Investigador de Seguridad la semana pasada encontró un fallo de seguridad que comprometía la seguridad nuestras Cuentas en Facebook.

El hacker, Josip Franjkovic en su blog publicaba el hallazgo de una fallo de seguridad grave en facebook, la cual por mediante de un CSRF lo cual permitia asociar una cuenta de correo de manera arbitraria.

El hacker explica Para explotar esto, necesita una cuenta de Facebook, un Outlook.com (Hotmail) de correo electrónico, y una víctima. El correo electrónico de Outlook no deben estar vinculadas a su cuenta de Facebook.

El fallo de seguridad fue encontrado en exportar contacto de correo electronico, la cual al enviar la peticion realizaba un GET a:

https://m.facebook.com/contact-importer/login/?api_instance=1&api_ver=wave5&auth_token=TOKEN

Automaticamente este generaba un token.

Aqui el video de Explotacion:

Artículo original en Websecuritydev.com

Batalla por la privacidad

Por María Gabriela Ensinck  | Para LA NACION


Foto: Alma Larroca
En Trascendencia, identidad virtual, su más reciente película, Johnny Deep interpreta a un especialista en inteligencia artificial que hace un backup de su mente en una computadora..., que tras su muerte cobrará existencia autónoma y ubicua.

Sin entrar en la ciencia ficción, cada día, nuestros pensamientos, preferencias y emociones se ven reflejados en miles de posteos, fotos tageadas, tuits, likes, correos electrónicos y búsquedas online. Muchas veces no somos nosotros, sino nuestros amigos, contactos o seguidores y sus amigos, contactos y seguidores quienes suben y replican toda esa información, que circula fuera de nuestro control en la nube.

El sueño de una Internet de las cosas, en la que el televisor, la heladera y hasta la ropa que usamos estén interconectados y nos solucionen temas domésticos, como qué cocinar, o nos recomienden ofertas para comprar online, se está volviendo realidad y pesadilla.

"Hoy somos 6500 millones de habitantes, con 6500 millones de equipos conectados. En 2020 seremos 8000 millones de personas con 150 mil millones de cosas conectadas, y habrá 57 bytes de información por cada grano de arena en el mundo", profetiza Jim Reavis, especialista en Seguridad y Privacidad online y cofundador de la ONG Alianza para la Seguridad en la Nube (CSA, por sus siglas en inglés).

Con una Web cada vez más móvil y ubicua, mantener la privacidad de los datos personales se ha vuelto una utopía. Y la sensación de estar siendo espiado se convirtió en certeza, sobre todo después de que el ex técnico de la Agencia de Seguridad Nacional estadounidense (NSA) Edward Snowden revelara, en junio de 2013, cómo el gobierno de su país sigue el rastro de mandatarios, empresas e individuos a través de la Web.

EL COSTO DE LA PRIVACIDAD

Acceder a información y los servicios en Internet parece gratis, pero no lo es. A cambio de este beneficio, los usuarios entregan gran cantidad de información sobre sus necesidades, hábitos e intereses, lo que alimenta un bombardeo publicitario segmentado con cada búsqueda o mensaje online.

Hasta el momento, el modelo de negocios de Internet ha funcionado de esta manera, pero "en el futuro es probable que convivan varios esquemas, y muchos usuarios preferirán pagar para navegar en la Web a cambio de que sus datos no sean recolectados", dice Brendon Lynch, jefe oficial de privacidad de Microsoft.

Los consumidores están cada vez más preocupados por su privacidad online, según surge del informe Privacy Index, elaborado por la compañía tecnológica EMC, para el que encuestó a 15.000 usuarios de Internet en 15 países. Según este estudio, sólo un 27% de las personas está dispuesto a ceder cierto grado de privacidad a cambio de "servicios más convenientes y personalizados". Sin embargo, este porcentaje varía según el país. Mientras un 61% de los encuestados en la India dijo abiertamente que estaría dispuesto a ceder privacidad a cambio de mayor conveniencia, sólo un 36% de los alemanes opinó lo mismo. En México y Brasil (el estudio no incluye a la Argentina), ese porcentaje se acerca al 50 por ciento.

Pero a pesar de su preocupación por la privacidad, muy pocos usuarios actúan realmente en consecuencia. El 62% de los encuestados no cambia regularmente sus contraseñas, el 33% no personaliza las opciones de privacidad en las redes sociales y el 39% no usa password para bloquear sus equipos móviles. No obstante, la mayoría ha tenido malas experiencias: un 25% dice haber sufrido el hackeo de su cuenta de correo electrónico, el 18% perdió o le fue robado su teléfono móvil, y al 17% le hackearon su cuenta en las redes sociales.

Y aquí se da otra paradoja. Más de la mitad de los usuarios (60%) considera que el gobierno y las compañías proveedoras de Internet son las principales responsables de velar por la privacidad de los datos. Sin embargo, el nivel de confianza en la capacidad y ética de estas organizaciones es del 58 y 49 por ciento.

EL ENCANTO DE LO EFÍMERO

Las redes sociales fugaces como Snapchat o el aplicativo Slingshot de Facebook, que permiten enviar mensajes e imágenes con fecha de caducidad, o que se autodestruyen después de ser vistos, tienen cada vez más adeptos. En el primer caso se trata de una red social para compartir imágenes y videos, que desaparecen luego de ser vistos. En el aplicativo de Facebook, el contenido también se autodestruye, pero para poder verlo el usuario tiene que mandarle una foto o un video a su interlocutor.

También la aplicación de mensajería instantánea WhatsApp tiene su competidor más discreto. Se trata de HushHushApp, un aplicativo para chatear sin revelar el número de teléfono o correo electrónico. Todos los mensajes y archivos enviados están cifrados y se puede definir contacto a contacto quién puede ver si estamos o no conectados, o si hemos leído o no el mensaje.

Al contrario de lo que suele pensarse, los más jóvenes son quienes más se ocupan de su privacidad online. Una encuesta del Instituto de Internet de la Universidad de Oxford entre 2000 usuarios británicos reveló que el promedio de edad de quienes nunca habían comprobado su configuración de privacidad en las redes sociales es bastante alto: 43 años. Por el contrario, la edad promedio de quienes sí lo hacían es de 26. En el extremo están los adolescentes: casi el 95% de los encuestados de 14 a 17 revisan lo que comparten con su vida social y con quién, y ajustan su configuración de privacidad según la ocasión.

REPUTACIÓN ONLINE

"Información privada no es lo mismo que información secreta. Y de hecho las personas quieren compartir información, pero en un entorno controlado -destaca Lynch-. Cada persona tiene derecho a elegir con quién comparte qué información."

Foto: LA NACION / Alma Larroca

Un concepto nuevo, el de la reputación online, está cobrando cada vez más importancia para las personas. "Cada uno de nosotros crea su imagen digital, a través de opiniones en blogs, foros, tuits, fotos, videos y links que recomendamos. Otras personas pueden aportar sus comentarios, tagearnos en imágenes, y así contribuyen a moldear positiva o negativamente esta imagen", apunta Jacqueline Beauchere, responsable de Seguridad Online en Microsoft y vicepresidenta de la Alianza Nacional para la Ciberseguridad (NCSA).

"Periódicamente debemos revisar la configuración de seguridad y privacidad en nuestras redes sociales, y determinar quién puede ver nuestra información y agregar comentarios", recomienda la especialista. Es conveniente separar el perfil profesional del personal, y para esto hay redes sociales diferentes: Facebook y Flickr son más apropiadas para las cuestiones personales, y Linkedin para cuestiones profesionales y de negocios.

La imagen online es cada vez más importante para el desarrollo de una carrera. Según una investigación de Microsoft, el 79% de los empleadores en los Estados Unidos chequea información de los candidatos en Internet y las redes sociales, y no se limita a las puramente profesionales. "Muchos reclutadores consideran este tipo de información como muy relevante, y 70% ha rechazado candidatos en base a lo que encontraron online", destaca Beauchere.

Foto: LA NACION / Alma Larroca

EL DERECHO A OLVIDAR

El 12 de mayo, la Corte Suprema de Justicia Europea dictó un fallo que obliga a Google a facilitar un formulario para que ciudadanos pidan la remoción de contenidos online que los perjudican. El caso que originó el dictamen fue presentado por el comerciante español Mario Costeja González, quien recurrió al máximo tribunal luego de fracasar en las instancias inferiores con su reclamo: el buscador seguía indexando un viejo anuncio sobre una subasta de bienes que le fueron embargados por una deuda con la Seguridad Social varios años después de resuelta la cuestión.

La Corte con sede en Luxemburgo dictaminó que "si a raíz de la solicitud de la persona afectada se comprueba que la inclusión de esos enlaces es incompatible con la directiva (de protección de datos personales), la información como los enlaces que llevan a ella deben eliminarse".

El fallo encendió la controversia entre los defensores de la libertad de expresión en primer término y los que priorizan el derecho a la privacidad, y es un importante antecedente para el caso Belén Rodríguez vs. Google y Yahoo que se debate en la Corte Suprema argentina (ver entrevista en esta edición).

Tanto Google, a través de sus voceros, como el propio Jimmy Wales, creador de Wikipedia, salieron a responder que la medida facilita la censura y afecta el derecho a informarse y la libertad de expresión.

Para Ramiro Álvarez Ugarte, abogado y director de la Asociación por los Derechos Civiles (ADC), "no se debería responsabilizar a los buscadores por los contenidos erróneos o difamatorios, ya que no los producen, sino que al indexarlos se convierten en intermediarios de la información en Internet".

Si bien el fallo a favor del comerciante español sólo tiene injerencia para los ciudadanos de la Unión Europea, "sería interesante que tenga un alcance global", especula desde la otra vereda Enrique Quagliano, docente, periodista e investigador en Nuevas Tecnologías, uno de los creadores de la campaña Por el derecho al olvido en Internet.

La iniciativa surgió a causa de una entrevista que el comunicador rosarino tuvo -junto a su colega porteño Alejandro Tortolini-, en 2008, con Viktor Mayer Schönberger, abogado especialista en privacidad y protección de datos de la Universidad de Harvard y profesor en el Internet Institute de Oxford. Schönberger es el impulsor de la idea de que "las computadoras sean programadas para poder olvidar, tal como lo hacemos los humanos. La estela de información que vamos dejando a medida que nos movemos por el mundo online, nuestra huella digital, puede hoy ser rastreada y el pasado siempre está allí para condenarnos", argumenta el especialista en su libro El arte de olvidar en la era de la computación ubicua. El caso que lo llevó a él a investigar y escribir esta obra fue el de una joven madre de dos hijos que estudiaba para ser maestra y no pudo recibirse porque una foto suya en una fiesta subida a las redes sociales les pareció inapropiada a quienes debían darle el título, aun cuando ella había quitado la foto de su perfil. Pero la imagen había sido almacenada, catalogada y replicada en otros sitios, porque Internet no olvida.

PIENSO, LUEGO HAGO CLIC

Foto: LA NACION / Alma Larroca

"El primer responsable de nuestra privacidad e imagen digital somos nosotros mismos", afirma Alberto Arébalos, director de Comunicaciones de Facebook para América latina y ex director de Asuntos Públicos en Google. "Hoy nuestra vida transcurre tanto online como offline. Descuidar nuestra imagen digital por falta de tiempo es como excusarse de una mala imagen real porque estamos demasiado apurados para peinarnos o bañarnos."

Una buena práctica para cuidar la imagen digital es tipear nuestro nombre en los principales buscadores y ver qué aparece. Si lo que encontramos no se ajusta a quienes somos o cómo queremos presentarnos, esto significa que debemos trabajar en ello. "La reputación se construye y para esto debemos ocuparnos de producir y actualizar nuestro perfil online. El mal contenido se combate con buen contenido", propone Arébalos.

Pero cuidar la privacidad y la reputación online requiere de método. De nada sirve que proveedores de Internet y compañías tecnológicas inviertan millones en seguridad y protección de datos si los usuarios no configuran bien su perfil ni utilizan un buen password.

"Hoy cada persona tiene 26 cuentas -entre correos electrónicos personales y laborales, redes sociales, perfiles de usuarios en instituciones bancarias, de salud, educativas y plataformas de e-commerce, entre otras- y usa seis passwords, la mayoría variantes de una misma palabra o secuencia de números, con el riesgo muy alto de ser víctimas del robo de información", destaca Dustin Ingalls, responsable de Seguridad del sistema operativo Windows 8.

Las políticas de confidencialidad están accesibles cada vez que nos suscribimos a un sitio online o una red social. Pero son tan largas y su lenguaje tan complicado que llevaría buena parte de nuestra vida leerlas. Por eso, la mayoría de los usuarios las acepta sin mirar. Más allá de las herramientas tecnológicas para preservar nuestra información e intimidad, la más importante es la más sencilla: pensar antes de hacer clic.

OCHO CLAVES PARA SER UN BUEN CIUDADANO EN FACEBOOK

1- Respetar las pautas de edad: esta red social es para mayores de 13 años

2- No aceptar solicitudes de amistad de desconocidos

3- Configurar el perfil de seguridad (www.facebook.com/settings/?tab=privacy). Hay tres opciones: amigos, contactos de amigos y público

4- Vista previa: esta herramienta muestra la información de nuestro perfil que ven quienes no son nuestros amigos en Facebook

5- Aplicaciones y sitios: esta sección controla qué información se comparte con las compañías que crean aplicaciones para Facebook, como juegos y trivias. También controla la información de nuestro perfil que otros sitios y motores de búsqueda pueden captar. Es recomendable eliminar o desactivar las aplicaciones que no se usan

6- Bloqueados: en esta sección de configuración de seguridad se pueden bloquear personas concretas para que no interactúen o vean información de nuestro perfil

7- Informar y denunciar contenidos y conductas abusivas o inapropiadas con la opción reportar abusos

8- Tener en cuenta que nada es realmente privado en las redes sociales

Fuente: Facebook Argentina

INTERNET EN 2025

4700 millones de usuarios de la Red
75% en las economías emergentes
150 mil millones de cosas conectadas.Computadoras, heladeras, televisores, autos, ropa, casas. Todo va a estar conectado y controlado a través de Internet
Fuente: Cyberspace 2025, Microsoft Research

CÓMO CULTIVAR NUESTRA REPUTACIÓN ONLINE

Revisar qué aparece en los principales buscadores (Google, Yahoo, Bing) cuando tipeamos nuestro nombre
Separar el perfil personal del laboral o profesional (conviene utilizar redes sociales dif


erentes para cada uno)
Publicar lo positivo: conectarse, pedir recomendaciones,
Actualizar la información profesional o de carrera; tener un blog donde aportar contenido sobre nuestra especialidad o temas de interés
Pensar antes de postear comentarios, fotos y contenidos
No difamar ni ofender a otras personas. Tratar a los demás como queremos ser tratados

Artículo original en La Nacion

¿Qué es la aleatoriedad? ¿Y qué NO es?

¿Qué es la aleatoriedad? ¿Cómo podemos saber que un algo, como una secuencia, un lanzamiento de dados o un proceso es verdaderamente aleatorio? ¿Y si simplemente parece aleatorio pero no lo hemos observado con suficiente cuidado, o durante suficiente tiempo como para descubrir que hay un patrón subyacente? Dos de nuestros videoblogueros favoritos, Michael de VSauce y Derek de Veritasium han realizado este interesante crossover dedicado al azar con un par de vídeos en sus respectivos blogs: ¿Qué es la aleatoriedad? y ¿Qué NO ES la aleatoriedad?.

Las explicaciones son un interesante paseo por conceptos tan sencillos de entender como dados o monedas lanzadas al aire mostrando caras y cruces – o cayendo "de canto", lo que sucede 1 de cada 6.000 veces, según los estudiosos. Para entender por qué estos «generadores de azar» no se consideran intrínsecamente aleatorios hay que aceptar que si conociéramos con gran precisión las posiciones, fuerzas, rozamientos, elasticidad y materiales implicados podríamos calcular, con unas pocas ecuaciones, cuál sería exactamente la trayectoria del lanzamiento – al menos antes de traspasar la barrera del caos.

Pero, ¿se puede realmente controlar qué sucede en el lanzamiento de una moneda? Entre las curiosidades que explican están los robots que analizan los lanzamientos de monedas para obtener conteos precisos sobre sus probabilidades (que suelen ser 51% frente a 49%, incluso más diferentes según el tipo de monedas), e incluso brazos mecánicos pueden lanzar monedas para obtener el resultado deseado la mayor parte del tiempo. Todo depende de los dibujos de las monedas, su grosor y otros detalles. Por si te sirve saberlo: las monedas de euro aterrizan más frecuentemente de cara que de cruz si las dejas caer al suelo – de ahí que para que el lanzamiento se considere lo más equiprobable convenga atraparlas en el aire antes de que caigan.

También es genial el método para descubrir imperfecciones en los dados: basta colocarlos sobre una mesa; si es al azar nada sucede, pero si ordenas todas sus caras cuidadosamente con el número suficiente de dados, a partir de unos 10 o 15, se aprecian las imperfecciones a simple vista. Por cierto: gran excusa para comprar dados (a granel.)

El final del vídeo está dedicado a los derroteros de la búsqueda de la aleatoriedad perfecta, comenzando por Random.org, el sitio más adecuado de Internet, y siguiendo por descripciones físicas relativas a cómo se comportan las partículas a nivel cuántico. La aleatoriedad perfecta puede estar en efectos como la radioactividad, el impredecible momento en que una partícula se desintegra o se convierte en otra – lo cual se propaga con gran velocidad afectando a los objetos cotidianos a pesar de provenir del mundo subatómico, generalmente con efectos notables (qué pregunten a cierto gato qué opina al respecto).

Lo más interesante, desde mi punto de vista sigue siendo que en realidad no sabemos qué gobierna esa aleatoriedad perfecta, si es que acaso la «gobierna» algo – como decía Ian Stewart. Quizá en esos límites estamos en la misma situación que cuando hablamos de las entidades matemáticas, del funcionamiento del universo o del mundo de la información, en un equivalente a aquello de ¿Son los números una entidad real, o algo que crea nuestra mente? ¿Realmente existe el puro azar? ¿No será algo intrínsecamente predeterminado en el tejido del universo?

Publicado por Alvy # 23/Jul/2014 

Artículo original en Microsiervos

Situación extraña con TrueCrypt

Enviado por squirrel en Jue, 29/05/2014 - 10:54am

Por squirrel

Ha saltado recientemente a las noticias (por ejemplo aquí) lo que no puede denominarse como una combinación de comportamientos extraños respecto al producto de cifrado TrueCrypt. Un resumen rápido:

• Tal y como indican en su página web, el desarrollo de TrueCrypt ha finalizado.
• En esa misma página, afirman que el producto ya no es seguro, achacándolo, al igual que el fin de su desarrollo, ¡al fin del soporte por Microsoft de Windows XP!
• Han puesto en la web una nueva versión del programa (7.2) limitada a la gestión de volúmenes ya existentes: no permite crear volúmenes nuevos. También incluyen una guía para poder migrar a BitLocker de Microsoft.
• Todos los binarios de TrueCrypt anteriores a la versión 7.2 han desaparecido tanto de su web como de archive.org.
• Como guinda, la firma del ejecutable de la versión 7.2 es diferente a la empleada en los binarios anteriores, si bien parece ser también válida.

¿Web comprometida? ¿Actuación de alguna agencia de pocas letras? ¿Desarrolladores que lo quieren dejar? ¿Algo que ver con proceso para auditar el código?

Artículo original en Kriptópolis

Qué es un ataque “Man in The Middle”

5 de junio de 2014, 18:19

Como usuarios de la web nos vemos expuestos a todo tipo de amenazas, siempre que estemos conectados habrá ataques malintencionados que busquen acceder a nuestros datos aprovechándose de vulnerabilidades en las comunicaciones que establecemos día a día. Te explicamos de la manera más sencilla posible, como funciona un ataque "man in the middle" u "hombre en el medio".

Por Gabriela Gonzalez

En el mundo de la seguridad informática, un ataque "man in the middle" o si lo traducimos literalmente a "hombre en el medio", es un tipo de amenaza que se aprovecha de un intermediario. El atacante en este caso, tiene la habilidad de desviar o controlar las comunicaciones entre dos partes. Por ejemplo, si se tratase de un ataque MITM a tu correo, el perpetrador podría desviar todos los e-mails a una dirección alterna para leer o alterar toda la información antes de enviarla al destinatario correcto.

Digamos que te conectas a una red WiFi en la calle para revisar tus redes sociales y tu email tranquilamente. Un hacker malintenc

ionado puede interceptar las comunicaciones entre tu computadora o tu smartphone y la red WiFi, teniendo acceso a todo lo que haces. Si la red WiFi no está cifrada, y el atacante está cerca del rango de la conexión, se puede insertar a si mismo como "el hombre en el medio". Siempre que el atacante pueda autenticarse como los dos lados de la comunicación, tendrá todo el acceso.

Heartbleed y MITM

Ya hablamos sobre Heartbleed, y de como un enorme porcentaje de Internet se vio -y se ve- afectado. Este bug en OpenSSL hace que los ataques MITM sean aún más peligrosos. Un atacante puede encadenar un serie de ataques man-in-the-middle con un certificado robado gracias a Heartbleed, y así obtener todo tipo de datos valiosos, sin importar que el usuario tenga HTTPS activo y crea que todo su tráfico es seguro.

La mayoría de los protocolos de cifrado como SSL utilizan algún tipo de autenticación de extremo a extremo (end-to-end), específicamente para prevenir ataques MITM. Con Heartbleed se compromete la función de SSL de autenticar una o ambas partes de la comunicación a través de un certificado de seguridad confiable, dejando la puerta abierta para "el hombre en el medio". Por eso es tan peligroso.

Todo sistema de cifrado que se respete se protege contra ataques MITM requiriendo la trasmisión de la información a través de un canal seguro adicional, al cual solo se puede acceder con la llave de cifrado segura correspondiente. Si el atacante logra acceder a esa llave, puede comenzar un ataque MITM.

Cómo protegerte de un ataque MITM

Es gracioso que la mayoría de las grandes webs, incluso el correo de Gmail apenas comenzara a cifrar sus comunicaciones este mismo año. Durante todo el tiempo anterior de vida de la aplicación, nuestros correos viajaban prácticamente desnudos. Hay algunas medidas que podemos tomar para protegernos de los ataques MITM, no son infalibles, pero mejoran nuestras posibilidades.

Usa siempre HTTPS: muchos sitios web ofrecen desde hace tiempo comunicaciones cifradas a través de SSL, siempre que visites una página asegúrate de que la dirección muestre HTTPS en lugar de HTTP, y si no lo hace, escríbelo manualmente. Esto no te protege de vulnerabilidades del lado del cliente, y de sitios que no han aplicado el parche a Heartbleed si fueron afectados, pero al menos evita que que los ataques menos sofisticados intercepten tus comunicaciones.

Activar la verificación de dos pasos: muchos servicios han comenzado a ofrecer verificación de dos factores en sus servicios para aumentar la seguridad del acceso a las cuentas de usuario. Siempre que el mecanismo de verificación de los dos factores sea suficientemente fuerte, esta es otra linea de defensa contra atacantes.

Usar una red VPN: de esta manera la conexión se cifra entre un cliente VPN y un servidor VPN, estableciéndose a través de un túnel de comunicación seguro.

Artículo original en Bitelia

Algunas recomendaciones críticas sobre el fallo de OpenSSL (Heartbleed)

Enviado por Fernando Acero en Mar, 22/04/2014 - 2:50pm

Parece que la comunidad de software libre en particular, y los usuarios de Internet en general, no ganan para sustos y preocupaciones en los últimos días. A fecha de hoy han aparecido problemas en la práctica totalidad de las tecnologías que se usan para hacer que las conexiones sean seguras en Internet y en especial, GnuTLS y OpenSSL. Pero también debemos recordar que hace unos años también hubo serios problemas de seguridad con SSH.

Como ya se ha escrito y hablado mucho sobre el fallo de OpenSSL y llego un poco tarde con mi artículo, solamente resumiré e intentaré aclarar algunas cosas y en la medida de lo posible, aprovecharé para actualizar algo la situación y recomendar algunas acciones prácticas.


Un poco de lo que sabemos

En relación al fallo de OpenSSL sabemos, entre otras cosas, lo siguiente:

a) Es un fallo que lleva algo más de dos años en el código de OpenSSL y convierte inseguras desde la versión 1.0.1 a la 1.0.1f, siendo la versión 1.0.1g, la que resuelve el problema en este momento. Por ser un programa ampliamente utilizado para asegurar las conexiones en Internet, ha afectado a una gran cantidad de servidores y conexiones seguras de todo tipo. Entre los servidores que han podido estar afectados, se han incluido en algunas listas los de Google, Yahoo, Facebook o Twitter, etc. Pero dada la marcada polémica suscitada con la publicación de las listas de servidores afectados y pensando en lo que nos puede pasar en el peor de los casos, lo más razonable es pensar que cualquier servidor ha sido afectado, incluido el de nuestro banco y tomar a la mayor brevedad las medidas que recomendaré más adelante.

b) Este fallo permite obtener todo el contenido de la memoria de un servidor en bloques de 64 kB y ello incluye, entre otras cosas jugosas, las claves privadas usadas para identificar el servidor y asegurar las conexiones SSL. Una vez obtenidas, es posible suplantar dicho servidor y actuar como MitM. Pero como he adelantado en la primera frase de este párrafo, también se puede extraer cualquier otra información que esté siendo procesada en el servidor en ese momento. Eso incluye los datos personales de los usuarios, o sus claves de acceso al servidor. Asimismo, es importante saber, que si un servidor afectado ha sido atacado explotando este fallo en SSL, puede que no quede ningún rastro en el mismo que demuestre que ello ha sido así.

Si tenemos en cuenta lo que hemos dicho en el punto anterior y lo que hemos dicho en este, es posible que algunos responsables de servidores que fueron afectados por el fallo, no lo reconozcan abiertamente por problemas de reputación, o simplemente, aunque estuvieron afectados y es un hecho evidente para ellos por la versión de OpenSSL que utilizaban, desconocen si han sido atacados, o las consecuencias del ataque, por lo que no alertan a sus usuarios. Por lo tanto, mi recomendación en este caso, es ponerse siempre en el peor caso posible y actuar en consecuencia.

c) Aunque el fallo afecta principalmente a servidores y conexiones VPN (Redes Privadas Virtuales), lo que incluye infinidad de servicios en la nube, también puede afectar a otros dispositivos de nuestro entorno que pueden usar OpenSSL para asegurar ciertas conexiones. Por ejemplo: smartphones, puntos de acceso WIFI, tablets, routers ADSL, switches configurables, Smart TV's, receptores de satélite, reproductores multimedia o dispositivos de almacenamiento masivo (NAS) con conexión a Internet, etc.

Recordemos que Android se basa en el kernel de Linux y que tanto Android como Linux, están disponibles en varios miles de millones de dispositivos en este momento. Sin embargo, en muchas ocasiones, como meros usuarios de la tecnología, no somos conscientes del software que usa realmente nuestro flamante dispositivo.

Aprovecho para traer a estas líneas, algo que ya se está comentando con cierta preocupación en algunos foros. La llegada del Internet de las cosas provocará que este problema se multiplique de forma exponencial y más, si los fabricantes de hardware no se conciencian de que la seguridad de sus dispositivos debe estar en el ciclo de vida de los mismos como una de sus prioridades fundamentales. El problema para los fabricantes que opten por fabricar equipos que exploten las enormes posibilidades del Internet de las cosas, es que el ciclo de vida para muchos de estos dispositivos de uso común puede ser extremadamente largo en relación a los ciclos de vida del software.

d) Aunque Robin Seggelmann, el desarrollador que introdujo el error en 2012, ha declarado y en varias ocasiones, que no lo hizo de forma deliberada y que la NSA no estaba detrás del fallo, posteriormente, la agencia de noticias Bloomberg ha anunciado que la NSA conocía el fallo desde sus orígenes y que lo estaba explotando activamente. Como no podía ser de otro modo, la NSA ha negado posteriormente que esa noticia fuera cierta, por lo que cada uno puede pensar lo que quiera al respecto.

e) Aunque todos los expertos en seguridad coinciden al decir que el error es muy grave y que Bruce Schneier incluso ha llegado a decir textualmente lo siguiente:"Catastrophic is the right word. On the scale of 1 to 10, this is an 11", lo cierto es que el NIST ha clasificado esta vulnerabilidad como de riesgo medio CVSS v2 Base Score: 5.0 (MEDIUM) (AV:N/AC:L/AU:N/C:P/I:N/A:N), lo que puede llevar a cierta polémica.

f) Después de descubrirse el fallo, aparecieron una serie de noticias relacionadas con la explotación del mismo, como la relacionada con el joven canadiense arrestado por usar dicha vulnerabilidad de forma efectiva con los servidores de Canada Revenue Agency (CRA) o la relacionada con la explotación con éxito de la vulnerabilidad contra los servidores de Yahoo mail. Pero ¿cómo se han podido detectar este tipo de ataques, cuando decimos que no deja rastro en un servidor?. Evidentemente al mismo tiempo que han aparecido los programas que explotan el problema, también han aparecido las contramedidas especializadas para detectarlo y minimizarlo. Por lo que si alguien usa algún exploit relacionado con HeartBleed contra un servidor, debe saber que puede ser cazado en el intento y que igualmente, puede tener que responder por ello.

También se ha comentado, en base a un ataque realizado con éxito poco después de desvelarse la vulnerabilidad, que para explotarla con éxito era necesario que los servidores hubieran sido arrancados inmediatamente antes del ataque, lo que es improbable que ocurra en un sistema en producción. Pero desde mi punto de vista, lo único que se logra si ataca un servidor cuando acaba de ser arrancado, es facilitar la localización en la memoria de la información relevante para el atacante, por ejemplo, la posición en memoria de los certificados digitales del servidor. Si algo está en la memoria del servidor, dadas las características del fallo y con independencia del momento en el que se realice el ataque, siempre estará disponible para un eventual atacante que tenga paciencia para localizarla.

Más recientemente se ha usado dicha vulnerabilidad para saltarse la seguridad de Redes Privadas Virtuales, lo que abre una nueva y preocupante dimensión al problema de Heartbleed.

También se ha comentado algo que es muy preocupante para muchos usuarios de la Red Tor, la existencia de nodos de dicha Red, teóricamente segura, que eran vulnerables a Heartbleed. Dicho descubrimiento ha provocado que los responsables de la Red Tor, comiencen a rechazarlos mediante la creación de una "black list" de los mismos. Sin embargo, ¿cómo se puede tener la seguridad en una red abierta, como es el caso de Tor, de que los nodos que estamos usando en determinado momento no están afectados?. ¿Quién garantiza que en un momento determinado no se introduzca de forma maliciosa un nodo vulnerable en la Red Tor con el objeto de monitorizar el tráfico e la Red Tor?. Ante esta situación, hay algunos que aconsejan alejarse de la Red Tor, o incluso de Internet, durante un tiempo, si es que se necesita de privacidad.

g) El que no se haya actualizado al día de la fecha está en grave riesgo y va con tiempo negativo. En este momento no paran de salir a la luz pruebas de concepto (PoC) y exploits relacionados con esta grave vulnerabilidad del OpenSSL. Esto hace que el riesgo crezca de forma exponencial con el tiempo para los más retrasados. Como están las cosas, un eventual atacante, incluso con pocos conocimientos sobre el tema, dispone de todo lo necesario para tener éxito en un ataque:

1.     Sabe que existe una vulnerabilidad.
2.     Dispone de herramientas para saber si una determinada página es vulnerable.
3.     Dispone de software para atacar de forma efectiva un servidor vulnerable.

Qué podemos hacer

Las acciones a tomar para protegernos dependerá
n de si tenemos un servidor, somos clientes de un servidor seguro (https), o si tenemos hardware afectado, por lo que revisaremos cada caso de forma individual.

a) Si tenemos un servidor seguro, las acciones son cuatro y han de ser inmediatas:

    Revocar nuestros certificados digitales del servidor.
    Instalar la nueva versión de OpenSSL, la 1.0.1g o superior.
    Solicitar e instalar nuevos certificados digitales.
    Solicitar a todos los usuarios del servidor que cambien sus contraseñas lo antes posible.

b) Si somos usuarios o clientes de servidores seguros, lo que me atrevo a decir que somos todos los que usamos Internet, la acción es única y también ha de ser inmediata. No es otra que cambiar todas las contraseñas que usamos normalmente para conectarnos a servidores seguros a través de Internet. Por ejemplo: redes sociales, correo electrónico, servicios bancarios, administración electrónica, etc.

Los usuarios también deben tener en cuenta dos cosas en relación a la actualización de sus contraseñas:

1.     Si quieren saber si un determinado servicio está afectado en la actualidad, pueden usar esta página de McAfee para comprobarlo. Evidentemente si el servidor todavía está afectado, no tiene mucho sentido cambiar nuestra contraseña, por lo que en este caso lo que debemos hacer es enviar un correo a su administrador indicándole que su página es vulnerable y no conectarnos a dicha página, ni cambiar nuestra contraseña, hasta que no lo solucionen adecuadamente. Si usamos nuestras contraseñas, o intentamos actualizar nuestras contraseñas en este momento sobre un servidor que todavía no ha sido actualizado, lo más probable es que sean robadas sin remedio.
2.     Si recibimos un correo electrónico indicando que debemos cambiar nuestras contraseña en determinado servicio (red social, banco, etc) y dicho correo viene con un enlace, debemos desconfiar y no usar dicho enlace para cambiar nuestras contraseñas. Lo más probable es que sea un ataque de phishing que usa una URL falsa y su intención es robarnos limpiamente la contraseña que introduzcamos. Si queremos conectarnos a una página segura o cambiar nuestras contraseñas de acceso a las mismas, lo que debemos hacer siempre es acceder directamente a la página escribiendo la URL (https) en el navegador. No debemos usar nunca un enlace recibido mediante un correo electrónico, aunque nos parezca legítimo y la página a la que accedemos a través de él nos parezca la correcta primera vista.
3.     También es muy sano, tras conectarnos a una web segura (https), que antes de introducir nuestras credenciales, es decir, nuestro nombre de usuario y contraseña, que comprobemos el certificado digital de dicha página, para ver que se corresponde con la página que esperamos y que es válido.

c) Si tenemos hardware que pueda estar afectado, el problema se complica y mucho por dos motivos principalmente. El primero, es que es difícil saber, sin la ayuda del fabricante del mismo, si nuestro hardware es vulnerable ante un determinado problema de seguridad, como es el caso del OpenSSL. El segundo, es que siempre dependemos para su actualización de nuestro smartphone, tablet, router, etc, y en la mayoría de los casos de forma secuencial en el tiempo, del fabricante del software origen del problema, en este caso OpenSSL, del fabricante del software que lo integra, por ejemplo Google, del fabricante del hardware que lo usa, por ejemplo Samsung, o incluso, del proveedor de servicios de Internet que lo comercializa (por ejemplo, una compañía telefónica, que en ocasiones personalizan el software). Esta absurda cadena alarga los tiempos de actualización de los dispositivos más de lo necesario y hace que una vulnerabilidad, por pequeña que sea, se pueda convertir en una pesadilla para los usuarios, en especial si afecta, como es el caso, a su información sensible, o le provoca molestas denegaciones de servicio.

En estos casos debemos hacer lo siguiente:

    Consultar al fabricante del dispositivo, o al proveedor de servicios de Internet que lo comercializa, sobre el problema y preguntarle si hay disponible una actualización de seguridad para el mismo en ese momento.
    Si la hay y está disponible para nosotros, instalarla lo antes posible y siguiendo las indicaciones del fabricante del dispositivo.
    Si no está disponible, consultar al fabricante o al proveedor de servicios de Internet que lo comercializa, sobre la forma de protegernos hasta que esté disponible la actualización que corrija el problema.

Tanto Microsoft como Apple han manifestado que tanto los dispositivos basados en Windows Mobile, como en iOS y OSx, así como sus servicios web, no están afectados por el problema del OpenSSL.

En el caso de Android, los móviles más vulnerables al fallo de OpenSSL son los que tienen versiones 4.1 de este sistema operativo, aunque también es cierto, que algunas versiones de Android 2.4 Jelly Bean, que han sido personalizadas por fabricantes u operadores, también pueden ser vulnerables.

Incluso móviles que se han actualizado recientemente a Android KitKat 4.4 pueden estar afectadas por este fallo, por usar versiones de OpenSSL tan antiguas como la 1.0.1e. Sin embargo, aunque tengan instalado un OpenSSL afectado en un dispositivo Android, la posibilidad de explotación del fallo también depende de la configuración del móvil, por lo que lo mejor es usar la aplicación indicada anteriormente para comprobarlo.

De todos modos, si nuestro smartphone está afectado por el fallo, lo más recomendable es no usarlo para realizar conexiones seguras, o manejar información sensible, hasta que dispongamos de una actualización adecuada, lo que puede tardar bastante, si además de Google, dependemos del fabricante y/o del operador para hacerlo.

Existen algunas opciones para saber si nuestro smartphone está afectado por problemas con el SSL o con el TLS:

a) Apple (fallo en el TLS por goto fail).
b) Aplicación Android para comprobar el fallo de OpenSSL.

Pero esta seguridad en relación a los sistemas operativos de los smartphones es relativa. Aunque nuestro smartphone no se vea afectado por el problema de OpenSSL y esto es no nos garantiza que no se haya utilizado para acceder a un servidor vulnerable. Por lo que debemos estar atentos a todas las actualizaciones de aplicaciones que se produzcan estos días en relación a este fallo de seguridad y si sabemos que una aplicación móvil ha sido afectada, ya sea por usar la librería afectada internamente, o por conectar con un servidor afectado, no debemos utilizarla hasta que se actualice la aplicación y/o el servidor del servicio y cuando todo esté en orden, deberemos cambiar la contraseña de acceso a dicho servicio lo antes posible.


aplicable de forma indistinta a dispositivos Android, iOS, o Windows Mobile, eso



"Copyleft Fernando Acero Martín. Se permite la copia textual, la traducción y la distribución de este artículo entero en cualquier medio, a condición de que este aviso sea conservado. Se permite la cita. El autor no reclamará ninguna cantidad por el ejercicio de las dos autorizaciones anteriores. No autorizo a ninguna Entidad de Derechos de Autor a reclamar cantidad alguna en mi nombre."

Artículo original en Kriptópolis

Un estudio indica que el prometedor grafeno no lo es tanto con el medioambiente

29 de abril de 2014 | 19:01 CET

No paramos de oír hablar del grafeno como ese material revolucionario que podría provocar saltos cualitativos en campos como la telefonía, las redes WiFi, las baterías o la fotografía. Sin embargo, puede que no todo sea de color de rosa en el futuro de este singular componente.

Un estudio realizado por el Bourns College of Engineering de la Universidad de California en Riverside ha revelado que este material podría tener efectos nocivos en el medioambiente, en lo que se ha considerado como uno de los pocos informes relativos al impacto del grafeno en nuestras vidas.

El estudio destaca especialmente la estabilidad del grafeno en aguas subterráneas comparándola con su estabilidad en aguas superficiales, y se detectó que las nanopartículas son más móviles en aguas como las presentes en los lagos, y eso podría provocar daños medioambientales.

De hecho, el estudio, publicado en Environmental Engineering Science, destaca que otros estudios también revelan que el grafeno podría ser potencialmente tóxico para los humanos, algo que como indican en Gizmodo podría hacer que aún no sea demasiado recomendable insertarlo en nuestro cuerpo como una de las posibilidades del futuro.

Vía | Gizmodo
Más información | UCR Today | Mary Ann Liebert

Artículo original en Xataka

Este cable USB puede cargar tu smartphone en la mitad de tiempo

29 de abril de 2014, 13:53

Una startup de Sillicon Valley ha ideado un cable USB que permite acelerar la carga de dispositivos únicamente activando un interruptor.

Por Rafael Moreno

Temas: Hardware

Más de: KICKSTARTER, LIGHTNING, USB

La recarga de dispositivos a lo largo del día es una de las prácticas más comunes entre los smartphones. Para acelerar esta recarga, una startup californiana ha creado una campaña en Kickstarter para financiar la fabricación de un cable USB que cargará nuestros dispositivos en la mitad de tiempo.

"DouBBle Time es compatible con aquellos terminales que utilicen Lightning o micro USB"

Siempre que lleves un ordenador portátil o si tu coche lo permite, podrás cargar tu terminal mientras realizas otras acciones. Pero estas cargas suelen demorarse demasiado debido a que el cable USB tradicional realiza la transferencia de energía en doble sentido de manera predeterminada, principalmente para poder sincronizar contenidos entre el terminal y el ordenador. Con DouBBle Time, podrás decidir si activar o desactivar esta transferencia bidireccional, consiguiendo un incremento de hasta el doble de velocidad de carga si se desactiva.

DouBBle Time está disponible desde $15 y se empezará a enviar a partir de Julio de este año. Es compatible con los dispositivos de Apple que utilicen Lightning y con los terminales que utilicen micro USB, como pueden ser Samsung, HTC o Nokia.

Artículo original en Alt1040

¿Se acerca el fin del reino de los chips de silicio?

James Morgan
BBC
Jueves, 26 de septiembre de 2013




La primera computadora ensamblada en su totalidad con nanotubos de carbono ha sido presentada, lo que abre la puerta a una nueva generación de dispositivos digitales.

Max Shulaker, uno de los diseñadores de Cedric, afirma que la computadora no tiene límites.

Cedric es apenas un prototipo, pero podría perfeccionarse y convertirse en una máquina más pequeña, más rápida y mucho más eficiente que los modelos de silicio que existen en la actualidad.

Los nanotubos se han presentado como los herederos del trono del silicio desde hace mucho tiempo, pero ensamblar una computadora que funcione adecuadamente, ha sido complicado.

El descubrimiento realizado por un grupo de ingenieros de la Universidad de Stanford, en California, Estados Unidos, fue publicado en la revista científica Nature.

Cedric es el sistema electrónico hecho a base de nanotubos de carbono más complejo que se ha realizado hasta el momento.

Pero, ¿es rápido? Para nada. Pudo haberlo sido en 1955.

La computadora funciona con un bit (unidad mínima de información en informática) y apenas cuenta hasta 32.

"En términos humanos, Cedric puede contar con los dedos de la mano y entender el alfabeto. Pero es una computadora en todo el sentido de la palabra. No tiene limitaciones con respecto a lo que puede hacer, teniendo suficiente memoria", dice Max Shulaker, coautor de la investigación.

Una nueva era

Los transistores de Cedric tiene un "diseño inmune imperfecto"

En jerga informática, Cedric es un turing completo, es decir, un sistema capaz de resolver cualquier problema relacionado con la computadora.
Detalle de un nanotubo de carbón

Los transistores de Cedric tiene un "diseño inmune imperfecto".

Tiene un sistema operativo básico que le permite realizar dos actividades, alternándose entre una y otra, por ejemplo, contar y organizar los números.

Y a diferencia de otras computadoras con carbono en su composición, las respuestas de Cedric son correctas siempre.

"La gente ha estado hablando acerca de la nueva era de aparatos electrónicos hechos con nanotubos de carbono, pero no se han presentado muchos ejemplos. Esta es la prueba", afirma Subhasish Mitra, el profesor que dirigió el estudio.

El equipo de Stanford que trabajó en el proyecto espera que su descubrimiento sirva para galvanizar esfuerzos que permitan encontrar al sucesor comercial de los chips de silicio que, dentro de poco tiempo, podrían alcanzar su límite físico.

Sus propiedades

Por el momento, Cedric puede contar hasta 32.

Los nanotubos de carbono (CNTs, por su descripción en inglés) son cilindros huecos formados por una lámina de átomos de carbono.
Detalle de Cedric

Por el momento, Cedric puede contar hasta 32.

Tienen propiedades excepcionales, lo que los convierte en un material semiconductor ideal para la fabricación de transistores, los interruptores que representan el corazón de la electrónica.

En primer lugar, los CNTs son tan delgados –miles podrían ser equivalentes al grosor del cabello humano – que necesitan muy poca energía para apagarse.

HS Philip Wong, otro de los coautores de estudio explica: "Imagínatelo como si estuvieras parándote sobre la manguera que se usa para regar un jardín. Mientras más estrecha sea la tubería, más fácil será detener el flujo del agua".

Los transistores elaborados con un nanotubo se conocen desde hace 15 años, pero nadie había logrado armar el rompecabezas para crear un dispositivo computarizado que funcionara.

Siendo así, ¿cómo logró el equipo de Stanford ser exitoso cuando otros no pudieron? Solucionando dos de las pesadillas que atormentan al mundo de la computación que utiliza el carbono.

Los retos

Hay que considerar que los CNTs no están dispuestos en líneas paralelas. "Cuando se intenta alinearlos como si fueran una galleta de superficie uniforme, lo que obtienes es un tazón de fideos", explica Mitra.

El equipo de Stanford construyó chips con CNTs que están alineados casi en su totalidad, en 99,5%, y diseñó un algoritmo que permite obviar el 0,5% restante, que tiene elementos que están torcidos.

También eliminaron una segunda imperfección, los "CNTs metálicos", una pequeña fracción que funciona como conductor de electricidad en vez de tener las propiedades de un semiconductor que se puede apagar.

Para eliminar esos elementos rebeldes, los investigadores apagaron los CNTs "buenos" y le inyectaron electricidad a los que quedaban, los "malos", hasta que se evaporaron. El resultado es un circuito que funciona.

El equipo bautizó a su técnica como el "diseño inmune imperfecto". ¿Su mayor virtud? Ni siquiera es necesario saber dónde están las imperfecciones.

"Estos son los primeros pasos para sacar a los nanotubos de carbono de los laboratorios químicos al mundo real", indicó Supratik Guha, director del departamento de Ciencias Físicas del Centro de Investigación Thomas J. Watson, de IBM.

Futuro prometedor

Pero digamos que Intel o alguna otra compañía fabricante de chips dijera: "Quiero mil millones de unidades de esa pieza". ¿El diseño de Cedric podría replicarse en cantidades industriales?

En principio, si. "No hay ningún impedimento. Si los esfuerzos investigativos se centran en desarrollar una versión de esta computadora que tenga 64 bits y 20 nanómetros, muy pronto podríamos estar utilizándola", asegura Franz Kreupl, de la Universidad Técnica de Munich, en Alemania.

Disminuir el tamaño de los transistores es el próximo reto del grupo de investigadores de Stanford. Con un ancho de 8 micrones (8.000 nanómetros), estas piezas son mucho más rápidas que los chips de silicio que existen en la actualidad.

Puede que se necesiten unos años para lograr este objetivo, pero se trata sencillamente de una cuestión de tiempo.

"No hay barreras tecnológicas. En lo que respecta al tamaño, IBM ya ha probado un transistor CNT de 9 nanómetros. Y en cuanto a la elaboración, nuestro diseño es compatible con los procesos de fabricación que existen en la actualidad", comenta Shulaker.

"Así que los millones de dólares invertidos en silicio –prosigue- no se han desperdiciado, ya que pueden usarse para CNTs".

Durante 40 años predijimos el fin de la era del silicio. Quizás ahora, está a la vista.

Artículo original en BBC Mundo

Cómo evitar el robo de información clave de una empresa

martes, 27 de agosto de 2013
07:33:00

Los casos del soldado Bradley Manning, quien realizó la mayor filtración de documentos militares secretos en la historia de los Estados Unidos, y de Edward Snowden, quien reveló cómo la Casa Blanca y sus organismos espían las comunicaciones en Internet, constituyen los ejemplos más famosos de fuga de información de una organización a través de soportes tecnológicos.

Mientras Manning, condenado el 21 de agosto a 35 años de prisión, realizó la filtración a través de discos compactos, Snowden, asilado político en Rusia, filtró documentos sobre las prácticas de espionaje del Gobierno empleando unidades de memoria USB ("pendrives").

Sin embargo, las principales fugas de información en las organizaciones gubernamentales, empresarias y educativas en la Argentina no son por acción de un empleado o ejecutivo infiel o por el ataque de un delincuente informático sino por "desconocimiento y negligencia" de los propios directivos y dependientes, según aseguró a iProfesional Cristian Borghello, Director de Segu-Info.

Este especialista advirtió que en las empresas impera “un nivel de inconsciencia alto sobre la información que manejan y sobre su jerarquización y criticidad”.

"No saben lo que tienen y, por lo tanto, no saben lo que hay que proteger, y se desconoce también la información privada de sus usuarios, en especial en cuanto a su salud y sus finanzas", alertó.

"Gran parte se fuga por los empleados, pero sin que ellos se den cuenta o lo sepan. Por ejemplo, el correo electrónico sin cifrar, o el envío de un correo a una dirección equivocada o el almacenamiento de archivos en servicios basados en la nube, como Dropbox", explicó.

Luego de las fugas por negligencia o desconocimiento, siguen las que se producen por "ataques internos", como se define en la jerga, de empleados infieles, que actúan motivados por diferentes intereses: represalia, venganza, conciencia cívica, robo de información y otros motivos económicos.

Al final, y en mucha menor medida que las dos anteriores, se encuentran los delincuentes informáticos.

¿Por qué se difunde entonces tanto la idea del ataque externo a la organización, como el que sucedió este mes -según denunció el Gobierno nacional- a la cuenta de Twitter de la Casa Rosada? “Muchas organizaciones atacadas niegan el incidente y cuando lo admiten, prefieren adjudicarlo a alguien externo”, dijo Borghello.

MediosLa información crítica de una empresa puede salir por varios medios. Además de los discos compactos y DVD y "pendrives" empleados por Manning y Snowden, existen otras vías.

Por ejemplo, los e-mails que se envían los empleados a cuentas propias de correo, con archivos adjuntos valiosos como planillas de cálculo, planes de negocio, prototipos, etc.

Ariel Bruch y Rodolfo Dietz, de la firma de seguridad informática canadiense Messaging Architecs, pusieron la mira en el correo electrónico, la aplicación más utilizada en Internet, basada desde hace 40 años en el mismo protocolo de la red, por su facilidad y universalidad para implementar, además de soportar archivos adjuntos.

Para estos dos ejecutivos, el "e-mail está roto" por el "crecimiento de almacenamiento sin control", con una “gestión de infraestructura desordenada” y un aumento en los robos y la preocupación sobre su privacidad.

Bruch y Dietz señalaron, por ejemplo, que el 40 por ciento de los archivos adjuntos en un e-mail poseen virus.

El otro principal medio, además del e-mail, es el almacenamiento de archivos en la nube, en servicios como Dropbox o el desaparecido Megaupload.

Sin embargo, el perímetro de la compañía no está dado sólo por sus paredes y puertas, sino que también cuentan los teléfonos móviles inteligentes y las tabletas que trabajan e interactúan con los sistemas de la empresa desde cualquier punto del mundo, conectados a Internet.

Esta extensión de la frontera se amplía por la tendencia de "traiga su propio dispositivo" (BYOD, sigla en inglés), donde los ejecutivos y empleados reclaman utilizar sus propios “smartphones” o tabletas con los sistemas de la empresa.

"No se usan contraseñas ni se cifra la información" que está en los teléfonos y tabletas, advirtió Borghello.

Dan Molina, director para Mercados Emergentes de la empresa de seguridad informática Kaspersky, apuntó ante iProfesional que el foco también debe ponerse en los puntos de acceso a la nube y en los dispositivos móviles, cuyos usuarios "aún carecen de una cultura de la protección de los datos", lo cual es aprovechado por los delincuentes informáticos, que aumentaron en el último tiempo en siete veces la cantidad de virus que apuntan al sistema operativo Android.

SolucionesBorghello propuso los siguientes pasos para reparar y cerrar los agujeros por donde se puede fugar la información.

Primero, establecer una política de gestión de la misma en la organización, que incluya su clasificación y jerarquización.

Segundo, definir una política de protección, viendo por dónde circula y sale y protegiendo esos archivos. Aquí se incluye el resguardo del almacenamiento y el transporte de esos datos.

En el mercado local se lanzaron en los últimos meses diferentes software que actúan en estos dos pasos descriptos por Borghello.

Fuente: iProfesional



Artículo original en Segu-Info

Atentado oculto contra la base de la Web

Enviado por mhyst en Lun, 26/08/2013 - 5:20am

Se ha dicho que la base de la Web son los enlaces. En realidad la base de la Web es el lenguaje HTML del que los enlaces forman parte. Pues bien, el HTML está en grave peligro de ser alterado de una forma irremediable. La industria del cine ha pedido la inclusión en la próxima versión del HTML (la 5) una extensión que permitiría "proteger" determinados contenidos. Esta extensión se conoce como EME (Encrypted Media Extensions) y su inclusión ha sido aprobada de forma unilateral por el director del Consorcio de la Web (W3C) Tim Berners-Lee. Una vez decidido por este que la protección de contenidos entra dentro del ámbito del grupo de trabajo responsable de generar el estándar HTML5, se pide consenso para decidir la mejor manera de llevarlo a cabo. La controversia se ha desatado, pero parece poco probable que Sir Tim Berners-Lee de un paso atrás...

El borrador proporcionado de EME, desarrollado de antemano por Microsoft, Google, Apple y Netflix propone un modelo según el cual hay un elemento que se comporta como una caja negra del cual sólo podrán decidir los propios distribuidores de contenido arriba mencionados, llamado CDM (Content Decryption Module) el cual será sin lugar a dudas un software privativo y por tanto no tendremos acceso al código fuente para confirmar que en efecto hace lo que dice (supuestamente desencriptar contenido). Este modelo garantiza que todo navegador en el futuro tendrá un hueco donde encajará cualquier módulo CDM desarrollado de forma independiente de la W3C que en teoría será para descifrar contenido cifrado, aunque en realidad podrá hacer lo que les venga en gana a los desarrolladores. Es obvio que empresas como Google que ya nos tienen sometidos a vigilancia por diversos medios, usarán este nicho para crear otras formas de vigilancia. En cualquier caso los CDM serán software que actuará en nuestra contra dentro de nuestro propio ordenador

Tal como se puede ver en el borrador de EME, ya se está trabajando en su estandarización lo cual ocurrirá como muy tarde en diciembre de 2014 de acuerdo a los hitos establecidos en el grupo de trabajo del html. Aunque algunas partes ya se han adelantado y Google ya incluye esta "mejora" en su Chrome OS.

Aunque la palabra DRM (Digital Restrictions Management) sólo se menciona una vez de forma indirecta, está claro que EME está dirigido a introducir un sistema de gestión de restricciones digitales en los navegadores. Se trata de permitir controlar el pago de ciertos contenidos que pueden ser vídeos, música, textos, etc.

EME incluye el evento "onneedkey" que podría tratarse para cualquier tipo de etiqueta (no sólo < video > y < audio >). Desde ese evento, una serie de modificaciones a JavaScript permitirían cargar el CDM correspondiente que se descargará en nuestros sistemas y empezará a controlar el streaming de video o de audio (entre otras cosas, como ya he dicho).

Hasta ahora, cada compañía tenía sus propias plataformas DRM, las cuales eran muy costosas y difíciles de mantener. Con esta operación, si definitivamente logran meter el DRM directamente en el estándar de HTML5, se ahorrarán millones y la tarea de "proteger" contenido será mucho más sencilla.

Todo este asunto no ha trascendido demasiado dada la complejidad técnica del tema. Yo quizá no sea la mejor persona para explicarlo ya que también soy técnico. He conseguido introducirme en el HTML WG (working group) como experto invitado para mantenerme al tanto del tema. A menos que consigamos una gran repercusión social, los técnicos aislados seremos incapaces de parar esto. Hay que tener en cuenta que los miembros del W3C más influyentes son Google, Microsoft, Apple y NetFlix entre otros. Google se destaca por ser el que tiene mayor número de representantes (24 en total). Todas esas compañías no están ahí porque creen navegadores. Está claro que tienen intereses en que EME siga adelante.

Por todo lo dicho solicito ayuda. Urge explicar de una forma más clara todo el asunto y llevarlo a las redes sociales y a los medios.

En change.org hay dos peticiones en contra de EME. Una en inglés existía antes de meterme en esto. La otra la creé yo en castellano. Reunir firmas no está de más.

*https://www.change.org/petitions/block-the-w3c-potential-requirements-of-drm-vendors-into-the-html-standard-a-mission-to-block-implementation-of-eme-and-drm-into-the-html5-standard

*http://www.change.org/es/peticiones/w3c-no-queremos-drm-en-la-www-no-a-la-hollyweb-2#supporters


Más información del tema se puede encontrar aquí:

*http://www.theguardian.com/technology/2013/jun/06/html5-drm-w3c-open-web
*http://www.theguardian.com/technology/blog/2013/mar/12/tim-berners-lee-drm-cory-doctorow
*http://www.defectivebydesign.org/no-drm-in-html5

Artículo original en Kriptópolis

Cómo cifrar los archivos que almacenamos en nuestra computadora

Los casos de espionaje en Internet por parte de Estados Unidos han servido para que muchos usuarios tomen conciencia de la necesidad de salvaguardar la privacidad de sus datos. Con la idea de mejorar la seguridad de nuestra información, dedicamos unos minutos a repasar métodos para cifrar archivos en distintos sistemas operativos.

Por JJ Velasco
21 de agosto de 2013, 02:40

Las revelaciones de Edward Snowden sobre los programas de espionaje en Internet de la NSA (PRISM y X-Keyscore), y las presiones que ejerce esta agencia sobre las empresas que operan en la red, han hecho que muchos usuarios tomen conciencia de la necesidad de asegurar sus comunicaciones. A lo largo de varias semanas hemos dedicado tiempo a plantear alternativas a Skype, ideas para implementar nuestra propia nube privada y también a cifrar nuestro correo electrónico; algunas medidas que podemos tomar para mejorar la privacidad de nuestros datos y nuestras comunicaciones.

Evidentemente, si alguien tiene acceso a nuestro PC o nuestro Mac, tomar este tipo de medidas no nos van a servir de mucho si la información que intercambiamos y que intentamos proteger está almacenada "en claro" en nuestro equipo. ¿Qué significa almacenar información en "claro"? Almacenar información en claro en nuestro equipo significa que guardamos datos sin cifrar y, por tanto, si alguien tuviese acceso físico a nuestro ordenador personal podría servirse de toda nuestra información como si estuviese en un buffet libre.

Hace un par de semanas, precisamente, se armó bastante revuelo cuando se puso de manifiesto que Google Chrome almacenaba sin cifrar el archivo de contraseñas guardadas y, por ejemplo, en un sistema Windows no es nada complejo saltarse la protección por contraseña del login de inicio de sesión. De hecho, si no ciframos la información de nuestro disco duro (al menos la información más sensible o personal), arrancar el ordenador con un Live CD de cualquier distribución GNU/Linux o sacar el disco y conectarlo a una caja USB podrían ser dos métodos simples y sencillos para sustraer información del ordenador de un usuario.

¿Y qué podemos hacer para mejorar la seguridad de nuestros datos? ¿Cómo podemos cifrar la información sensible que almacenamos en nuestros equipos? Como nos podemos imaginar, la solución a adoptar dependerá del sistema operativo que estemos usando así que, por intentar cubrir un espectro amplio de opciones, vamos a revisar algunas ideas para Windows, OS X y GNU/Linux.

Cómo cifrar archivos en Windows

Windows nos ofrece la posibilidad de cifrar el contenido de carpetas, de manera nativa, desde el propio sistema operativo. En términos generales, el proceso es bastante simple y no encontraremos demasiada complicación más allá de la precaución de guardar, a buen recaudo, el certificado necesario para descifrar los archivos.

La opción del cifrado que incluye Windows de manera nativa es, en mi opinión, bastante simple y no creo que esté libre de accesos no autorizados. Por tanto, creo que podríamos manejar otras opciones y recurrir a otras utilidades de solvencia reconocida.

Una de las utilidades más conocidas, y usadas también dentro del sector empresarial, es TrueCrypt. Esta aplicación es una herramienta en software libre que nos permite cifrar información tanto en Windows como en OS X y en Linux y nos ofrece varias opciones de cifrado. Entre otras cosas, TrueCrypt permite cifrar el contenido completo del disco duro (incluyendo la partición de arranque), generar una partición real o virtual que esté cifrada o, incluso, crear unidades USB en las que almacenar contenidos cifrados. Además de todas estas opciones de seguridad, una vez tengamos la aplicación configurada, el proceso es transparente al usuario y éste apenas notará interrupciones en su trabajo (con la ventaja de tener sus datos algo más seguros).

AES Crypt es otra opción que está disponible tanto para Windows como para OS X y Linux y nos ofrece cifrado AES de 256-bit. En este caso, el cifrado de archivos y carpetas es algo más selectivo y seremos nosotros los que, manualmente, indicaremos qué queremos almacenar de manera segura. Con la idea de facilitar las cosas, AES Crypt se integra dentro del menú contextual de Windows, así que haciendo clic sobre un archivo con el botón derecho del ratón podremos cifrarlo cómodamente.

Otra opción para cifrar archivos sin demasiadas complicaciones en Windows es AxCrypt que, al igual que AES Crypt, utiliza cifrado AES (Advanced Encryption Standard) aunque, eso sí, de 128 bits.

Cómo cifrar archivos en OS X

OS X también incluye, de manera nativa, la posibilidad de cifrar el contenido completo del disco duro en este sistema operativo. FileVault, que es como se llama esta opción, puede activarse desde las preferencias del sistema (opción seguridad, activar FileVault y fijar una contraseña de seguridad). FileVault ofrece cifrado AES de 128 bits y, evidentemente, al abarcar todo el contenido del disco duro del sistema, en ciertos momentos podemos notar cierta bajada del rendimiento del equipo al tener que trabajar siempre con contenidos cifrados.

Una alternativa algo más selectiva que FileVault es iSafe, una aplicación bastante barata (1,99 euros) que nos ofrece la posibilidad de crear colecciones de archivos cifrados usando cifrado AES de 256 bits. El funcionamiento, realmente, es muy simple; tras establecer una contraseña maestra e introducirla al arrancar la aplicación, veremos la colección de archivos cifrados que tenemos en base a la categorías definidas (algo así como carpetas) y, para cada colección, los archivos almacenados. Con una disposición de esta forma, si queremos almacenar un archivo dentro de una colección (y así cifrarlo), lo único que tendremos que hacer es "arrastrar y soltar".

Scrambler y Espionage son otras dos alternativas de pago que, al igual que iSafe, nos permiten cifrar archivos en OS X sin demasiadas complicaciones y, por supuesto, siendo selectivos en el proceso (es decir, cifrando solamente aquello que nos interesa proteger y no todo el disco duro).

Cómo cifrar archivos en Linux

Finalmente, para los usuarios que estén recién aterrizados en el mundo de Linux o bien no tengan conocimientos avanzados en la materia es importante que sepan que también pueden cifrar sus archivos.

Uno de los métodos más conocidos para cifrar los archivos es GnuPG (GNU Privacy Guard) que, por cierto, es uno de los componentes que requiere Enigmail a la hora de cifrar mensajes de correo electrónico en Thunderbird. Su uso es muy sencillo y, por ejemplo, desde la Terminal podremos llamar a gpg y, desde la línea de comandos, cifrar archivos cómodamente sin más que indicar la contraseña que vamos a usar para el cifrado.

eCryptfs es una opción algo más avanzada a la hora de cifrar archivos, una especie de extensión de GnuPG aplicado al sistema de archivos con el que podremos mejorar la seguridad de nuestro directorio home (nuestros archivos personales). eCryptfs está empaquetado para múltiples distribuciones y podremos instalarla en Debian, Fedora, Gentoo, openSUSE o Ubuntu.

SeaHorse es un proyecto "clásico" de Gnome que nos permite integrar GnuPG en este entorno de escritorio para que podamos cifrar archivos sin tener que recurrir a la consola. Tras instalar este paquete tendremos a nuestra disposición opciones para cifrar/descifrar archivos dentro del menú que aparece al pulsar el botón derecho del ratón sobre un archivo o una carpeta.

Artículo original en Alt1040

D-Wave Two por fin derrota a una PC en cálculos de propósito general

Curiosa prueba enfrenta a un computador cuántico de US$ 10 millones contra a un Servidor basado en Xeon E5-2690.

A seis años del debut de D-Wave One, considerado el primer computador cuántico comercial de la industria, y valorizado en US$ 10 millones, D-Wave Systems lanzó el mes pasado a su sucesor conocido como D-Wave Two.

El nuevo supercomputador cuántico D-Wave Two está basado en el microprocesador Vesuvius 5 (439 qubits), constituye una gran mejora por sobre su antecesor (D-Wave One) basado en un microprocesador de 128 qubits, ofreciendo un poder de cálculo 500000 veces superior al de su predecesor a la vez que mantiene su precio de US$ 10 millones.

Aunque los computadores cuánticos prometen revolucionar la industria del cómputo gracias a su gran poder de cálculo (varios teraflops) para complejas tareas específicas como la inteligencia artificial, solucionadores, reconocimiento de objetos en imágenes,  simulaciones realistas, entre otras; pero son conocidos por no ser la mejor solución para tareas comunes o de cómputo general, donde los microprocesadores tradicionales continúan siendo la mejor opción.

Para demostrarlo, Catherine McGeoch, científica de la Universidad de Amherst, ha realizado la primera comparativa de la historia, en la que se enfrenta a un computador cuántico (D-Wave Two) contra un computador convencional basado en el microprocesador Intel Xeon E5-2690 (ambos ejecutando Ubuntu Linux 12.04), en el cálculo de tres problemas de optimización NP-complejo (CPLEX, METSlib Tabu, Akmaxsat).

D-Wave Two obtuvo en promedio resultados 4000 veces superiores a los de la estación de trabajo Xeon (a pesar de que Vesubius debe repetir cada cálculo cerca de 1000 veces para asegurar su exactitud ante los posibles efectos externos de la radiación electromagnética), resultado que aunque podría sonar muy bien en términos de rendimiento puro, no es tan bueno en términos monetarios, pues D-Wave Two tiene un costo casi 5000 veces el del microprocesador Xeon (US$ 2061) y además debe ser mantenido a temperaturas cercanas al cero absoluto (-273.12 °C), factor que incrementa su costo de mantenimiento.

También se realizaron pruebas a un prototipo del futuro microprocesador cuántico Vesubius 6, el cual mostró un rendimiento 2.5 veces el de Vesubius 5; lo cual es un indicativo de la continua evolución en los microprocesadores cuánticos.

Link: Quantum computer finally proves its faster than a conventional PC, but only just  (Extreme Tech)

Artículo original en CHW.net