El Blog de Luis Moreno

Importancia de la Seguridad en Aplicaciones

2018-01-24T21:37:00.000-06:00

La seguridad históricamente relegada

El presente artículo tiene la finalidad de dar claridad y poner en perspectiva las ventajas de incluir seguridad en todos los desarrollos de software que realiza su organización internamente, o que solicita un tercero realizar en base a sus requerimientos.

En mi experiencia como consultor, es muy común encontrarme con individuos y organizaciones que no le dan la importancia debida a construir aplicaciones seguras, solo requieren aplicaciones funcionales, lo más rápido posible.

Históricamente cuando creamos algún nuevo producto o servicio, se piensa en características alrededor de la funcionalidad, la conveniencia, la comodidad, la presentación, etc. Frecuentemente, si es que alguna vez se incluye, la seguridad se deja al final, como un extra, un premium o después de que se presenta algún hecho negativo, entonces comenzamos a aplicarla y forzar su inclusión en productos y servicios terminados, que además ya se encuentran en operación.

Como ejemplo de este error frecuente, tenemos el cinturón de seguridad en automóviles, revisemos un poco de su historia.

En 1808 se construye el que se considera como el primer automóvil con motor de combustión interna de hidrógeno, fue creado por el francés Isaac de Rivaz.
En 1870 Siegfried Marcus construyó el primer auto de combustión interna a gasolina.
En 1885, Karl Benz desarrollo un auto que operaba a gasolina o petróleo.
En 1903 se produce el Model A de Ford
En 1908 se inicia producción del Model T de Ford el cual inició la era de la producción de automóviles en masa en el mundo, para 1927 se habían producido 15,000,000 de autos.
En 1885 George Cayley el llamado padre de la aviación idea el cinturón de seguridad para ser usado en planeadores. Pero se le otorgó la patente a Edward J. Claghorn del primer cinturón de seguridad pensado para turistas, pintores, bomberos que son elevados o bajados de alguna estructura.
En 1949 el fabricante Nash y Ford en 1955 ofrecían cinturones de seguridad como una opción extra a sus autos. 41 años después del inicio de la producción de autos en masa.
En 1958 Saab ofrecía cinturones de seguridad como opción estándar en sus unidades. 50 años después del inicio de la producción de autos en masa.
En 1958 el ingeniero sueco Nils Bohlin inventa el cinturón de tres puntos, el tipo de cinturón que usamos en la actualidad, anteriormente los cinturones eran de dos puntos a la cintura.
En 1966 se les exige a los fabricantes norteamericanos contar con cinturones de seguridad en sus autos, 58 años después de la producción de autos en masa. En 1970 se crea la primera ley en Australia donde se exige el uso de cinturones de seguridad obligatorios en todo momento, mientras se conduce. En USA en 1966 se comenzaron a crear leyes al respecto.

A pesar de que existían leyes para el uso del cinturón de seguridad y campañas sobre los beneficios de usarlo mientras se conduce, no es sino hasta apenas en época reciente que los conductores y acompañantes han adoptado la práctica. Tuvieron que pasar más de 70 años para que se crearán las condiciones y sobre todo tuviéramos la conciencia de usar el cinturón de seguridad.

Cuando vemos este tipo de ejemplos, nos queda claro como, por extraño que parezca, la seguridad es un complemento y no algo con lo que se diseñan nuestros productos o servicios actuales, ya no hablemos de la conciencia de los usuarios que viene mucho después.

El costo de una aplicación insegura

Regresando al tema del software, la mayoría de los desarrollos actuales, son desarrollos complejos y tienen fechas de entrega estrechas, donde cualquier retraso puede causar impacto al negocio, tanto en la satisfacción al cliente como a los ingresos de la organización. Entendemos que mantener un software que cumpla con las expectativas de operación, usabilidad, calidad, etc., es complicado y aunado a todo lo anterior, el software debe ser seguro.

Por razones operativas, por costo, pero principalmente por desconocimiento, la seguridad se deja en segundo plano, o incluso se deja fuera.

Existen muchos argumentos sobre el costo que implica la seguridad y aunque estos argumentos frecuentemente están mal calculados, no podemos negar que la seguridad, sí representa un costo extra, pero si analizamos las estadísticas, las repercusiones y los hechos que puede provocar un software sin seguridad, será evidente que las aplicaciones inseguras son por mucho más costosas y los daños que se producen pueden llegar a ser incalculables, estos daños y mala imagen, afectan tanto a la empresa que compra el software, como a la empresa que lo desarrolla.

Imaginemos que el corporativo de una gran empresa multinacional decide cambiar su aplicación para la atención a clientes y contrata a un tercero para el desarrollo, una vez implementada, la aplicación es bien recibida tanto por la empresa como por sus clientes, por tres semanas la aplicación solo necesita ajustes mínimos, pero todo transcurre plácidamente, hasta que al mes de que la aplicación ha sido implementada, la empresa sufre un ataque que deja expuesta la información de sus clientes, se roban propiedad intelectual de un nuevo producto que estaban por lanzar, y dejan mensajes contra el capitalismo en el recién estrenado sitio web de atención a clientes.

¿Podemos imaginar el daño de perder la propiedad intelectual? ¿O los problemas legales a los que se puede enfrentar si sus usuarios inician una demanda colectiva? ¿Y el desprestigio que esta aplicación ha causado a ambas organizaciones?

Ante este escenario, no nos queda duda que el entregar aplicaciones seguras a los clientes, es la opción más viable, menos costosa y de largo plazo que hay.

¿Cómo desarrollamos una aplicación segura?

Ahora bien, entre más temprana la etapa donde incluyamos seguridad, más eficiente y menos costosa será la implementación, la mayoría de las ocasiones se desarrolla la aplicación y una vez que la aplicación está lista para entregar a producción se realiza una prueba de seguridad, conocida como Penetration Test o Prueba de Intrusión, este ejercicio consiste en atacarla empleando las mismas técnicas que un usuario malicioso, que coloquialmente se conoce como hacker, (aunque realmente el término sea mal empleado) este tipo de pruebas son una muy buena opción para entregar aplicaciones con un nivel aceptable de seguridad, pero lo ideal es que la seguridad sea considerada desde el diseño de la aplicación y durante su desarrollo, de esta forma la aplicación saldrá con menos errores y será más segura, un PenTest es una medida que se debe tomar como parte del proceso, pero se esperaría que no contenga fallos graves que requieran retrasos y retrabajos a la aplicación, por esto la importancia de implementar la seguridad desde etapas tempranas en el desarrollo.

Conclusión

El valor de una aplicación segura también puede ser incalculable para las organizaciones, lo importante aquí es que no se confunda el costo, con el valor de la seguridad, esto debe estar presente en la mente, tanto del que crea el software, como de quien lo vende, así como de quien lo adquiere, solo de esta forma tendremos aplicaciones más seguras cada día.

En futuros artículos hablaré de recomendaciones que ayudarán a conseguir aplicaciones seguras desde varios frentes.

Referencias:

Historia del automóvil https://en.wikipedia.org/wiki/History_of_the_automobile
Cinturon de seguridad https://en.wikipedia.org/wiki/Seat_belt
Historia del cinturon de seguridad: https://www.defensivedriving.com/blog/a-history-of-seat-belts/
Automóvil https://es.wikipedia.org/wiki/Autom%C3%B3vil
¿Quién inventó el cinturón de seguridad? https://www.muyhistoria.es/curiosidades/preguntas-respuestas/iquien-invento-el-cinturon-de-seguridad
Imagen tomada de OWASP Top 10 https://www.owasp.org/images/7/72/OWASP_Top_10-2017_%28en%29.pdf.pdf

Conoce cual fue la técnica que uso Chris Vickery para descubrir el padrón electoral 2015

2016-04-28T13:48:00.001-05:00

Para un poco más de contexto checa mi artículo anterior: https://www.linkedin.com/pulse/las-preguntas-pendientes-sobre-la-filtraci%C3%B3n-del-padr%C3%B3n-luis-moreno

El día de ayer 27 de febrero se dio a conocer el partido responsable de la filtración del padrón electoral: fue nuevamente Movimiento Ciudadano. ¿Es en serio? Lamentablemente así es, el mismo partido que fue multado por una filtración previa, lo volvió a hacer.

La verdad no sé ni por donde comenzar al escuchar el posicionamiento del partido, me doy cuenta de la gran ignorancia en materia de seguridad de la información, falta de responsabilidad, intento de deslinde, etc., tanto el partido político, como su proveedor tecnológico, no tienen la mínima idea, me siento tan decepcionado y tan indefenso al saber que mis datos personales y los de mi familia son tratados como si fuera una lista del supermercado.

Comencemos pues:

Para iniciar me gustaría dar un pequeño resumen de cómo sucedieron los hechos según Chris Vickery.

Chris dio con la información, buscando bases de datos de este tipo en el buscador especializado Shodan el día 14 de Abril del 2016.

Shodan opera de forma similar a cualquier otro buscador, por ejemplo Google o Yahoo, mientras que Google está interesado en imágenes, videos, blogs, wikis, lo que le interesa a Shodan, son servicios, puertos, tipos de bases de datos, etc. Shodan es muy bueno identificando servicios vulnerables, en este buscador puedes encontrar por ejemplo cámaras de videovigilancia que están publicadas en Internet con el password por default o incluso sin password, y ver transmisiones en vivo.

Así que la especialidad del buscador es dar con servidores y servicios débiles, que sea fácil de explotar, te sorprendería saber la cantidad de cosas que se pueden encontrar en Shodan, como por ejemplo el padrón electoral de países como México ;)

Para realizar búsquedas en Shodan no es necesario ser un “hacker”

es más bien tener paciencia y tener un buen “olfato” para detectar información de gran impacto como lo que hizo Chris. No quiero demeritar su trabajo, de hecho le estoy agradecido porque gracias a su comportamiento ético, nos ha salvado de que más personas lo hubieran visto, (aunque nadie sabe cuántas personas dieron con la base antes que él) pero Chris es más un investigador que un "hacker", él no es un experto en seguridad de la información, al menos no tiene el skill necesario para hackear la infraestructura de Amazon o cualquier otro servidor, que cuente con las protecciones estándar para un servicio en la nube. Incluso Chris lo menciona en una entrevista, cuyo link pueden encontrar al final de este artículo.

Para encontrar la base Chris tecleó en Shodan: port:27017

Así de simple.

Esto quiere decir, busca todas las instancias de bases de datos MongoDB que sean publicas en este puerto por default, a partir de esto, lo único que Chris tuvo que hacer fue tener paciencia y tiempo para encontrar algo “jugoso” y vaya si lo encontró.

Después de varias páginas de búsqueda Chris encontró algo que le pareció interesante en la IP: 52.6.226.190

Sí usted estimado lector quiere probar Shodan ahora mismo, puede ver lo que encontró Chris con tan solo ir a este enlace:https://www.shodan.io/host/52.6.226.190 al final del enlace se encontrará con el nombre de la base en MongoDB, como se ve en las imagenes a contiuación.

el enlace aún funciona porque aunque hayan dado de baja la IP en Amazon, el cache de lo que indexó Shodan aún continua vivo y ahí quedará hasta que las políticas de Shodan lo remuevan o bien alguien los presione para hacerlo, esto no significa que la base pueda leerse, solo queda el indice que creó Shodan del servicio.

Una vez aclarado que no fue un hackeo, pongamos atención a lo que dijo Movimiento Ciudadano en voz de su coordinador nacional Dante Delgado:

1. El 12 de febrero de 2015, Movimiento Ciudadano recibió tres copias de la lista nominal de electores en dispositivos USB para su revisión, tal como lo establece la ley.

Estas preguntas son para el INE:

¿Por qué se tienen que entregar tres copias y en un medio como un USB para cada partido? ¿No sería suficiente con una copia? ¿Los USBs cuentan con algún cifrado en caso de extravió o copia? ¿Quién lleva el control de estas copias? ¿Cómo nos aseguramos que estos USBs no estén ya circulando en el mercado negro? ¿Cuáles son los lineamientos que se les da a los partidos para cuidar de esa base de datos?

2. La Comisión Operativa Nacional, órgano de dirección de Movimiento Ciudadano, tomó la decisión de devolver sin abrir dos de las copias mencionadas y realizar la salvaguarda de seguridad de la tercera copia, con el propósito de garantizar su integridad.

OK, como ya habían sido acusados por negligentes, regresaron dos, para que se hiciera notar que ya habían entendido el punto y bueno creo que otras dos copias realmente no son necesarias, aunque eso no garantiza la integridad de la base señor Dante, la palabra integridad según la RAE es: cualidad de integro, que no carece de ninguna de sus partes, en seguridad de la información la integridad implica mantener la consistencia, precisión y fiabilidad de los datos a través de todo su ciclo de vida, así que regresar dos USBs no garantiza en nada la integridad de la base de datos.

3. La decisión de hacer la salvaguarda de seguridad se tomó considerando la resolución por la que el Instituto Nacional Electoral sancionó a Movimiento Ciudadano, argumentando descuido en el cuidado del padrón electoral. Dicha sanción fue impugnada por carecer de fundamentos ya que en ningún momento se acreditó un nexo causal entre Movimiento Ciudadano y la empresa que hizo público el padrón; actualmente estamos a la espera de la resolución definitiva por parte del Tribunal Federal Electoral.

¿Aquí no entendí bien, decidieron “salvaguardar” la base porque antes ya habían sido sancionados y no porque sea su deber salvaguardar la información que los ciudadanos que les confían?

Ahora bien decidieron “salvaguardar” la base en un servidor extranjero y no poderle al menos una contraseña? Wow!!

4. La Comisión Operativa Nacional solicitó a la empresa Indatcom, proveedor tecnológico de Movimiento Ciudadano, asesoría sobre la mejor manera de salvaguardar información.

¿Cuáles son las credenciales de Indatcom en cuanto a seguridad de la información? ¿El culpable es el niño o quien le dio el arma?

En voz de su CEO Ismael Sánchez Angiano, Indatcom es una compañía de Digital Marketing

¿Cómo un partido le puede confiar la seguridad del padrón nacional a una empresa de marketing?

Por otro lado esta compañía ha sido beneficiada por este partido con diversos contratos y su CEO es también director de otras empresas acusadas de fraude según investigación de Excelsior.

Creo que a estas alturas, nos sorprende más una puesta de sol que descubrir cosas turbias alrededor de los partidos políticos.

5. Derivado de dicha consulta, la Comisión Operativa Nacional aprobó de manera unánime la decisión de realizar la salvaguarda de seguridad del padrón electoral en servidores propiedad de Amazon Web Services; empresa de resguardo, protección y administración de datos que cuenta con las más avanzadas medidas de seguridad y la mejor reputación a nivel mundial.

De manera unánime la Comisión Operativa Nacional aprobó de alojar el padrón en servidores de Amazon. ¿sabián que los servidores de Amazon están en Estados Unidos, Europa y Asia y ninguno en México? ¿Saben que ese tipo de información no puede ser almacenada fuera de territorio nacional?

Por otro lado Amazon no es una empresa de resguardo, no es una empresa de protección y administración de datos, es un proveedor de servicios en la nube, ellos aseguran su plataforma, pero no se hacen responsables de los servidores que tú instales y configures, esta es una idea equivocada que se tiene de los proveedores de este tipo de servicios, el hecho de que estas empresas cuenten con los más altos estándares de seguridad y certificaciones para su infraestructura, no te hace heredero de todas estas protecciones y controles, es la responsabilidad de cada huésped establecer los controles necesarios para proteger sus datos y aplicativos.

Imagina que vives en un conjunto habitacional con los más altos estándares de seguridad y los mejores elementos para vigilar las entradas, circuito cerrado, cercas electrificadas, etc., etc. Pero tu casa tiene un acceso que da a la calle y nunca le pones candado, solo emparejas la puerta, luego pretendes culpar a la seguridad del conjunto porque te robaron las joyas y los electrónicos, cuando la empresa de seguridad obviamente no tiene acceso a tu propiedad. ¿De quién es la responsabilidad?

6. Entre los argumentos presentados para seleccionar los servidores de Amazon Web Services para la salvaguarda del padrón, destacan que es la empresa con más altos estándares de seguridad y protección de datos a nivel mundial, por lo que cuenta entre sus clientes a instituciones y organizaciones como la NASA, Samsung y universidades norteamericanas como Chicago, Notre Dame y San Francisco.

Creo que en el punto anterior queda claro de quien es la responsabilidad, además la diferencia es que todas esas organizaciones que mencionan cuentan con equipos especializados de seguridad de la información que se aseguran que lo que esté en la nube cuente con los estándares mínimos de seguridad.

7. La empresa Indatcom S.A de C.V. realizó los trámites necesarios para la contratación de los servicios de Amazon Web Services, para salvaguardar la información, y entregó contraseñas y el uso exclusivo del servidor a la Dirección del Centro de Documentación e Información de Movimiento Ciudadano.

¿Entregó contraseñas? Sería de la consola administrativa porque la base de datos no tenía contraseña como lo describe Chris y lo podemos constatar en Shodan.

¿Uso exclusivo? ¿cómo se aseguraron que solo ellos pudieran entrar? Apuesto que ni siquiera implementaron doble factor de autenticación que es gratis en Amazon para el acceso a la consola de administración.

Y hasta ahora nadie ha podido responder cuantos más pudieron descargar la base antes que Chris, esto creo que solo se podrá ver en los logs de los servidores que administraba MC, espero que se realice un análisis forense para poder calcular el impacto de una forma más informada.

Moraleja para las empresas, si eres una compañía de marketing o cualquier otra vertical y por tanto la seguridad de la información no es tu área de especialidad, no te metas en problemas, ni pongas en riesgo a personas inocentes, no es lo mismo decir, sí te puedo diseñar un sitio web, a sí te puedo asegurar tu base de datos en la nube.

8. El viernes 22 de abril fuimos informados, a través de nuestro proveedor de servicios tecnológicos, que la empresa Amazon Web Services notificó que el servidor contratado había sufrido un asalto cibernético, que la información salvaguardada estaba comprometida por un ataque externo y, como parte de su protocolo de seguridad, solicitó removerla.

¿Asalto cibernético a Amazon o a su servidor sin contraseña?

Un “hackeo” a un servidor sin protección, no cuenta como hackeo

En el párrafo inicial explico que no se trató de un hackeo, espero ahora no pretendan ir tras un chivo expiatorio, tras la persona que con ética informó de su gravísima falla, antes de que otros sin ética hicieran mal uso de esa información, aunque desde el inicio de esto he dicho que necesitamos saber quién más tuvo acceso a la información antes que Chris, esto será difícil conocerlo ya que todos sabemos de que si en algo son expertos la mayoría de los políticos es para ocultar y disfrazar la información.

9. Indatcom me notificó inmediatamente, en mi carácter de Coordinador de la Comisión Operativa Nacional, y tomé la decisión de acatar la recomendación de Amazon Web Services, por lo que di la instrucción de que el contenido fuera removido de manera definitiva.

Un poco tarde, algo que no debió ser subido en primer lugar.

10. Para hacer pública la información que estaba salvaguardada en los servidores de Amazon Web Services fue necesario violar las medidas de seguridad a través de métodos altamente especializados, característicos de hackers profesionales.

Lo siguiente que voy a escribir también es algo altamente especializado que solo algunos cuantos hackers entenderán: LOL

11. Una vez expuesto lo anterior, queda de manifiesto que la información salvaguardada nunca estuvo a la venta, no se comercializó ni se le dio mal uso; tampoco fue pública para usuarios en general, sino que fue necesario la intervención de hackers especializados en romper protocolos de seguridad para poder obtenerla.

Nunca hubo información salvaguardada, solo fue información subida a la nube y puesta a disposición para todo el que apuntara hacía esa IP pudiera verla.

¿No se le dio mal uso? Eso no lo puede asegurar usted señor Dante Delgado, ni nadie por el momento, hasta que alguien que nos diera la entera confianza, nos pudiera dar el resultado del análisis forense a los servidores, pero tal vez esto no lo sabremos a menos que sea un impacto a gran escala, pero si hay más personas con acceso a esta base y solo atacan a ciertos objetivos de los más de 80 millones de registros en la base, nadie sabrá de donde obtuvieron esa información, así que estamos fritos.

Si la base la subieron para salvaguardar la información y no para acceder a ella, hubiera sido mejor dejar el USB bajo llave, pero si la subieron a la nube lo más lógico es pensar que estaban haciendo uso de la información mediante algún frontend y todo esto sin la mínima protección.

En seguridad de la información a esto le llamamos security by obscurity, o seguridad a través de oscuridad, quiere decir que muchas personas consideran que el ocultar algo lo hace más seguro, en ciertos escenarios ayuda, pero si basas toda tu seguridad en esta práctica, estás perdido, como en el caso de esta empresa, que pensó que si no le daba la IP a nadie, más allá de la gente del partido, nadie podría encontrar el tesoro.

12. En virtud de lo anterior, el día de hoy presentamos una denuncia penal contra quien o quienes resulten responsables del ataque cibernético realizado y que tuvo como objetivo acceder de manera ilegal a la información que salvaguardamos en una de las más prestigiadas empresas de resguardo y protección de datos. Movimiento Ciudadano exige se castigue a los asaltantes cibernéticos que violentaron nuestros protocolos de seguridad.

Ya que no hubo un atacante cibernético, piden localizar y castigar a un fantasma, buena suerte con eso.

¿Nosotros como ciudadanos, qué pedimos?

13. Aprovecho para comunicarle al consejero presidente que estamos del mismo lado en este nuevo frente por la defensa de los datos personales de los mexicanos y de la seguridad digital de la nación, y que en todo momento colaboraremos con el Instituto Nacional Electoral, y demás autoridades involucradas, para encontrar y sancionar al o los hackers que realizaron este ataque cibernético.

Creo que esto es cierto, ambo están del mismo lado, el lado donde no se protege la información de los ciudadanos como es debido.

14. Esta situación evidencia el riesgo latente en que se encuentran todas las bases de datos que están a disposición del Estado Mexicano y pone de manifiesto la necesidad de replantear y legislar en materia de seguridad digital para salvaguardar el derecho a la privacidad y la protección de los datos personales. Nuestros diputados asumen el compromiso de llevar esta agenda al Congreso de la Unión en los próximos días.

Tal vez sí haya leyes que mejorar y tras esta grave falla quedó de manifiesto que el INE y los partidos necesitan mucha ayuda en materia de seguridad y también se necesita aplicar sanciones ejemplares, pero también creo, que ya hay mucha legislación al respecto, lo que hace falta como en muchos ámbitos de la política nacional, que se hagan cumplir la ley y que la impunidad deje de estar a la orden del día.

Agradezco su opinión tras este lamentable caso.

http://movimientociudadano.mx/federal/boletines/posicionamiento-de-movimiento-ciudadano-padron-electoral#sthash.AZa6xG9E.dpuf

http://www.excelsior.com.mx/nacional/2016/04/28/1089350

https://www.linkedin.com/in/ismaelsanchezanguiano

http://www.indatcom.mx/

https://www.shodan.io/host/52.6.226.190

https://www.youtube.com/watch?v=yhIsp5tnshw

http://www.bbc.com/mundo/noticias/2016/04/160425_mexico_filtracion_datos_fuga_internet_vickery_all

http://www.carlosloret.com/2016/04/no-hice-ningun-hackeo-movimiento-ciudadano-lo-hizo-mal-chris-vickery/

Las preguntas pendientes sobre la filtración del padrón electoral.

2016-04-25T19:57:00.001-05:00

Como muchos nos enteramos la semana pasada, a través de medios internacionales y horas después por medios nacionales, la filtración del padrón electoral del 2015, donde por un lapso indefinido de tiempo, estuvo expuesta en Internet dentro de los servicios de nube de Amazon y en voz de Chris Vickery quien encontró y notificó a las autoridades, (primeramente estadounidenses y después a las mexicanas) la base no tenía ningún elemento de protección, no contaba con una contraseña o algún otro método que evitara que ojos no autorizados tuvieran acceso a la información de al menos 81 millones de mexicanos, básicamente el total de la población de 18 años en adelante.

Chris fue uno de los que pudo encontrar la base a través del buscador especializado llamado Shodan, un buscador al que tienen acceso millones de personas que a diferencia de Chris no necesariamente todos siguen una línea ética al encontrarse con este tipo de información, algunos usuarios de este buscador hacen uso malicioso de la información encontrada, que van desde robar para vender la información, atacar los servicios o servidores vulnerables, usarlos como pivote, etc., etc. por esta y otras razones nos quedan muchas preguntas pendientes, que las autoridades deben responder y donde se debe llegar a sus últimas consecuencias, con sanciones ejemplares a todos los responsables y no solo sanciones monetarias, pues esto no es cualquier cosa.

Muchos no dimensionan la gravedad del asunto, pero tan solo imagina que los nombres completos, dirección y fecha de nacimiento de tus seres queridos y los tuyos propios, terminen en manos de criminales. Todos sabemos cómo está la situación en el país, donde las amenazas, extorsiones, secuestros son problemas serios y este tipo de filtraciones lejos de ayudar, nublan el ambiente. Esta filtración debe ser tratada como lo que es, un problema de seguridad nacional y no hay un único culpable, ¿qué pasaría si se le da a conducir un autobús escolar a un adolescente y este colisiona? ¿se culparía solo al conductor? Así pues en este caso, no solo es culpable la persona que subió la base a los servidores de Amazon, hay muchos responsables detrás.

Esta no es la primera vez que el padrón electoral es filtrado, el padrón del 2010 terminó en Internet y se multó por 76 millones de pesos a Movimiento Ciudadano antes Convergencia por negligencia en su resguardo, creo que ya es hora de que se tomen otras meddas para que esto no vuelva a ocurrir, ni en el INE ni en cualquier otra entidad gubernamental, a los particulares se les ejerce mucha presión en materia de seguridad de datos personales, pero el gobierno ha probado una y otra vez no darle la importancia que se merece.

Las preguntas que quedan en el aire son muchas, pero a continuación listo algunas que se me ocurren de inicio.

Comencemos con algunas aclaraciones:

¿Cuál es la información que contiene el Padrón Electoral filtrado?

Por un screenshot compartido por Chris, podemos observar que la base contiene al menos los siguientes campos:

Nombres

Apellido Paterno

Apellido Materno

Nombre

Fecha de Nacimiento

Lugar de Nacimiento

Sexo

Ocupación

Calle

Número exterior

Número interior

Colonia

Código Postal

Tiempo de Residencia

Entidad

Municipio

Sección

Localidad

Manzana

Fecha de inscripción al padrón

En Lista Nominal

Número de emisión de credencial

Fecha de Inscripción al padrón

Gemelo

Consecutivo Alfabético por sección

Clave de elector

Folio Nacional

OCR

Otra cosa importante de aclarar, es que el hecho de que la información se encontrara en servidores de Amazon, no significa que estuvieran a la venta en la tienda de Amazon. Amazon es el líder mundial en servicios de nube pública, esto es, cualquier persona u organización puede contratar un servidor e instalar y almacenar virtualmente cualquier software o base de datos que desee y esto es totalmente independiente de su tienda en línea, la base no se encontraba a la venta, solo estaba hospedada en uno de sus servidores en renta, porque alguien contrato sus servicios y subió la base de datos. Amazon no tiene ninguna responsabilidad otra que proporcionar la información que las autoridades le requieran.

Ahora bien, las preguntas que se me ocurren por el momento son:

¿Por cuánto tiempo estuvo expuesta la base de datos?

Sabemos por voz del consejero Ciro Murayama la lista nominal se debe entregar por ley el día 15 de febrero del año de elecciones federales y esta es entregada en medios físicos a los partidos políticos. Considerando las implicaciones de subir 132Gb de información en los servidores de Amazon, que incluye instalar y configurar el servidor de base de datos, subir 132Gb de información a través de un enlace de banda ancha y que el buscador Shodan indexe la base, etc., podríamos considerar que la base estaba lista a finales de febrero, así que podríamos inferir que estuvo disponible en Internet por casi dos meses. Chris Vickery dice que encontró la base el día 14 de abril de 2016 y la base fue dada de baja a primeras horas del día 22 de abril, así que con certeza sabemos que la base de datos estuvo disponible por lo menos, 8 días. Sin embargo la base de Shodan indicaba que en esa IP se encontraba una base desde septiembre del 2015, tal vez ya tenían el padrón del año pasado montado en ese servidor desde septiembre y en febrero solo la actualizaron, los fines de esto no son claros.

La historia nos ha mostrado que una vez que algo está expuesto en Internet, es casi imposible borrarlo. ¿Cuántas copias fueron extraídas? ¿Desde dónde? Mucha información se puede extraer de los bitácoras del servidor donde se encontraba la base, pero tampoco sabremos si a partir de una copia descargada se produjeron más, así que el número de copias será casi imposible de cuantificar.

Ciro Murayama también comenta que el INE no fue “hackeado” ¿esto se supone que nos debe de dar tranquilidad? Hackeado el INE o no mi información personal y la de mi familia se encuentran en quien sabe cuántas manos ¿cómo puedo confiar mis datos a estas instituciones?

¿Hace falta modificar la ley, ya que los partidos políticos no son capaces de resguardar nuestra información personal? ¿Cómo resguardan los partidos políticos esta base de datos? ¿quién dentro del partido tiene acceso a las bases? ¿qué hacen con las bases? ¿existe una bitácora del acceso? ¿cómo se asegura el INE de que esta información está correctamente protegida?

Cualquier profesional de nuestro ramo, seguridad de la información, sabe que la información debe protegerse durante todo su ciclo de vida, nos dicen desde el INE que sus sistemas son seguros, pero el principal activo que les confiamos, está en manos de terceros no autorizados, es como decirle a Coca Cola, no te preocupes, tu fórmula secreta estuvo expuesta por quien sabe cuánto tiempo, a quien sabe cuantas personas, pero nuestra red es segura, alguien la subió pero ya sabemos quién es y lo vamos a correr, ¿cómo creen que respondería el CEO y sus accionistas?

Si esto es responsabilidad de un partido político, ¿qué sanción debe recibir este partido, ya que una multa millonaria no ha sido suficiente para cambiar la situación? ¿qué vamos a hacer, para que en lo sucesivo le pongan la atención necesaria y la protejan como es debido?

Este daño está hecho es necesario darle seguimiento y que esto no quede en el olvido como muchas cosas que suceden en nuestro país y ahora nos toca cuando menos recibir las llamadas de múltiples telemarketers ofreciéndome productos y servicios, y ojalá nunca sean llamadas de extorsión o peor aún visitas de gente indeseable en nuestros domicilios.

En la parte un poco más técnica la búsqueda que realizó Chris en Shodan fue simplemente: “'port:27017” que es el puerto de escucha por default de la base MongoDB, no estaba disponible mediante HTTP, para tener acceso simplemente se tenía que emplear el cliente de MongoDB, sin la mínima protección que cualquier ya no digamos profesional de seguridad, sino cualquier admin responsable pondría, password, IP whitelist, nada, cero. Durante una plática que Chris daba en Harvard, un mexicano presente pudo corroborar que la dirección de su papá estaba en dicha base, que la base era legítima, el resto pasará a la historia como una falla de dimensiones épicas y servirá como ejemplo de lo que no se debe hacer, no solo en México sino en el mundo.

Para más información, pueden consultar los siguientes links:

https://mackeeper.com/blog/post/217-breaking-massive-data-breach-of-mexican-voter-data

https://www.youtube.com/watch?v=H0mlhrtb4W0

http://arstechnica.co.uk/security/2016/04/millions-of-mexican-voter-records-leaked-amazon-cloud/

http://motherboard.vice.com/read/how-a-hacker-found-the-personal-information-of-all-mexican-voters

http://www.sinembargo.mx/23-04-2016/1652271

http://www.eluniversal.com.mx/articulo/nacion/politica/2016/04/22/ine-identifica-quien-subio-padron-amazon

http://www.eluniversal.com.mx/articulo/nacion/politica/2016/02/16/impone-ine-multa-de-76-mdp-movimiento-ciudadano

http://www.eluniversal.com.mx/entrada-de-opinion/columna/bajo-reserva-periodistas-el-universal/nacion/politica/2016/04/25/agarron

http://www.jornada.unam.mx/ultimas/2016/04/24/ine-debe-comparecer-por-filtracion-de-padron-en-amazon-prd

https://www.databreaches.net/personal-info-of-93-4-million-mexicans-exposed-on-amazon/

http://www.bbc.com/news/technology-36128745

https://www.youtube.com/watch?v=2E__nLo8zJA

https://www.youtube.com/watch?v=laKoLQD5Es4

https://www.shodan.io

https://aws.amazon.com/

El Gobierno Mexicano el mejor cliente de Hacking Team

2015-07-26T23:50:00.000-05:00

Primero permítanme presentarle a Hacking Team (de aquí en adelante HT), HT es una empresa italiana que vende software espía/vigilancia para gobiernos y corporaciones policiales de todo el mundo, su controversial tecnología le permite a sus clientes instalar malware en teléfonos inteligentes, tabletas electrónicas y por supuesto computadoras para poder grabar conversaciones y extraer datos.

Periodistas y organizaciones civiles de todo el mundo han criticado a esta compañía por vender el software a gobiernos despóticos (que realmente no les interesan los derechos humanos) pero la compañía había logrado mantener en secreto con que organizaciones hacia negocio, hasta hace poco.

Por irónico que parezca, a principios de mes salió a la luz la intrusión de la que la misma compañía fue objeto y la cual arrojó como resultado 400 TB de información que contenía desde, el código fuente de su controversial software, hasta correos electrónicos con sus distribuidores y clientes.

Diversos periodistas internacionales y últimamente nacionales se han dado a la tarea de escrudiñar esos 400 TB para investigar quienes han sido sus clientes y que tipo de tratos han hecho, varias de estas investigaciones coinciden en que diversas organizaciones gubernamentales en México ha adquirido el software de HT, y convierten al país en el consumidor # 1 de esta compañía.

Esta gráfica fue publicada por The Intercept 8 de Julio, aquí podemos apreciar las ganancias por país y en donde México encabeza la lista con € 5,808,875 euros, cerrando el euro a tipo de cambio de $18 pesos nos da la cantidad de $104,559,750 pesos.

Entre las entidades que adquirieron el software se encuentran en la siguiente imagen:

Por si no fuera lo suficientemente interesante, en uno de los correos filtrados por Wikileaks se puede leer que HT considera al CISEN (Centro de Investigación de Seguridad Nacional) “demasiado estúpido” para mantener su propia seguridad, en un artículo publicado por AristeguiNoticias se puede leer la traducción. http://aristeguinoticias.com/1007/mexico/cisen-demasiado-estupido-para-proteger-su-propia-seguridad-correo-hacking-team/

Aquí tenemos varios puntos muy importantes a discutir pero esto lo dejo a la consideración de mis apreciables, tres lectores.

Hasta la próxima.

Otros enlaces:

http://www.redeszone.net/2015/07/23/comprueba-si-tu-equipo-windows-esta-infectado-con-malware-de-hacking-team/

https://firstlook.org/theintercept/2015/07/08/hacking-team-emails-exposed-death-squad-uk-spying/

http://globalvoicesonline.org/2015/07/10/mexico-was-hacking-teams-1-client-for-spyware/

https://wikileaks.org/hackingteam/emails/emailid/6527
https://wikileaks.org/hackingteam/emails/emailid/8946
http://arstechnica.com/security/2015/07/hacking-team-may-not-have-had-a-backdoor-but-it-could-kill-client-installs/

Educar a los niños en ciberseguridad

2015-06-23T18:40:00.000-05:00

En la versión de Junio del 2015 del boletín de ISACA llamado Ouch! se enfoca en un tema muy importante hoy día, como proteger a nuestros hijos de los "ciber-riesgos" que cosas podemos comenzar a considerar para comprender y proteger mejor a los niños en el ciber espacio, considero que el tema tiene una alta relevancia en la actualidad ya que los niños emplean dispositivos electrónicos conectados en gran parte de su día y muchas veces los dejamos que descubran este nuevo mundo por sí mismos y esto acrecienta los peligros a los que se deben enfrentar, en esta edición del boletín encontrarás consejos útiles a considerar.

En un futuro volveremos a tocar el tema con otros consejos prácticos de nuestra cosecha para que igualmente los tomes en cuenta.

Así que sin más preámbulo aquí les compartimos el material íntegro de ISACA.
También en el siguiente link podrás descargar el pdf de la versión en español: http://www.securingthehuman.org/newsletters/ouch/issues/OUCH-201506_sp.pdf

Educar a los niños en ciberseguridad

Contexto
El número de formas en que los niños de hoy pueden conectarse e interactuar con otros es asombroso: Los nuevos servicios de medios sociales brotan como hierba mala; hay un crecimiento cada vez mayor de aplicaciones y juegos conectados en línea; demás, muchas escuelas están migrando a servicios como Google Drive y algunos o todos los trabajos requieren presentarse y entregarse en línea.

Los niños, literalmente están creciendo “conectados”. Si bien esto tiene muchos beneficios, las oportunidades también traen riesgos.

En este boletín exploraremos tres áreas de riesgo para los niños y lo que podemos hacer para ayudarles a mantenerse a salvo.

Los riesgos
1. Conducta: Al interactuar en comunidades en línea o mundos virtuales, los niños pueden generar conductas que nunca tendrían en el mundo real.

La falta de una presencia física puede crear una poderosa sensación de anonimato, especialmente en niños, quienes a menudo se ven tentados a expresarse en formas que podrían lastimar a otros niños, esto es llamado ciberbullying o griefing.

Tus hijos, además, podrían convertirse en víctimas de otros que quisieran lastimarlos deliberadamente.

2. Contacto: Los niños están en –casi– constante comunicación con los demás, ya sea a través de mensajes de texto, interactuando con comunidades en línea o jugando en mundos virtuales. La falta de una presencia física a menudo hace que olviden que las personas en el otro extremo pueden no ser quienes dicen, o bien, no tener las mejores intenciones.

Los depredadores deambulan las calles digitales y utilizarán cualquier táctica que puedan para construir relaciones con las posibles víctimas, incluso se hacen pasar por niños.

3. Contenido: No faltan las formas de capturar y subir vídeos, sonidos, imágenes o mensajes de texto en línea, una tentación para que los niños compartan de sobre manera acerca de sí mismos u otros miembros de su familia sin darse cuenta de que las consecuencias son muy reales.

Los niños tampoco son conscientes de los peligros como robo de identidad o infecciones de malware cuando contestan encuestas o se les pide tomar acciones como hacer clic en enlaces.

Por último, vivimos en una época en la que no podemos “deshacer” cuando hemos publicado algo. Los niños pueden pensar que los mensajes en Kik, Instagram o Snapchat son fugaces, pero todas esas publicaciones pueden volverse contra ellos o contra los miembros de su familia en el futuro.

Educar a los niños

La primera cosa que puedes hacer para proteger a tus hijos es hablar con ellos. Conocer que es lo que están haciendo en línea, educarlos sobre los riegos actuales y qué pueden hacer para protegerse a sí mismos.

1. Seguridad en casa. Incluso con la gran movilidad, el hogar es donde el comportamiento seguro en línea comienza. Entre más jóvenes empieces a conversar con ellos y ellos contigo, mejor. Mantén conversaciones periódicas acerca de temas de seguridad, inclusive llegando a tal punto de mostrarles casos negativos que ocurren actualmente.

Si no sabes que están haciendo tus niños, simplemente pregunta. Finge ser el padre despistado y pídeles que te muestren cómo son las últimas tecnologías y cómo las usan. Los niños aman la idea de ser maestros y se abrirán contigo. Por ejemplo, quizá ellos estén en Instagram, pídeles que te muestren cómo funciona Instagram, pídeles que te creen una cuenta y síguelos.

No solamente estás ahora aprendiendo y monitoreando que están haciendo tus hijos, estás haciendo que sea más fácil para ellos hablar contigo. Además asegúrate, en la medida de lo posible, de que toda actividad en línea ocurra en áreas centrales de la casa y crea límites de tiempo para su uso. Teniendo las computadoras del hogar en lugares centrales, los niños están mucho menos propensos a involucrarse en comportamientos peligrosos.

También considera una estación central de carga para dispositivos móviles, con la regla de que todos los dispositivos móviles estén ahí antes de que los niños vayan a la cama por la noche.

2. Seguridad con los demás. Cuando los niños están fuera de casa, están en mayor riesgo. Ayúdales a entender que tus ciberreglas aplican donde sea que estén y comunícales tus restricciones a quienes has confiado su cuidado. Si tienen dispositivos móviles, checa patrones de uso (tiempo y ancho de banda) para ver si hay señales de que están tomando ventaja de la dificultad para mantener las restricciones cuando están fuera de casa. No serás capaz de detener todas las infracciones, pero les vendrán a la mente tus palabras de alerta cada vez que estén a punto de llevar sus dispositivos móviles.

3. La seguridad en números. No estás solo en esta cibervigilancia, por lo tanto deberías incluir a otros padres, tutores, hermanos, maestros y amigos a mantener un ojo en comportamientos potencialmente dañinos. Trata de que tu comunidad esté al día con los niños y anímalos a tener interacciones positivas con ellos cuando vean que los niños comienzan a ir por un camino peligroso.

Finalmente, cuando los niños comentan errores, tómalos como una experiencia para aprender en lugar de dedicarte a realizar una acción disciplinaria inmediata. Explica “porqué” cada vez y recuérdales que tú solamente estás intentando protegerlos de peligros que ellos no pueden ver.

Déjales saber que ellos pueden acercarte a ti cuando experimenten cualquier interacción incómoda en línea, incluso pidiéndoles que tomen una impresión de pantalla para que la compartan contigo.

Asegúrate también de que ellos se sientan cómodos de acercarse a ti cuando se den cuenta de que han hecho algo inapropiado. Mantener la comunicación del mundo real abierta y activa es la mejor forma de ayudar a los niños a estar seguros en el mundo digital de hoy.

Conoce más Suscríbete al boletín mensual de conciencia sobre seguridad OUCH!, consulta los archivos OUCH! y aprende más acerca de las soluciones de seguridad SANS visitando: http://www.securingthehuman.org

Versión en español
UNAM-CERT, Equipo de Respuesta a Incidentes de Seguridad de la Información en México reconocido ante FIRST, es una referencia en la materia en este país.
Sitio web: http://www.seguridad.unam.mx
Síguelo en Twitter @unamcert

Recursos Contra el ciberbullyng: http://yoloborro.com/
Alerta en línea: https://www.alertaenlinea.gov/temas/proteja-a-los-ni%C3%B1os-en-internet
Protección infantil: http://www.microsoft.com/es-xl/security/family-safety/default.aspx#Generalidades
Cómic de seguridad Liga SuperSeg: http://www.seguridad.unam.mx/usuario-casero/liga-super-seg/

OUCH! es publicado por SANS Securing The Human y distribuido bajo licencia de Creative Commons BY-NC-ND 4.0.

Puedes distribuir este boletín o utilizarlo en tu programa de sensibilización de seguridad siempre y cuando no se modifique su contenido.

Para más información contáctanos en: ouch@securingthehuman.org

Consejo editorial: Bill Wyman, Walt Scrivens, Phil Hoffman, Bob Rudis

Traducción al español por: Abril García y Diego Valverde

Microsoft Is Hot Again

2015-06-06T12:14:00.000-05:00

Desde hace poco más de un año cuando Nadella tomó cargo como el tercer CEO de Microsoft en su historia, los cambios se han notado desde Redmond.

Recuerdo cuando recién inicié en el mundo de la informática, todo lo que conocía era Microsoft (MS) en aquel entonces era el líder indiscutible del mundo del desktop, (creo que aún lo es) después se movió rápido hacia el mundo de los servidores y yo estaba muy inmerso en ese mundo.

Cuando el boom de Internet surgió, MS entró tarde a la carrera de los browsers, pero aún así era la compañía de tecnología de mayor valor en el mercado. Después algo sucedió, y aunque por muchos años vivió de sus glorias pasadas, últimamente ya no había mucho de que emocionarse, en una época donde el mundo se mueve hacía los dispositivos móviles, la nube y el Internet de las Cosas, MS parecía perder terreno y se notaba que tenían que tomar decisiones estratégicas para poder continuar con su liderazgo en diversas áreas y conseguir una oportunidad en áreas donde es de los competidores que van en las posiciones finales de la carrera, como es el caso del mercado móvil.

La nueva dirección tenía que estar en las manos de alguien que tuviera la visión de ver las oportunidades que estaban perdiendo y que ademas pudiera ejecutar esa visión.

La confianza la pusieron en Satya Nadella un inmigrante indio que trabaja en Microsoft desde 1992 (hace 23 años) Nadella es un ingeniero eléctrico y realizó una maestría en Wisconsin y un MBA en Chicago, también le gusta jugar cricket donde comenta que aprendió liderazgo y trabajo en equipo, además le gusta la poesía.

Desde que Nadella tomó el cargo diversos cambios se han sentido en MS, aquí les dejamos algunos de los que nos hemos dado cuenta:

Puso a la productividad y a la nube como centro de toda su estrategia
Se liberó una versión de Office para iPad antes que para las tablets de Windows
Luego liberaron una versión gratuita de Office para iPad, que no requiere suscripción a Office 365 pero que omite algunas funciones especiales de negocio.
Liberó algunas versiones de Windows para dispositivos con pantallas más pequeñas de 9 pulgadas, por ejemplo smart phones y tablets.
Liberá .NET como proyecto Open Source y crea la .NET Foundation que se encarga de mejorar el desarrollo del framework, llama a Miguel de Icaza como uno de sus Board Directors, un mexicano que desde hace 14 años ha llevado .NET a Linux y otras plataformas.
Libera una versión de Windows gratuita para dispositivos del Internet de las cosas o Internet of Things IoT que es compatible con productos como mi la Raspberry Pi 2
No habrá Windows 9 y Windows 10 promete mucho, un solo sistema operativo para varias plataformas incluido IoT.
Muerte de la desgastada marca Internet Explorer, ahora el browser se llamará Edge y estará incluido en Windows 10.
Y más recientemente se anuncia el soporte de OpenSSH en Windows gracias a que Angel Calvo, Group Engineering Manager de MS hizo un tercer intento por incluirlo y esta vez fue escuchado.

Como vemos Microsoft tiene una nueva dirección, una que tiene una visión clara, es sensible a la industria y principalmente sensible al cliente.

Con estos cambios esperamos un Microsoft revitalizado y con ganas de recuperar el lugar preponderante en las tendencias tecnológicas y de la industria del software.

Bienvenido el nuevo Microsoft.

Volver al futuro

2014-11-20T18:44:00.002-06:00

Un proyecto de Crowdfunding promete entregarnos lo que desde “Volver al futuro hemos soñado”. Hoverboards!!

Las Hoverboards de Hendo, se elevan una pulgada (aún superficies metálicas) y son totalmente funcionales. El proyecto solicitaba $250,000 dólares para poder continuar con el desarrollo y llevarlas a producción, pero aún con 24 días restantes, ya han reunido $469,523.00 dólares al momento de la publicación de este post.

La tecnología empleada es prometedora, en un futuro podrá emplearse para diversas soluciones.

¿Carreteras?...A donde vamos no necesitamos carreteras.

https://www.youtube.com/watch?v=plwX5NtF530

Microsoft convierte .Net en un proyecto Open Source!!

2014-11-13T14:32:00.000-06:00

¿Quién lo diría apenas hace algunos años, que Microsoft se llevaría bien con Linux/Android? El nuevo CEO Satya Nadella ha estado haciendo movimientos valientes y necesarios para Microsoft en la competida TI actual.

Desde hoy Microsoft está liberando componentes principales de .NET y haciéndolos multiplataforma para Windows, MAC OS X y Linux, asimismo está comprometiéndose para que Visual Studio 2015 soporte Android y iOS, de hecho la versión Visual Studio 2015 Preview ya contiene un emulador Android y en 2015 se planea soporte iOS.

Microsoft está liberando una versión de Visual Studio llamada Community 2013 que es gratuita y llena de funcionalidades.

Con este movimiento Microsoft planea convertir .Net y C# en la plataforma de desarrollo dominante para Windows, Linux, Mac OS X, Android y iOS.

Descarga tu copia de Community Edition aquí:

http://www.visualstudio.com/products/visual-studio-community-vs

Más información (Inglés)

http://news.microsoft.com/2014/11/12/microsoft-takes-net-open-source-and-cross-platform-adds-new-development-capabilities-with-visual-studio-2015-net-2015-and-visual-studio-online/

http://weblogs.asp.net/scottgu/announcing-open-source-of-net-core-framework-net-core-distribution-for-linux-osx-and-free-visual-studio-community-edition

Como alargar la duración de tu batería

2014-09-19T15:32:00.000-05:00

Quedarse sin batería para muchos de nosotros es sinónimo de caos, así que aquí 15 consejos para que el sufrimiento no sea muy grande.

1.- Apaga el teléfono mientras lo cargas - Si tienes poco tiempo para cargar tu teléfono, apágalo y cargará más rápido.

2.- Cuando no uses WiFi o Bluetooth apágalos o usa modo avión – Si estás en un área de poca señal, es mejor usar el modo avión o de plano apagarlo, pues el teléfono constantemente buscará señal, lo que consume mucha energía, esto también apagará el Bluetooth, WiFi, GPS, etc.

3.- Cárgalo frecuentemente – Con baterías antiguas de Níquel las descargábamos completamente para extender la vida de la batería, pero las nuevas baterías de Litio están diseñadas para cargarse frecuentemente, incluso si las dejas descargadas demasiado las puedes dañar, trata de mantenerlas siempre arriba del 50% de carga.

4.- Desactiva la función de vibrador - esta función consume más batería

5.- No uses el flash – la luz de flash consume mucha batería

6.- Baja el brillo de la pantalla – y si puedes apaga la luz de fondo, activa el auto-bloqueo para que la pantalla se apague lo más rápido posible mientras no está en uso.

7.- Usa GSM en lugar de 3G – el 3G consume un 50% más batería que el GSM

8.- Usa un fondo negro - No uses fondos animados estos consumen más procesamiento y por lo tanto más batería.

9.- Mantén tu móvil frío – las altas temperaturas drenan la batería

10.- Usa buenos cargadores - a veces lo barato sale caro

11.- Limpia los contactos de la batería – la pelusa de la ropa causa que no exista un contacto correcto y por lo tanto se desperdicia energía

12.- Cierra aplicaciones que constantemente se conecten a Internet – Facebook, twitter, email. O al menos reduce la frecuencia a la que se conectan o toman datos.

13.- Desactiva las actualizaciones automáticas, pero recuerda actualizar en cuanto estés conectado a la energía, por seguridad y para aprovechar al máximo tus apps, debes mantenerlas actualizadas.

14.- No te preocupes por dejarlo cargando por mucho tiempo, por ejemplo al dejarlo toda la noche. Los cargadores de los teléfonos modernos son inteligentes y cortan la energía cuando la batería se encuentra al 100%

15.- Consulta el manual de tu equipo, cuenta la leyenda que todos los equipos traen un librito (o un link al librito en línea) que se hace llamar manual y que nadie lee, sorprendentemente en este manual vienen tips importantes y personalizados al modelo de tu teléfono para alargar y cuidar tu batería. ¿Quién lo diría?

Feliz cumple 23 GNU/Linux!!

2014-08-25T11:40:00.000-05:00

El 25 de agosto de 1991 Linus Torvalds envío un mensaje en el newsgrup de minix con un mensaje donde anunciaba el desarrollo del Kernel Linux:

Hola a todos los que usan minix -

Estoy haciendo un sistema operativo (libre) (sólo como un hobby, no será grande y profesional como gnu) para clones 386 (486) AT. Esto se ha estado gestando desde abril, y está empezando a estar listo. Me gustaría recibir sus comentario acerca de cosas que a la gente le gusta/disgusta en minix, ya que mi SO se le parece un poco (misma disposición física del sistema de archivos (por razones prácticas) entre otras cosas).

Actualmente he portado bash (1.08) y gcc (1.40), y las cosas parecen funcionar. Esto implica que conseguiré algo práctico dentro de unos meses, y me gustaría saber qué características quiere la mayoría de la gente. Cualquier sugerencia es bienvenida, pero no voy a prometer que las voy a implementar :-)

Linus Benedict Torvalds (torvalds@kruuna.helsinki.fi)

PS. Sí - es libre de cualquier código de minix, y tiene un sistema de archivos multi-hilos. NO es portable (usa la conmutación de tareas del 386, etc), y probablemente nunca soportará nada que no sean discos duros AT, ya que eso es todo lo que tengo

Linus nunca imaginó que 23 años después su hobby se convertiría en el proyecto de software más grande de la humanidad y que es empleado desde juguetes, teléfonos inteligentes hasta súper computadoras, pasando por más del 60% de servidores Web en el mundo.

Aprovecho esta fecha para anunciar un curso práctico de Linux donde Kolibërs otorgará becas del 100% mantente informado dándole like al Facebook de Kolibërs y siguiéndolos en Twitter

Más sobre linux

http://es.wikipedia.org/wiki/Historia_de_Linux

Más sobre la Fundación de Software Libre

http://es.wikipedia.org/wiki/Fundaci%C3%B3n_del_Software_Libre

Kolibërs Facebook
https://www.facebook.com/koliberssec

Kolibërs Twitter
https://twitter.com/Kolibers

Hacking: ¿El camino correcto?

2012-04-16T21:45:00.002-05:00

El día de hoy me preguntó alguien que no está muy de acuerdo con el movimiento Anonymous mi opinión sobre los ataques recientes que el colectivo ha realizado en contra de sitios gubernamentales y corporaciones como Universal Music, la página de la Casa Blanca, el Departamento de Justicia, la oficina federal de copyright y diversos sitios de las industrias musical y cinematográfica estadounidense para sumar un total de 18.

Y esta ha sido mi respuesta:

Cibernautas sabed:

La industria discográfica y Hollywood manipulan a los gobiernos para publicar leyes como SOPA/PIPA/ACTA/ y ahora CISPA, aunque no solo la industria discográfica quiere apoderarse de Internet, el gobierno estadounidense bajo el pretexto del terrorismo pretende infundir miedo y así poder espiar a cualquier cibernauta, cerrar sitios web a su antojo.

Es importante mantenerse informado porque estás leyes tratan de irlas aplicando poco a poco para que un día menos pensado la libertad y neutralidad de Internet desaparezca.

Por el lado de la seguridad, en Internet nadie está seguro, siempre existirá un riesgo no existe la seguridad al 100% no importa cuántos controles se establezcan, pero tampoco es para alarmarse, la seguridad actual es suficiente para que las industrias, organizaciones e individuos sigan floreciendo en la red y por supuesto es necesario seguir invirtiendo en controles y planes de continuidad para que la tendencia siga siendo positiva.

En ocasiones no hay otra alternativa para alzar la voz, cuando gobiernos y corporaciones abusan de su poder y quieren ejercer un control desmedido para proteger sus propios intereses, no así el interés común, la única forma es incurrir en el hacking para hacerse escuchar, cuando ese 1% quiere acallar y someter al 99% alguien tiene que levantarse y proteger los derechos fundamentales online y offline.

Me gustaría cerrar con una cita de la película Piratas del Caribe, que viene muy bien en esta ocasión:

"Perhaps on the rare occasion pursuing the right course demands an act of piracy, piracy itself can be the right course?"

Weatherby Swann

"Tal vez en ocasiones excepcionales perseguir el camino correcto exige un acto de piratería, ¿la piratería en sí misma podría ser el camino correcto?"

Weatherby Swann

Congreso Seguridad en Cómputo 2011

2011-09-03T19:51:00.000-05:00

Congreso Seguridad en Cómputo 2011

La Universidad Nacional Autónoma de México a través de la Subdirección de Seguridad de la Información/UNAM-CERT de la Dirección General de Cómputo y de Tecnologías de Información y Comunicación (DGTIC) organiza el "Congreso Seguridad en Cómputo 2011".

La seguridad de la información es un elemento fundamental para las actividades actuales tanto de individuos como de organizaciones de México y el mundo.

El Congreso Seguridad en Cómputo es un foro encaminado a reunir los puntos de vista y las posturas de investigadores y líderes de opinión en seguridad informática reconocidos mundialmente.

Este evento congrega en cada una de sus emisiones a cientos de administradores de redes y sistemas, responsables de cómputo y de seguridad de la información de diversas organizaciones de los sectores público, privado y académico, entre otros especialistas que influyen en la toma de decisiones; también asisten estudiantes de licenciatura y posgrado.

Todos, con el propósito de conocer y analizar la actualidad en seguridad de la información y cuál es la perspectiva sobre el tema en el futuro cercano.

Durante este evento se imparten cursos de alta especialización sobre seguridad de la información y se desarrollan conferencias magistrales con la participación de destacados especialistas nacionales e internacionales.

En el marco del congreso, se celebran la Reunión Anual de la Red Nacional de Seguridad en Cómputo de la ANUIES (RENASEC) y el Día Internacional de la Seguridad en Cómputo (DISC) promovido por la Association for Computing Machinery (ACM), del cual México es partícipe desde 1994 a través del UNAM-CERT

http://congreso.seguridad.unam.mx/2011/

¿Es posible emplear una computadora con Windows sin Anti-Virus?

2011-09-03T16:09:00.003-05:00

Solo para hacer el experimento de vivir sin Anti-Virus en un equipo con Windows 7, lo hice durante 6 meses y aún sigo sin infección, por supuesto no visito sitios desconocidos, solo sitios de confianza, no doy clicks en correos electrónicos sin antes cerciorarme a donde me llevan, mantengo actualizado el SO, browser y plugins como flash, etc. No inserto USBs que no hayan sido previamente escaneadas o formateadas, no presto mi equipo y los programas que instalo son de fuente confiable.

Creo que todo depende de nuestros hábitos de uso, pero obviamente no es recomendable hacer lo que hice, es mejor mantener un AV actualizado, pero más importante, es tener unos hábitos de uso saludables.

Por cierto un AV recomedable es Blink de la compañía eEye. Más que un AV es una suite completa de protección incluso para Zero Days.

http://www.eeye.com/products/blink

Saludos,

Bitcoins

2011-06-26T15:19:00.001-05:00

Un concepto para seguir de cerca, es dinero virtual P2P, un concepto interesante que no requiere estar respaldado por dinero "real" algo que espanta al régimen, veamos cuanto dura antes de que alguien les invente algo y los saque del aire.

Sent from my Atari 2600

0xc0000034 Ya no entra despues de instalar Service Pack 1 Windows 7

2011-04-12T23:17:00.003-05:00

Al instalar algunas actualizaciones de Windows 7 incluyendo el Service Pack 1 ya no inicia la PC y envía un error como el siguiente:

0xc0000034 !! 142/53007 (_0000000000000000.cdf-ms)

Existe un procedimiento de Microsoft, ya lo probé en varias PCs y jala bien, chequenlo:

http://support.microsoft.com/kb/975484/es

En algunas tuve problemas porque el Sistema Operativo no estaba instalado en C: como regularmente debería estarlo, en algunas lo encontré hasta la unidad "G:" WTF? y en algunas en la unidad D: así que la ruta para encontrar el archivo pending.xml estaría en:

G:\Windows\winsxs\pending.xml

En otras PCs tuve problemas porque para variar el usuario no sabia cual era el password de administrador de la PC para entrar en modo de recuperación del sistema, para estos casos lo que hice es arrancar con un Live CD de Linux como el Almighty Backtrack 4 R2 monté la unidad donde esta instalado Windows, copie el archivo pending.xml a un USB ejecuté el script que proporciona Microsoft en el link anterior y luego copie de vuelta el archivo pending.xml resultante en la maquina con el problema, reinicias y voila! el service pack se termina de instalar.

como brevario culturarl esto sucede porque si su PC estaba retrasada de parches y no los habían instalado, al instalarse el SP1 obliga a reiniciar el sistema, los otros parches reportan que ya hicieron lo suyo y se meten con el log del SP1 y cuando el SP1 busca sus entradas ya no las encuentra y se alarma pensando que algo no salió bien con el proceso y se detiene. Lo que se hace es borrar esta alarma y el SP1 continua.

Cualquier duda pregunten por este medio,

Saludos,

RawCap sniffer para capturar trafico sin necesidad de WinPcap

2011-04-12T23:07:00.000-05:00

Les comparto esta herramienta para capturar tráfico sin necesidad de instalar WinPcap, incluso de la interfaz loopback esto podría ser útil para capturar tráfico antes de que sea cifrado y se transfiera por SSL y ya no puedas "esniffearlo" o que tal si quieres capturar tráfico de un equipo remoto pero no tiene instalado Wireshark o tcpdump? y no lo quieres o no lo puedes instalar? esta herramientita corre sin
necesidad de .dll externos solo requiere el .NET Framework 2 que la mayoría de los Windows lo tienen instalado y solo pesa 17 Kb

Ya lo probé y jala chido, lo único malo (siempre hay algo malo) que no jala bien en Windows 7 y Vista por limitaciones de estos SOs, pero chequenlo vale la pena tenerlo en su arcenal.

En el link verán las sugerencias de Erik Hjelmvik, su segunda sugerencia fue lo primero que se me vino a la mente cuando leí la reseña.

http://www.netresec.com/?page=Blog&month=2011-04&post=RawCap-sniffer-for-Windows-released

¿Qué es un Certificado Digital?

2011-03-28T00:19:00.004-06:00

Me pidieron que buscara definiciones sobre que es un certificado digital y entre varios links la definición que más me agradó fue de Verisign, ya que es corta y entendible, lo único es que estaba en inglés, pero aquí les dejo una traducción:

Definición de certificado digital:

Los certificados digitales proveen los medios para asegurar la identidad en transacciones electrónicas, semejante a como se usa una licencia de conducir o a un pasaporte para interacciones cara a cara. Con un certificado digital puedes asegurar a tus amigos, socios de negocios y servicios online que la información electrónica que reciben de ti es autentica.

Los certificados digitales enlazan una identidad con un par de llaves electrónicas que pueden ser usadas para cifrar y firmar información digital. Un certificado digital hace posible verificar que alguien realmente tenga el derecho de emplear una llave dada, ayudando a prevenir que las personas usen llaves falsas para hacerse pasar por otras personas. Usado en conjunto con cifrado, los certificados digitales proporcionan una solución de seguridad más completa, asegurando la identidad de todas las partes involucradas en una transacción.

Un certificado digital es otorgado por un Certification Authority (CA) o Autoridad Certificadora y firmada con la clave privada del CA.

Un certificado digital típicamente contiene lo siguiente:

La llave pública del propietario
El nombre del propietario
La fecha de expiración de la llave pública
Nombre del otorgante (el CA que otorgó el certificado digital)
El número de serie del certificado digital
La firma digital del otorgante

Los formatos más aceptados para certificados digitales son definidos por el estándar internacional CCITT X.509, de tal forma que estos certificados pueden ser leídos o escritos por cualquier aplicación que cumpla con el estándar X.509. Otras afectaciones se pueden encontrar en los estándares PKCS y el estándar PEM.

Link original en inglés con más definiciones: http://www.verisign.com.au/repository/tutorial/digital/intro1.shtml#step1

IPv4 se acaba en 2011, el mundo en el 2012 vale la pena migrar a IPv6?

2011-02-04T11:23:00.003-06:00

Lo que es seguro es que IPv4 se acaba en 2011 IANA anunció la mañana del jueves en un evento en Miami que había otorgado los últimos bloques de IPv4 que duraran tan solo unos meses.
En cuanto a que el mundo finalice en el 2012 es muy improbable, tal vez ocurran cambios grandes en el mundo, pero de eso a que se terminé realmente no lo creo.

¿Qué significa el fin de IPv4?

Antes de poder responder esta pregunta hagamos algunas definiciones:
Para los que nos son muy técnicos les explico brevemente lo que es una IP o dirección IP o IP address.
La dirección IP: básicamente es un número que identifica a cada computadora en la red Internet y en la mayoría de las redes del mundo ya que es parte del protocolo más empleado para interconectar computadoras entre sí. Por ejemplo supongamos que nosotros queremos realizar una búsqueda en Google y al teclear la dirección http://www.google.com/ nuestra computadora traduce este nombre a una dirección IP (este proceso es realizado por un DNS no precisamente nuestra computadora, pero para efectos de entender una dirección IP no es necesario ahondar en detalles.) por ejemplo una dirección IP de Google es: 66.102.7.104 entonces una vez identificado su "número" nuestra computadora sabe a donde dirigir nuestras peticiones y la computadora de Google sabe dónde regresar la respuesta.

Entonces imagínenese la importancia de que estos identificadores se terminen, ya no podríamos introducir más computadoras a Internet y detendríamos el progreso cierto? bueno esto ya no es un problema tan grave pues desde hace ya varios años se previó que esto iba a pasar y se comenzó a desarrollar un protocolo alterno llamado IP versión 6, la actual versión es la versión 4 o IPv4.

Con IPv6 el número se extiende a un número casi infinito de direcciones IP, pero quién sabe si en 30 años tengamos que migrar a IPv12 porque al igual con IPv4 nadie fue capaz de preveer el crecimiento que tendría el uso de Internet. Esto implica cambios a dispositivos y configuraciones pues el cambio no es tan transparente pues IPv6 no solo tiene un número grande de direcciones sino también es más seguro, entre otras.
La diferencia entre IPv4 e IPv6 en cuanto a números se refiere es el siguiente:
IPv4 es un número de 32 bits lo que nos da 4 billones de direcciones 4.3 x 10 a la 9na potencia(aunque un gran número se desperdicia.)
IPv6 es un número de 128 bits lo que nos da 340 undecillion 3.4 x 10 a la 38va potencia

Apuesto que surgen muchas pregunta, lo que es bueno para que pasen un rato practicando su maestría en Google o su Google-Fu.

En un futuro blog explicaremos cómo es posible localizar el lugar físico de algún usuario o compañía en Internet, que es un tema relacionado y por el cual la gente pregunta mucho.

Les dejo algunos links de referencia:
Protocolo IP
Undecillion
ICAN asigna últimos bloques de IPv4

Con sentimientos encontrados libros electrónicos

2011-01-29T21:20:00.004-06:00

El día de hoy me encuentro entre contento y triste, por la noticia que da a conocer Amazon, donde informa que el formato más popular en Amazon es el formato electrónico sobre libros en papel. En su reporte por cada 100 libros en papel que vende, se venden 143 libros en formato Kindle su popular dispositivo especializado en mostrar libros digitales.
Jeff Bezos CEO y fundador de Amazon también informó que Amazon tuvo su primer cuarto de $10 billones de dólares.

Me siento contento porque cada vez reduciremos más la necesidad de usar papel para los libros lo cual ayuda al ambiente, también me siento contento porque amo a la tecnología y me alegra saber que gana más espacios para el beneficio del hombre.

Pero al mismo tiempo me siento triste porque me gusta ir a la librería, (de hecho acabo de regresar con tres libros) me gusta buscar libros en los anaqueles, platicar con otros lectores, sentarme a leer y tomar un café, preguntarle a los empleados de la librería sobre sus opiniones y recomendaciones, etc. Me gusta llevarme un libro a cualquier lugar sin que me preocupe si hay una toma eléctrica o acceso a Internet.
Estas son las cosas que voy a extrañar cuando llegue el día de que el papel electrónico supere al papel físico, espero ideemos algo para que estás practicas puedan seguirse dando o algo similar para no eliminar el acercamiento humano.

Los dejo con esta frase que me gustó de Jeff Bezos cuando fue cuestionado por la revista Wired si había lugar para el Kindle en un mundo tabletizado, a lo que Jeff respondió:

La aplicación número uno para el iPad hace un par de días que lo verifiqué se llamaba Angry Birds, un juego donde avientas pájaros hacia cerdos y explotan. Lo que está en el número uno para Kindle es Stieg Larsson. Es una audiencia diferente.

Esta frase me hace reflexionar sobre como empleamos un equipo tan sofisticado, con tanta tecnología y millones de dólares en investigación, solo para lanzar pájaros a cerdos que explotan, pero eso sucede todos los días con el Internet, donde pasamos gran parte de nuestros días en el ocio en lugar de aprovechar toda la sabiduría que contiene o con la Biblia en nuestro escritorio sirviendo de portapapeles, en fin así somos los humanos, evitamos el esfuerzo a toda costa, si alguien nos dice que algo es bueno para nosotros, lo dejamos de hacer porque deja de ser algo interesante. Por mi parte trataré de no continuar con estos malos habitos.

El link con la noticia (en inglés)

http://thenextweb.com/industry/2011/01/27/milestone-kindle-books-overtake-paperback-books-on-amazon-com/

Saludos,

Historia de redes sociales

2011-01-26T09:55:00.000-06:00

Viejo yo?

Viejo el email y todavía funciona =)

http://mashable.com/2011/01/24/the-history-of-social-media-infographic/

Qwiki un concepto para seguir de cerca

2011-01-25T12:01:00.002-06:00

En cuanto puedan denle una checada a este sitio, estoy seguro que dará mucho de qué hablar en el futuro cercano. http://www.qwiki.com/ se pronuncia como la palabra quicky en inglés o como sonaría kuiki en español.

Es una mezcla de Wiki, Google, fotopedia, youtube, etc. Lo interesante es que los contenidos son generados por una computadora y no por humanos, el concepto se me hace bastante interesante y a partir de ahora conseguiremos contenidos más ricos y de fácil acceso. Yo creo que solo le falta recibir comandos de voz para que sea como en la película que muestran en el video de introducción, les dejo el link para que lo vean http://vimeo.com/15444551

Saludos,

Un Internet Alterno

2010-12-22T15:48:00.003-06:00

En los últimos días se ha venido hablando mucho sobre el popular y controvertido sitio Wikileaks, donde fuimos testigos de que la libertad de expresión en la red y su neutralidad llegan hasta donde los gobiernos lo permiten y principalmente el estadounidense, pues ejerciendo presión sobre ISP's y compañías de hosting como Amazon lograron sacar del aire a Wikileaks por horas y en ocasiones por días, lo único que lo salvó de desaparecer fue que otros usuarios de Internet comenzamos a crear mirrors para que apoyar a Wikileaks, que nos sirva esto de ejemplo para darnos cuenta de que el Internet realmente no es libre y que realmente necesitamos un sistema alterno que nos permita permanecer en la red a pesar de presiones de gobiernos y corporaciones, estemos atentos y apoyemos estos esfuerzos que se están dando en todo el mundo, uno de estos proyectos está muy apegado uno de los fundadores de thepiratebay.org y otros ingenieros muy experimentados están diseñando el futuro de este sistema, presumiblemente un DNS alterno para que cuando ICANN reciba presiones y tenga que cerrar un sitio, entre el sistema alterno a responder por estas peticiones y de esta forma contrarrestar el poder de gobiernos y corporaciones.

Por supuesto que un Internet sin ley, es una idea que puede ser peligrosa pues podría ser abusado por gente sin escrupulos para publicar cualquier tipo de tonterias, pero si operará como un sistema de votación donde la misma comunidad pueda sacarlos del aire sería genial.

Sin lugar a dudas es un tema que tenemos que poner en la mesa y pensar en soluciones.

Para más artículos sobre el tema consultar:

http://p2pdns.baywords.com/2010/11/30/hello-world/

http://www.theinquirer.net/inquirer/news/1929499/pirate-bay-start-p2p-dns

2009-01-07T18:19:00.007-06:00

¿Cómo mantener mi computadora segura y libre de malware?

Esta es una pregunta que no tiene una única o sencilla respuesta, pues los riesgos y vectores de ataque son muy variados, sin embargo el mantenerse informado es la mejor estrategia para ayudar a minimizar estos riesgos y estar preparados para combatirlos.
Antes de comenzar a dar algunas recomendaciones es importante que sepamos los posibles riesgos y amenazas a los que nuestro equipo de cómputo esta expuesto, así como entender como funciona el Internet y sus tecnologías relacionadas.

Hechos que debes conocer

¿Por qué el Internet es tan inseguro?

El Internet esta basado en confianza. En los años 60’s las computadoras eran del tamaño de cuartos completos y muy lentas para los estándares de hoy, pero ciertamente muy útiles. Para compartir las costosas computadoras y atenuar su escasez alrededor de USA, el gobierno de dicho país se dio a la tarea de crear una red donde los investigadores pudieran usar estas computadoras remotamente, este proyecto se llamó ARPAnet.

La idea de ARPAnet era la de compartir ideas y recursos fácil y eficientemente, se confiaba que los usuarios “jugaran” bajo las reglas y se le dio poca importancia a la seguridad. Esta red se convertiría a la postre en lo que hoy es el Internet, de hecho muchas de las tecnologías de aquella red continúan en uso hasta nuestros días.

Cuando el Internet comenzó a emplearse para realizar transacciones comerciales y enviar información que se traducía en alguna forma de activo, la seguridad comenzó a tomar importancia en Internet y nuevas tecnologías han surgido para tratar de contrarrestar la inseguridad inherente de la red.

Otro hecho que es muy importante que conozcas lo expondremos con una analogía. Supongamos que estás en la sala de tu casa charlando con alguien, cualquier persona que se encuentre dentro de la sala o incluso en cuartos aledaños podría escuchar tu conversación y si las ventanas están abiertas gente que pase por ahí también podría estar escuchando tu charla, si requieres privacidad van a otro cuarto y cierran puertas y ventanas.

El Internet funciona más o menos de la misma forma excepto que el cuarto es mucho más grande, cuando envías un email, visitas un sitio Web o chateas con alguien la información no viaja directamente a la computadora de tu interlocutor, en lugar de eso la información viaja de una computadora a otra y a otra, muchas veces de país en país hasta que eventualmente llegar a la computadora que haya sido destinada para recibirla. Piensa en todas estas computadoras como el “cuarto de Internet”.

Cualquier persona o mejor dicho cualquier programa en ese “cuarto de Internet” puede escuchar la conversación que se esta llevando a cabo, ¿por qué? Porque tal y como pasa en la sala de la casa, la información que se intercambia no esta oculta o modificada de ninguna forma, aunado a esto pasa por muchas manos antes de llegar a su destino.

¿Pero por qué querría alguien atacar la computadora de mi casa?

La computadora de casa es un blanco popular de ataques, porque los intrusos quieren lo que esta almacenado en ellas, no solo buscan números de tarjetas de crédito, cuentas bancarias, información de tu empresa que pueda convertirse en dinero para ellos, sino también buscan los recursos de tu computadora como son el disco duro, el procesador o la conexión de Internet. De hecho entre más computadoras el intruso emplee más difícil será para las autoridades dar con el origen de un ataque, ya que usaran otras computadoras para desde ahí lanzar ofensivas a otros sistemas lo que dificulta la detección del origen real del ataque, si los intrusos no pueden ser encontrados, no podrán ser detenidos.

Los intrusos saben que las computadoras de casa por lo regular son las más vulnerables e inseguras y por lo tanto fáciles de “crackear”. Una vez que se apoderan de tu computadora la usan para comenzar a atacar otras computadoras, enviar correos Spam o bien las convierten en zombies para realizar ataques masivos del tipo Denegación de Servicio.

Si empleas una conexión a Internet que siempre este “encendida” como la conexión de Internet por cable o el aDSL (como Infinitum en México por ejemplo) será más interesante para los atacantes, pero realmente no importa cómo te conectes a Internet una vez conectado estas expuesto a convertirte en una victima de los intrusos.

Todos los días tal vez sin que tú te des cuenta hay individuos de todas partes del mundo que están evaluando las vulnerabilidades de tu computadora y buscando como pueden entrar a ella por algún medio.

¿Y cómo pueden los intrusos entrar o crackear mi computadora?

En algunos casos envían emails con virus, envían archivos vía Messenger, descargas, memorias USB infectadas o páginas Web con virus, en otros casos aprovechan las vulnerabilidades en el sistema operativo o en los programas que tienes instalados en tu computadora para tener acceso.

Generalmente una vez dentro de tu computadora instalan programas que les permiten continuar accediendo al sistema aún cuando se haya removido el virus o corregido la vulnerabilidad que originó la intrusión, a este tipo de programas se les llama backdoors o puertas traseras, estos programas son ingeniosamente ocultados dentro de otros programas que se ejecutan en tu computadora y muchas veces no son fácilmente detectables.

Toda esta información podría ponerte un tanto paranoico al usar la computadora y conectarte a Internet, pero te aliviará el saber que siguiendo estas recomendaciones podrás mantenerte seguro en el turbulento Internet.

Una analogía viene bien para algunas de las recomendaciones que exponemos a continuación.

Por ejemplo vamos a imaginarnos que nuestra computadora es como nuestra casa o apartamento y las cosas que en ella existen.

¿Que has hecho y haces rutinariamente para mantenerla protegida?
Instalas cerraduras, candados que emplean llaves – usas passwords
Instalas protecciones a ventanas, filtros de insectos – usas antivirus
Instalas cercas, paredes – empleas Firewalls
Aseguras tus bienes – Realizas backups
No invitas gente que no sea de tu confianza – no descargas, instalas programas o recibes mails de dudosa procedencia

Las recomendaciones son las siguientes:

1.- Instalar Antivirus y mantenerlo actualizado
2.- Mantener actualizado el sistema operativo y las aplicaciones que se tengan instaladas
3.- No descargar, instalar, seguir links o leer email de dudosa procedencia
4.- Instalar un Firewall (este puede estar incluido en el software antivirus)
5.- Realizar backups de archivos importantes
6.- Emplear passwords robustos y cambiarlos periódicamente
7.- Emplear software de cifrado y controles de acceso
8.- No publicar información demasiado personal en sitios de social networking como Facebook, MySpace, Hi5, etc.
9.- Mantenerse informado sobre el funcionamiento de tu equipo, las actuales amenazas y riesgos.

Links Útiles

ARPAnet
http://es.wikipedia.org/wiki/ARPANET
Crackear
http://es.wikipedia.org/wiki/Crackear
SPAM
http://es.wikipedia.org/wiki/Spam
Denegación de Servicio
http://es.wikipedia.org/wiki/Denegaci%C3%B3n_de_servicio
aDSL
http://es.wikipedia.org/wiki/ADSL
Prodigy Infinitum
http://www.telmex.com/mx/hogar/in_infinitum_pyp.html
Vulnerabilidades
http://es.wikipedia.org/wiki/Vulnerabilidad
Backdoor
http://es.wikipedia.org/wiki/Backdoor
Firewall
http://es.wikipedia.org/wiki/Cortafuegos_(inform%C3%A1tica)

La moraleja de este artículo es:
Mantengase informado en lo que más pueda en todo lo relacionado a la seguridad informática ya sea usuario casero o usuario empresarial.

En abrazo y lo mejor para el presente año!!

DaN'S Heroic Act

2008-07-10T22:46:00.008-05:00

El Martes 8 de Julio del 2008 ha asegurado su lugar en la historia de la informática, pues en este día los principales proveedores de sistemas DNS como BIND, Cisco, Microsoft, Sun Microsystems, han coordinado esfuerzos y liberado un parche para sus respectivos productos en el mismo día, tal coordinación jamás se había visto, pero esperemos que no sea la última vez que lo veamos, estos parches en respuesta a la vulnerabilidad encontrada por el investigador en seguridad informática Dan Kaminsky en Marzo pasado.
Antes de entrar más a detalle en la nota y para que puedan apreciar trascendencia y la magnitud del problema del cual Kaminsky nos ha librado permítanme platicarles lo que es y las funciones que realiza un sistema DNS.
Pues bien un sistema DNS acrónimo de Domain Name System es un servidor que se encarga de traducir las direcciones IP a nombres que los humanos podamos recordar con facilidad, por ejemplo para buscar en internet sabemos que podemos teclear www.google.com en lugar de aprender una dirección IP como: 74.125.19.104.
Así que uno de los pilares de Internet es el sistema DNS, si este sistema falla, no podremos entrar a sitios de internet, nuestros correos electrónicos no llegarían a su destino, entre otras calamidades. Tal vez peor es que si alguien tiene el control de este sistema y hace mal uso del mismo podría redireccionarnos a servidores a su antojo, por ejemplo cuando yo quiera ir a la página web de mi banco digamos IXE cuando teclee en mi computadora www.ixe.com.mx en realidad estaré accediendo a la computadora del atacante y proporcionando mis claves de acceso.
Así pues quién tenga el control de la resolución de nombres dominará al mundo!! Bueno ok, tal vez exagero... o, ¿tal vez no?.

Ok una vez aclarado el punto de la importancia de los DNS continuemos, desde el pasado Marzo Dan encontró la vulnerabilidad por accidente y más que afectar a un fabricante en especial, la vulnerabilidad afecta al protocolo en sí, pues es un error de diseño, los ataques al sistema DNS no son nada nuevos pero aparentemente lo que Dan encontró es algo que realmente preocupó a los 16 fabricantes quienes después de la conferencia telefónica con Kaminsky se pusieron a trabajar en sus respectivos parches para tenerlos listos en la fecha consensada, el 8 de Julio.
El otro aspecto de gran relevancia en este asunto es que Dan Kaminsky es un verdadero Héroe, pues pudo haber ganado cientos de miles de dólares o tal vez millones al vender la vulnerabilidad a cada uno de los fabricantes, o a las empresas que se encargan de liberar "Zero Day's", lucrar por su propia cuenta, ofrecerla al mercado negro donde los Spamers lo pagarían como oro, o bien hacer todo lo anterior para obtener mayores ganancias, sin embargo actuando con un alto grado de ética y profesionalismo acudió a los fabricantes y les dio bastante tiempo para que publicaran el parche y aún después del parche se ha negado a dar detalles técnicos sobre la vulnerabilidad sino hasta dentro de un mes cuando exponga los detalles en la conferencia Black Hat 2008 el próximo 7 de Agosto. También dio aviso al US CERT para alertar al mundo sobre el hecho.
Realmente lo considero un acto heroico pues imagínese querido lector que hubiera optado por simplemente liberar los detalles técnicos de la falla, ya no digamos al mundo sino a cierto grupo, este grupo tendría el control de virtualmente cualquier DNS del mundo, lo que equivaldría haciendo una analogía con el mundo físico, como si alguien pudiera controlar los números telefónicos del mundo, que en vez de llamar al banco realmente usted esté llamé al número que él decida pudiendo ser el de un estafador, o podría escuchar mis conversaciones telefónicas, llamarle a todos mis contactos, etc.
Sin duda Dan Kaminsky ha ganado su lugar en el salón de la fama del Hacking, aunque ya lo hemos venido siguiendo desde hace tiempo con sus participaciones en libros como "Hack Proofing Your Network", o "Stealing The Network: How to Own the Box" o bien mediante las excelentes herramientas de hacking como "Paketto Keiretsu". Pero con esta muestra de sus principios definitivamente estaremos agradecidos de que sea un verdadero Hacker White Hat.

La moraleja es para todos los administradores que operan sistemas DNS, apresúrense a parchar sus sistemas pues en los próximos meses estaremos viendo ataques del tipo cache poisoning entre otros una vez que se conozcan los detalles técnicos y comiencen a aparecer los exploits.

Gracias por su tiempo,

Cuídense!!

Links de interés:
DNS
http://es.wikipedia.org/wiki/Dns

Dirección IP
http://es.wikipedia.org/wiki/Direccion_IP

BIND
http://es.wikipedia.org/wiki/BIND

Cisco DNS
http://www.cisco.com/en/US/tech/tk648/tk362/tk167/tsd_technology_support_sub-protocol_home.html

Microsoft DNS
http://technet2.microsoft.com/windowsserver/en/technologies/featured/dns/default.mspx

Sun Microsystems DNS Advisory
http://sunsolve.sun.com/search/document.do?assetkey=1-26-239392-1

Dan Kaminsky
http://www.doxpara.com/?page_id=1159

Exploit
http://es.wikipedia.org/wiki/Exploit

Zero Day
http://en.wikipedia.org/wiki/Zero_day_attack

Black Hat 2008
http://www.blackhat.com/

US CERT
http://www.us-cert.gov/

Hack Proofing Your Network
http://www.amazon.com/Hack-Proofing-Your-Network-Second/dp/1928994709

Stealing the Network: How to Own the Box
http://www.amazon.com/Stealing-Network-How-Own-Box/dp/1931836876

Paketto Keiretsu
http://www.doxpara.com/read.php/code/paketto.html

White Hat
http://en.wikipedia.org/wiki/White_hat

DNS cache poisoning
http://www.seguridad.unam.mx/labsec/tuto/?id=133&ap=articulo&cabecera=2

Open Source es el camino.

2007-09-13T19:09:00.000-05:00

Puedes ahorrarte algunos minutos en leer el artículo completo y solo leer la siguiente línea:
Aprende, usa, colabora, ayuda y recomienda proyectos Open Source, esto será benéfico para ti en diferentes áreas entre ellas la económica.
Pero si tienes curiosidad y un poco de tiempo para leer el porque lo creo así, eres bienvenido a continuar leyendo.

Recuerdo hace unos 10 años que se mencionaba en la industria que los mejores programadores eran hindúes y mexicanos, independientemente de que esto sea cierto o no, ahora 10 años después veo con tristeza y hasta un poco de rabia, como desaprovechamos la oportunidad que teníamos en ofrecer servicios técnicos y de ingeniería, en especial al mercado más grande del mundo, que es el estadounidense, debimos aprovechar nuestra cercanía, nuestro conocimiento de la cultura de negocios anglosajona y nuestra pronunciación que sin ser perfecta la prefieren por encima de la de otros países como la India, China, entre otros.

Pero nuestros políticos tienen tanto trabajo que no pueden planear a futuro pues se la pasan peleando y resolviendo problemas emergentes que nunca se tendrían si alguien se hubiera tomado la molestia de prever problemas y planear acciones. Pero como soy un ignorante en la materia de política mejor cambio el tema y les continúo contando mi teoría acerca del código abierto. Primero comencemos con definir de forma simple lo que es el código abierto u Open Source, así iremos avanzando hasta llegar a una conclusión.

Pues bien Open Source según Wikipedia es: “Conjunto de principios y prácticas que promueve el acceso al diseño y producción de bienes y conocimiento.
El término es comúnmente aplicado al código fuente del software que esta disponible al público en general con relajadas o inexistentes restricciones de propiedad intelectual, esto permite a los usuarios crear software a través de esfuerzos incrementales individuales o a través de la colaboración.”
Existen dos movimientos Open Source y Free Software que aunque tienen muchas similitudes son diferentes, según la Free Software Foundation. "Open Source es una metodología de desarrollo de software mientras que Free Software es un movimiento social."

Independientemente de la controversia que existe entre Free Software y Open Source lo que nos interesa en este artículo es principalmente la colaboración, el conocimiento y el desarrollo que se puede alcanzar cuando puedes observar y analizar lo que alguien más a escrito u hecho, puedes preguntar, puedes aprender, puedes crear y colaborar con nuevos contenidos y compartirlos para que el ciclo continúe.
Esto alimenta la creatividad y desata un gran potencial, que en los últimos años ha dado vida a grandes proyectos y compañías que no hubieran podido concebirse sin el Open Source, más adelante daremos ejemplos vivos de esto.

Pero ¿cómo nos beneficia esto a los mexicanos y/o latinoamericanos?
Un problema grave que compartimos los latinos es la falta de empleo y empleo bien remunerado en nuestros propios países, Free Software/Open Source podría ayudar a minimizar estos rezagos, pues ayuda a generar empleos, ayuda a las empresas e individuos a ser más productivos, lo que conlleva al desarrollo.

El principal problema de las PyMEs es la falta de inversión en tecnología pues se piensa que estas son caras y una empresa que apenas comienza no tiene la fluidez para poder adquirir tecnología.
Las necesidades básicas y no tan básicas de las PyMEs pueden ser subsanadas con Open Source.
Mencionemos algunas de ellas.

Necesidad: Telefonía; Las empresas requieren esta importante tecnología, para comunicarse con sus clientes
Solución Open Source: Asterisk - Trixbox

Necesidad: Computadoras Personales; Las PCs son necesarias para la administración de la información en la empresa, procesadores de texto, hojas de cálculo, bases de datos de escritorio, programas para la administración de clientes, etc.
Solución Open Source: Linux como sistema operativo, Open Office como suite de oficina.

Necesidad: Servidores de Red; Información y control centralizados son necesarios para una mejor operación en empresas de cualquier tamaño.
Solución Open Source: Linux como sistema operativo servidor

Necesidad: Routers, Firewalls; PCs que no están conectadas en red son poco útiles hoy en día.
Solución Open Source: Vyatta, iptables

Necesidad: Sitio Web, correo electrónico; Para que sus clientes sepan de sus servicios una herramienta imprescindible es un sitio Web y para mantenerse comunicado con sus clientes, el correo electrónico.
Solución Open Source: Linux, Apache, PHP, MySQL

Estos son solo algunos ejemplos de cómo el open source puede cubrir y exceder por mucho las diversas necesidades de las PyMEs y aún grandes corporativos, a un costo muy reducido.

El inconveniente principal de que estas tecnologías no hayan florecido como deberían es por el desconocimiento, muchas universidades y escuelas técnicas aún enseñan los productos más comerciales por ejemplo tecnologías Microsoft y se olvidan por completo del Open Source o si lo enseñan solo es por “encimita”, lo cual no es suficiente.
Con esto no estoy tomando una posición radical que muchos otros toman de “muera el Closed Source” porque estas compañías aún emplean a millones de personas directa e indirectamente y si esto se termina, pues todos ellos tendrían que buscar otro empleo y no sería bueno para nadie.
Lo que creo es que le deberíamos poner un interés mucho más amplio a estas tecnologías que podrían ayudarnos en mucho a todas las empresas e individuos.

Los beneficios del Open Source no son solo económicos sino también culturales, en esencia el Open Source es comunidad y comunicación, algo que la cultura latinoamericana en su mayoría no tiene muy desarrollado, como muestra basta un botón.
Wikipedia en su página principal hace un resumen del número de artículos publicados en los diversos idiomas del mundo en inglés existen más de 2 millones de artículos contra apenas 278,000 artículos en español ocupando el penúltimo peldaño, el último lo ocupa el idioma Sueco el cual solo lo hablan 9.3 millones de personas en el mundo contra el español que es hablado nativamente por 400-500 millones de personas arriba del inglés que lo hablan aproximadamente 380 millones de forma nativa. Esto nos da una muestra de que tanto participamos, nos comunicamos y organizamos.
Obviamente el lector pensará, bueno no muchas personas que hablan español tienen acceso a la computadora ni mucho menos al Internet, y esto es cierto pero aún así la participación debería ser mucho mayor. Esto a mi parecer es un problema cultural más que de recursos, simplemente no estamos acostumbrados a participar, a compartir, a asociarnos.
Así pues los beneficios que se obtienen al aprender, usar y recomendar Open Source incluyen beneficios económicos ya que ahorraremos en licenciamiento por ejemplo para que una persona de oficina pueda redactar escritos, hacer cotizaciones en una hoja de calculo y enviar emails se gasta aproximadamente (solo software):
Microsoft Windows Vista y Microsoft Office: entre 400 y 800 usd
Antivirus $35 usd aprox.
Cuando puede obtener algo aproximado por casi nada.

Beneficios de colaboración y cambio de mentalidad, pues una vez entrando al mundo del Open Source es necesario formar parte de una comunidad que nos apoye a solucionar problemas y sacar mayor provecho a la tecnología, aprendemos a buscar información y ayudamos a otros a hacer lo mismo, automáticamente somos motivados a participar y ayudar a los demás así como nosotros recibimos ayuda de otros.

Creatividad, al conocer de una mejor forma como funcionan las computadoras y todo lo que podemos hacer con ellas, nos despierta la creatividad.

La creatividad nos lleva a la creación de empresas que cubren una necesidad que nosotros alguna vez experimentamos e ideamos algo para cubrirla, ahora la podemos vender, recuerda que Open Source no necesariamente significa que todo lo que hagas tiene que ser gratuito, siempre podrás lucrar con esta tecnología.

Siguiendo la línea de este último beneficio, también encontramos que ofreciendo nuestros servicios de consultoría y soporte técnico a empresas e individuos que aún están por adoptar o ya han adoptado estas tecnologías, también podemos obtener beneficios económicos.

Grandes empresas cuya existencia no se podría explicar sin el uso del Open Source:
Red Hat que en el 2006 obtuvo 278.3 millones de dólares en ingresos y cuenta con 2200 empleados
Google quién en el 2006 obtuvo 10.604 billones de dólares en ingresos y cuenta con 13 mil empleados
Wikipedia sin ser una empresa con fines de lucro ha entrado a nuestras vidas y nos ayuda día a día a encontrar información y respuestas que de otra forma sería muy difícil.
Es importante no confundir ingresos con ganancias, pero aún así el potencial es enorme.

Así que lo que resta es aprender, como siempre el alivio a muchos de nuestros males es la educación, nosotros en Tsares estamos aportando cursos gratuitos y artículos técnicos para ser participes de este movimiento, pues entre más personas se unan más beneficios se obtendrán.

Encuentra los cursos y artículos en http://community.tsares.net

La moraleja pues de este artículo es:
Aprende, usa, colabora, ayuda y recomienda proyectos Open Source, esto será benéfico para ti en diferentes áreas.
Contrario a lo que se piensa Linux y diversas tecnologías Open Source son fáciles de aprender y operar, no se requieren conocimientos previos, todo se puede ir aprendiendo conforme se avanza, así que no hay por que temer, estos cursos deberían ser impartidos a todos los alumnos desde la primaria y en la secundaria todos los alumnos deberían desarrollar algún proyecto, lamentablemente para esto aún le falta mucho, he notado que le tenemos mucho miedo a esto pues no es tan amigable como lo son los productos comerciales, pero créanme que no es nada difícil solo necesitamos más interés y tal vez alguien nos guíe paso a paso y nos explique de forma fácil y amena, esto es lo que Tsares intentará hacer en el futuro y de forma gratuita.
En el mercado americano hay una gran demanda de técnicos e ingenieros que conozcan la tecnología Open Source y lo mejor de todo es que se puede trabajar de forma remota, puedes administrar sus servidores o realizar sus programas desde casa y ellos te pagarán en dólares, no tienes porque irte para allá si no quieres y aún tener un buen ingreso, así que hay suficiente motivación para que comiencen a aprender esta tecnología.

Los movimientos de Open Source y Free Software van más allá de desarrollo de software, ahora existen proyectos de ingeniería y construcción basados en la filosofía Open Source y en muchas otras áreas.

Para resumir la idea lean lo siguiente:

En Octubre del 2002 Craig Barrett aún CEO de Intel Corp. dijo en un evento en donde se encontraba el entonces presidente de México Vicente Fox.

Países que quieran competir en la economía digital del mañana invertirán en educación y tecnologías de la información y las usaran para crear los productos y servicios del mañana.

Tenemos que enseñarle a los jóvenes a desarrollar destrezas tecnológicas que les ayuden a ser competitivos en la economía digital y que vean por ellos mismos lo excitante que puede ser la computación y el Internet.

Tenemos que evolucionar a México de una base de manufactura a un centro de innovación donde la tecnología sea creada en México.

Sin más me despido,

Hasta pronto.

Links relacionados:
Free Software Foundation
http://www.fsf.org/
Open Source según Wikipedia
http://en.wikipedia.org/wiki/Open_source
Open Office
http://www.openoffice.org/
Asterisk
http://www.asterisk.org
Trixbox
http://www.trixbox.org
Linux
http://www.linux.org
Vyatta
http://www.vyatta.com/
iptables
http://www.netfilter.org/
Apache
http://www.apache.org/
PHP
http://www.php.net/
MySQL
http://www.mysql.org/
Código cerrado
http://es.wikipedia.org/wiki/C%C3%B3digo_cerrado
Microsoft Windows Vista
http://www.microsoft.com/windows/products/windowsvista/default.mspx
Microsoft Office
http://office.microsoft.com
Kaspersky Antivirus
http://www.kaspersky.com/
Red Hat
http://www.redhat.com/
Tsares Community
http://community.tsares.net/
Craig Barrett
http://en.wikipedia.org/wiki/Craig_Barrett_(Intel_Chairman)
Inter Corporation
http://en.wikipedia.org/wiki/Intel_Corporation