace http://wd5 .co/chat (¿les he dicho que no abran adjuntos ni enlaces no solicitados?). Y ese enlace redirige a este otro: http://xy7 .co/chat/es/

Y como podrán ver en las siguientes capturas, el resultado de seguir nuestro interés de espiar a nuestros contactos de Whatsapp termina en difundir voluntariamente este mensaje a 10 de nuestros contactos (así empieza la cadena) y pasar por varias páginas con otros engaños como se detalla en las imágenes. En resumen mas o menos así:

1ero) una supuesta falta de actualización de nuestro celular (?)
2do) una descarga para actualizarlo (?) o contenido potencialmente malicioso/no deseado

Se puede ver el engaño de invitar a 10 contactos, con eso se difunde esta "cadena"
Ya en esta primera parte se observa como primera parte del engaño el mecanismo con el cual se reenviará el mensaje a 10 contactos, con el pretexto que eso es requerido para que funcione esta (inexistente) "Función Online".

3ro) y somos afortunados ...


4to) la fortuna de participar de una encuesta y recibir premios ...







5to) solo tenemos que elegir el nuestro


De más está decir que no existe el premio y luego somos dirigidos a otras página donde se solicita mas información o se ofrecen servicios.

De las URLs por donde nos va derivando este engaño son como esta:
http://xcwzz.exclusiverewards.jexe .info/?sov=73110601&hid=hvljlvjxlvhznt&&redid=10893&gsid=274&id=XNSX.3862564788%3A%3A10%3A%3A1059-r10893-t274

Podemos ver en estos dos enlaces un análisis donde indican claramente que es un sitio no confiable ya sea por phishing: http://www.urlquery.net/report.php?id=1449093276290 o potencialmente peligroso: https://sitecheck.sucuri.net/results/exclusiverewards.jexe.info

Así que ya saben, no abran enlaces (ni adjuntos) que no solicitaron, ni aún de conocidos.

Raúl Batista de la Redacción de Segu-Info

Saltarse la contraseña del GRUB con 28 veces la tecla Backspace

Hay ocasiones en las que proteger tu sistema operativo con una sesión de usuario no es suficiente, por lo que los más celosos de su intimidad pueden optar en GNU/Linux por reforzar la seguridad con una contraseña en el GRUB. Pero una curiosa vulnerabilidad en Grub2 hace que saltarse esta última contraseña sea tan sencillo como pulsar 28 veces la tecla de retroceso.
Al pulsar exactamente 28 veces la tecla de retroceso en el menú de contraseña del GRUB, se inicia un "Grub Rescue Shell" desde el que se puede acceder al equipo sin necesidad de ningún tipo de contraseña, y por lo tanto a todos los datos que no tengamos cifrados. El bug lo han descubierto y publicado Ismael Ripoll y Hector Marco, dos investigadores de la Universitat Politècnica de València.

No es tanto como parece

Pero que no cunda el pánico, porque aunque la noticia en sí puede parecer catastrófica en realidad puede que tampoco sea para tanto, por lo menos para los usuarios de a pie. ¿Por qué? Pues por la sencilla razón de que la mayoría de nosotros nos solemos conformar con la contraseña de su sesión de usuario.

La cosa en cambio es diferente para los obsesionados por la seguridad que tengan el GRUB bloqueado, porque quiere decir que hasta ahora era como si no tuvieran contraseña. Aunque también es verdad que con tener acceso físico a un equipo sólo necesitaremos un Live CD para cargar otra distro y poder acceder a esos datos.

En cualquier caso esto no quita que el error sea grave, por lo que ya se ha habilitado un parche de emergencia para solucionarlo. Además, distribuciones como Ubuntu, Red Hat o Debian también han empezado a actualizarse para solucionar el problema para que sus usuarios no queden expuestos ahora que se ha descubierto el error.
Fuente: Genbeta

Diplomado Gobierno TI Auditoria Seguridad 2016

Objetivos

Generar un espacio de intercambio de conocimientos que permita complementar la formación de base que entregan las carreras Universitarias asociadas a la Tecnología de la información con los conocimientos y experiencias que requieren las organizaciones modernas para sus funciones de gestión, control y aseguramiento de los sistemas de información. Promover el crecimiento profesional a través de modernas disciplinas avaladas por la mejores prácticas y estándares internacionales en la materia.

Temario

El temario responderá principalmente a los dominios de las certificaciones CISA, CRISC y CISM y CISSP, complementado con algunas otras disciplinas de interés para las empresas de hoy. Así tendremos que el programa a desarrollar debería involucrar a las siguientes disciplinas:
  • Seguridad de la Información
  • Gobierno de TI
  • Gestión de Riesgos de TI
  • Auditoría de TI
  • Aspectos Legales y Regulatorios
  • Análisis Forense Informático
  • Comportamiento organizacional

Características

La metodología se basa en la incorporación de clases teórico/prácticas:
  • Trabajo en equipo
  • Simulaciones
  • Seminarios
Contamos con modalidad de cursado presencial y a distancia.

Información

Docentes


Marcelo Castro

Cristian Borghello

Mg. Oscar Andrés Schmitz

Carlos Gerardo Said

Gustavo Presman

Juan Bosoms

Marcelo Rossetti

Héctor Calderazzi

Dra. María Laura Spina

Mónica Cascardo

Martín Pablo Degrati

Rogelio Biolatto

20 dic 2015

Grave vulnerabilidad en Firewall Juniper, permitió espiar VPN durante años (parchea!)

La vulnerabilidad en ScreenOS, el sistema operativo utilizado por Juniper Networks en firewall, VPN y otros dispositivos, habría permitido el espionaje por parte de China y Rusia.

La vulnerabilidad hallada en el firewall Juniper ScreenOS fue revelada ayer por la empresa. "Durante una reciente revisión de código interno, Juniper descubrió código no autorizado [puerta trasera] en ScreenOS, lo que podría permitir a un atacante monitorear el tráfico VPN y descifrarlo. Una vez que identificamos estas vulnerabilidades, se inició una investigación y trabajamos para desarrollar y publicar el parches para los dispositivos afectados".

Las versiones específicas de ScreenOS que se ven afectados son ScreenOS 6.2.0r15 en adelante. Esta versión está disponible desde septiembre de 2012, lo que significa que potencialmente una empresa podría haber estado expuesta durante tres años. No hay evidencia de que los dispositivos SRX u otros que ejecutan JunOS sean afectados.

Juniper recomienda actualizar sus sistemas y aplicar las versiones afectadas con la prioridad más alta. Además de actualizar el firmware de inmediato, las organizaciones también deben cambian las contraseñas e investigar sus propias redes por posibles compromisos.

La cuestión backdoor fue identificado como CVE-2015-7755. Además, existe una segunda vulnerabilidad CVE-2015-7756 en Secure Shell (SSH) en ScreenOS que podría permitir a un atacante realizar ataques de denegación de servicio (DoS) contra los dispositivos. El código afectado es:
if (strcmp(login_password, "<<< %s(un='%s') = %u") == 0)
La firma Juniper Networks alertó a sus clientes a que instalaran con la mayor prioridad un parche para solucionar la vulnerabilidad en ScreenOS, a través de la cual se podría producir la filtración de los datos. La explotación de esta vulnerabilidad queda demostrada en los logs del sistema porque el registro contendría una entrada con el ususario 'system'.
La revelación del grave problema de seguridad en el cifrado de las comunicaciones en los dispositivos utilizados por el gobierno y empresas de Estados Unidos fue puesta en conocimiento por parte de la cadena CNN, luego que la empresa solucionara la vulnerabilidad. El FBI comenzó a investigar la naturaleza del ataque en la que estarían involucrados hackers que instalaron una 'puerta trasera' en los equipos, a través de la cual se filtran los datos hacia el exterior. El daño en el sistema fue equiparado por un funcionario del FBI con "el robo de una llave maestra para ingresar a cualquier edificio gubernamental".

Coincidentemente, algunos documentos publicados por Snowden en diciembre de 2013, dicen que dispositivos de Juniper pueden ser infiltrados. Los firewalls de Juniper estaban en una larga lista de elementos afectados por las operaciones de la unidad de NSA, conocida como Tailored Operations Unit (TAO), que dirige las operaciones que le permiten obtener acceso a usuario y redes informáticas de terceros.

Actualización: una búsqueda en Shodan ha identificado aproximadamente 26.200 dispositivos NetScreen con SSH abierto.

Actualización: Rapid7 ha realizado un análisis del backdoor y ha publicado toda la investigación y el código analizado.

Actualización: Steve Puluka ha publicado un post paso a paso para actualizar.

Fuente: EWeek

19 dic 2015

Firefox 43, en 64bits y con más opciones de privacidad

Mozilla ha liberado la versión 43 de su navegador Firefox. No es una versión que vaya a pasara la historia por traer grandes novedades, pero sí que nos ha regalado un buen puñado de buenas noticias. Estas sobre todo le afectarán a unos usuarios de Windows cuyas súplicas por fin han sido escuchadas y a los de Android.

Por una parte, los usuarios de Android por fin verán implementada una de las utilidades más cómodas de la versión para escritorio, la del icono que les avisará cual de las pestañas del navegador está reproduciendo sonidos. Además, los usuarios de Windows por fin se pondrán a la altura de GNU/Linux con el lanzamiento de la esperada versión de 64 bits. A Mozilla le ha costado implementar la esperada versión de 64 bits. Para descargarla tendréis que entrar en la página de otros sistemas, porque por defecto os bajará la de 32 bits.

Mozilla ha anunciado la publicación de la versión 43 de Firefox, junto con 16 boletines de seguridad destinados a solucionar 22 nuevas vulnerabilidades en el navegador.

Por otra parte, como os hemos dicho en Android por fin se podrá saber cuándo y en qué pestaña se está reproduciendo un sonido. Se nos indicará, como en la versión de escritorio, con el icono de un altavoz. Los usuarios del sistema operativo móvil de Google también verán nuevas barras de menú, mejoras en la lista de lectura y compatibilidad con el formato de vídeo m4v.

Por lo demás, Firefox también ha añadido mejoras en el protocolo WebRTC para soportar configuraciones multimonitor en cualquier sistema operativo.
También se ha seguido evolucionando en la nueva navegación privada, donde ahora podremos configurar el nivel de agresividad en el bloqueo de elementos de rastreo. Ya sabéis, para que podamos volver a navegar correctamente en algunas páginas que crasheaban con él habilitado. El efecto más visible que este modo tiene sobre una página web es que la publicidad desaparece por completo para cortar por lo sano evitando los anuncios que registran nuestras acciones. Se podría decir que de esta manera conseguimos un efecto parecido al de los bloqueadores de ads, pero sin necesidad de instalar y habilitar un plugin de terceros.

Tras la publicación de Firefox 43.0, Mozilla ha lanzado la versión 43.0.1 con tan solo una mejora destinada a preparar el navegador para el uso de certificados firmados SHA-256.

Fuente: Genbeta

"Malware genera U$S70m por año"

Un informe publicado por Digital Citizen Alliance, del cual se hace eco el sitio BGR, señala que la divulgación de malware genera US$70 millones cada año, suma que se acumula en los bolsillos de los piratas informáticos mediante engaños, estafas y publicidades.
Recogiendo datos de más de 800 sitios de películas por streaming, por supuesto piratas, y descargas P2P, el estudio llegó a la conclusión que 1 de cada 3 páginas de esta especie contiene algún tipo de malware oculto.

Según señala la mencionada fuente, ciertos malwares no requieren que el usuario siquiera haga clic en un enlace o realice algún tipo de descarga para quedar en el dispositivo, y que en ocasiones (en un 45 por ciento de las veces, para ser exactos) para ello sólo es suficiente el ingreso a páginas que dan paso a descargas no visibles.

¿Cuánta mayor vulnerabilidad suponen los sitios piratas en relación a los legales? El estudio de DCA anota el siguiente dato: los ilegales son 28 veces más propensos a contener malware en relación a los sitios legales.

Fuente: RedUsers

18 dic 2015

Disponible Tails 1.8, el sistema operativo anónimo

Tails, The Amnesic Incognito Live System, es el sistema operativo basado en Linux recomendado para todos los usuarios que quieren navegar por la red de forma totalmente anónima y privada. Esta distribución cuenta por defecto con una configuración a la red Tor y con una serie de herramientas que nos permiten trabajar de forma anónima de cara a Internet, preservando así nuestra identidad y evitando que terceras personas u organizaciones rastreen nuestra actividad o recuperen datos del ordenador utilizado, ya que este sistema operativo no guarda ni un solo fichero ni ningún tipo de información en el sistema, se ejecuta al 100% en la Ram.

Con el fin de poder mantener y preservar la seguridad y el anonimato de todos los usuarios, este sistema operativo debe actualizarse de forma periódica para evitar que el uso de versiones antiguas de sus paquetes pueda dar lugar a vulnerabilidades. Siguiendo su propio calendario de actualizaciones, los responsables del desarrollo de The Amnesic Incognito Live System han liberado la nueva versión 1.8 de la distribución que, aunque no viene con grandes cambios, prepara el camino para la llegada de la versión 2.0.

El principal cambio de esta nueva versión de Tails es el cambio del cliente de correo electrónico por defecto. Mientras que hasta hace poco el cliente incluido en este sistema operativo era Claws Mail, este va a dejar de estar disponible a partir del 26 de enero de 2016 (con el lanzamiento de la versión 2.0), por lo que, para ir acostumbrando a los usuarios, esta nueva versión configura Icedove como nuevo cliente de correo electrónico por excelencia. Los responsables de Tails han publicado una guía para permitir a los usuarios de Claws Mail migrar a este nuevo cliente de correo electrónico.

El resto de cambios se centran en la actualización de paquetes:
  • Electrum se ha actualizado de la versión 1.9.8 a la 2.5.4. A partir de ahora esta herramienta debería funcionar de nuevo en este sistema.
  • Tor Browser se actualiza a su versión más reciente 5.0.5.
  • El núcleo de Tor a la versión 0.2.7.6.
  • La herramienta para conectarnos a través de la red anónima I2P se actualiza a la versión 0.9.23.
  • Icedove se actualiza desde la versión 31.8 a la versión 38.4.
  • Enigmail pasa desde la versión 1.7.2 a la 1.8.2.
El nuevo Tails 1.8 también cuenta con una serie de fallos reconocidos. El primero de ellos causa que las actualizaciones se instalen de forma mucho más lenta de lo normal. El segundo genera un fallo en el “modo bridge” cuando la hora del sistema está configurada de forma incorrecta. Ambos fallos, y muchos otros, serán solucionados con el lanzamiento de la versión 2.0 prevista para el año que viene.

Los usuarios interesados en esta nueva versión del sistema operativo pueden descargarla a partir de este mismo momento desde su página web principal.

Aquellos usuarios que utilicen una versión antigua de Tails y lo tengan configurado como persistente, recibirán un mensaje informando sobre la disponibilidad de esta nueva versión. También es posible forzar la actualización escribiendo en un terminal:
tails-upgrade-frontend-wrapper

Fuente: RedesZone

Maltrail: monitorización de red y detección de amenazas

Maltrail es una herramienta opensource, hecha en Python, destinada a analizar el tráfico de red con el fin de detectar y registrar posibles amenazas. Hasta aquí todo bien, y seguro que diréis: pues otro Snort o Suricata, ¿no?. Pues la respuesta es: parcialmente sí.

La diferencia es la categorización de las amenazas, las diversas fuentes de las que tira (si la dirección IP tiene mala reputación en diferentes fuentes abiertas), la inteligencia para identificar actividad sospechosa, la identificación de malware que intenta llamar a casa, así como la presentación de panel de detección que muestra, me ha resultado especialmente interesante, o cuanto menos, complementario a la pila de paneles web de diversas herramientas destinadas a monitorizar la seguridad.

Muestra diversas estadísticas como número de amenazas, tendencias de eventos clasificados como riesgo alto/medio/bajo, gráficas de tarta por severidad, por top de fuentes atacantes, etc,...
El tipo de despliegue es como el de cualquier IDS, es decir, sondas de detección que envían eventos a un único servidor, por lo que es totalmente viable una arquitectura distribuida, o incluso aprovechar, sondas existentes que estén analizando tráfico con otras herramientas open source, para integrar un proceso más. He podido comprobar que no incrementa de forma excesiva los recursos necesarios de la máquina por lo que en un tráfico “normal” es una opción interesante.

Entre los puntos positivos, y a destacar:
  • Dispone de una documentación bastante completa. Para lo sencillo que es de configurar (un único fichero con pocas opciones), la documentación existente es muy buena y más que suficiente sobre las virtudes de la herramienta
  • Posibilidad de escuchar en un interfaz o en todos los de la máquina sensor.
  • Impresionante la GUI. De verdad. Lo que más me gusta es la facilidad de filtrado de eventos, así como la interacción que permite con cada columna, dependiendo de qué se trate. Por ejemplo búsqueda de la dirección IP atacante en duckduckgo para búsqueda de la IP en diferentes fuentes de análisis de reputación como robtex, whois.domaintools, mxtoolbox, etc,...
  • Plug and play: sólo tiene un paquete como dependencia.
  • Open source
Como puntos mejorables:
  • La gestión de usuarios me parece uno de los puntos flacos… Está dentro del único fichero, y para cambiar la contraseña hay que ejecutar un .py que te convierta la contraseña a un hash, que habrá que copiar en el fichero.
  • Por defecto, la gestión web viene en HTTP, aunque se puede configurar fácilmente para que sea HTTPS. A mi entender una herramienta de seguridad debería venir en HTTPS por defecto, aunque el certificado sea autofirmado.
Podéis descargarla directamente de github en: https://github.com/stamparm/maltrail

Fuente: SecurtiyByDefault

17 dic 2015

Star Wars, cifrado de discos, guiones rojos, falsos títulos y otras protecciones

Hoy estrena de Star Wars: The Force Awakens y si algo ha hecho Disney en todo este tiempo -aparte de preparar toda su maquinaria de merchandising- es proteger el estreno de una de las películas más esperadas de los últimos tiempos. No es la única que lo ha hecho, y evitar spoilers y filtraciones es una tarea cada vez más común en las producciones de Hollywood.

Discos duros cifrados

Aunque hoy ya han empezado a aparecer las primeras críticas en diversos medios que ya han tenido acceso a pases de prensa de la película, todos los que han podido ver ya la película lo han hecho bajo estrictas medidas por parte de los estudios. Nada de teléfonos u otros dispositivos electrónicos, y nada de compartir en redes sociales dónde se producían esos pre-estrenos.

Pero las medidas van mucho más allá. En Reddit aparecía recientemente la imagen de uno de los discos duros con una copia 2K de la película que había llegado a una de las salas de proyección, y allí se explicaba cómo precisamente las películas llegan en formato DCP (Digital Cinema Package), que entre otras cosas suele contar con un cifrado AES-128 que es virtualmente imposible de romper y que protege el visionado de la película.

De hecho para poder reproducirla es necesario contar con las claves de descifrado que son individuales: las distribuidoras las ceden a cada sala de proyección de forma independiente -no se pueden utilizar de uno a otro cine, por ejemplo- para poder acceder a los gigantescos ficheros MXF (Material eXchange Format) y a los XML que permiten indexar esos contenidos.

Guiones con truco

Una de las formas de proteger estos guiones es la de imprimirlos sobre papel rojo, algo que hace más difícil fotocopiarlos. La medida ha sido aprovechada en la nueva entrega de "La Guerra de las Galaxias", desde luego, pero es una práctica común en la industria del cine y la televisión, como mostraban los protagonistas de la célebre serie televisiva "Lost" en ese vídeo que incluimos (avanzad hasta el momento 00:40 para comprobarlo).

La protección de las copias destinadas a los cines es muy común una vez las producciones están a punto de estrenarse, pero es mucho antes cuando empiezan a implantarse diversas medidas de seguridad. Los guiones de las películas se han convertido precisamente en uno de los elementos clave de estas producciones, y cada vez hay más técnicas para lograr que el acceso esté absolutamente restringido.

Esas precauciones también se toman incluso con los títulos de las películas, que se cambian para que los fans de esas superproducciones no relaciones ciertos detalles de una película con la relevancia que tienen en realidad. "Regreso al futuro II" fue llamada "Paradox", mientras que "El retorno del Jedi" tenía como nombre en clave "Blue Harvest". Como indican en The Wall Street Journal esa técnica se ha utilizado recientemente en películas como la entrega de "Los vengadores" de 2012, que fue llamada internamente "Group Hug".

Fuente: Xataka

Se levanta la prohibición de Whatsapp en Brasil (plop)

Un tribunal de Brasil ordenó a las empresas de telefonía de todo el país que suspendan el servicio de esta aplicación luego de que la compañía se negara a cumplir una orden judicial que exigía liberar informaciones de usuarios en el marco de una investigación.

Tras casi trece horas de apagón de mensajes, un juez de segunda instancia ha revocado la orden previa de un juzgado del Estado de São Paulo que había bloqueado, a las doce de la noche del jueves, la aplicación de Whatsapp en el país entero.

La decisión de una juez de la localidad de São Bernardo do Campo, en São Paulo, se tomó en el curso de una investigación criminal sobre un presunto narcotraficante. Según la web brasileña especializada en asuntos judiciales Consultor Jurídico, la policía había solicitado a Facebook, dueña de Whatsapp, información sobre los mensajes y los destinatarios de los mensajes de un delincuente acusado de importar droga de Colombia y Paraguay. Como la compañía no accedió, el juzgado decidió bloquear la aplicación entera y dejar a Brasil sin servicio. De este modo, los brasileños ven cómo los mensajes de whatsapp entran en el teléfono, y hasta identifican el remitente, pero son incapaces de abrirlos.

"Desde el punto de vista legal, es una locura bloquear Whatsapp. Aunque el proceso aún esté en secreto se sabe ya que la compañía no está acusada. Es una medida de castigo por no haber cumplido una orden judicial. Usted castiga a los infractores, pero también a los usuarios. Existen otras formas de castigo, como multas, que tienen mucho más sentido en casos como éste", asegura el abogado Guilherme Leno, socio responsable del área de telefonía de la compañía KLA Abogados. Este especialista añade que la medida es incluso "ilegal" debido a que viola el Marco Civil de Internet, la carta de derechos del ciudadano con respecto a la Red sancionada por la presidenta Dilma Rousseff en 2014.

Fuente: El País