Seguridad de la Información: agosto 2011

lunes, 8 de agosto de 2011

Estudio británico revela adicción de los jóvenes a los smartphones

Para muchos, uno de los ejes de su vida es su smartphone. Imagen: Master 2 P∆M (vía Flickr).

“Yo soy adicto a mi celular, no sabría qué hacer sin él”, dicen millones de personas alrededor del mundo diariamente, y según un nuevo estudio británico con cada fecha que pasa son más quienes se declaran esclavos a su aparato de comunicación, en especial si la discusión se centra en jóvenes. El gobierno del Reino Unido se tomó tres años para analizar los hábitos tecnológicos de su población y la dependencia adictiva de la juventud en sus teléfonos inteligentes se vio reflejada en una variedad de cifras.

El informe de 341 páginas fue realizado por Ofcom, el ente regulador del Reino Unido que se encarga de vigilar el sector de las telecomunicaciones. Durante los últimos 36 meses, el mercado de smartphones de ese país se ha multiplicado por 40, hasta el punto en que hoy más de un cuarto de los adultos británicos y casi la mitad de los adolescentes tienen un smartphone. Este crecimiento exponencial ha tenido efectos profundos sobre la fibra social del país, como lo demuestran algunas de las siguientes cifras.

37% de los adultos y 60% de los adolescentes admitieron estar adictos a sus smartphones.
23% de los adolescentes ven menos televisión y 15% leen menos libros a causa de sus smartphones.
51% de los adultos y 65% de los adolescentes dicen haber usado un smartphone para socializar con alguien.
23% de los adultos y 34% de los adolescentes admitieron usar su smartphone durante una comida.
22% de los adultos y 47% de los adolescentes reconocieron que usan o contestan su smartphone cuando están en el baño.
Entre los jóvenes, el 52% de las mujeres disfruta de estos aparatos mientras el 48% de los hombres hace lo mismo.
El dispositivo favorito de los adultos es el iPhone con 32% de preferencia en ese grupo, mientras entre los jóvenes BlackBerry es rey con 37%.

Aunque estas cifras aplican solo para el Reino Unido, parece que también describen la realidad de otros países que están viviendo el boom de los teléfonos inteligentes. Incluso en nuestra región, donde el mercado apenas está despegando, cada vez es más frecuente toparse con personas que usan BlackBerry, iPhone y Android. No hay duda de que los teléfonos inteligentes llegaron para quedarse, entonces la pregunta es qué tanto estamos dispuestos a dejar que se integren a nuestras vidas.

Para bien o para mal, si la tendencia que muestra este estudio británico se repite en nuestro suelo, en unos años será imposible tener una vida social sin estar ultraconectado.

Notas relacionadas:

Un chino intenta comprar un carro con 300 kilos de monedas

Las monedas suman 60 mil yuanes. Es decir, aproximadamente 16.900.000 pesos.

Crédito: Virgula.uol.com.br

Un comerciante chino intenta desde el lunes comprar un coche nuevo en un concesionario de la ciudad de Xianyang (oeste), pero la transacción se ve demorada porque el hombre quiere hacerlo con 300 kilos en monedas y ningún banco acepta la particular forma de pago.

Según informó hoy el diario "China Daily", el hombre, un vendedor de harina apellidado Wang, llegó al concesionario con una camioneta que llevaba esta singular carga, decidido a llevarse su nuevo vehículo.

Grande fue la sorpresa del vendedor cuando Wang abrió la compuerta trasera de su furgoneta y comenzó a sacar sacos repletos de monedas de un yuan (equivalente a 0,13 euros) que sumaban los 60.000 yuanes (16.900.000 pesos aproximadamente) que costaba el carro.

El dependiente contactó con varios bancos para saber si recibirían el depósito, pero las entidades se negaron a hacerlo por el tiempo que les demandaría contar las monedas.

Solo un banco aceptó un máximo de 15.000 yuanes, por lo que Wang deberá esperar a que el vendedor encuentre destino para los 45.000 yuanes restantes antes de poder conducir su carro nuevo.

Fuente: EFE

Sepa cómo recuperar su información en caso de perder el celular

Foto: Archivo particular

Aunque le suene raro, lo menos valioso, en caso de pérdida o robo, es el aparato.

Sus contactos, correos electrónicos, documentos, videos y fotos son invaluables en caso de que usted no tenga esa información respaldada o, peor aún, en la eventualidad de que caiga en manos equivocadas que puedan darle un mal uso.

Cifras oficiales dan cuenta de 329 denuncias por robo de celulares en el 2010, aunque los cálculos extraoficiales señalan que más de 3 millones de equipos son robados o perdidos anualmente en el país. Por esto, lo mejor es estar preparados.

Los sistemas y las marcas de celulares cuentan con aplicaciones propias o externas que le permiten prepararse y prevenir la pérdida de información. Con estas podrá hacer una copia de sus contactos. Para los usuarios de teléfonos inteligentes, existen herramientas que ayudan a bloquear el equipo de manera remota, activar el sistema de posicionamiento GPS para saber dónde está e, incluso, otras que 'esconden' los archivos y documentos para que no puedan ser encontrados por otra persona.

Según Luis Gabriel Castillo, de Sony Ericsson, "sistemas operativos como Android incluyen aplicaciones de seguridad y hasta programas de encriptación (protección de archivos) que le garantizan al usuario contar con su información protegida, incluso si pierde el teléfono".

La problemática del robo de celulares obligó al Gobierno a impulsar una ley que castiga duramente el delito y, además, conmina a las empresas operadoras a no activar aquellos equipos que no fueron adquiridos legalmente. A continuación, algunas aplicaciones que hay para prevenir y recuperar su información en caso de pérdida del teléfono.

Prepárese y proteja su equipo

Blackberry

Vaya a opciones /contraseña. Active una clave. Así, nadie podrá entrar a su teléfono. Después de 10 intentos fallidos, se borra toda la información. Si tiene plan de datos ilimitado, baje Blackberry Protect. Hace backup de sus contactos, correos, PIN, etc.

iPhone

Vaya a ajustes /general y active 'bloqueo con código'. Con esa contraseña protege el acceso al teléfono. Luego vaya a ajustes / 'correo, contactos...'/ 'añadir cuenta', y cree una en 'Mobile me'. Se usa la misma información de acceso de Apple ID. Finalmente, active 'buscar mi iPhone'.

Android

Vaya a configuración / seguridad y ubicación y luego a 'configurar bloqueo de pantalla'. Podrá elegir una clave para evitar que alguien use su teléfono. Descargue e instale Anti-Virus Free y configure el respaldo de su información y la opción de hallazgo remoto.

En caso de pérdida o robo

Blackberry

Entre a la dirección co.blackberry.com/protect/, digite su contraseña de Blackberry Protect y revise dónde está el equipo (el teléfono debe tener activo el GPS). Si el celular es de una empresa y cuenta con el servicio de Blackberry Enterprise Server (BES), se puede eliminar de manera remota toda la información del equipo.

iPhone

Vaya al sitio www.me.com y digite su nombre y clave de Apple ID. El sistema le mostrará dónde está su teléfono. Podrá elegir entre enviarle un SMS (por ejemplo pidiéndole a la persona que lo tenga que lo llame o contacte) o incluso usar la opción 'Wipe' para bloquearlo y borrarle la información.

Android

Vaya a avgmobilation.com y dé clic en 'Mobile control panel', ingrese sus datos de acceso (los mismos de su Gmail) y verá la ubicación del celular con la opción de bloquearlo o borrarle la información.

Denuncie el robo

Aliste el número IMEI de su celular perdido (lo encontrará en la caja). Luego, denuncie ante las autoridades (CAI, etc.). Según su operador, llame y denuncie la pérdida para que no lo puedan activar: Movistar 018000-361111, Comcel 018000-341818 y Tigo 018003000000.

Recupere sus datos

Blackberry

En su teléfono nuevo descargue el Blackberry Protect y siga los pasos de restauración de la información.

iPhone

Conecte su equipo a su computador e inicie el iTunes. Dé clic en la pestaña 'resumen' y luego en el botón 'restaurar'.

Android

En su nuevo teléfono vuelva a descargar Anti-Virus Free. Presione el botón de menú, elija 'herramientas' y luego 'respaldo de datos'. Seleccione 'restore' y listo, sus contactos, citas, mensajes y archivos volverán al equipo.

Otra marca de celular

Todo teléfono tiene un programa de sincronización con el PC para hacer respaldo de fotos, contactos, archivos, etc. Estos son: Nokia PC Suite, Sony Ericsson PC Suite, Motorola Phone Tools, Samsung Kies y LG PC Suite.

REDACCIÓN TECNOLOGÍA

Secuestro seguido de robo de supermercado a través de Facebook

En lo que parece ser un crimen premeditado y bien planeado, en Bélgica unos ladrones consiguieron vaciar la caja fuerte del supermercado Carrefour con ayuda de un amigo de Facebook. Este caso se suma al argentino que fue engañado en Facebook por un chico de 13 años.

A principios de febrero, el responsable del supermercado hizo una nueva e interesante amistad en Facebook, una joven llamada Katrien Van Loo. La relación se fue consolidando y bien pronto la víctima recibió una invitación para una cena romántica, presuntamente para conocerse mejor con su nueva amiga. La cena tuvo lugar el 15 de febrero de este año. La policía está publicando imágenes para buscar testigos.

Cuando la víctima llegó esa noche a las diez y media al lugar de la cita, un edificio vacío, descubrió que le habían tendido una trampa con ayuda de un perfil falso de Facebook. Rápidamente fue asaltado por dos hombres que lo amordazaron y le vendaron los ojos y le obligaron a entregarles las llaves de su apartamento.

Mientras uno de los delincuentes se quedó con la víctima, el otro se dirigió con las llaves robadas a casa del director del supermercado. Cuando encontró las llaves del supermercado, salió del edificio. Al salir, fue filmado por las cámaras de videovigilancia del edificio.

Poco después de la medianoche, y con ayuda de un tercer cómplice que también fue grabado por las cámaras, vaciaron la caja fuerte del supermercado. Los sospechosos pueden verse en el las imágenes de vídeo preparadas por la policía belga.

Si es usuario de Facebook, recuerde que es fácil hacerse pasar por cualquiera. No permita que personas que no conoce entren a formar parte de su círculo de confianza. Al hacerlo, pondría en peligro su seguridad y su privacidad, así como la de los amigos que publican mensajes en su muro. Si alguna vez decide encontrarse con un extraño, no repita los errores de este hombre. Hágalo en un lugar público y no acuda en solitario. La confianza hay que ganársela, no se regala.

Si recibe una solicitud de amistad de alguien que no conoce, es recomendable comprobar una serie de puntos. ¿Tienen amigos en común? Si no los tienen, debería empezar a sospechar. Si puede ver información de la persona, compruebe si tienen en común algo más, como la escuela o alguna empresa donde hayan trabajado. Compruebe si hay alguna foto en el perfil y, si es así, intente reconocer a la persona. Si no puede ver ningún tipo de información, amigos comunes o fotografía, la respuesta debe ser definitivamente NO.

Si a pesar de todas estas comprobaciones todavía tiene sospechas, puede enviar un mensaje a esa persona para preguntarle de qué le conoce o cómo lo ha encontrado en Facebook. Si al final resulta ser una solicitud de amistad tentativa, mi recomendación sería ignorarla y salir a tomar una cerveza.

Fuente: TrendMicro [ES] y Rik Ferguson (Director of Security Research & Communication, Trend Micro)

Acusan a una argentina de robar imágenes de la saga Crepúsculo de EE.UU.

La productora estadounidense de la exitosa saga Crepúsculo demandó en la justicia de ese país a una joven argentina a la que acusa de 'hackear' y publicar imágenes de su tercera película sin estrenar, pero la mujer negó este viernes su responsabilidad. Audio de la entrevista.

La productora Summit Entertainment demandó en Estados Unidos a Daiana Santia por supuesto robo y publicación en internet de las imágenes de "Amanecer", la cuarta película de la saga cuyo estreno está previsto en noviembre y protagonizada por Kristen Stewart y Robert Pattinson.

"No capturé, guardé, ni difundí material del filme", declaró Daiana Santia, de 24 años, una estudiante de Ciencias Económicas que vive en la ciudad de Posadas (1.100 km al nordeste de la capital).

"No soy una 'hacker'. No poseo conocimientos avanzados de informática. Me gusta internet y fui navegando como una usuaria común y corriente y terminé viendo imágenes supuestamente robadas en la red, ni siquiera las compartí ni las difundí", aseguró Santia a la prensa.

Pablo Luján, abogado de la joven, dijo que en caso de que avance la demanda pedirá que se tramite en Argentina, donde "se cometió el delito, si es que lo hubo", al desconocer la acción judicial en Estados Unidos.

La empresa señaló a Santia como la responsable principal de supuesta piratería de la obra y a su padre, Héctor Santia, por estar a su nombre la cuenta de Internet de la que salió la información.

En un comunicado difundido en Buenos Aires, la productora de la saga Crepúsculo ("Twilight"), basada en las novelas de la escritora Stephenie Meyer, ratificó la acusación pero negó una persecución contra la joven.

En una conferencia realizada en la mañana de ayer en el estudio jurídico del Abogado Marcelo Armanini, quien la representa, la joven acusada de cometer hurto de imágenes inéditas de la saga televisiva "Crepúsculo" vía internet, Daiana Santía, manifestó que jamás hurtó dichas imágenes, y menos, las difundió. Reconoció ser fanática de la saga, pero dado su escaso conocimiento de la internet, sólo entró a los links para ver el material, como lo haría cualquier simpatizante.

La joven se presentó a la prensa, relatando que a sus 24 años conoce internet como cualquier persona de su edad, pero pasa muchas horas frente a la computadora "estudié ingles y por eso me gusta leer cosas en inglés y mirando la serie también practico los diálogos" dijo.

Daiana señaló que no comprende muy bien lo sucedido, y que lamenta profundamente que su familia se vea involucrada en un tema de esta naturaleza "a nadie le gusta que digan que su hija es lo que no es".

Daiana es estudiante de Ciencias Económicas y contó que vivió desde pequeña en el barrio de Villa Cabello, y actualmente se encuentra viviendo junto a su familia en Villa Sarita de Posadas.

"Yo entré como cualquier persona, pasé de un link a otro y otro, llegué hasta las imágenes, las ví, y no las difundí ni nada de lo que se dijo, apagué la máquina y me fui, a mis amigas no les gusta la serie".

El estudio de cine, con sede en California, había asegurado que realizó una investigación en América, Australia y Europa que determinó que el origen de la filtración de las imágenes se encontraba en Posadas, y señalo a Santía como la “pirata” detrás del supuesto delito.

Santía, quien estudia Ciencias Económicas en Posadas, dijo sentirse sorprendida por la acusación. “No tengo esos conocimientos. No soy hacker. Soy una usuaria más de Internet como cualquier otro”.

Armanini contó que Santía recibió la visita de una empresa de seguridad informática contratada por la productora. “Llegaron casi en una posición extorsiva, con graves imputaciones, lo cual llevó a que mi colega Pablo Luján a reunirse con ellos. Estas personas exigían que Daiana entregara el disco rígido de su PC, donde guarda fotos y otras cuestiones personales”, explicó. Por este motivo iniciarán una demanda civil y penal contra la productora y contra la empresa que investigó.

El abogado agregó que “en caso de que haya una demanda formal, vamos a exigir que sea en Argentina, que es donde se cometió el delito, si es que lo hubo”. A Santía “le hicieron llegar una supuesta copia de una demanda presentada ante un tribunal de Estados Unidos con graves imputaciones, pero que acá carece de valor legal”, finalizó el abogado.

Fuente: Clarin, Página16, Misiones Online

El mayor 'ciberataque' jamás descubierto deja en evidencia a gobiernos y compañías

Los expertos en seguridad esperan más datos sobre las intrusiones
El ciberespionaje constituye un freno para armonizar las normas en la Red

William Maclean (Reuters) | ELMUNDO.es | Londres | Madrid

Actualizado jueves 04/08/2011

El nuevo e importante ataque informático publicado esta semana, considerado el mayor hasta la fecha por su importancia y duración, ha puesto de relieve que tanto gobiernos como compañías parecen estar perdiendo la guerra contra los 'ciberladrones', aunque no está claro que este descubrimiento acelere una hipotética acción global contra las intrusiones 'online'.

Un informe de la compañía de seguridad informática McAfee habla de la existencia de un ataque masivo a hasta 72 organizaciones, Gobiernos y empresas en todo el mundo que se prolongó durante cinco años. Ahora, este informe será usado por las administraciones de países occidentales para tratar de reforzar sus defensas digitales.

"Se trata del mayor robo de riqueza en términos de propiedad intelectual en la histoeria de la humanidad", aseguraba Dmitri Alperovitch, vicepresidente del área de investigación de amenazas a la empresa de seguridad McAfee.

McAfee asegura en dicho informe que existe un "actor estatal" detrás de los ataques pero no concreta ningún país. No obstante, parece que todo apunta a China, país que de momento no se ha pronunciado al respecto aunque siempre ha negado su participación en ataques informáticos o de 'ciberguerra'.

La prueba de la preocupación oficial sobre los ataques en Occidente surgió el pasado miércoles, cuando la agencia de espionaje electrónico del Reino Unido emitió un inusual comentario público en el que afirmaba que el informe ilustra la importancia de una mejor seguridad cibernética para el comercio y el desarrollo social.

La agencia (Government Communications Headquarters) afirmó que era necesaria la más amplia cooperación internacional para llegar a un "entendimiento común" sobre comportamientos aceptables 'online'.

Más...

Anonymous está desarrollando una nueva arma de ataque

Anonymous podría reemplazar próximamente el Low Orbit Ion Cannon (LOIC), su herramienta para realizar ataques de denegación de servicio (DDoS). Si bien LOIC fue útil en las primeras operaciones del colectivo, la herramienta no protege a los atacantes y de hecho permite identificarlos de forma bastante simple, lo que explica en parte los allanamientos y arrestos de la policía en los últimos meses.

La nueva herramienta, llamada #RefRef, usará JavaScript y SQL para atacar sitios y aprovechar un tipo de vulnerabilidad en los servidores para usar su propio poder de procesamiento contra ellos mismos. RefRef podrá ser usado desde cualquier dispositivo que soporte Javascript, incluyendo teléfonos, o al menos ese es el plan.

El impacto de un ataque de RefRef es mucho más alto que el de LOIC: Anonymous probó esta herramienta contra PasteBin: un test de 17 segundos botó al sitio por 42 minutos.

Las vulnerabilidades que la herramienta ataca podrían llegar a ser parchadas (aunque según Anonymous se trata de problemas bastante generalizados que requerirían mucho trabajo de las empresas). También el colectivo recordó que Sony fue “pillada” con la seguridad por el suelo, y que serán así las compañías “irresponsables” las que serán vulnerables a su herramienta.

Lo malo es que RefRef tampoco hace mucho trabajo para esconder al atacante. Anonymous espera que quienes lo usen intenten tomar medidas para esconderse antes de usarlo. Anonymous supuestamente lanzaría la nueva herramienta en septiembre.

Fuente: DDS Media
Fuente en inglés: Anonymous testing LOIC replacements – new tool uses server exploits

Nuevo virus Android graba las conversaciones telefónicas

Un nuevo virus está atacando a los usuarios de Android. Se trataría de un troyano que luego de haberse instalado en el móvil, éste comienza a grabar las conversaciones telefónicas en la memoria del Android.

No está claro si el virus también puede enviar la conversación grabada a un tercero, pero lo que si es seguro es que las conversaciones se guardan en formato AMR y se almacenan en un directorio llamado shangzhou/callrecord en la tarjeta de memoria SD.

El virus fue identificado por el especialista en seguridad de software Dinesh Venkatesan que trabaja en la empresa de seguridad de los ordenadores CA, y aseguró que el malware se instala como una aplicación Android legítima.

Sin embargo, al parecer muchas empresas de software de seguridad están tratando de descubrir este malware, y ofrecerán soluciones de protección para aquellos que utilizan la plataforma de teléfonos inteligentes más grande del mercado.

Fuente: DDS Media
Fuente en inglés: Android virus shown to be capable of voice recordings

Libro: Hacking Etico

Hacking Etico es un libro de seguridad informática escrito por el argentino Carlos Tori que cuenta con 328 páginas redactadas con un lenguaje simple y ordenado.
El libro abarca una gran variedad de temas muy bien explicados y desarrollados: Ingeniería Social, Fuerza Bruta, Inyección de código SQL, Seguridad en Servidores Windows y Linux y muchos temas más.

Anteriormente "Hacking etico" era comercial y se agotaron las ventas en Argentina por lo que su escritor lo decidio liberar.

Contenido:
Capítulo 1: Hacking Ético
Capítulo 2: Recabar información
Capítulo 3: Ingeniería Social
Capitulo 4: Fuerza Bruta
Capitulo 5: Aplicación Web
Capitulo 6: Inyección de código SQL
Capitulo 7: Servidores Windows
Capitulo 8: Servidores Linux
Capitulo 9: Algunos conceptos finales

Muy recomendado para quien se quiere iniciar en el tema.

Descarga:
Hacking Etico - Por Carlos Tori - (Descarga directa TucHost)
Password: troyanosyvirus.com.ar
Hacking Etico - Por Carlos Tori - (Descarga 4shared link oficial)

viernes, 5 de agosto de 2011

Se crea un perfil falso de mujer en Facebook e inventa un secuestro

En Argentina un adolescente de 13 años se creó un perfil falso en Facebook con la foto de una chica y entabló una relación con un joven de 20 años. Hasta aquí no hay nada extraño, parece un broma típica de aquellas que ~~hacíamos~~ se hacían en los viejos chats.

Pero lo que comenzó como una broma fue tomando otro color, la relación virtual duró varios meses hasta que arreglaron un encuentro cara a cara. Fue entonces cuando el menor inventó el secuestro de su personaje y tuvo la brillante idea de llamar desde su celular al joven que la esperaba, para hacerse pasar por un delincuente.

Lo intentó extorsionar pidiéndole unos 24 mil dólares de rescate (100 mil pesos argentinos). El joven engañado, que aún creía que la chica era real, llamó a la policía para realizar la denuncia y comenzó una investigación.

Imagino que identificarlo no fue complicado, 48 horas después lo estaban esperando en la puerta de la escuela y al verse descubierto, el chico de 13 confesó todo.

Si bien el caso es llamativo, son cosas que suceden todos los días. Hace tiempo en un post sobre mujeres estafadas por chat hice referencia al tema y hay muchas variantes de estos engaños, en algunos casos las víctimas han llegado a perder miles de dólares por creerse las historias falsas de sus amigos virtuales.

En este caso Facebook parece ser el malo de la película, pero es algo que puede suceder por cualquier medio, incluso llamadas telefónicas y cartas postales. Cuando yo tenía 20 no existía Facebook y esta clase de encuentros comenzaban en las salas de chat, intercambio de e-mails y luego mensajería (ICQ, MSN, etc). Era igual.

La clave está en tener sentido común y hasta cierto punto ser desconfiado, nunca sabemos quién está del otro lado (ni cuando vemos su webcam). Para nosotros las cosas no deberían cambiar por estar frente a una computadora, es decir, nuestro comportamiento debería de ser el mismo que en la "vida real".
fuente: Aqui

Mozilla es el fabricante que menos tarda en resolver vulnerabilidades.

Estudio: Mozilla es el fabricante que menos tarda en resolver vulnerabilidades.
RealNetworks, el que más. La media global son 6 meses
-------------------------------------------------------------------------------

Hemos realizado un estudio sobre once fabricantes para conocer cuánto
tardan en corregir sus vulnerabilidades reportadas de forma privada.
Sobre 1045 fallos, la conclusión es que la media global es de 177 días,
mientras que RealNetworks tarda 321 días y Mozilla sólo 74.

El tiempo que un fabricante tarda en hacer pública una solución para una
vulnerabilidad es una de las métricas más importantes para conocer cómo
maneja la seguridad. Suele existir cierta controversia en este aspecto.
Se achaca a los fabricantes que tardan demasiado en disponer de una
solución efectiva que ofrecer a sus clientes o usuarios. Mucho más
cuando la vulnerabilidad es conocida y por tanto sus clientes "perciben"
el peligro de utilizar ese software. En Hispasec hemos realizado un
estudio sobre 1.045 vulnerabilidades de los fabricantes: Novell, HP,
Microsoft, Apple, IBM, CA, Symantec, Oracle, Adobe, Mozilla y
RealNetworks desde 2005.

Este es una actualización del estudio realizado en 2009. Si hace dos
años se analizaron 449 vulnerabilidades desde 2005 hasta septiembre de
2009, ahora se amplía el cálculo desde 2005 hasta final de julio de 2011
con 1.045. Además, se añaden dos fabricantes a la comparativa:
RealNetworks y Mozilla que curiosamente son el que peor y mejor media
tienen respectivamente.
http://blog.hispasec.com/laboratorio/images/noticias/mediavulns.png

Algunas de las conclusiones del nuevo estudio son que la media de los
grandes fabricantes es de seis meses para solucionar una vulnerabilidad,
independientemente de su gravedad. Encontramos ejemplos en los que una
vulnerabilidad es solucionada dos años después de ser descubierta, y
otros en los que se tardan apenas unos días. La mayoría de las
vulnerabilidades se resuelven antes de 6 meses (un 67,53%), pero aun
así en cerca del 10% de los casos se necesita más de un año para
arreglarlas.

Los resultados obtenidos se podrían clasificar en dos grandes grupos:

* RealNetworks, Oracle, IBM, HP y Microsoft que pasan de la media
global.

* Novell, Apple, CA, Symantec, Adobe y Mozilla que bajan de la media
global, destacando Mozilla como el que disfruta de la media más baja.

El 93% de las vulnerabilidades de Mozilla y el 83,60% de las de Novell,
se corrigen antes de los 6 meses, mientras que RealNetworks y Microsoft
lo consiguen solo en el 33,3 y 52% de los casos respectivamente.

Todos los datos y el informe completo, está disponibles desde:

http://www.hispasec.com/laboratorio/Hispasec_Estudio_Vulnerabilidades_v2.pdf


El anterior informe:
http://www.hispasec.com/laboratorio/Hispasec_Estudio_Vulnerabilidades.pdf

Mandos, o cómo cifrar por completo tus servidores de forma desatendida

The Halls of Mandos es, en el mundo ficticio de J.R.R. Tolkien, el lugar al que los espíritus de elfos fallecidos van a ser juzgados, y posiblemente reencarnados.

Y de aquí viene el nombre de Mandos, un programa cuya función es hacer algo parecido.

Cifrar el sistema de ficheros de nuestro servidor puede darnos ventajas muy interesantes de cara a posibles intrusiones físicas, robos, sustracciones, e incluso fugas de datos gracias a recuperación de información tras desechar el hardware del mismo.

Pero claro, ¿y si se cae el servidor?, ¿y si queremos reiniciarlo?

Tendríamos que estar presencialmente allí para introducir la contraseña que descifre el disco duro en el arranque. Si además tenemos cientos de servidores, ésto es absolutamente inviable.

Mandos permite hacer ésto de una forma automática, desatendida, segura y escalable.

Nuestro servidor, que para entendernos lo llamaremos servidor esclavo, tendrá el sistema de ficheros raiz cifrado.

La clave de cifrado está almacenada en otro ordenador, al que llamaremos servidor de Mandos, y que podrá almacenar claves de varios servidores esclavos cifrados.

La clave no estará almacenada en texto claro en el servidor de Mandos, estará cifrada con OpenPGP. Para descifrar la clave, es necesaria la otra clave, con la que está cifrada, y que está en cada servidor esclavo.

Por lo tanto, en el momento del arranque de nuestros servidores cifrados (esclavos), estos pedirán al servidor Mandos los datos con los que están cifrados (una clave única para cada uno), descifrarán está información con su propia clave, y con ello descifrarán su sistema de ficheros para poder seguir con el arranque.

Todo el intercambio de datos está cifrado mediante TLS (SSL).

Alguien podría pensar, ¿y qué pasa si alguien roba un servidor esclavo y extrae la clave para acceder a la información del servidor Mandos, que le podría permitir descifrar todo el sistema de ficheros del servidor esclavo?

Para evitar ésto, podemos configurar el servidor Mandos para que no envíe nunca más la información de descifrado de un ordenador si éste ha estado offline por X tiempo. Con ésto a un atacante no le daría tiempo a desconectar el servidor, extraer la clave y pedir la información.

El timeout es configurable, y evidentemente deberá ser menor cuanto mayor sea el grado de paranoia.

Si confiamos en los algoritmos de cifrado, a priori éste es el único aspecto débil de Mandos, por lo que habría que buscar un punto entre fiabilidad y seguridad.

Por cierto, Mandos ya está disponible en los repositorios de Ubuntu desde Karmic y en Debian desde el lanzamiento de "squeeze" en Febrero de 2011.

Página web de Mandos

README de Mandos

Curso Backtrack 5 en Español

Gracias a p0pc0rninj4 usuario de nuestra comunidad, me entero de una iniciativa de la OMHE (Organización Mexicana de Hackers Éticos) dirigida por Héctor López en la que pretenden documentar las funcionalidades del nuevo Backtrack 5 en español y por medio de video tutoriales.

BackTrack 5 Curso Backtrack 5 en Español

Los video tutoriales son bastante claros y muy introductorios para quienes desean aprender a manejar esta excelente distribución enfocada en la seguridad informática.

De momento se han publicado 3 video tutoriales del Curso Backtrack 5 Online en español, mostrando las herramientas, algunos conceptos básicos y con cada actualización el nivel se irá incrementando.

Descargar Capitulo (Click Derecho/Guardar Como….) o visualizar desde tu dispositivo móvil

Tan pronto publiquen nuevos capítulos, actualizaré esta entrada.

Mas Información:
Anuncio de p0pc0rninj4 en nuestra comunidad
Anuncio en la pagina de la OMHE

También puede interesarte...

Alemania acusa a Facebook de incumplir leyes de protección de datos

Acusan a la red social de utilizar un programa de reconocimiento físico contrario al derecho alemán

Alemania, pionera en materia de protección de la vida privada en internet, acusó este miércoles a la red social Facebook de utilizar un programa de reconocimiento físico contrario al derecho alemán y europeo sobre protección de datos.

"Si los datos de los usuarios caen en malas manos, será posible comparar e identificar a cualquiera al que se le tome una fotografía con un teléfono móvil", advirtió Johannes Caspar, encargado de los asuntos relacionados con las libertades informáticas en la ciudad de Hamburgo (oeste), citado por el diario Hamburger Abenblatt.

Este especialista, que negocia todo lo relacionado con las libertades en la red para todo el territorio alemán, solicitó a Facebook que borre los datos biométricos grabados, invocando al derecho alemán y europeo en materia de protección de la vida privada, sin poner en cuestión la puesta a disposición de la aplicación.

Caspar reprochó a la plataforma almacenar los datos sin que los usuarios estén capacitados para dar su acuerdo.

"Lo que es más problemático, es que esta función alimenta en el fondo una base de datos destinada al reconocimiento físico de millones de usuarios", explicó Caspar.

Facebook propone una aplicación que permite un reconocimiento automático de los conocidos, los llamados "amigos", apareciendo en las fotos de los usuarios.

El portal "evalúa" las caras de estas personas, en base a criterios biométricos, y pide al usuario que escriba el nombre de la persona referida. Los datos son entonces transmitidos a la red social.

Alemania, que ya logró frenar el servicio "Google Street View", obtuvo en enero un mayor control respecto a los datos privados.

Facebook se comprometió a informar a las personas invitadas a unirse a la red social que sus direcciones de correo electrónico son almacenadas y a darles la posibilidad de impedir su utilización.

Creado en 2004 como una herramienta de socialización para los estudiantes de Harvard, la plataforma contaba en 2010 con 663 millones de usuarios únicos en todo el mundo.

Fuente: Informador

Anonymous anuncia ataque contra Facebook para el 5 de noviembre

Al parecer, la organización, que no tiene una cúpula fija y funciona con personas de todo el mundo, tiene un nuevo blanco y se trata nada menos que de la red social más popular del mundo: Facebook.

Así es, Anonymous, que anteriormente atacó algunos perfiles en específico, prepara un ataque en gran escala contra la red de Mark Zuckerberg, por las frecuentes violaciones a la privacidad de los usuarios.

El ataque conocido como #opfacebook (video), que tiene fecha prevista para el 5 de noviembre, se anunció a través de un manifiesto en donde la gente de Anonymous explica que “Facebook está vendiendo nuestra información a agentes del gobierno, dándole acceso clandestino a nuestra información. Están espiando a toda la gente del mundo”. Facebook sabe más de Ud que su propia familia.

Además, nos invitan a cerrar nuestra cuenta y participar en la acción conjunta que prepararan: “Su medio de comunicación que tanto adoran será destruido. Si usted es un hacker dispuesto, o un tipo que sólo quiere proteger la libertad de su información, entonces únase a la causa y destruya Facebook por el bien de su propia privacidad.”

Fuente: Grupo Geek

eCLIPse versión 4.0 - Sistema de seguridad empresarial,

eCLIPse versión 4.0 - Sistema de seguridad empresarial, es una solución de encriptación para proteger información privada, confidencial y valiosa transferida vía Internet y durante su almacenamiento de manera segura en servidores u otros dispositivos de la empresa.

Link: http://www.itbms.biz/seguridad_empresarial.html

Seguridad de la Información