Algunas falacias recientes en torno a la seguridad del formato PDF

Por Fernando Acero - Publicado el 06 Octubre 2010

El otro día navegando por la Red, me topé con esta noticia: Cientos de expertos en seguridad proponen acabar con el formato PDF, y he de decir que me dejó perplejo que "expertos" en seguridad propusieran acabar con un formato abierto, en lugar de mejorar las aplicaciones que lo usan.

El formato PDF es un estándar abierto definido mediante la ISO 32000-1 y es simplemente eso, un formato estándar y libre para contener unos datos que han de interpretar, o renderizar, otras aplicaciones. Sí, es cierto que las últimas definiciones del mismo permiten cosas relativamente "peligrosas", como la multimedia o la capacidad de ejecución de scripts (algo que muchos se habrían ahorrado, yo incluido), pero el problema principal no está en la definición del ISO 32000-1, es decir, en el formato, la inseguridad está en las aplicaciones que manejan ese formato, que hacen cosas que no deben en determinadas condiciones, y entre ellas, cuando se abusa de determinadas características del formato, algo sobre lo que Adobe debería tener muchas cosas que decir y hacer...

Señores, eso, nos guste o no, incluso cuando se abusa de las características multimedia o de script que permite el estándar, es un problema de las aplicaciones que deberían estar preparadas para esas circunstancias, no de del formato en sí mismo. De hecho, no todas las aplicaciones tienen el mismo comportamiento cuando tienen que procesar un PDF “malévolo” y no todas las aplicaciones que manejan los PDF, “hacen el mismo caso” del contenido multimedia o los scripts que pudiera haber en los archivos.

El caso es que llevo algunos días pensado en este artículo y mucho me temo que, además de partir de una premisa errónea cuando nos dicen que “el problema está en el formato pdf y no en las aplicaciones que lo manejan”, o dicho de otro modo, cuando le echan la culpa de los problemas del continente al contenido, creo hay grandes y claros intereses creados en la elaboración del artículo y la pista creo que está en esta afirmación que aparece en el mismo:

"Al igual que Flash, PDF se ha convertido en un estándar tan grande que ha atraído la atención de los 'hackers'. Unido a los progresos que ha realizado Microsoft para proteger sus códigos, lo han dejado en una posición muy vulnerable a pesar de los esfuerzos de Adobe."

Veamos; ya hemos dicho que el problema es de las aplicaciones que manejan el formato, no del formato en sí mismo, pero recomiendo este sencillo ejercicio de reducción al absurdo; cambiemos PDF por Windows, Microsoft por la Comunidad de Software Libre y Adobe por Microsoft en la frase y veremos lo poco que se sostiene la afirmación anterior:

Al igual que Flash, Windows se ha convertido en un estándar tan grande que ha atraído la atención de los 'hackers'. Unido a los progresos que ha realizado la Comunidad de Software Libre para proteger sus códigos, lo han dejado en una posición muy vulnerable a pesar de los esfuerzos de Microsoft”.

¿Cuántos de los presentes consideran que se debería retirar Windows del mercado por ser objetivo prioritario de los "hackers y ser un "estándar" tan grande, que lo usan el 98% de los usuarios?

Creo que soluciones para el problema hay muchas, y un buen experto en seguridad, en lugar de pedir “la abolición” del formato, se dedicaría a recomendar cosas para mejorar los programas que tratan con este popular formato, como no permitir la ejecución de scripts que no estén firmados, que los scripts no puedan realizar determinadas cosas sin el consentimiento del usuario, mejorar las características de seguridad de las aplicaciones y de filtrado del formato, etc, etc, etc...

"Copyleft 2010 Fernando Acero Martín. Verbatim copying, translation and distribution of this entire article is permitted in any digital medium, provided this notice is preserved"

Artículo original en Kriptópolis

Internet se queda sin direcciones

04/10/2010 | Wicho / Microsiervos

Años de planificación y trabajo para solucionar el problema apenas han supuesto avances

En azul los bloques con direcciones libres en enero de 2010



Cada uno de los ordenadores y dispositivos que se conecta a la Red necesita una dirección, que es como un número de teléfono que lo identifica, para hablarse con los demás.

En términos algo más técnicos es lo que normalmente se llama dirección IP y tiene la forma de cuatro números separados por puntos, como por ejemplo 98.134.56.12.

Los usuarios normalmente nunca las vemos porque existe un sistema llamado DNS que actúa como una especie de guía de teléfonos de Internet que nos permite escribir lainformacion.com en la barra de direcciones de nuestro navegador y se encarga de averiguar a qué dirección IP corresponde ese nombre y de pasarle esa información a nuestro navegador.

Esto permite que no tengamos que aprendernos esas direcciones, igual que desde hace años ya no nos aprendemos ningún número de teléfono gracias a las agendas que incorporan estos, y permite también que cambie la dirección IP de una máquina sin que suponga un problema.

El sistema, después de casi treinta años en servicio, funciona razonablemente bien, y salvo que algún servidor DNS falle, normalmente no somos ni siquiera conscientes de que está ahí.

Pero las direcciones IP que usamos en la actualidad, aunque permiten hasta unos 4.300 millones de números distintos, de los que por motivos técnicos sólo se pueden usar unos 3.700, son finitas, y desde hace años se sabe que van a terminar por acabarse.

Esto probablemente sucederá alrededor de 2012 al ritmo de crecimiento actual de Internet, que necesita unos 200 millones de direcciones nuevas al año, lo que en cualquier caso no tiene nada que ver con el fin del mundo supuestamente previsto por los mayas sino que es una coincidencia.

Por eso, desde mediados de los 90 se trabaja en una nueva generación del protocolo -las normas- que gobierna cómo son estas direcciones y cómo se usan, conocido como IPv6, y que tendrá que sustituir en algún momento al IPv4 que usamos en la actualidad.

Las direcciones IPv6 son lo que se denomina de 128 bits, cuatro veces más largas que las direcciones IPv4, que son de 32 bits, con lo que proporcionarán un total de 340 sextillones de direcciones, o lo que es lo mismo, unos 670 mil billones de direcciones por milímetro cuadrado de superficie de la Tierra, lo que en principio parece más que suficiente.

El problema está en que en los algo más de 15 años que han pasado desde que se propuso su adopción no se ha avanzado todo lo que se debería en ella y en solucionar los problemas inherentes al desarrollo e implantación de cualquier nueva tecnología, pues la versión anterior funcionaba y funciona lo suficientemente bien.

De hecho, se estima que un 99 por ciento de los dispositivos conectados a Internet en la actualidad funcionan sobre IPv4, con lo que va a ser imposible que la transición a IPv6 esté terminada antes de que se acaben las direcciones IPv4.

Así que aunque se han inventado técnicas y apaños que permiten que varios dispositivos se conecten a Internet usando una sola dirección IPv4, algo así como el que todos los teléfonos internos de una empresa usen una única línea y números exteriores, no va a quedar otro remedio que acelerar el ritmo de la transición a IPv6.

No será catastrófico, entre otras cosas porque todo está diseñado para que IPv4 e IPv6 convivan sin problemas mientras sea necesario, pero va a ser como una visita a un dentista cuando duele una muela: Ineludible a pesar de que sabemos que no nos va a gustar el proceso, pero con la esperanza de que todo sea para bien.

Como dicen en Ars Technica, no hay plan B y la cosa se va a poner fea.

Artículo original en lainformacion.com

4chan (aka Anonymous) organiza un ataque DDoS a la SGAE y el Ministerio de Cultura

PorJohns- Publicado el 07 Octubre 2010

En respuesta a los ataques recibidos en ThePirateBay (y seguramente tambien los de EzTV) durante las dos últimas semanas 4chan ya lleva unos días atacando páginas de la RIAA o allegados.

Ayer le tocó el turno al Ministerio de Cultura y la SGAE.

Pese a que el ataque estaba programado para las 23:00 UTC (imagen con la cita) el ataque ha empezado a media tarde.

La respuesta de la SGAE ha sido parar el servicio Web (screenshot, fuente 20minutos) pero ni así han podido evitar el cuelgue...

Las declaraciones oficiales son de victimismo puro y duro (podeis comprobarlo en las noticias -> 20minutos, LaVanguardia, ElPeriodico, etc..)

Personalmente he participado tan buen punto me he enterado (eso ha sido sobre las 21:00 hora española, al conectar estaba apuntando a www.mcu.es :P ) ya que como usuario asiduo de EzTV no veo el problema de ilegalidad, al contrario, me he comprado series... temporadas enteras, tras descubrirlas ahí.

Habrá quien opine que "esto es una tontería y hay que dejar que las cosas sigan por la via legal". Yo creo que tiene razón quien piense eso, pero esta tontería es para recordarles que también tenemos dientes, pero no los usamos por educación.

Artículo original en Kriptópolis