Seguridad Apple

Formaciones sobre dispositivos móviles en Junio

noreply@blogger.com (SeguridadApple) — Thu, 31 May 2012 05:52:00 +0000

Durante el mes de Junio tenemos un calendario de acciones dedicadas en exclusividad a dispositivos móviles, que tocarán todas las plataformas. Aquí te dejamos la lista de acciones y su lugar de ejecución.

Una semana para Android en Madrid

En las instalaciones de Informática 64, en horario de mañana de 8:30 a 14:30h se van a realizar cuatro seminarios dedicados a Android, repartidos en cuatro días de la siguiente forma.

- 4 de Junio: HOL-AND01 Seminario de interfaces gráficas para Android

- 5 de Junio: HOL-AND02 Seminario de persistencia de datos en Android

- 6 de Junio: HOL-AND03 Seminario de tratamiento de ficheros XML en Android

- 7 de Junio: HOL-AND04 Seminario de sensores, localización y mapas en Android

El Curso de Especialización en A Coruña.

En la Universidad de A Coruña, con la colaboración de Informática 64, y la participación de Microsoft, SmartAccess, Vulnex, ESET, Telefónica y S21Sec se organiza los próximos días 20, 21 y 22 de Junio el Curso de Especialización en Dispositivos Móviles, en el que se tocarán las tecnologías iOS, Android y Windows Phone, además de temas relativos a la arquitectura del sistema, la seguridad de las aplicaciones o el análisis forense de dispositivos.

En ésta ocasión dicho curso cuenta con ponentes como Chema Alonso de la empresa Informática 64, Rames Sarwat, Director General de la empresa SmartAccess, es experto en seguridad de sistemas de información y en firma digital, Juan Miguel Aguayo, autor del libro “Desarrollode aplicaciones iOS para iPhone & iPad: Essentials”, David Barroso de Telefónica, Mikel Gastesi , especialista en e-crime de S21Sec o Simón Roses, especialista en seguridad móvil de la empresa Vulnex, entre otros.

Todos los asistentes recibirán como material el libro de Taddong "Hacking y Seguridad de comunicaciones móviles" y el de "Desarrollo de aplicaciones iOS para iPhone & iPad". Hay un periodo de registro super reducido que acaba hoy, y además se cuenta con descuento especial para los estudiantes de la universidad. Toda la información en al web del Curso de Especialización en Dispositivos Móviles.

Curso de Desarrollo de Aplicaciones iOS Avanzado en Madrid

Por último del lunes 25 de junio al viernes 29 de junio, se dará uno curso dedicado al Desarrollo de aplicaciones avanzadas en iPhone/iPad, en el cuál el alumno será capaz de utilizar las herramientas del iPhone SDK, desarrollar aplicaciones avanzadas en Objective-C, usar el modelo MVC, y muchas más de las funcionalidades del SDK,.

Dicho curso tendrá lugar en las instalaciones del Campus de Villaviciosa de Odón (Madrid) con un descuento excepcional si eres alumno de la UEM. Para más información, puedes contactar con informática 64 en el número de teléfono 91 665 99 98, o si lo prefieres a través de nuestro e-mail registro@informática64.com.

WiFis Ad-hoc en iOS: Cuidado a qué te conectas

noreply@blogger.com (SeguridadApple) — Wed, 30 May 2012 06:54:00 +0000

Con la aparición de las redes WiFi, rápidamente proliferaron los ataque con Rogue APs, equipos que simulan ser una red conocida para que la víctima se conecte a ella y tener un perfecto ataque de man in the middle. Como esto dio grandes resultados, rápidamente aparecieron los que lo hacían desde equipos de escritorio haciendo uso de las conexiones Ad-hoc.

Para detectar las conexiones ofrecidas vía Ad-hoc, es decir, las ofrecidas por otro equipo cercano, los sistemas operativos ofrecen alguna alerta que permita detectarlas fácilmente, como se puede ver en la visualización de redes WiFi en Mac OS X Lion 10.7.4. En la imagen inferior se puede ver cómo Secureap y la red iPhone de Pablo Escorial son redes Ad-hoc ofrecidas en el alcance de este equipo.

Figura 1: Redes WiFi visualizadas en Mac OS X Lion

Sin embargo, en el sistema iOS esto no está funcionando de igual manera. En la imagen de abajo hay una red llamada Free Public WiFi que realmente es una red Ad-hoc, y como puede verse, no ofrece ningún icono que la diferencie de las redes de Infraestructura, lo que simplifica los ataques de Rogue AP realizados con este tipo de conexiones Ad-hoc.

Figura 2: Redes WiFi visualizadas en iOS

Ten especial cuidado con las redes WiFi a las que te conectas. Elimina todas las redes WiFi cuando hayas terminado de conectarte a ellas, y recuerda que los sistemas iOS no validan el BSSID de la red, lo que las hace más atacables ante los ataques Rogue AP.

iCloud delata al ladrón: Aventuras de un iPhone robado

noreply@blogger.com (SeguridadApple) — Tue, 29 May 2012 05:53:00 +0000

Katy McCaffrey se fue de crucero el mes pasado. Seguro que os preguntaréis ¿quién es Katy McCaffrey? Pues ella es la protagonista de la historia de hoy ya que su aventura tiene dos elementos fundamentales para que nos parezca interesante: Tenía un iPhone que le robaron y acabó bien la historia de una manera inesperada. El crucero, - que le servía para descansar y desconectar del mundo laboral - le costó caro, ya que la quitaron su preciado dispositivo, pero ...

Las aventuras de un iPhone robado

Tras perder la esperanza de recuperar su dispositivo, descubrió para su sorpresa que empezaron a aparecer fotos en su galería de imágenes. El práctico servicio iCloud cargaba automáticamente las fotos tomadas en el dispositivo iOS que podían visualizarse con otros dispositivos autenticados en iCloud. La nota graciosa es que el ladrón empezó a hacerse fotos con su nuevo "juguete" y Katy pudo ponerle cara a este hombre.

Figura 1: Fotos del album "Aventuras de un iPhone Robado"

Katy ha publicado un álbum de fotos con perfil público en Facebook titulado "Aventuras de un iPhone robado" y ha subido 20 fotogragrías tomadas con su iPhone por un hombre llamado Nelson, con la siguiente leyenda "Me lo robaron a bordo en el crucero Disney Wonder en Abril".

Gracias a las fotos, Katy supo que Nelson es un trabajador de la línea de cruceros. Él se ha hecho fotos con su novia embarazada - la cual también trabaja en el crucero en la zona de SPA -, con sus compañeros de copas, del ambiente de la costa mexicana y mucho más.

Figura 2: El perfil del ladrón, informando de su trabajo antes de ser despedido

Tras obtener todos estos datos alertó a la empresa del crucero, contando el caso de su teléfono robado y además añadió: "Espero que mi teléfono me lo devuelvan y algunos pases gratis para otro crucero". A los pocos días de ponerse en contacto con la compañía, parece que Nelson ha sido despedido, según informa su Facebook, justicia poética en su máxima expresión, gracias a los servicios en la nube.

Malware en Mac OS X: El problema es el marketing

noreply@blogger.com (SeguridadApple) — Mon, 28 May 2012 05:33:00 +0000

Comparar el número de muestras de malware en sistemas Mac OS X y sistemas Windows es una pelea injusta. A día de hoy, la cantidad de software malicioso que hay para sistemas Microsoft Windows sigue siendo infinitamente mayor que para sistemas Mac OS X, lo que es bueno para todos los usuarios de los sistemas operativos Apple.

Sin embargo, que el número de muestras sea tan pequeño, no quiere decir en ningún momento que sea inexistente, como ya hemos ido desgranando en este blog a lo largo de los dos años de vida que vamos a cumplir en poco tiempo, pero parece que algunos usuarios todavía siguen llevando la venda en los ojos, y aferrándose a ser un Fanboy o un Chum Chum, como si Mac OS X fuera, de alguna manera mágica, invulnerable al malware.

Evidentemente, la culpa no es del todo suya, sino de años de condicionamineto doctrinal por parte de la casa madre, que sigue manteniendo mensajes de marketing que dibujan un paraíso terrenal no existente hace ya tiempo, en el que la seguridad de Mac OS X era algo de lo que no había que preocuparse en demasía. A día de hoy puede leerse aún en la web de Mac OS X Security, cosas como que te mantiene protegido, sin mostrarte casi ninguna alerta de seguridad.

Figura 1: OSX te mantiene protegido sin molestas alertas de seguridad

Algo que luego resulta no ser verdad en absoluto, ya que vas a estar recibiendo alertas de actualizaciones de seguridad - algo que ya comentamos que debe ser mejorado significativamente -.

Figura 2: Alerta de Software Update

Las alertas de software descargado desde Internet, por si viene algo que sea malo de verdad y de lo que el usuario pueda sospechar antes de ejecutarlo.

Figura 3: Alerta de software descargado desde Internet

Las alertas de petición de acceso al keychain - aunque deben mejorar mucho los mensajes de información que dan, ya que con esos cuadros de dialogo es casi imposible saber qué o quién está intentando acceder a las contraseñas.

Figura 4: Alerta de acceso al keychain por parte de un servicio

Las alertas de Phishing, que siempre ayudan cuando son realmente detectados los sitios.

Figura 5: Alerta de posible Phishing

Etcétera, etcétera, etcétera. El número de alertas que pueden salir es grande, ya que podríamos seguir con las alertas referentes a HTTP-s en todos los navegadores o las opciones de privacidad en Apple Safari, las alertas de Applets no firmados correctamente, las que pueden salir cuando se accede a un recurso del sistema de configuración que requiere elevación sudo para poder ajustar los valores, etc... Por suerte, la web de Mac OS X Security ha quitado ya aquel altivo mensaje que se ha comido por las malas.

Figura 6: Mac OS X no se contagia de los virus de los PC

Al final, se quiera o no, la seguridad no depende sólo del sistema, y es necesario que el usuario entienda los riesgos y sepa tomar la mejor decisión en cada momento, por lo que hace falta un entrenamiento y una mayor educación por parte de Apple hacia sus usuarios. Esperamos que no cometan el mismo error que Microsoft, y no dejen la fase de educación hasta que ya sea demasiado tarde. Ahora el número de riesgos de seguridad es alto, pero todavía puede ser infinitamente mayor.

Ópticas militares usan iPad & iPhone para visión digital

noreply@blogger.com (SeguridadApple) — Sun, 27 May 2012 06:13:00 +0000

Hace tiempo ya que el uso de dispositivos Apple se empezaron a utilizar en entornos militares, con diferentes usos. Ya muchos ejércitos están dotando a sus soldados de terminales iPhone o iPad, como el de Singapour o USA, y ya existen aplicaciones de todo tipo, como DataMaster, la aplicación de iPad para controlar situaciones de emergencia en territorios de crisis. Ahora nos ha sorprendido ver a los terminales iPhone o iPad, con vestido de camuflaje y conectados a ópticas especiales para, mediante aplicaciones de visión nocturna, convertirse en los mejores prismáticos o miras telescópicas.

Figura 1: iPhone utilizado como mirilla telescópica de un rifle

La solución se llama [SOA]2 y viene a significar [Special Operations Apps / System for Special Attachments] y permite conectar un iPhone o un iPad con una aplicación de visión nocturna de alta calidad, a una óptica especial que puede ser acoplada a un rifle de asalto a a un dispositivo de vigilancia, ya que pueden geolocalizar objetos a 7 de metros de distancia.

Figura 2: iPad/iPhone utilizados como dispositivos de vigilancia digital

Sin embargo, no parece que vaya ser sólo los dispositivos Apple los elegidos en este tipo de soluciones, ya que desde la compañía están "entusiasmados" con las anunciadas cámaras de 41 mega píxeles que traerán los dispositivos Windows Phone, Android, Lumina 9000 y Nokia PureView.

Figura 3: GeoTagging de objetivos con iPhone

La empresa que distribuye este tipo de soluciones se llama Joint Teaming Alliance y es la unión entre las empresas US Night Visión, encargada del software y Hoodman USA, responsable del hardware del sistema.

Como estaba previsto ayer se liberó el Untethered Jailbreak para iOS 5.1.1 en la Hack in The Box de Amsterdam 2012

noreply@blogger.com (SeguridadApple) — Sat, 26 May 2012 05:01:00 +0000

Durante el jueves y el viernes hemos tenido la suerte de estar en la Hack In The Box Amsterdam 2012 hablando de las novedades en la FOCA PRO 3.2, la nueva versión que vamos a publicar de la herramienta. Sin embargo, la gran atracción de esta edición era ver a los equipos del Chronic Dev Team y del iPhone Dev Team charlando y trabajando conjuntamente en la sala para speakers o en la Spekaers Lounge que preparó la organización para todos los ponentes. Todo muy bien organizado, por cierto.

En esta edición estuvieron por allí musclenerd, pod2g, p0xisninja y planetbeing, explicando primero en detalle el exploit Corona, del que ya publicamos por aquí la información que había puesto disponible en su blog el propio pod2g, y a última hora de la tarde publicando el anunciado y esperado Untethered Jailbreak para iOS 5.1.1, anunciado en nota de prensa por la conferencia e incluido en Absinthe 2.0.

Figura 1: Absinthe 2.0

Hay que recordar que antes de decidirse a sacar esta versión, pod2g realizó una encuesta en su blog para ver si debía sacarla o guardarse los exploits para iOS 6. Al final no ha habido más sorpresas respecto a lo conocido, están soportados los dispositivos que estaban anunciados, y todo el que quiera puede disponer ya de este Untethered Jailbreak para iOS 5.1.1.

Apple y la censura de Jailbreak ... de ThinLizzy en iTunes

noreply@blogger.com (SeguridadApple) — Fri, 25 May 2012 05:30:00 +0000

Según recientes publicaciones en blogs, Twitter, y webs relacionadas con el mundo de la manzana, al parecer Apple estaba filtrando la palabra “Jailbreak” en el iTunes estadounidense. El filtro parecía afectar a las aplicaciones, música, albums, episodios podcast, iTunesU, e incluso iBooks.

Dicho filtro no hacía distinción entre los diferentes contenidos, e incluso filtraba cosas como por ejemplo la canción/disco “Jailbreak” del grande y mítico grupo ThinLizzy, tal y como se muestra en la siguiente captura de iTunes:

Figura 1: Aspecto de iTunes en USA, con el filtrado de la palabra “Jailbreak”

El filtrado muestra todas las palabras Jailbreak de la siguiente manera: j*******k. Todo esto, como se ha dicho, tan sólo estaba ocurriendo en iTunes de USA, ya que si se realiza una búsqueda de la palabra “Jailbreak” en el iTunes español por ejemplo, o en otros países no se estaba aplicando en esta fase de pruebas, tal y como muestra esta captura de iTunes en Sudáfrica:

Figura 2: Aspecto de iTunes en Sudáfrica, en el que no hay filtrado de Jailbreak

planetbeing, el famoso hacker de iOS, fue sido el primero en darse cuenta de que se estaba aplicando este filtro, y se difundió rápidamente a través de una captura a través del Twitter de MuscleNerd: Desde ese momento hay una discusión abierta, de si Apple ha realizado este filtrado de manera intencionada en iTunes, o simplemente ha sido un fallo.

Unos dicen que no es ningún error, otros que realmente es un fallo el extender el filtrado más allá de las aplicaciones, es decir, a los podcasts, música, y otras categorías. Lo que si que parece estar claro, es que el Jailbreak sigue dando quebraderos de cabeza a Apple, y desde hoy mismo, que se espera el Untethered Jailbreak 5.1.1 a partir de las 11:30 de la mañana, parece que será mayor...

Kaspersky y Apple discuten por la seguridad de iOS y OSX

noreply@blogger.com (SeguridadApple) — Thu, 24 May 2012 07:34:00 +0000

Actualmente estamos ante la época de la historia en la que hay más malware en Mac OS X, que ya no es ese sistema operativo del cual Apple presumía de tener virus, en gran parte debido a la gran cuota de mercado que tiene, pero también a su arquitectura y sus procesos de seguridad, de los que Eugene Kaspersky dijo que se encontraban a 10 años de Microsoft.Y parece que esas palabras no han sentado muy bien a la empresa de Cupertino.

Figura 1: Eugene Kaspersky en CeBIT

El caso del análisis de seguridad en Mac OS X

Recientemente Kaspersky Lab comunicó que fue preguntado por Apple sobre los posibles problemas de seguridad de OSX, pero más tarde, el CTO de la compañía tuvo que aclarar que fue manipulada dicha información. En primer lugar se dijo que Kaspersky había comenzado a analizar la plataforma OSX, a petición de Apple.

Todo comenzó cuando desde Kaspersky se dijo públicamente que Apple no se toma en serio la seguridad del sistema operativo: "Mac OS X es muy vulnerable, y Apple nos invitó a mejorar su seguridad". Pero, más tarde, en un comentario posterior, Kaspersky Lab aclaró que la cita de Grebennikov fue sacada de contexto por la prensa. Además, pidieron que el artículo original fuera actualizado para reflejar la verdad. Apple confirmó que no solicitó el análisis de la plataforma Mac OS X, y que Kaspersky lo realizó de manera independiente.

La solución de antivirus para iOS

Los roces entre las dos compañías no han terminado en Mac OS X, ya que Apple no deja a Kaspersky desarrollar un antimalware para iOS, algo que el propio Eugene Kaspersky piensa que va a ser necesario en breve debido a la cantidad de sistemas iPhone, iPad o iPod Touch desplegados por el mundo.

Kaspersky piensa que el malware se distribuirá a través de aplicaciones supuestamente legítimas que serán infectadas en alguno de sus componentes durante la fase de desarrollo y desplegadas masivamente por todos los dispositivos, mientras que Apple piensa que los análisis de seguridad - incluido los antimalware - deben pasarse desde la tienda de aplicaciones, y no cargar esa responsabilidad al usuario, algo que cierra el negocio directamente a las casas antimalware en los terminales iOS.

Esta política les deja sólo la posibilidad de escanear los backups que se realizan en sistemas operativos Mac OS X o Windows y desarrollar aplicaciones antimalware on-demand, es decir, que el usuario lance sobre determinados documentos, como Virus Barrier for iOS.

Untethered Jailbreak para iOS 5.1.1 listo para mañana

noreply@blogger.com (SeguridadApple) — Wed, 23 May 2012 06:22:00 +0000

Ya han dado comienzo los trainings en Hack in the box Security Conference, uno de los más famosos encuentros de seguridad informática y hacking del mundo, que se celebra este año en Amsterdam del 21 al 25 de mayo de 2012. Esta conferencia ha despertado un gran interés este años entre los seguidores de Apple, por la participación especial de lo más florido de scene del jailbreak de iOS. Y para celebrarlo, parece que será en esta conferencia cuando va a salir a la luz el nuevo untethered jailbreak para iOS 5.1.1 llevado a cabo por Pod2G y el Chronic Dev Team.

Pod2G ya publico en su blog una noticia muy interesante dando a entender que el lanzamiento del nuevo untethered jailbreak para iOS 5.1.1 tendrá lugar durante la conferencia HITBSecConf2012. Existe también un tweet por parte del Chronic Dev Team que dice lo siguiente: “¿preparados para el jailbreak? Nosotros sí :)”. Si estás cerca de Amsterdam no te pierdas el evento en el hotel Okura de Amsterdam.

Musclenerd en su twitter, también ha publicado más información del nuevo jailbreak, del que se sabe que funciona correctamente en todos los dispositivos excepto el nuevo Apple TV, el resto de idevices podrán disponer del nuevo jailbreak untethered. También se ha anunciado que estará incluido en Absinthe 2.0, RedSn0w y un CLI "cinject" binary, todo ello, como dice MuscleNerd no está pensado para que se pirateen aplicaciones.

Nosotros tendremos la suerte de estar en sus charlas, así que intentaremos traer información de primera mano, pero viendo la gente que hay allí, tal vez sea una buena opción poner los idevices en modo avión y no perderlos un minuto de vista, que seguro que hay más de un 0day para ellos suelto por allí.

La Policía Metropolitana Inglesa despliega un sistema piloto de extracción de datos de dispositivos móviles de detenidos

noreply@blogger.com (SeguridadApple) — Tue, 22 May 2012 05:31:00 +0000

La Policía Metropolitana Inglesa ha implementado un sistema para extraer datos de los dispositivos móviles de los sospechosos en custodia. En una experiencia piloto de un año de duración, este sistema se ha desplegado ya en 16 ciudades, y podría llegar a utilizarse en todo el Reino Unido. Con él, más de 300 agentes serán entrenados para manejar la intuitiva y completamente guiada, con pantalla táctil, herramienta de escritorio de adquisición de datos desarrollada por la firma comercial forense Radio Tactics.

Figura 1: Aspecto del sistema

El sistema o kiosko, llamado ACESO, es capaz de extraer datos como el histórico de llamadas, los mensajes o la lista de contactos. Hasta ahora, para extraer estos datos, había que enviar los dispositivos a un laboratorio forense digital, para que se realizase un análisis forense, y esto podía tardar semanas.

Ahora con este nuevo sistema, se pueden extraer los datos utilizando los puestos desplegados en las propias comisarias de policía. Basta con conectar los dispositivos y extraer los datos, además el sistema permite salvaguardar los datos o imprimirlos. Si se desea más información del sistema, se puede visitar la web del fabricante Radio Tactics, y consultar la hoja de características.

Figura 2: Aspecto del sistema ACESO, desarrollado por Radio Tactics

Un portavoz de la Policía ha declarado a la BBC, que cuando un sospechoso es puesto en libertad, los datos extraídos de los dispositivos, son almacenados y manejados acorde a las políticas de gestión de datos del Servicio de la Policía Metropolitana (MPS), es decir, que se sigue el mismo tratamiento que con otros datos. Además cabe decir que esto es independiente de si se han presentado cargos o no.

Stephen Kavanagh, el Comisionado Adjunto del Servicio de Policía Metropolitana, ha declarado: “Los teléfonos móviles y otros dispositivos son cada vez más utilizado en todos los niveles de actividad criminal”. Con esto parece que queda justificado las 50.000 £ que ha costado los 16 terminales - durante un año - , y la formación de los agentes.

Grupos de derechos internacionales han descrito estas medidas como posible violación de los derechos humanos. Aunque según la Policía, la extracción de datos sólo se podría dar, en el caso de que hubiese suficientes sospechas, de que el terminal ha sido utilizado, o se haya visto implicado en alguna actividad criminal.

Según la portavoz de del grupo de Privacidad Internacional, Emma Draper, “Los planes de la Policía se limitan a dispositivos fijos en las comisarías, pero la tecnología portátil estaría disponible fácilmente. Examinar los dispositivos móviles, después de realizar un arresto es una cosa, pero utilizar esta tecnología en los registros y paradas realizadas en la calle de manera habitual, sería una expansión muy significativa y preocupante de los poderes policiales”.

Según Emma, “Es ilegal para conservar indefinidamente los perfiles de ADN de los individuos después de que hayan sido absueltos o liberados sin cargos, y las comunicaciones, fotos y datos de localización contenidas en los smartphones de la mayoría de la gente, es al tan valioso y tan personal como el ADN”.

Mac OS X Lion sufre el bug de SUDO CVE-2012-2337

noreply@blogger.com (SeguridadApple) — Mon, 21 May 2012 15:02:00 +0000

Esta semana pasada el proyecto sudo ha confirmado el bug descubierta por Jan Lieskovsky que podría permitir a usuarios no autorizados realizar una elevación de privilegios en sistemas de la red, debido a un fallo en la manera que sudo evalúa las restricciones basadas en IPv6.

Desde hace ya tiempo, el proyecto sudo permite generar ficheros de sudoers en los que también se pueden especificar los permisos en forma de hosts o de host_list.

La descripción de un host o un host_list puede hacerse basada en el nombre del equipo, su dirección IP o la dirección de red de varios equipos junto con su mascara de red. Cuando el módulo no encuentra ninguna coincidencia en IPv4, prueba con IPv6, y es posible que en ciertas circunstancias, un equipo con una dirección IPv6 sea reconocido como una IPv4 permitida, por la forma en que se evalúa el fichero.

El bug, como han analizado en Naked Security, se produce porque se habían olvidado de añadir una instrucción break al selector switch, lo que hacía que después de ejecutar el código para IPv4, si no había ninguna coincidencia, siguiera con las condiciones IPv6.

Figura 1: El código de sudo sin la instrucción break que tiene el bug

Ahora, tras el parche, si no hay ninguna coincidencia en IPv4 se abandona el switch gracias a que se ha añadido una instrucción break.

Figura 2: El código de sudo parcheado

Las versiones afectadas por este bug va desde la 1.6.9p3 hasta la 1.8.4p4, por lo que los sistemas Mac OS X Lion 10.7.2 a 10.7.4, que vienen acompañados de 1.7.4p6 se ven afectados por esta vulnerabilidad, así que se recomienda evitar el uso de network a la hora de definir la lista de permisos.

Figura 3: Versión de sudo en Mac OS X 10.7.4

El bug ha sido catalogado co el CVE-2012-2337 y ya se ha publicado una versión desde el proyecto que soluciona el fallo, pero habrá que esperar hasta que Apple proporcione esta actualización la próxima versión del sistema. Si tienes otra versión anterior de Mac OS X, puedes comprobar si tu equipo está también en riesgo con el comando sudo -V.

ElcomSoft Phone Password Breaker hackea iCloud

noreply@blogger.com (SeguridadApple) — Mon, 21 May 2012 04:58:00 +0000

Ya hemos hablado en este blog de ElcomSoft Phone Password Breaker, la herramienta para crackear contraseñas de cifrado de los backups de terminales iPhone, iPad o iPod Touch. Una vez que se accede a ese backup, es posible, rompiendo el cifrado que se utiliza para guardar el keychain del sistema operativo iOS, acceder a todas las passwords de servicios allí almacenadas. Con la última versión de ElcomSoft Phone Password Breaker, no obstante, se ha añadido una funcionalidad extra más que peligrosa para los usuarios que pierden su clave en un backup desprotegido: La posibilidad de acceder a los datos de iCloud en tiempo real.

La idea es bastante sencilla, ya que en el keychain se encuentra la clave de acceso a iCloud, razón por la que el backup se realiza de manera automática en la nube. Con ella, ElcomSoft Phone Password Breaker es capaz de conectarse a iCloud y transmitir los datos allí almacenados. A diferencia de los datos en el backup local, estos vienen desde la nube en texto claro, por lo que los investigadores sólo han tenido que hacer ingeniería inversa del algoritmo de iCloud e implementar un cliente para descargar esos datos.

La aparición de esta herramienta, que simplifica sobremanera la posibilidad de acceder a la cuenta iCloud de otra persona, y el conocimiento cada vez mayor del protocolo, pueden estar detrás de los hackeos de cuentas de Apple iCloud que muchos usuarios han empezado a denunciar en los foros de Apple, y dejarían claro porque Apple está fortificando las cuentas de AppleID con las famosas preguntas secretas.

En cualquier caso, para seguridad de los usuarios, se recomienda hacer cambios periódicos de las contraseñas de iCloud, y tener mucho cuidado con los equipos en los que se realizan backups.

Fue Noticia en Seguridad Apple: del 7 al 20 de Mayo

noreply@blogger.com (SeguridadApple) — Sun, 20 May 2012 07:43:00 +0000

Hoy domingo es el día de hacer el repaso a los posts que han sido publicados en Seguridad Apple durante los últimos catorce días, para que sea fácil recordar y seguir la actualidad de este mundo cada vez más lleno de noticias debido al cada vez mayor incremento de cuota de uso y tecnologías asociadas. Vamos con todos los posts que han visto la luz durante este periodo.

Comenzamos el día 7 de Mayo con un bug en Mac OS X Lion 10.7.3 que deja las passwords de FileVault y AFP en texto plano en un fichero de log. Esto es debido a la activación por defecto del modo DEBUG en esta revisión del sistema operativo.

El martes tuvimos más información sobre la red FlashBack Trojan, en la que se podía ver que el número de equipos infectados seguía siendo muy alta y no decrecía al ritmo esperado, lo que ha obligado a nuevas medidas por parte de Apple, como veremos más adelante.

El miércoles 9 de Mayo hablamos de la actualización de Apple iOS 5.1.1 en la que se soluciona 4 CVEs de seguridad. Uno de ellos el conocido Address Bar Spoofing de Apple Safari, dos XSS "menores" del año 2011 y un curioso bug que podría haber llevado a la creación de un nuevo JailbreakMe, y que parece que fue el causante de la actualización del sistema.

El jueves de la semana pasado publicamos cómo funciona la demo de Hijacking de Facebook en iOS, para comprobar en primera persona el bug de robo de sesión de un terminal.

Ese mismo día hablamos también de las actualizaciones críticas de Microsoft Office para mac 2008 y 2011, que corrigen fallos de seguridad que podrían ser utilizados en la distribución de malware en el sistema, por lo que se recomienda cuanto antes su aplicación.

El viernes de la semana pasada, la notica fue para las actualizaciones Mac OS X Lion 10.7.4 y Mac OS X Snow Leopard 2012-002, que corrigen 36 CVEs de seguridad, incluido el famoso y peligroso fallo de PHP en modo CGI y el bug del modo DEBUG en Mac OS X Lion 10.7.3. Además, hubo actualización de las Server Admin Tools.

Ese mismo día también hablamos de Apple Safari 5.1.7, que además de corregir 4 CVEs, los más importante fue la aplicación de una política de seguridad para bloquear las instalaciones antiguas de plugins de Adobe Flash, para evitar la infección de malware que aproveche vulnerabilidades conocidas.

El sábado 12 de Mayo la noticia fue para Steve Wozniak y Siri: Los hijos rebeldes de Apple, ya que ambos mostraban su idolatría por los telefonos con Windows Phone, algo bastante curioso dentro de la competitiva Apple.

El domingo pasado publicamos un resumen de 8 minutos en el que Rames Sarwat presentaba la tecnología SealSign para firma biométrica en dispositivos Apple iPad. Una tecnología única en el mundo que permite hacer mucho más humana la firma digital de documentos.

El 14 de Mayo el post fue sobre cómo descifrar la base de datos de mensajes de WhatsApp de un terminal iPhone o Android, utilizando una clave maestra publicada por Alejandro Ramos. Además, se hizo publica una herramienta online para hacerlo cómodamente.

El martes 15 hubo una grata sorpresa por parte de Apple, al ver que publicó una actualización de seguridad para Mac OS X Leopard, con el objeto de luchar contra FlahBack Trojan, y de fortificar un poco la base instalada de esta versión. Hizo pública Mac OS X Leopard Security Update 2012-003 y Leopard Removal Security Update.

Ese dia también tuvimos un posts para hablar de Apple TV Update 5.0.1 y Remote Desktop 3.5.3 Client, nuevas versiones que solucionan bugs de estabilidad.

El día 16 se anunció el Curso de especialización en dispositivos móviles que se realizará los días 20, 21 y 22 de Junio en A Coruña, y que contará con la presencia de ponentes como Simon Roses, David Barroso, Chema Alonso, Mikel Gastesi, Juan Miguel Aguayo, Rames Sarwat y Antonio Díaz entre otros.

El miércoles 17 la noticia fue para la actualización Apple QuickTime 7.7.2 para Windows que soluciona bugs críticos, y que por lo tanto debe aplicarse cuanto antes.

Por la tarde nos hicimos eco de un fallo que se produce en los sistemas con discos cifrados con Symantec PGP en los que se ha aplicado Mac OS X Lion 10.7.4 sin actualizar el software de cifrado previamente.

El viernes le dedicamos la entrada a un análisis de seguridad de Secure Folder Pro, una solución para proteger el contenido de carpetas dentro un iPhone, iPad o iPod Touch y que vimos que no era tan seguro como se supone al principio.

Ayer sábado, la primera noticia se la dedicamos a la actualización de Apple sobre Siri con el objeto de que deje de decir que el mejor smartphone era un Nokia Lumia 900 con Windows Phone, lo que supuso un comportamiento llamativo por parte de la compañía.

Por último, al medio día de ayer, dedicamos una entrada a la historia con la cuenta de revisores de Apple en Facebook, llamada Dive Apple, que se utiliza para comprobar el funcionamiento de aplicaciones que hacen uso de la red social entre sus características.

Y esto fue todo, que como veis no fue poco. Esperamos veros dentro de dos semanas aquí, y todos los días en Seguridad Apple. Feliz domingo.

Dive Apple: Cuenta Facebook de los revisores de App Store

noreply@blogger.com (SeguridadApple) — Sat, 19 May 2012 11:30:00 +0000

¡Cazados! sería el titular si de una nota de prensa se tratará, y es que ha salido a la luz la cuenta de Facebook que utilizan los revisores de las aplicaciones de la App Store. Esta cuenta, de nombre Dive Apple, parece ser una cuenta utilizada para testear las aplicaciones que se conectan con la API de Facebook. Este hecho fue descubierto y sacado a la voz pública por Jon Mitchell de ReadWriteWeb, dónde cuenta su historia.

Figura 1: Perfil en Facebook de Dive Apple

Jon cuenta lo siguiente: "Nos dieron a conocer a Dive Apple por un desarrollador que conocíamos en común, cuya identidad protegeremos. Este desarrollador descubrió que esta cuenta disponía de una actividad inusual en una aplicación iOS que está siendo subida al App Store, mientras el equipo de Apple la revisaba. La aplicación no está liberada aún, pero el usuario Dive Apple la probó, además de tomar fotografías del hardware de Apple, de su equipo subiéndola con la propia aplicación".

¿Por qué es un perfil público?

Pregunta más que razonable. La cuenta dispone de 8 amigos, y ellos disponen de distintos niveles de privacidad. Normalmente, las aplicaciones que testea Apple que utilizan la API de Facebook, deben ser testeadas con todos los niveles de privacidad y con todas las posibles configuraciones, eso podría explicar lo del perfil público, simplemente pura necesidad de testing.

La cuenta de Dive Apple tiene casi 4 años. "Nació" en 2008, y la primera prueba que realizó con esta cuenta fue testear la aplicación Naked Touch, la cual aparentemente puede ser usada para dibujar con los dedos y subirse dichos dibujos a Facebook.

Figura 2: Actividad de Dive Apple

Dive Apple vive en San Francisco, pero se pasa gran cantidad de su tiempo a 45 minutos de Cupertino. Su lugar favorito es el pub Duke Of Edinburgh, ubicado dentro del área del campus principal de Apple. Todas estas curiosidades han sido obtenidas a través de la cuenta de Dive Apple en Facebook. Este sitio puede suceder al de la mítica pérdida en un bar del iPhone 4.

Apple actualiza Siri para que diga que iPhone es el mejor

noreply@blogger.com (SeguridadApple) — Sat, 19 May 2012 05:32:00 +0000

Hemos de decir que cuando publicamos el artículo de Steve Wozniak y Siri: Los hijos rebeldes de Apple, no esperábamos para nada que Apple modificara el comportamiento de Siri - el asistente personal y supuestamente inteligente - para que dejara de decir que el mejor smartphone jamás creado era Nokia Lumina 900 con Windows Phone... pero lo ha hecho.

Figura 1: Las nuevas respuestas de Siri

Apple ha cambiado las repuestas para que Siri responda, con gracia, que el mejor es iPhone. Un comportamiento forzado que denota varias cosas, según nuestro punto de vista.

1) Apple no tiene ningún sentido del humor.

2) Siri no puede ser tomado como un buscador de información, porque si así lo fuera, una modificación de los resultados así levantaría las ampollas en las agencias de libre competencia que con tanta lupa miran los resultados de los buscadores Bing y Google.

3) Las respuestas de Siri siempre serán pro-Apple, algo que ha hecho que personal de Nokia salga a destacar que la dictadura de Apple está por encima del "algoritmo inteligente".

En cualquier caso, un hecho tan anecdótico como una respuesta de Siri, parece que va a generar una buena dosis de polémica.

Análisis de seguriad de Secure Folder Pro: No tan "Secure"

noreply@blogger.com (SeguridadApple) — Thu, 17 May 2012 22:20:00 +0000

iPhone, iPad e iPod Touch son los dispositivos más promocionados en el mercado de los smartphones y los tablets. Tienen muchas características atractivas, pero una de las cosas importante respecto a la seguridad y uno de los mayores inconvenientes, es la ausencia de seguridad en carpetas, ficheros, y otra información privada que el usuario desea almacenar.

Tras las últimas publicaciones de los sistemas de cifrado de iOS y otras vulnerabilidades, es normal que haya usuarios con cierta preocupación por la protección de sus datos. Así que a raíz de todo esto, y vistas las opciones de seguridad incorporadas por iOS, se puede echar un vistazo al App Store en busca de apps para que implementen algún tipo de cifrado o protección para la info confidencial o secreta de los usuarios.

Por supuesto, allí ya hay muchas aplicaciones, como por ejemplo Folder Lock, Secure Folder Pro, LockTopus, LockDown Pro - de la que ya vimos que su sistema de protección tiene un bug que permite saltarse la protección y que está sin solucionar aún -, etc...

Desde Seguridad Apple hemos pensado en ir analizando a lo largo de varios post estas apps y hacer una pequeña comparativa, de manera que cada uno pueda elegir la que mejor satisfaga sus necesidades, y en este caso, se le ha echado un vistazo a Secure Folder Pro.

Secure Folder Pro, tal y como se anuncia en la web del fabricante, posee características como:

Provee una perfecta seguridad con cifrado de passwords.
Trampa segura (Área de almacenamiento completamente separada, para engañar a los intrusos curiosos).
Icono humilde o discreto (se ve como una carpeta normal).
Utiliza la cámara para realizar y salvar fotos privadas dentro de la aplicación.
Almacenamiento seguro de datos y tarjetas de crédito con cifrado robusto.
Funciona muy bien, con alta velocidad de respuesta, alta resolución y fácil manejo.
Posibilidad de importar/exportar vídeos y fotos desde/a el Mac/PC.
Acceso Wi-Fi para importar gran cantidad de fotos y vídeos.
Creación de albums para fotos y vídeos.
Soporta envío de email con fotos y vídeos.
Soporte Full HD para fotos y vídeos.
Exportar fotos y vídeos al álbum público del dispositivo.

Después de todo este elenco de características, y a juzgar por las capturas que aparecen en la web de la empresa desarrolladora, la aplicación está orientada a aquellos que deseen almacenar de manera segura datos como contactos, fotos, notas, tarjetas de crédito, etc. Sí, ya se, algunos están viendo el uso del ligón o Don Juan de turno, que desea almacenar su “chorvoagenda”, fotos de chicas, o URLs de sus webs porno favoritas, y todo guardado a buen recaudo.

Figura 1: Agenda de contactos y album de fotos de Secure Folder Pro

Quizás lo más gracioso de la aplicación, es que si alguien intenta realizar un acceso y no sabe la contraseña, cuando la aplicación lo detecta, realiza una foto del intruso y la almacena en una base de datos, junto con la fecha y hora y coordenadas GPS.

Figura 2: Historio de accesos y capturas realizadas en intentos no autorizados

Con toda esta larga lista de características, a priori, la aplicación parece muy interesante. Además de que cuenta con un servidor HTTP para trasferir ficheros entre el dispositivo iOS y el Mac/PC, con una clave fake, para demostrar a tu esposa o novia, que no estas almacenando nada que ella no pueda ver, etc…

Almacenamiento no protegido de datos

El gran problema que tiene la aplicación es que si su objetivo es proteger ciertos datos, como fotos, vídeos, etc., esto lo hace siempre y cuando se este intentando acceder desde el propio dispositivo. Pero, si el acceso se realiza a través de herramientas como iFunBox, Oxygen Forensics, o simplemente conectando a través de ssh - siempre y cuando terminal tenga hecho el jailbreak y con la clave alpine por defecto - entonces la seguridad de esta aplicación queda en entredicho, ya que se puede acceder a las carpetas que contienen las fotos y vídeos confidenciales - tanto a la carpeta protegida, como a la carpeta fake -, tal y como se muestra en la siguiente captura. Como se puede observar, los datos no están cifrados, por lo que se pueden visualizar con total normalidad.

Figura 3: Aspecto de las carpetas de la aplicación en el sistema de ficheros

Datos sensibles sin cifrar

Pero lo más grave está por llegar, y es que Secure Folder Pro almacena muchos de los datos a proteger en un fichero llamado data.bin - situado en la carpeta “MyFiles” de la sandbox de la aplicación -, que se puede abrir con un editor hexadecimal, y comprobar que los datos están en plano, tal y como se aprecia en la siguiente captura:

Figura 4: Contenido del fichero bin.data con información en plano

En la captura anterior se aprecian los datos almacenados, referentes al password de la aplicación Evernote, que supuestamente estaban protegidos por Secure Folder Pro. La siguiente captura muestra los datos que el usuario de la aplicación desea proteger:

Figura 5: Aspecto de una contraseña almacenada por Secure Folder Pro

Como se puede comprobar contrastando las capturas, muchos datos son visibles en texto plano, y lo que es más grave aún, y es que aparece en la Figura 4 la contraseña con la que se protege el acceso a esta aplicación, que es este caso es: 1357.

Conclusiones

Como puede comprobar cualquiera después de trastear un rato con ella, la aplicación tiene varios fallos, como que se cierra el servidor web o el servicio HTTP una vez se pone la aplicación en segundo plano, además de algunas otras quejas de clientes en la App Store, como que no se pueden enviar fotos o ficheros - ya que si se intenta, la aplicación se cierra – crash! -, y otros problemas con vídeos de mayor peso, etc. Y con todo esto, aún así está es muy bien situada en el ranking en países como España, Francia o Italia.

Así que toca echar un vistazo al resto de aplicaciones que cumplen con la misma funcionalidad y ver si es posible encontrar alguna otra aplicación, que proteja los datos correctamente. De momento LockDown Pro y Secure Folder Pro no han pasado el examen.

Juan Miguel Aguayo
Autor del libro "Desarrollo de aplicaciones iOS para iPhone & iPad: Essentials"
Nota: Todo esto se ha comprobado con un iPhone 4 (Jailbreak) y un iPhone 4S (Jailed).

¡Ojo!: Mac OS X Lion 10.7.4 genera problemas con discos cifrados con versiones de Symantec PGP no actualizadas

noreply@blogger.com (SeguridadApple) — Thu, 17 May 2012 05:30:00 +0000

La verdad es que cuando hemos visto esta noticia hemos pensado en los problemas que en el pasado Mac OS X Lion 10.6.5 generó con los discos cifrados con Symantec PGP, y que volvió a dar problemas en Mac OS 10.6.6. En esta ocasión el problema se vuelve a dar con Mac OS X 10.7.4, pero sólo para aquellos usuarios que no han actualizado a la última version, es decir, a Symantec PGP 10.2.1.

Figura 1: Opción de cifrado completo de disco con Symantec PGP

Si se ha actualizado a Mac OS X Lion 10.7.4 con una versión anterior de Symantec PGP, entonces lo único que puedes hacer es arrancar con un disco de emergencia y recuperar los datos de fichero cifrado creando un clon del disco y descifrando el antiguo sobre este nuevo.

Figura 2: Error que se obtiene cuando da problemas

Mala relación parece que tienen las actualizaciones de Mac OS X y Symantec PGP, pero en este caso la culpa hay que echársela al usuario que no ha actualizado el software. Actualizar es útil.

Apple QuickTime 7.7.2 para Windows soluciona 17 bugs

noreply@blogger.com (SeguridadApple) — Wed, 16 May 2012 23:02:00 +0000

Para los usuarios de sistemas Microsoft Windows XP, Vista o Windows 7, Apple ha publicado el boletín de seguridad APPLE-SA-2012-05-15-1 en el que se avisa de la disponibilidad de Apple QuickTime 7.7.2 para Windows, con la solución a 17 CVEs de nivel crítico, por lo que es necesario proceder a actualizar cuanto antes el software.

Los bugs solucionados se han publicado en el boletín de seguridad en listas de correo y pueden ser consultados en Bugtraq: APPLE-SA-2012-05-15-1. La nueva versión de Apple QuickTime 7.7.2 para Windows puede ser descargada desde: Descargar Apple Quick Time.

Curso de Especialización en Dispositivos Móviles en Junio

noreply@blogger.com (SeguridadApple) — Wed, 16 May 2012 05:30:00 +0000

Ya está abierto el registro para el Curso de Especialización en Dispositivos Móviles que se realizará en la Facultad de Informática de la Universidad de A Coruña, durante los días 20, 21 y 22 de Junio del presente año. Éste es el quinto año que se realizan estos cursos durante el periodo veraniego, para pasar tres días de especialización tecnológica compartiendo experiencias.

Esta edición continúa muy centrada en la seguridad, pero debido a la innegable necesidad que tienen todos los profesionales hoy en día de conocer más sobre los dispositivos móviles, ya sean smartphones o tablets Android, iOS o Windows Phone, hemos querido hacer una agenda que cuente con charlas que ayuden también a conocer más de la arquitectura y la administración de estos dispositivos.

En esta edición, hay sesiones dedicadas a la arquitectura del software de los teléfonos Android o iOS, también a las técnicas de análisis forense de estos dispositivos, que cada día se ven implicados en más incidentes tecnológicos y casos que deben abordar los peritos informáticos, dedicadas al cómo funcionan las técnicas de jailbreak y rooting de terminales o al mundo del malware y el e-crime.

Para cubrir todos los aspectos, se ha contado con un plantel de ponentes de alto nivel, entre los que se encuentran:

- Juan Miguel Aguayo, experto en desarrollo de aplicaciones para dispositivos móviles y autor del libro Desarrollo de Aplicaciones iOS para iPhone & iPad - que además será entregado a todos los asistentes.

- Rames Sarwat de la empresa SmartAccess, creadores de la tecnología que permite realizar firma biométrica en dispositivos móviles.

- Simón Roses - ponente internacional en conferencias como Source, BlackHat o DeepSec - de la empresa VULNEX especializada en seguridad de dispositivos móviles.

- David Barroso de Telefónica, experto internacional en seguridad y e-crime.

- Antonio Díaz, desarrollador de aplicaciones Android en Informática64.

- Mikel Gastesi de la empresa S21Sec, autor del libro Fraude Online: abierto 24 horas, y especialista en e-crime.

- Chema Alonso, experto en seguridad internacional y Microsoft MVP en Enterprise Security.
- Josep Albors: consultor de seguridad de la empresa ESET, fabricante de soluciones de seguridad para Windows, Mac OS X y Android.

Además, todos los asistentes recibirán también el libro de Hacking y Seguridad en Comunicaciones Móviles, escrito por David Pérez y José Picó de la empresa Taddong. El proceso de registro ya está abierto y hay una serie de tramos de registro más económicos, así como descuentos especiales para todos los alumnos de la Universidad de la Coruña. Tienes toda la información en la web del Curso de Especialización en Dispositivos Móviles. ¡Nos vemos en A Coruña!

Apple TV Update 5.0.1 y Remote Desktop 3.5.3 Client

noreply@blogger.com (Maligno) — Tue, 15 May 2012 08:20:00 +0000

Apple ha publicado un par de actualizaciones de sus productos que, aunque no han informado de que solucionen ningún bug de seguridad, sí que arreglan problemas de estabilidad y compatibilidad. Los productos son:

- Apple TV Update 5.0.1: Añade la posibilidad de ver los preview en iTunes en HD. Arregla un problema que hacía que algunas aplicaciones iOS fallaran al conectar por AirPlay. Mejora la estabilidad de las conexiones en los servicios de Home Sharing, un problema con la navegación Netflix y fallos de rendimiento y estabilidad generales. Puedes encontrar más información en el artículo de la Knowledge Base HT4448.

- Apple Remote Desktop 3.5.3 (Client): Esta actualización está incluida en Mac OS X Lion 10.7.4, pero debe instalarse manualmente en equipos Mac OS X Snow Leopard 10.6.X, y arregla problemas y fallos de compatibilidad y estabilidad del producto. Está disponible en el artículo DL1532, así que te recomendamos que actualices para evitar caídas de servicio inoportunas.

Apple se acuerda de Leopard: Mac OS X Leopard Security Update 2012-003 y Leopard Removal Security Update

noreply@blogger.com (SeguridadApple) — Tue, 15 May 2012 00:16:00 +0000

Apple nos ha sorprendido a todos con un movimiento inesperado y algo inusual en su comportamiento habitual, que hay que apuntar en gran media a la "crisis" provocada por el ya más que famoso malware para Mac OS X FlashBack Trojan, y ha publicado dos actualizaciones de seguridad para la aún más que considerable base instalada de equipos con Mac OS X Leopard. Esto es algo nuevo, ya que desde que apareció Mac OS X Lion, Apple había obviado a este sistema operativo de sus actualizaciones de seguridad, algo que no gustaba para nada a los usuarios de este sistema operativo.

- Mac OS X Security Update 2012-003: La primera de ellas ha sida una actualización para los equipos con Mac OS X 10.5.8 en la que, además de actualizarse parches de seguridad se instala la versión de Apple Safari 5.1.7, que entre otras cosas, elimina las versiones inseguras de Adobe Flash. La actualización estará disponible en la página DL1533.

- Mac OS X Leopard Removal Security Update: La segunda de ellas ha sido la herramienta de limpieza del malware FlashBack Trojan, para reducir en todo lo posible el aún gran número de equipos infectados. Puedes descargar la herramienta desde el artículo DL1534.

Sobre los CVE solucionados, Apple aún no ha publicado los artículos de la Knowledge Base, pero hemos de suponer que serán más o menos los mismos que los solucionados en Snow Leopard y Lion en sus últimas actualizaciones. Sea como fuere, es de agradecer esta actualización desde Apple y os recomendamos a todos los que aún usáis Mac OS X Leopard que las instaléis ya.

Descifrar la base de datos de mensajes de WhatsApp

noreply@blogger.com (SeguridadApple) — Mon, 14 May 2012 05:23:00 +0000

La popular herramienta de envío de mensajes desde dispositivos móviles ha estado en la mira de los investigadores de seguridad desde hace tiempo. La no utilización de un sistema de comunicaciones cifrado al enviar y recibir los mensajes, la posibilidad de escanear los mensajes de saludo de los usuarios, la posibilidad de registrar números de teléfono de otros usuarios, o bugs que la llevaron a ser retirada del App Store, son algunos ejemplos que dejan clara esta afirmación.

En esta ocasión hay que hablar del cifrado de la base de datos de mensajes que se almacena en el dispositivo. Para ello, como explica Alejandro Ramos en Security By Default, los datos están almacenados en un fichero SQLite cifrado con AES. Dependiendo del terminal, es decir, Android, iPhone o BlackBerry, el cifrado es muy similar, pero con matices, tal y como se detalla en el paper WhatsApp Database Encryption Project Report de Fabio Sangiacomo y Martina Weidner.

Figura 1: Análisis de cifrado en Android, iPhone y BlackBerry

Sin embargo, tal y como explica Alejandro Ramos, se utiliza siempre la misma clave de cifrado sin añadir ningún factor de Salting en la clave que dependa del dispositivo, lo que hace posible descifrar cualquier fichero de mensajes de cualquier teléfono con la misma clave, utilizando un sencillo comando de OpenSSL.

openssl enc -d -aes-192-ecb -in msgstore-1.db.crypt -out msgstore.db.sqlite -K 346a23652a46392b4d73257c67317e352e3372482177652c

De hecho, para que sea más fácil se ha creado una web en la que se sube el fichero cifrado y se obtiene el mismo descifrado.

Figura 2: Herramienta online para descifrar la base de datos

Para conseguir este fichero, es necesario contar con un terminal iPhone o un backup al que se haya podido tener acceso, ya sea porque tiene jailbreak, o utilizando una herramienta de análisis forense como Oxygen Forensics.

Firma digital y biométrica en dispositivos móviles

noreply@blogger.com (SeguridadApple) — Sun, 13 May 2012 05:14:00 +0000

Ya hace algún tiempo os hablamos aquí de SealSign, la solución de las empresas españolas SmartAccess y Mina Software para realizar procesos de firma biométrica en dispositivos móviles que funcionen con Andorid, iPhone, iPad, BlackBerry, Windows Phone o Windows 8.

Durante la Gira Up To Secure 2012 participaron con una ponencia que podéis ver online, junto con las presentaciones, pero también hay un resumen de 9 minutos que puedes ver aquí, para observar en acción la tecnología funcionando, impartido por Rames Sarwart.

Rames participará en el próximo Curso de Especialización en Dispositivos móviles, que se realizará en la Facultad de Informática de la Universidad de A Coruña los días 20, 21 y 22 de Junio, y mostrará el funcionamiento de las soluciones.

Steve Wozniak y Siri: Los hijos rebeldes de Apple

noreply@blogger.com (Maligno) — Sat, 12 May 2012 05:10:00 +0000

Aprovechando que es fin de semana, y hace mucho que no traemos una entrada de curiosidades al blog debido a que la actualidad de seguridad ha marcado el ritmo, hemos querido dedicarle este post los hijos rebeldes de Apple: Steve Wozniak y Siri

Steve Wozniak siempre ha ido por libre en gustos, y nunca ha seguido la disciplina de Apple de diseño. De hecho, Steve Wozniak podría considerarse todo menos un "fanboi". Ya siguió su camino cuando aún Apple no había lanzado al mercado el iPhone Blanco y él presumía de tenerlo "pirateado" con los kits que hicieron que la estudiante ganara tanto dinero en su época.

Figura 1: El gran Steve Wozniak y su iPhone Blanco

Para remarcar más su independencia de la doctrina Apple, no hace mucho, hablando de terminales móviles e interfaces de usuario, se deshacía en elogios con Windows Phone de Microsoft, diciendo que su interfaz era realmente bonita. Pues bien, parece que Siri, el mayordomo de iPhone, ha aprendido del mismísimo Steve Wozniak, y cuando se le pregunta cuál es el mejor smartphone jamás creado, Siri contesta: Nokia Lumia 900.... con Windows Phone.

Figura 2: Si lo dice Siri...

¿Arreglarán este bug en la próxima release de Siri? No, no es 1 de Abril.

Apple Safari 5.1.7: 4 CVEs y bloqueo de Flash inseguros

noreply@blogger.com (SeguridadApple) — Fri, 11 May 2012 06:30:00 +0000

Junto con la actualización de Mac OS X Lion 10.7.4, Server Admin Tools 10.7.4 y Mac OS X Snow Leopard Security Update 2012-002, Apple publicó una nueva versión del navegador, la release Apple Safari 5.1.7. En esta nueva revisión del producto, el principal cambio a tener en cuenta es que se ha añadido una protección que evita que se pueda cargar un plugin de Adobe Flash si está desactualizado, y por lo tanto es inseguro.

Esta medida de precaución ya la tomó Mozilla Firefox hace poco con Java, y los navegadores de Microsoft utilizan protecciones similares desde hace ya bastante tiempo, lo que ayuda a mitigar un poco el grado de impacto que puede tener un exploit conocido, y por lo tanto a reducir el número de usuarios afectados. Esta medida ha sido bien vista por el jefe de seguridad de Adobe.

Por otro lado, esta versión soluciona 4 CVE en Webkit, tal y como está descrito en el Security Advisory APPLE-SA-2012-05-09-2 que se ha distribuido por las listas de correo especializadas. Estos son:

- CVE-2011-3046: XSS descubierto por Sergey Glazunov y Google's Pwnium contest.
- CVE-2011-3056: XSS descubierto por Sergey Glazunov.
- CVE-2012-0672: Memory Corruption descubierto por Adam Barth y Abhishek Arya.
- CVE-2012-0676: Issue en el tracking de estado en la gestión de formularios, descubierto por Andreas Akre Solberg, Aaron Roots y Tyler Goen.

Desde Seguridad Apple te recomendamos actualizar cuanto antes para estar protegido. La nueva versión de Apple Safari puede obtenerse desde: Apple Safari 5.1.7.