Andres Velázquez comentó hace un tiempo que el celular es quizá el aparato más personal que existe, ya que ahí tenemos a nuestros contactos (familiares, amigos y de negocio) así como mensajes, direcciones, fotos, música entre otros.

¿Qué pasaría si perdemos o nos roban nuestro teléfono celular? En el mejor de los casos quien roba o encuentra no esta interesado en nuestra información y sólo quiere el equipo, por lo que le borrará todo. En el peor de los casos revisará todo nuestra información y verá la manera de sacar un beneficio extra, como llamadas de extorsión a nuestros contactos.

Hay algunas formas de evitar lo anterior:

• En los contactos usar nombres y no parentescos, Norma en lugar de Esposa.
• Desactivar los servicios de geolocalización para que esta no se asocie a aplicaciones o fotos.
• Borrar los mensajes una vez leídos y las fotos una vez descargadas.
• Proteger el equipo con contraseña (fácil de recordar pero difícil de adivinar).
• Usar aplicaciones que administren la información de manera remota.

A excepción de la última, las primeras recomendaciones apelan al buen uso de los equipos por parte de los usuarios y de tomar conciencia de lo importante que es nuestra información, la última sirve cuando el equipo ya ha sido perdido/robado. Para esos casos hay varias aplicaciones en el mercado, algunas ofrecidas por las propias compañías que desarrollan los teléfonos, como Motorola y su Motoblur (el cual y por experiencia propia, no sirve para nada, cuando me robaron el teléfono la página estaba caída), Webkey, Lookout Mobile Security (que también funciona como antivirus) y Cirrus Manager, de la cual vamos a hablar en esta ocasión.

Cirrus Manager es un app para Android cuya función es administrar el equipo de manera remota en caso de que sea extraviado, con lo que podemos borrar la información o mandarle mensajes a quien encuentre el equipo. Para instalar y utilizar Cirrus Manager realizamos lo siguiente:

• Descargar la app desde el Android Market.
• Aceptar los permisos que solcita la app e instalarla.

• Una vez instalada procedemos a configurar la aplicación. (continua leyendo…)

Desde que surgieron los juegos en línea empezó una nueva forma de economía con la compra y venta de accesorios par los distintos juegos, esto se conoce como bienes virtuales. Básicamente es la posibilidad de comprar con dinero real accesorios, casas, ropa, etc. en dichos juegos, y generalmente al hacer la compra se proporciona una cantidad estipulada de la moneda que se usa en el juego y con eso hacer la compra.

Hace dos años Satoshi Nakamoto creo una iniciativa que se basa en estos bienes virtuales que se llama bitcoins, y no solamente busca ser una nueva forma de economía virtual, si no que su intención es el crearla de manera completamente descentralizada. Esto lo consigue por medio de las redes peer to peer, o P2P como se les conoce. Esto permite que todos tengan acceso a la información de las transacciones, que se hacen de manera anónima, y solo es con la finalidad de que no se vaya a volver a usar un token.

La forma en la que se obtienen los bitcoins es varias formas, desde la común de vender algún producto o servicio y aceptarlos como forma de pago hasta la minería de bitcoins. Esta ultima se puede realizar de dos formas, de manera independiente o por medio de un grupo. Si se hace de manera independiente se puede ganar más, pero es mucho más tardado ya que se tarda uno en logran encontrar una clave que sea válida, pero si se encuentra se pueden ganar 50 bitcoins. Si se hace de manera grupal la ganancia es mucho menor, pero es de manera constante, y es menor porque cada una de las claves válidas que se encuentran se divide entre todo el grupo.

Para darles una idea de cuanto se puede ganar en grupo, tengo una computadora con procesador i5 de 4 nucleos y en 24 horas de trabajo de la maquina solamente logré juntar 0.00221725 bitcoins. Obviamente esto es por medio de procesamiento desde el CPU, pero también se puede hacer por medio de tarjetas gráficas que tienen una capacidad de procesamiento mucho más rapido, por lo que pueden ganar mucho más en ese mismo lapso de tiempo. Y no han faltado gente que ha realizado granjas de computadoras para estar juntando bitcoins, como se puede ver en este video.

Aun son pocos los negocios que aceptan esta nueva moneda, y existen algunos que funcionan como casas de cambio en donde se pueden convertir los bitcoins por dólares y viceversa, incluso a otras monedas como el Euro. Y como cualquier moneda en el mundo, se ve afectada directamente por la oferta y la demanda, pero a diferencia de las monedas tradicionales, no existe un banco central que pueda modificar el tipo de cambio por medio de la cantidad de moneda que se encuentra circulando en el pais.

Y como cualquier cosa que tenga valor hoy en día es de interes para alguien, hace un par de día se cometio el primer gran robo de bitcoins. Un usuario se dio cuenta que habian desaparecido de su cuenta 25,000 bitcoins, lo que equivale a casi medio millon de dólares al tipo de cambio en el día que ocurrió. Este robo fue por medio de un virus que se instaló en la maquina del usuario, y modificó información para enviar los bitcoins a otra cuenta.

A mediados de marzo se informaba que RSA Security había sido víctima de un ataque del tipo APT (Advance Persistent Threat) que comprometió la información de sus productos de autenticación de doble factor SecurID, lo cual afecta a aproximadamente 40 millones de tokens físicos.

Después del ataque, RSA informó en un comunicado que dicho ataque no ponía en peligro directamente a ninguno de sus clientes, sin embargo ya estaban trabajando en solucionarlo debido a que si hacía vulnerables los algoritmos de los tokens.

El tiempo alcanzo a RSA y a finales de mayo, el contratista del Pentágono y del Departamento de Seguridad Interna de los Estados Unidos, Lockheed Martin reporto un ataque de gran fuerza que fue posible gracias a la información obtenida de los tokens SecurID.

Es por lo anterior que la empresa ha ofrecido reemplazar todos y cada uno de los 40 millones de tokens comprometidos, una decisión buena pero tardía, ya que tuvieron que ver que era un problema real y sobre todo de la magnitud que fue, ya que no se trató simplemente de un ataque para robar datos de tarjetas de créditos, sino que está involucrada información que tiene que ver con armas y secretos de defensa de un país.

Si algún lector del blog tiene tokens de RSA es importante que investigue en que momento y que debe hacer para que su token sea reemplazado, ya que si el algoritmo fue descifrado es mejor que lo utilicen como un bonito pisapapeles (porque para garantizar seguridad ya no serviría para nada).

Es ahora y recordando algo que dijo Adolfo Grego, que me pregunto si tiene razón:

Jamás usarás cripto que tenga back doors de fabricante: RSA, checkpoint y un largo etc. Viva PGP: si pierdes la llave, pierdes datos.

Los eventos recientes nos demuestran que no importa cuanto avance la tecnología y la seguridad que le implementen, sigue siendo posible vulnerarla, ya sea por descuido de las personas o por fallas en los sistemas, y hasta que no pase algo con un impacto no visto antes, las cosas no van a cambiar.

¿Nuestra información le sirve a alguien? En la mayoría de los casos pensamos que no, que nuestros documentos no tienen nada que otras personas quieran y por eso no tomamos medidas para protegerla, lo anterior porque no le damos el justo valor que tiene, ¿Cuánto tiempo nos tomo crear determinado archivo? ¿La investigación previa fue sencilla?

Es por lo anterior que tener nuestros archivos (todos o algunos) protegidos es una buena idea, y para eso tenemos a TrueCrypt, un software OpenSource para cifrado, el cual es bastante útil para proteger nuestros discos y archivos. además existen varias versiones para diferentes SO.

TrueCrypt no es difícil de utilizar pero si es necesario tener algunos conocimientos básicos con respecto a criptografía y los algoritmos para cifrar datos, es por eso que les dejo el siguiente tutorial para que comiencen a utilizar el software.

TrueCrypt

Cualquier duda o comentario, estoy para apoyarlos.

Soy un gran fan de los videojuegos desde hace 20 años aproximadamente y recuerdo bien que desde que se lanzó el PS3, Sony comenzó con una serie de declaraciones bastante ridículas (justificando el precio y que no vendían tanto porque tenían competencia), además que sus grandes lanzamientos no lograban mejorar las ventas de la consola (aún con juegos muy buenos), por lo que los seguidores más fieles de la marca tomaron una frase para su lucha: “El 200X/20XX es el año de Sony”

Y por fin le atinaron, 2011 es el año de Sony, el año en que han demostrado al mundo las deficiencias de seguridad que tienen como compañía en la mayoría de sus divisiones, y es que en abril fueron robadas 77 millones de cuentas de la PlayStation Network, en mayo Sony Online Entertainment perdió 24 millones de cuentas, luego a pocos días del restablecimiento de la PSN se descubrió otra falla de seguridad, también Sony Music de Japón fue víctima de los hackers y el día de hoy tenemos la noticia que Sony Pictures también ha sido objeto de ataques con la pérdida de 1 millón de cuentas y 3.5 millones de cupones para música.

Es en estos momentos y antes de continuar que ya no sé que es más correcto:

¿Los hackers lo hacen de nuevo?

¿Sony lo hace de nuevo?

Los hackers están cometiendo un delito, para mí no queda duda de eso, ya que están robando información de usuarios que nada tienen que ver con las decisiones que toma Sony, incluso no es una forma de protesta valida (en ese caso si tienen problemas con Sony basta que dejen de comprar sus productos), ni tampoco es un juego como dice Lulz Security que su ataque de hoy no fue sofisticado y que sólo lo hacen para avergonzar más a Sony (los directivos de la empresa pueden solos con eso).

Después del ataque de hoy Lulz Security ha dicho lo siguiente:

Nuestro objetivo aquí no es aparecer como hackers maestros, por eso vamos a revelar lo siguiente: SonyPictures.com fue violada con una muy simple inyección de SQL, una de las vulnerabilidades más primitivas y comunes, como todos deberían saber. Con una sola inyección, accedimos a TODO. ¿Por qué ponen tanta fe en una compañía que se deja abierta a estos ataques tan simples? Lo que es peor, es que cada bit de datos que tomamos no estaba encriptado.

¿Cómo es posible que después de todos los ataques que han tenido tengan 1 millón de passwords en texto simple y que los obtuvieran sólo con un SQL injection? Por cierto, lo que robaron ya puede ser encontrado en torrents.

Es importante mencionar (y siendo justos con Sony) que no todos los ataques tienen la misma magnitud, ni por número de usuarios ni por la información que fue comprometida, en mi opinión el mayor es el de la PSN ya que muchas de las cuentas involucradas tenían entre otros datos, los números de tarjetas de crédito de los usuarios (lo que tampoco le quita relevancia a los otros ataques).

Lo que también es increíble es que una compañía del tamaño de Sony sea tan vulnerable a este tipo de ataques y peor aún que sea en varias de sus divisiones, me pregunto si tienen algún DRP o BCP para estos casos, y si es que cuentan con algún estándar de seguridad como ISO 27000 o PCI y sobre todo, ¿cómo fue que los consiguieron?

Hace unos años una famosa cantante tenía muchos problemas con drogas y alcohol por lo que una página web lanzo un reto, el que adivinara la fecha y hora de la muerte de ella se ganaba un PlayStation 3, muchos participaron en el reto pero nadie ganó porque ella sigue vida. Hoy no me extrañaría que alguna web lance un reto para pronosticar el siguiente ataque a Sony, o peor aún, que se lance un concurso para ver quien ataca a Sony primero (y que el premio sea un PS3).

No se ve cuando va a terminar esto, pero por los antecedentes no creo que pronto, sólo espero que Sony empiece a ocuparse por su seguridad, porque aunque parezca que el fuego ya termino con todo, aún hay muchas divisiones de Sony en peligro.

Fuente: Hispasec
Autor: Javier Rascón

Se ha descubierto un fallo en la extensión ‘Attribute Exchange’ de OpenID que podría permitir a un atacante remoto modificar la información que es intercambiada entre las partes encargadas de la autenticación.

OpenID es un estándar de identificación digital descentralizado que permite a sus usuarios utilizar una única cuenta para poder acceder a diferentes sitios. Con esto se obtiene un mejor control de los datos asociados a la cuenta, ya que se encuentran en un único punto. Además es el proveedor del ID quien se encarga de identificar al usuario, evitando así que la contraseña sea gestionada por los diferentes sitios a los que se desea acceder.

El fallo se encuentra en los proveedores de OpenID que utilizaban ’OpenID4Java’, que no verificaba si la información pasada a través de Attribute Exchange estaba firmada o no. Esto podría ser aprovechado por un atacante remoto modificar la información que es intercambiada entre las distintas partes que se comunican, con lo que la información que sólo es confiada al proveedor de identidad puede ser comprometida.

Los descubridores de la vulnerabilidad, Rui Wang, Shuo Chen y Xiao Feng Wang, se pusieron en contacto con todos los sitios afectados por dicho problema, quienes ya han emitido sus respectivos parches de seguridad.

Más información:

Attribute Exchange Security Alert
http://openid.net/2011/05/05/attribute-exchange-security-alert/

Image: luigi diamanti / FreeDigitalPhotos.net