Archive for December, 2007

Hackear es fácil, a fin de año

Thursday, December 27th, 2007

El data-scavening es mucho más fácil en fin de año, porque no es necesario urgar en la basura, ni tener que conseguirse un empleo part-time de recogedor de basuras o limpia ventanas. La gente en ciertos lugares de América del Sur, incluyendo Perú, Uruguay, Argentina, quizás otros más, lanza papeles a las calles, como expresión de júbilo por el fin del año viejo y comienzo del nuevo.

¡Qué peligrosa costumbre que se tiene!


La portada del estudio anual de costo de pérdida de información en USA hace buena ilustración a éste peligroso acontencimiento (Lunes 31 diciembre 2007).

Aritmética de seguridad torcida: 1 + 1 = 1

Friday, December 21st, 2007

Hace un tiempo atrás, en la época en que Bruce Schneier liberó un hallazgo al respecto de un algoritmo de generación de códigos random, otros investigadores -también criptográficos- liberaron otro hallazgo donde se desfalcaba la veracidad de la generación de claves random en un componente de los sistema Windows usado por los clientes SSL.

En esa oportunidad Bruce indicó que la NSA había aninado un troyano en ese código de generación random.

Ahora bien, en el reciente parche de servicio de Windows Vista, Bruce advierte que el algoritmo mejorado del que hace uso Windows Vista para evitar las llaves seudo-random, es nada menos que el de la NSA.

Esto es arimética totalmente torcida, ese parche de servicio (SP1) debería dar un mejor resultado de seguridad, no uno inverso.

Sin embargo, Bruce advierte que el mecanimos está deshabilitado por defecto.

La pregunta que inquieta: ¿Qué es esto? ¿A qué ingeniero de software se le ocurrió esta broma? ¿Acaso lo pusieron allí sólo por si acaso, pues sabían lo que están poniendo?

Tip seguridad para desarrolladores

Friday, December 14th, 2007


Detecte cambios: Vigile la integridad del software público

No es novedad que en la actualidad varios criminales informáticos comprometan sitios web públicos para dejar código hostil en ellos. Sin embargo, esos sitios no son sólo aquellos con algún contenido dinámico o estilo portal. También, calza en este salón de la fama, los sitios web de aplicaciones open-source o de aplicaciones bastamente usadas.

La amenaza es real. Entre la segunda y tercera semana de diciembre (2007), la versión 1.4.12 del paquete SquirrelMail disponible para descarga pública, fue modificada inadvertidamente, según lo declara Jonathan Angliss el 13 de dic. 2007 en las noticias de la web de éste proyecto. Al parecer el paquete fue comprometido por una cuenta crackeada o robada con permiso a mantenimiento.

La solución “preventiva” consiste en monitorear los cambios inadvertidos de esas compilaciones que se dejan a libre descarga del público. Por supuesto, debe ser lo más automatizado posible. No se trata de comparar visualmente los md5 por un humano. Una herramienta útil y automatizable podría ser Tripwire, disponible en el mundo open-source como en el mundo comercial.

Nota: Una aplicación puede ser modificada para contener código malicioso que afecte la intención del programa o software, y haga que el computador final realice otras acciones, menos benignas, quizás para conformar una botnet o similar.

A continuación un ejemplo muy destacado de esas aplicaciones muy usadas, cuya integridad debe ser monitoreada de cerca:
PDT PDT.

Ilustración japonesa de una botnet

Wednesday, December 12th, 2007

Con un toque muy japonés y transfondo comercial por Symantec, estos videos ilustran perfectamente qué es una botnet.

Si Norton es o no un buen anti-virus, sólo los usuarios lo pueden confirmar.

Anuncio: Cursos de Seguridad 2008

Tuesday, December 11th, 2007

Este próximo 09 de enero, estaremos presentando los seminarios “oficiales” CISSP, y al lanzamiento del ciclo de cursos de SANS en Lima - Perú, para el 2008. En la charla:

  • Conozca por qué su compañía debe invertir en un CISSP “in-house”
  • Descubra cuáles son las opciones de “entrenamiento” de uso inmediato
  • Participe de nuestra nueva encuesta de seguridad


Cursos Seguridad 2008
“Miércoles, 9 de enero 2008″
10:00 AM
Hotel San Isidro Inn
Av. Juan Pezet 1765, San Isidro, Lima 27, Perú
http://www.sanisidroinn.com.pe/

Si usted es usuario del portal, responda con el asunto: “Confirmo mi participación”. Si no es usuario, debe primero registrarse al portal.

Palabras del Ministro de Defensa de Estonia

Monday, December 10th, 2007

A continuación algunas de las citas más importantes de la transcripción de lo dicho por el Ministro de Defensa de Estonia, Jaak Aaviksoo, en Washington (28 Nov. 2007), referente a los ataques DDoS sufridos en su nación en el mes de mayo:

Acerca de la responsabilidad del uso de ciertas armas
It is a complicated question to what extent individual people or computer owners can be held responsible for those attacks. Will I just bring you a small mental exercise. In a war, in a regular war, guns are used as weapons to fight. In cyber attacks, computers are the weapons. We have made rules and regulations so anybody who owns a gun has to keep it from being used against third parties, either by leaving it at home on the table accessible to your children and them using it against their friends or classmates, then it’s clear that we can be held responsible.

Acerca de la velocidad de respuesta
…close cooperation. Even more so, we’re taking into account the very nature of those attacks; they are speed; events happen in milliseconds or even in shorter time periods. They develop over minutes or hours. And so, fast reaction is essential.

Malware en Google

Friday, December 7th, 2007



Video Parte 1

Haciendo uso de comandos avanzandos de Google, para el dominio CN, se pudo hallar las páginas utilizadas para la infesta malware que se ha producido en los resultados de ciertas búsquedas en Google.

Tenga cuidado con lo que escribe en la red

Monday, December 3rd, 2007

Cuando escriba en la web debe tener cuidado de lo que allí pone, y de quien escribe. Quizás usted mantenga en anonimato su identidad, pero no así la identidad de quien escribió.

Un peligro militar es el que hacen familiares y amigos de gente en batalla, en ciertos lugares públicos de Internet donde se puede pedir por oración. En ellos se observan detalles sumamente peligrosos para la familia del militar en batalla, como para él mismo, y quizás aún peor para su pelotón. Datos como: oren por mi amigo cuyo nombre y apellido es John Joe (ficticio), su lugar actual es Iraq (ficticio), estará sirviendo por 6 meses a partir de noviembre 2007 (ficticio), tiene tres hijas, y ama a su esposa. Yo escribo desde la ciudad de XYZ en el estado de XYZ, mi nickname es YXZ.

Sólo cojes el nombre del amigo en batalla y lo mandas a Google, y en primera fila aperece sus detalles en Linked-In.

Nuevamente, tenga cuidado con lo que escribe en la red, usted podría poner en riesgo no sólo una vida, sino un grupo de vidas. Lo mismo puede suceder, incluso con delicadas operaciones de negocios.


Como en este video, vidas pueden estar en peligro.