tabo :: para todos y para nadie

Buena tele

2008-09-04T16:04:00.003-05:00

Esto acaba de hacer que me ría. MUCHO.

Bueno, nunca tan gracioso como esto:

Cualquier comparación con los Monty Python siempre es injusta (aunque en este caso inevitable).

Aunque la verdad es que esto si hizo que llore de risa cuando lo vi por primera vez (hay que ver los dos videos juntos que es una escena contínua).

Así si vale la pena ver TV.

(Infinitas gracias a Arturo por encontrar el video de las series of tubes, lo venía buscando hace tiempo, tu recompensa de 5 internets será enviada por IPoAC)

Twiteando sin twitter

2008-09-03T22:05:00.004-05:00

Temprano en la oficina, meetings todo el día... a desempolvar el inglés.

HAMBRE. Sin desayuno ni almuerzo. Descartando opción de delivery porque implica PARARME a abrir la puerta.

Falsas promesas de pollo y minigolf. No hay minigolf. La flojera puede mas que el hambre y el pollo.

Tirado en el sofá pasando rápidamente las 2000 entradas sin leer de mi google reader. Necesito mas almohadas. Naturalmente olvidaré comprarlas los próximos 3 años.

PANTS STATUS: OFF

Se fue el hambre, pero vinieron ganas de salir con buena compañía: Expert C Programming.

Banquita. Frío. Oscuro. Por qué no son así todos los días? Por qué no nací en Transilvania? Lima es maravillosa en Invierno. Debería llover un poco.

Lluvia! woo! Solo falta una cosa....

Reviso los árboles cercanos por laser monkeys. La lluvia los despierta. Tampoco detecto zombies ni velocirraptors.

El celular me pica en el bolsillo. No se por que lo saqué. Ya son casi las 9:30pm, hay que comer algo antes que todo cierre. Hoy es noche de Bodegón.

En el camino me topo con lo que parecía ser un zombie, pero era un pobre diablo con look "emo". This kid fails at life. Hard.

Llego al Bodegón. Hace un tiempo que Angela no está, y no se como se llama la chica nueva.

Detesto comer solo :( Prefiero no comer a comer solo...

No hay revistas cerca, lo único a la mano es el muestrario de vinos. En el próximo Bodegonazo pediré un vino, a menos que vaya solo :/

Pechuguita con puré. Como nunca, ando pendiente del celular. Coca cola. Entran parejas a comer. No importa, mi libro de C es mas interesante que todos ellos.

"C code. C code run. Run code run... please!" Me mato de risa en mi mesa. Me encantan los "software dogmas" de este libro.

Dibujo el mago del libro con crayolas. Es un desastre asi que la caleteo dibujándole un light saber. Listo! Ahora es Darth Sidious con la gorrita de Merlín. Great Success!

Pastel de acelga para llevar.

Saliendo del Bodegón, la lluvia casi ha parado, lo que da un aspecto mas gloomy a Miraflores. Así deberían ser todos los días! Necesito irme a un lugar sin veranos.

Oficina. Sofá. Pastel de Acelga. Futurama. Björk y su Glin-Gló.

PANTS STATUS: OFF

Great Success!

Por qué andamos tan mal?

2008-08-27T10:50:00.003-05:00

Conversando en IRC con diegoe y Blackhand sobre los GRANDES PROBLEMAS NACIONALES:

10:53 ( tabo) la gente de letras es increíblemente huevera

- tabo, Agosto 27, 2008

Presentacion: Python en el Dynamic Developer Day

2008-08-23T01:14:00.006-05:00

Presentación que di en el Dynamic Programming Day 2008:

(download: PDF/PPT) - En el ppt se pueden ver las notas que preparo. La verdad que los slides los hice para acompañar una conversación con los asistentes, por si solos no valen gran cosa, y como menciono en una de las notas: mi intención con la presentación es inspirarlos y/o ofenderlos (en el buen sentido), no repetir de paporreta cosas que pueden encontrar en Internet, si no compartir mi experiencia y mis impresiones personales.

Espero ver pronto las otras presentaciones, mientras tanto, ya está en línea la presentación de Rails de Alvaro Pereyra, que según me comentaba Antonio compensó los nervios con una presentación excelentemente preparada (y que lamentablemente me perdí).

Share and enjoy.

Tutoriales: Aprendiendo DNS

2008-08-20T15:24:00.002-05:00

Ya que recibo frecuentemente preguntas sobre el funcionamiento de DNS debido a los artículos que estuve escribiendo recientemente, cumplo con señarles dos guías sobre el tema, cada una dirigida a una demografía distinta:

An illustrated guide to the Kaminsky DNS vulnerability por Steve Friedl
DNS for fucking idiots and people who like MS Paint comics (loldongs)

Share and enjoy.

Porque traducir software es una mala idea

2008-08-18T22:23:00.005-05:00

Soy de la opinión, no muy popular (pero cuando me ha importado eso), que traducir software, sobre todo software que no esta dirigido a ser usado por la abuelita, es un desperdicio de recursos de ingeniería. En vez de dedicar recursos a traducir, los usuarios deberían aprender inglés, algo que les servirá para muchas cosas más de todas maneras.

Y en un área en la que me parece un crimen el usar algo traducido, es el shell de UNIX. Cuando dictaba clases de sysadmining, una de mis primeras recomendaciones era el usar el idioma por defecto (inglés) en los servidores, entre otras razones porque si hay algun mensaje de error se puede copiar el mensaje en google y ver una respuesta útil, sin toparse con los "XDDDDDDD"s tan habituales en las listas en español. Otra razón es que hay muchos scripts cortos y sentencias que se ejecutan de memoria que simplemente NO PUEDEN FUNCIONAR en un shell que no sea como $DEITY manda (o sea en inglés).

Por ejemplo esto que acaba de suceder en #linuxperu, pregunton (nombre editado para proteger su reputación) lleva un buen rato con problemas, y sucede esto:

22:11 ( tabo) pregunton: haz un netstat en tu server y fijate que los servicios esten escuchando en la interfaz correcta y no solo en localhost
22:12 ( pregunton) ahi si me tendrías que ayudar, no voy a decir que se cuando no se
22:15 ( tabo) pregunton: en tu server, no en el fw
22:15 ( tabo) pregunton: antes de ver roches en tu fw fijate si tu server esta sirviendo mas alla de localhost
22:16 ( pregunton) tabo: perfect, eso lo haría con un netstat y que busco o grepeo?
22:17 ( tabo) netstat -na | grep LISTEN
22:17 ( tabo) pega eso en un paste bin y pasame el link
22:17 ( pregunton) andres@rootbox:~$ netstat -na | grep LISTEN
22:17 ( pregunton) andres@rootbox:~$
22:18 ( tabo) ese es el problema :)
22:18 ( tabo) no era tu pobre zyxel
22:18 ( pregunton) es el apache que no está bien configurado?
22:18 ( pregunton) tabo: jeje, gracias
22:19 ( BlackHand) uhm
22:19 ( BlackHand) el apache, la madre patria no esta escuchando nada ? ni localhost ? los unix sockets ?
22:19 ( BlackHand) cups, avahi ?
22:19 ( pregunton) BlackHand: pero y como así puedo entrar al apache por 192.168.1.34?
22:19 ( BlackHand) on tan ?
22:20 ( tabo) BlackHand: si te sale eso no deberias poder entrar
22:20 ( tabo) err pregunton
22:20 ( tabo) pregunton: pega todo el netstat -na de tu server a rafb.net/paste
22:20 ( pregunton) mmkay
22:22 ( pregunton) http://rafb.net/p/djzkWW74.html
22:24 ( tabo) LINUX EN ESPAÑOL
22:24 ( tabo) DIE
22:24 ( tabo) no te ayudo mas
22:24 ( pregunton) :S
22:24 ( BlackHand) heh
22:24 ( tabo) BlackHand: todo tuyo
22:25 ( pregunton) tabo: el tema es instalarlo en inglés?
22:26 ( pregunton) le cambio de idioma pues
22:26 ( BlackHand) pregunton: uhm digamos q hay personas a las q nos duelen los ojos cuando vemos mensajes de diagnostico en español
22:26 ( pregunton) BlackHand: ok, reinicio

DEAR PEOPLE OF THE INTERNET: aprendan inglés :-) Y recuerden, si no tienen su software en inglés, están fuera de MI garantía y soporte.

Vulnerabilidad DNS en Peru

2008-08-07T03:33:00.004-05:00

Y se hizo público oficialmente (y con mayor detalle) el problema de la vulnerabilidad de DNS que comentaba el mes pasado.

En resumen:

1) El problema es bastante mas serio de lo que muchos pensábamos.
2) Muchos servidores en Perú parcharon, especialmente los que mas me preocupaban que eran los de Speedy (que son usados por mas del 70% de usuarios en el país: aparentemente movieron parte de su infraestructura al CNS de Nominum).

De todas maneras, y dada la complejidad de DNS, existe la posibilidad de ser vulnerable asi el ISP haya parchado. Lamentablemente este es un excelente momento para hacer dinero como blackhat.

Un video de como se fueron actualizando los servidores de DNS:

Wall-E es una obra maestra

2008-08-02T17:09:00.004-05:00

Si bien en Lima la calificaron como película que solo interesaría a niños y no había cine con versión subtitulada, Wall-E es una película EXTRAORDINARIA, desde los homenajes al 2001 de Kubrick hasta esa ternura digna de Pinocho. Excelente sci-fi, personajes maravillosos, una calidad gráfica que es un nuevo logro hasta para la misma Pixar, hacen que este sucesor de Frankenstein, Blade Runner, E.T y Pinocho, se convierta en una película redonda. Un nuevo clásico que hasta hace que uno se olvide de la sermoneada ecologista.

Disney (Pixar es parte de Disney) no sacaba una película tan buena desde Pinocho: les tomó casi 70 años hacerlo, pero como decíamos en la universidad, han hecho algo Demasiado Superior.

Y comentaba saliendo del cine algo que vi en los "bonus" del dvd de Pinocho: cuando diseñaron los personajes de Pinocho y Pepe Grillo, desecharon los bocetos iniciales del niño de madera y el insecto porque "nadie podría quererlos", así que se fueron por un niño que lo único que tenía de madera era las articulaciones, y un hombrecito pequeño que no tenía orejas. En wall-e el protagonista es un robot metálico que ni puede hablar (como R2D2) y una cucaracha, y logran ser tan o mas enternecedores que Pinocho.

Voy a recompensar a Pixar comprando todos los muñequitos de Wall-E y EVE que caigan en mis manos, que serán obviamente para mi hijo. Je.

En conclusión: vean Wall-E, y vean Pinocho.

tags: wall-e

AWESOMENESS

2008-08-02T00:47:00.000-05:00

No es fácil ser awesome.

A veces la gente se pregunta "why so awesome?"

La verdad es que cuando uno esta triste, lo mejor que se puede hacer, es ser MAS awesome:

Posiblemente no tanto como para hacer un monumento,

hay niveles de awesomeness que no se pueden superar.

O si?

La verdad es que es difícil describir lo que es awesome, hay intentos mas sencillos para explicarlo, pero la mejor manera de saber si algo o alguien es awesome es que alguien calificado lo diga, por ejemplo alguien que haya seguido a zefrank y que tenga un certificado vigente de la League of Awesomeness.

En caso contrario, todos pueden ser awesome al menos un día al año.

Y aunque un nivel excesivo puede ser peligroso y hasta provocar ceguera por sobreexposición al awesomeness,

there is no charge for awesomeness, or attractiveness.

tags: awesomeness

AUSENCIA

2008-07-27T23:57:00.001-05:00

Carta al Banco de Crédito del Perú BCP

2008-07-21T01:57:00.007-05:00

Querido Banco de Crédito del Perú:

Tenemos una relación de años, muchos años. La primera cuenta de ahorros que tuve, cuando tenía una edad de una cifra, fue contigo, en una libreta de ahorros (no tarjeta!) con una bandita magnética. Durante los años del terrorismo, y gracias a que mi casa queda a metros de una de tus agencias, tuve que cambiar las lunas mensualmente por los bombazos que te dejaban, pero lo superamos juntos. Años despues trabajé contigo en Santa Patricia. Luego, cuando te dejé, seguí con la camiseta puesta y usaba tus productos, incluso la primera tarjeta de crédito que tuve fue contigo. Y cuando alguien usó mi sueldo para pagar las cuentas de una fábrica, no solo me llamaste por teléfono antes que me diera cuenta para avisarme que algo raro pasaba con mis cuentas (qué otro banco hace esto?), si no que me devolviste cada centavo. Años despues volví a tí como proveedor, de servicios que solo tu y yo sabemos y que no son de incumbencia de nadie más.

Si nos ha ido juntos tan bien, entonces por qué tu área de tarjetas de crédito es un desastre?

Durante años la única tarjeta de crédito que usé fue una American Express que saqué contigo y que tenía suficiente línea de crédito para cubrir cualquier eventualidad. Cada vez que me llamaban de otros bancos para ofrecerme otra tarjeta de crédito, rechazaba la oferta. No estaba interesado. Recién el año pasado saqué una visa con otro banco por 2 razones: un buen amigo trabajaba en la empresa que ofrecía estas tarjetas, y hay todavía algunos locales (monses) que no aceptan AMEX.

En abril de este año mi AMEX contigo expiró, y hasta el día de hoy, en julio, sigo esperando que me mandes la nueva tarjeta. Que diferencia con el banco donde saqué la visa (el citibank) donde me seguían a donde fuera para hacer los papeleos. Pero tu no, cuatro meses y no se nada de mi nueva AMEX. Cuando te llamé por última vez hace un par de semanas, me dijiste "eh perdón pero, este... no lo hemos podido ubicar, jijiji" y yo con toda la comprensión del mundo, y por todos los años que llevamos juntos, te dije que estaba bien, que mejor me envíes la tarjeta a mi oficina. Pero que sea YA, y me dijiste que el lunes (de la semana pasada) iba a tener la tarjeta en la mano.

Me mentiste BCP.

Si ya no te intereso como cliente, me lo hubieras dicho. Simplemente un "ya no queremos renovarte la tarjeta!" hubiera bastado. Ya me cansé de esperarte, y todos los pagos periódicos que hacía contigo los he pasado a mi visa del citibank (ni siquiera te culpo por esos 2 servidores dedicados que un día se apagaron porque estaban asociados a ti y ya no podían cobrarte: ya no, ahora estan con el citibank!).

Seguiré usando tus cuentas de ahorro, tu banca electrónica (porque tengo el token de RSA que me parece fabuloso y me deja dormir en las noches, qué esperan los otros bancos?), y tus agencias que me parecen las mejores, pero ya no pienso esperar por tu tarjeta de crédito. Y si la bendita tarjeta al final llega a mis manos antes que expire (ya para este momento lo dudo mucho), pues sabes que voy a hacer?

LA VOY A CANCELAR.

Con una sonrisa de oreja a oreja!

Y si me dices "pero llevamos tantos años juntos! dame otra oportunidad!"

Te voy a decir "WHY SO SERIOUS?", y me voy a ir con una risa diabólica a un banco con un área de tarjetas de crédito que no sea como la tuya:

Todas las demás áreas del BCP son excelentes, con profesionales de primera. Pero esa área de tarjetas de crédito es un lunar que debe ser extirpado y tercerizado al Citibank.

Vulnerabilidad: Servidores de DNS peruanos

2008-07-14T04:43:00.021-05:00

(Update: y el bug ya se hizo público 2 semanas antes del plazo, y muchos servidores peruanos siguen vulnerables, excelente)

Update2: Ya hay plugin de metasploit para detectar el puerto de origen de los servidores DNS (lo que permite buscar todo un rango de IPs con facilidad). Esperen un exploit en unas horas.

ENJOY!

Pasen y tomen asiento. Trataré de ser breve y conciso, sin desviarme a temas "esotéricos" como IPv6, encriptación y jerga de seguridad informática (pero me pondré técnico y repartiré patadas al final, si sabes la diferencia entre un resolver y un name server, te puedes saltar la introducción). Aunque posiblemente no entiendan la mitad de lo que voy a decir, al menos crean en mis conclusiones. Deriven esto a los jefes/gerentes de sus áreas de sistemas y proveedores de Internet; y si la razón y un link a este post no funciona para convercerlos, apliquen el principio de ingeniería de Dilbert para convencer MBAs:

Esta tira de Dilbert que usé hace casi dos años en este mismo blog, tiene hoy una importancia especial: los servidores a los que se refiere son de los mas importantes que podemos tener en internet (aunque muchos ni sepan que existen): los servidores de DNS.

Qué es DNS?

(leer esta sección solo si hay un interés real en la introducción básica al problema, la pueden ignorar para ir directamente a los trolls)

DNS es un protocolo de Internet que permite entre muchas otras cosas transformar un nombre de dominio como www.google.com, que es algo que un ser humano maneja con relativa facilidad, a algo manejable por una computadora: un número bastante grande conocido como dirección IP (que muchos conocen en su versión amigable a humanos como los 4 numeritos separados por puntos). Otra de las funciones fundamentales de DNS es la de publicar qué servidor va a recibir los correos electrónicos que enviamos.

Esto hace que los servidores de DNS sean blanco frecuente de ataques; ya que quien logra traerse abajo un servidor de DNS, puede desaparecer de Internet a una empresa, o a todo internet para un grupo de usuarios. Por otro lado, quien logra manipular un servidor de DNS tiene carta abierta para ataques de phishing, robo de información, etc.

Ahora vamos a profundizar un poco mas en la arquitectura de DNS (que puede ser una de las mas complejas que hay asi que no nos complicaremos mucho). Existen básicamente dos tipos de servidores de DNS: los servidores de DNS per-se, que tienen autoridad sobre la información de algún dominio, y los resolvers, también conocidos como servidores de cache. Veamos un gráfico del documento que define el standard de como debe funcionar DNS.


                 Local Host                        |  Foreign
                                                   |
    +---------+               +----------+         |  +--------+
    |         | user queries  |          |queries  |  |        |
    |  User   |-------------->|          |---------|->|Foreign |
    | Program |               | Resolver |         |  |  Name  |
    |         |<--------------|          |<--------|--| Server |
    |         | user responses|          |responses|  |        |
    +---------+               +----------+         |  +--------+
                                |     A            |
                cache additions |     | references |
                                V     |            |
                              +----------+         |
                              |  cache   |         |
                              +----------+         |

Cuando un cliente, como un navegador de internet, necesita resolver un nombre de dominio, se conecta a un Resolver Server, no directamente a un servidor de DNS. Esta distinción se ha perdido ya que la implementación de-facto de DNS, ISC BIND, permite manejar tanto el resolver como el name server con el mismo programa: el viejo y querido named. Esto quiere decir que cuando configuran los servidores de DNS para conectarse a Internet en sus computadoras de escritorio, lo que en verdad están configurando son los resolvers.

Uno de los puntos flojos en este esquema es el mecanismo en el que el Name Server envía la información al Resolver para que este la almacene en el cache (que es un almacenamiento temporal para evitar preguntarle la misma información al Name Server una y otra vez). Los ataques que aprovechan esta debilidad se conocen como Envenenamiento de cache de DNS. Cuando un atacante logra envenenar el cache de un resolver, logra tener el control de las peticiones de los usuarios a este resolver, sin necesidad de haber comprometido el servidor de nombres principal.

Cuál es la vulnerabilidad de DNS?

Hace 5 días, el 8 de julio, sucedió algo que no se había visto en la industria de la seguridad informática: publicación masiva de actualizaciones de seguridad para los principales servidores de DNS: ISC BIND, Microsoft Windows Domain Name System, Cisco, etc. En el VU de CERT se explica a grandes rasgos la vulnerabilidad y da una lista de sistemas afectados. NO HAY DETALLES PÚBLICOS SOBRE LA VULNERABILIDAD. Pero si sabemos que existe, y ha sido confirmada hasta por los mas escépticos. Esto es algo serio. MUY serio. Tan serio que estoy sentado a las 4:30am escribiendo esto luego de haber pasado 3 días en los que he dormido en total 5 horas (por otros temas, el punto es que debería dormir en vez de escribir este artículo). Los vectores de ataque son conocidos, los paliativos y soluciones también, desde hace muchos años. Ataques de cache de dns han existido con anterioridad, pero el elevado ratio de éxito de este nuevo ataque y sobre todo la portabilidad que tiene, hace que sea una de las amenazas mas serias que ha tenido Internet como un todo desde hace muchos años.

Afortunadamente, Dan Kaminski, el investigador de seguridad que descubrió el problema, ha dado un mes de plazo desde la fecha de publicación de los parches para esta vulnerabilidad (Julio 8), hasta la publicación de los detalles para realizar el ataque el 7 de Agosto en una conocida conferencia de seguridad. Asi que los hostmasters (los administradores de los servidores de DNS), tienen tiempo para actualizar sus servidores (asumiendo que en el transcurso de estos días nadie descubra la vulnerabilidad y publique un 0day).

Y los hostmasters responsables ya están actualizando los servidores.

Pero en Perú la cosa no va tan bien.

Qué pasa en Perú?

Habiendo pasado ya una semana de la publicación de los parches de la vulnerabilidad, decidí hacer algunas pruebas sobre los principales servidores de DNS peruanos. Los resultados son bastante preocupantes.

(ver tabla en formato original)

Como se puede ver, los servidores de DNS mas usados del país no han sido parchados luego de la primera de las cuatro semanas de plazo que hay para hacerlo. Es en este momento en que quiero hacer un comentario personal.

Si bien se ha dado un mes de plazo para parchar los servidores, hay un detalle: toda, TODA la comunidad de seguridad informática tiene los ojos puestos en esta vulnerabilidad, los buenos y los malos. Hay mucha gente dedicada en este momento a encontrar el problema para poder hacer una utilidad que lo aproveche. Posiblemente esta utilidad ya exista, pero no se hace pública aún. El riesgo en este momento es que los administradores se confíen en el mes de plazo y en este lapso de tiempo se publique una utilidad que explote la vulnerabilidad. Si esto sucede y los servidores siguen sin estar parchados, las consecuencias podrían ser CATASTRÓFICAS. Y quisiera decir que estoy hablando en sentido figurado, pero esto es SERIO, MUY SERIO.

Ahora, se que hay limitaciones técnicas para no actualizar: complejidad en la red de servidores DNS, dependencias, pérdida temporal de servicio para los clientes, y en el caso específico de este parche, modificaciones en los firewalls que están delante de los DNSs. Si bien estas limitaciones son técnicas y perfectamente entendibles, YA VA UNA SEMANA y el riesgo es demasiado alto como para dormirse.

Debido a que este problema es serio, voy a hacer todo lo posible por actualizar este cuadro diariamente hasta el día de la publicación detallada de la vulnerabilidad (agosto 7). Asi que espero que para ese día (idealmente mañana mismo!) todas las entradas esten en verde.

You are doing it wrong

Otro punto preocupante, es el desconocimiento básico de fundamentos de seguridad por parte de muchas instituciones que aparecen en la lista. Voy a decir algo muy sencillo que hasta un MCSE va a entender:

Si tienen un Name Server autoritativo, este NO DEBE FUNCIONAR COMO RESOLVER.Si usan BIND, limiten allow-recursion con un acl. Si usan servidores DNS windows formatéenlos, instalen un sistema operativo de verdad (nos gusta FreeBSD en el server room) y compren un libro de BIND (o entren en la mente de djb ). Pero por favor, nunca, nunca, NUNCA dejen que su servidor autoritativo permita recursion. Y si no me creen a mí, por favor, créanle a D.J. Bernstein.

TIP OF THE DAY (o como evitar los espantosos DNSs de speedy.com.pe): Si han leido este artículo en su totalidad, habrán notado algo en el párrafo anterior: pueden usar cualquier servidor que aparezca en la tabla con color rojo o verde como "servidor de DNS" en sus equipos, ya que estan funcionando como resolvers. Así que si no desean usar los lentísimos DNSs de speedy, o piensan como ya estoy empezando a pensar que el maravilloso OpenDNS es MALIGNO, pueden usar los DNSs de bancos o de diarios importantes, al menos hasta que sus administradores aprendan a configurar sus servidores ;).

CONCLUSION

El problema es MUY SERIO y nos afecta A TODOS. En este momento mi principal preocupación es que se publique una utilidad que explote esta vulnerabilidad antes que termine el periodo de gracia y coja a muchos servidores (y por ende a sus usuarios!) sin estar actualizados. Mi segunda preocupación es que lleguemos al final del periodo de gracia y debido a falta de información o capacidad técnica, hayan todavía servidores sin actualizar. Esto sería una total irresponsabilidad, por lo que iré actualizando esta tabla con la mayor frecuencia posible. Si desean que aumente algún otro servidor a la lista de análisis, mencionenlo en los comentarios.

Update: Dan Kaminski da una explicación sencillísima del problema con la ayuda de su asistente.

FAQ (actualizado 20080720)

Actualicé mi BIND al último parche, pero sigo vulnerable. Por qué?

El parche consiste en hacer que el puerto de origen de las respuestas del servidor sea aleatorio y con una entropía alta. En la mayoría de casos he visto que tienen la opción "query-source" activada, fijando el origen al puerto 53, efectivamente ANULANDO EL PARCHE. Otro problema es que si se reduce el uso de puertos disponibles para el origen, se reduce también la entropía, la opción que tienen que verificar para esto es "avoid-v4-udp-ports".

Otra opción es que sea su firewall el que este haciendo esto, verifiquen sus reglas.

Desde mi red la entropía de los puertos de origen es alta, pero por Internet es bajísima, qué pasa?

Posiblemente la salida de tus DNSs sea por un NAT en un firewall cisco/checkpoint/nokia/etc, que van incrementando secuencialmente los puertos de origan al hacer NAT (y asi venden seguridad... *sigh*). Reemplacen sus firewalls por equipos OpenBSD/FreeBSD con PF o en todo caso Linux con netfilter que si hacen esto (en BSD out of the box, en Linux con un poco de configuración). Otra opción es consultar con su vendor como habilitar la randomización de puertos de origen con entropía alta. Otra es darles IPs públicas a los DNSs para que no salgan por NAT. Si ninguna de estas es una opción válida, pues esperen a la andanada de script kiddies de agosto :)

Ojo: Checkpoint los protege si han pagado la suscripción de SmartDefense. Si _no_ la tienen, su equipo Checkpoint genera UDP source secuenciales (anulando los parches de sus servidores de DNS) Esta es una _excelente_ manera de Checkpoint para hacer que los clientes se suscriban :)

Conejo

2008-06-13T22:05:00.001-05:00

Sacado de una invitación que acabo de recibir:

(\__/) Este es Conejo.
(='.'=) Copia a Conejo en tu firma y
(")_(") ayudale en sus planes de dominacion mundial.

tags: conejo

WHAT

2008-06-12T02:29:00.000-05:00

WHAT

tags: what

Dear Nvidia

2008-06-03T21:21:00.002-05:00

Dear Nvidia:

Please take my credit card. I want one of these things, NOW:

Love. tabo.

Planet Japania

2008-06-03T02:04:00.002-05:00

Escribo esto por un comentario de Kike en un post que hice sobre Nintendo hace un par de días. El punto de Kike es básicamente que los "japoneses lo hacen mejor".

Para aportar un poco al debate, veamos algunos estilos de como se lavan los autos en algunas partes del mundo.

En Estados Unidos:

En Italia:

En Mexico:

Y ahora en Planet Japania:

Definitivamente Kike ha desarrollado una sensibilidad extraña hacia la cultura japonesa. BEWARE :)

tags: japon

Ya es sabado

2008-05-31T01:42:00.001-05:00

Nintendo

2008-05-28T21:57:00.004-05:00

Escribo con lágrimas de alegría, luego de ver esto, todo es hermoso:

(via Joystiq)

UPDATE: Para los que no la tienen clara (un true gamer como Jacko si la pescó al toque), el mérito del video es doble:

La creación de escenarios automatizados, es decir, mario se mueve sin intervención del jugador, es empujado, llevado, levantado, levitado, disparado, etc
La sincronización de la música de fondo con los efectos de sonido que se dan, por ejemplo cuando salta sobre los koopa troopas, y tambien los efectos de sonido de los elementos del background.

tags: nintendo, mario

COMUNICADO

2008-05-19T14:17:00.005-05:00

Comunicado a la opinión pública:

Se hace constancia que tabo (a quien desde este momento se le llamará TABO) se compromete con Cesar Villegas (a quien se le llamará CHABUCA) a comprar 2 entradas a primera fila/ultramegavip/lo mas cerca posible al primer concierto de METALLICA en Perú, si es que este llegase a realizarse.

TABO se compromete con CHABUCA a ir al concierto asi sea en silla de ruedas.

Regístrese, Comuníquese y Archívese.

(Nótese que no voy a un concierto desde que estaba en el colegio, mostly because I FUCKING HATE PEOPLE, pero Metallica es Metallica).

- tabo

tags: metallica

Asi termina la gloria de las laptops

2008-05-14T01:51:00.006-05:00

I’m tired of being right all the time. It was fun for a while, but now it’s just depressing. - Mark Pilgrim, The day the music died

Hace casi un año (364 días para ser exactos), escribía mis impresiones sobre el proyecto OLPC y de su implementación en Perú: las pocas cosas que me parecían rescatables (mayormente técnicas) y las enormes dudas y vacíos que quedaban por ser respondidos y solucionados. El post se llamaba OLPC Perú: Ilusiones y Demagogia.

Lo escribí sabiendo que iba a ser impopular, que iba a generar antipatías, que me iban a acusar de odiar a los niños, de ser un capitalista que quiere que los pobres sigan pobres y que la ignorancia campee, que tenía los bolsillos llenos de dinero de Intel.

Todo esto se cumplió.

Y no me arrepiento para nada de haberlo escrito. Primero porque es mi opinión, y segundo porque gente mucho mejor informada, enterada y preparada que yo coincidía con varias de mis dudas: ver por ejemplo el Adversus OLPC, Útero de Marita y el excelente artículo sobre OLPC en ideele.

Durante el año que pasó no escribí nada sobre la OLPC, mas allá de un par de flamewars y discusiones en persona. Básicamente agregué un punto de crítica más al proyecto:

Desarrollar un entorno tan extraño como sugar, no solo es subestimar a los niños (que cogen sin problemas cualquier interfaz de usuario incluso sin saber leer), si no que es un DESPERDICIO MONUMENTAL DE RECURSOS DE INGENIERÍA.

.

Otra de mis críticas, y creo que no fui muy enfático en este punto en mi post el año pasado, es sobre la figura de Negroponte. El proyecto esta destinado al desastre por Negroponte. Creo que mucha gente ha apoyado el proyecto porque no conoce o no sabe mucho (o lo que sea) de Negroponte.

Anyway. Mi país, Perú, esta ya encaminado en el proyecto, y muy a pesar de mis críticas esperaba que esta vez estuviera equivocado y que todo marche a la perfección.

Lamentablemente, otra vez, tenía razón.

El proyecto se ha venido desmoronando desde dentro en los últimos meses, perdiendo a figuras claves:

Mary Lou Jepsen dejó el proyecto para comercializar las tecnologías que desarrolló para OLPC, en especial la pantalla
Walter Bender, que dejó el proyecto porque se alejaba de su misión original
Ivan Krstić, quien era el principal y mejor hacker de OLPC, deja el proyecto por las mismas razones que Bender.

Lo que me anima a escribir este post, no es el desmoronamiento de OLPC como proyecto, si no un artículo que ha publicado el mismo Krstić sobre el estado actual del proyecto: Sic Transit Gloria Laptopi (la traducción del latín al español es la que da el titulo a este post). Recomiendo a los interesados en el proyecto, que lean el artículo, que es bastante interesante, para los que no leen inglés, pueden leerlo traducido gracias a Google Translate.

Voy a pasar a traducir algunos de los puntos mas notorios de su artículo, y recuerden quien lo escribe: el mejor hacker que ha tenido OLPC, y la persona que el proyecto OLPC envió a Perú para salvar el tema de los despliegues:

La parte que debe repetirse es que el proyecto educativo basado en el constructivismo de Nicolás en Senegal fue un total desastre: ... no demostró nada. Y el proyecto de Camboya de Krisher, el que evidentemente fue lo suficientemente exitoso para que Nicolas empezara OLPC, usaba laptops convencionales corriendo Windows sin ninguna personalización constructivista del Sistema Operativo (solo tenían algunas herramientas constructivistas como aplicaciones normales).

La verdad es que cuando se trata de programas de computadoras uno-a-uno a gran escala, estamos totalmente a oscuras de que es lo que en realidad funciona, porque hey, nadie ha hecho un programa de computadoras uno-a-uno a gran escala antes.

Mientras creemos e incluso tenemos la esperanza que los principios constructivistas, consagrados en la cultura del software libre, ayudan a la educación, presentar las esperanzas como si estuvieran enraizadas en hechos es simplemente un engaño.

Hasta donde sé, no hay ningún estudio real en ningun lado que demuestre que el constructivismo trabaja a escala. No hay ningún piloto educativo constructivista a escala moderada documentado que haya sido convincentemente exitoso; cuando Nicolás (Negroponte) habla de "décadas de trabajo de Seymour Papert, Alan Kay y Jean Piaget", está hablando de teoría. Le gusta mencionar a Dakar, pero no le gusta mencionar como terminó el piloto (NdT: en párrafos anteriores mencionó que fue un total fracaso), o que ningún hecho real sobre la validez del alcance salió de éste.

En realidad Nicolás (Negroponte) quiere vender máquinas con Windows XP. El me lo ha dicho. Que pueda financiar un esfuerzo por sugar y mentir con respecto a la noción de su disponibilidad como una opción a los países compradores es a lo mucho un tibio esfuerzo para evitar un desastre de relaciones públicas.

Aquí empieza lo bueno:

En realidad, renuncié cuando Nicolás (Negroponte) me dijo, y no sólo a mí, que el aprendizaje nunca fue parte de la misión. Que la misión era, en su mente, siempre tener la mayor cantidad de laptops colocadas.

El primer módulo de entrega a Perú consistía en 40 mil laptops, a ser desplegadas en alrededor de 570 escuelas entre jungla, montañas, planicies, y con total variedad en disponibilidad eléctrica y sin una estructura de red (internet) uniforme. El número de escuelas objetivo estan en lugares que requieren múltiples maneras de transporte para llegar, y algunas son tan remotas que ni siquiera llega el servicio postal. Las entregas de laptops iban a ser hechas por proveedores no confiables que estaban en posición de robar las máquinas en masa. No hay una manera sencilla de recolectar reportes de lo que en realidad se ha entregado, dónde, y a quién. No está claro como se establece el procedimiento para encargarse de unidades defectuosas, o que lleguen averiadas en la entrega. Comparado con ésto, el trabajo técnico que realizo es como vacaciones.

Además de la increíble Carla Gomez-Monroy que trabajó en establecer los pilotos, no había nadie contratado para trabajar en despliegues mientras estuve en OLPC, con las 360,000 laptops entre Uruguay y Perú. Fui "soltado en paracaidas" como la única persona de OLPC para lidiar con Uruguay, y enviado a Perú en el último minuto. Y realmente soy bueno para pensar rápidamente, pero qué mierda se yo sobre despliegues? En esos días Walter (Bender) fue degradado y teóricamente convertido en "director de despliegues", una posición en la que dirigió a su gran equipo de - si mismo. Luego renunció, y noten esto: ahora la compañía tiene medio millón de laptops en el medio, sin nadie si quiera pretendiendo ser el encargado oficial de despliegues. "Renuncio," me dijo Walter por teléfono luego de irse, "porque no puedo seguir trabajando en una mentira".

Que OLPC nunca fue seria acerca de despliegues, y que al parecer nunca va a estar interesada en siquiera intentarlo, es criminal. Si sigue sin corregirse, puede convertir el proyecto en una cagada histórica a una escala sin precedentes.

El nuevo OLPC de Nicolás (Negroponte) esta dejando de lado esas molestas metas educativas de su misión y convirtiéndose en un fabricante de laptops sin fines de lucro de 50 personas, compitiendo con Lenovo, Dell, Apple, Asus, HP e Intel en su propio terreno, y usando la estrategia que sabemos no funciona. Pero hey, supongo que así venderán mas laptops.

El escoger reinventar el paradigma de la interfaz gráfica de escritorio significa que gastamos nuestros extremadamente superlimitados recursos en pelear con interfaces gráficas, no en desarrollar mejores herramientas para aprender. Es muy importante reconocer que los cambios en el paradigma gráfico no son esenciales tanto para nuestra misión principal como para las ideas centrales de Sugar.

...y los intentos de Nicolás (Negroponte) de mezclarlos y llamar a la comunidad de código abierto "fundamentalistas" (y mirar como la comunidad bota espuma por la boca en vez de desarmar su lógica) es solo otro intento de distracción engañoso. Igual nadie debería ofenderse, ya que tiene como costumbre decirle terroristas a sus empleados.

Sobre esto último, creo que si debo darle la razón a Negroponte, muchos de los voluntarios que tiene el proyecto de la comunidad open source son fundamentalistas, y sin ir muy lejos, pueden lograr desanimar fácilmente a quien quiera colaborar e incluso llegar a mezquindades.

En fin, hace un año luego de fundamentar mis dudas, cerraba el artículo con lo que consideraba era el problema central de OLPC (y que muchos soñadores no querían admitir):

Como se puede notar, ambas opiniones tienen algo en común: no importa el programa educativo, lo que importa son las laptops. Este NO ES un programa educativo, es un programa de venta de hardware.

Y ese es exactamente el problema.

Lamentablemente, las dos leyes básicas del universo se siguen cumpliendo.

tags: olpc, ivan+krstić, nicholas+negroponte, desastre, peru, laptop, demagogia, educacion

Mar de Copas - Suna

2008-05-05T22:59:00.004-05:00

Como ya es sabido por algunos de ustedes las leyes básicas del universo son dos:

tabo is always right and
because of (1), tabo is ALWAYS fucking right

Así que puedo afirmar sin temor a equivocarme que Suna de Mar de Copas es DE LEJOS la mejor canción jamás hecha por un grupo peruano.

Voy a desactivar los comentarios en este post porque no me interesa leer como se destripan sacando cara por sus grupos subtes o algún cantautor pop, así que mejor disfruten de esta maravilla:

No voy a estar cuando las sombras salen
voy a marchar cuando la noche cae
quiero ver más allá
del mundo donde un alma sin cesar
entre sus alas va
coge un amor y se va a volar

El tiempo va acelerando marchas
venías atrás, hoy hacia tus espaldas va
flechas vienen y van
de seres cazadores de almas
sobre su presa van
coge un amor al azar

Ah, ah, ah, ah, ah...
Dos corazones solos y empiezas a volar
y ves al volar, ah, ah, ah, ah, ah...
dos corazones solos
en su alma soledad
Ah, ah, ah, ah, ah...
sobre su boca un beso de su alma posarán
y van a volar
con Suna!

Nos va a salvar un rayo de ilusiones
llegó el final del ansia que su falta da
qué deberá importar
que se desarme el mundo sin parar
si puedo yo posar un beso en ti al final

Y ves al volar, ah, ah, ah, ah, ah...
dos corazones solos
en su alma soledad
Ah, ah, ah, ah, ah...
sobre su boca un beso de su alma posarán

Y ves al volar, ah, ah, ah, ah, ah...
dos corazones solos
en su alma soledad
Ah, ah, ah, ah, ah...
sobre su boca un beso y empiezas a volar
y vas a volar, ah, ah, ah, ah, ah...
con Suna...

tags: suna, mar+de+copas, tabo+is+right+and_you+dont

La Santísima Trinidad en La Habitación de Henry Spencer

2008-04-22T14:37:00.005-05:00

No, no me volví loco religión de repente, sigo igual de ateo y hereje. Lo que pasa es que para mí la Santísima Trinidad (así con mayúsculas) son tres blogs que ya se han hecho imprescindibles:

El Útero de Marita de Marco Sifuentes

El Blog del Morsa de Roberto Bustamante, y

Desde el Tercer Piso de José Alejandro Godoy

Responsables no solo de que haya dejado de ver noticieros o sentir la necesidad de leer un diario para informarme, si no que siento que estoy mejor informado con ellos. Antes por ejemplo leía algún diario por internet y pensaba "a ver que dicen los blogs sobre este tema", ahora leo a la Santísima Trinidad y si es un tema interesante busco en los diarios algo más.

El motivo de este post es que el día de hoy la Santísima Trinidad estará en ese nuevo point indispensable hoy en día que es La Habitación de Henry Spencer de Luis Carlos Burneo, evento ALTAMENTE RECOMENDADO que promete altísimas dosis de ombloggismo. Paso el afiche:

No se lo pierda!

tags: ocram, morsa, godoy, henryspencer

Odiamos el verano

2008-04-04T23:30:00.002-05:00

Vete ya verano horrendo!

DEATH2THESUMMER

I love you Internet

2008-03-25T00:08:00.006-05:00

1) Primero, un robot que es mas tierno que todo cute overload junto, DO WANT, srsly:

(via jwz)

2) Ahab meets MS Paint relationships:

(autor Anonymous)

3) Una foto de mi teclado.

Porque quiero mas a mis teclados que a la mayoría de personas en existencia. En caso de apocalipsis por zombies, si tengo que elegir entre salvarte a ti lector, o mi teclado, las probabilidades indican que seguiré oyendo el sonido maravilloso de mi Model M por muchos años más.

(TL;DR: quiero mas a mis teclados que a la humanidad)

tags: ibm, teclado, modelm, ahab, mobydick, robot

Meme: Top 5 de aplicaciones gratuitas

2008-03-21T23:32:00.005-05:00

Meme originado en Inbitado de José "Hiro" Kusunoki, rebotado hacia mí por Arturo Goga, y bueno, luego de tanta buena lectura en su blog lo mínimo que puedo hacer es responder, asi que aquí va mi top5:

1) Linux/FreeBSD

Empate técnico en sistemas operativos (que también son programas): Linux lo uso en todos mis desktops y hasta en mis dispositivos móviles, FreeBSD va en todos mis servidores (ayer nomás instalé un firewall con el nuevo FreeBSD 7).

2) Python

Python. Amor a primera vista, es posiblemente el lenguaje mas conciso, elegante y balanceado que he usado. Maduro, con infinidad de librerías, frameworks y aplicaciones, es hoy en día lingua franca en el mundo del Open Source. Una de las ventajas del lenguaje es que la mayoría de sus usuarios son programadores profesionales, a diferencia por ejemplo de ser sysadmins (perl) o diseñadores gráficos (ruby), por lo que en promedio el código de las aplicaciones es de mucho mayor calidad. Tengo la suerte de tener un trabajo en el que me pagan por programar en Python, asi que va en mi lista de aplicaciones indispensables.

3) Vim

Para alguien que vive en UNIX, la elección de un editor de texto tiene una connotación religiosa, algo que los usuarios de sistemas inferiores jamás entenderán. vi es parte de POSIX 1003.2 asi que tengo la garantía que lo encontraré en cualquier *NIX. El clon que uso, vim, es el mas popular en este momento y es bastante extensible con plugins. He publicado mi .vimrc y bufman.vim, un plugin de manejo de buffers. Y recientemente (hace un par de años) me he vuelto adicto a project.vim. Un color scheme? el default, pero cuando me siento aventurero uso metacosm.

Al menos una vez al año me paso una semana probando otros editores, incluido emacs, que lamentablemente no puedo usar ya que no tengo 45 dedos. De los editores gráficos me gustó mucho la versión profesional de Komodo IDE, pero al igual que TODOS los editores en modo GUI tiene 2 problemas:
a) A primera vista tienen infinidad de características, pero no llegan a la riqueza de vi o emacs
b) No lo puedo usar en un shell remoto

4) OpenSSH

Este no es un blog (tan) nerd, asi que este sea posiblemente el programa mas "raro" de la lista, pero OpenSSH es un software con el que simplemente no podría trabajar tranquilo: encripta todo el tráfico de red con el que trabajo. Es gracias a OpenSSH que puedo dormir en las noches, y las características de forwarding hacen que hasta el día de hoy me salgan lágrimas de emoción.

5) bash

Mi habitat natural es el shell de UNIX, y el shell de mi elección es bash. Lo uso a diario y sin él mi vida sería totalmente distinta: nunca me acostumbré a csh y mis coqueteos con zsh no llegaron a mayores. En combinación con screen se crea una relación simbiótica imbatible y que uso los 365 días del año.

tags: linux, freebsd, python, vim, openssh, bash, screen