Detalles sobre la macroactualización de seguridad para Apple Mac OS X

Apple ha lanzado recientemente una nueva actualización de seguridad para su sistema operativo OS X que solventa un total de 17 vulnerabilidades que podrían ser aprovechadas por un atacante local o remoto para falsificar la resolución de dominios, revelar información sensible, saltarse restricciones de seguridad, causar denegaciones de servicio o ejecutar código arbitrario en un sistema vulnerable.

Dentro del paquete Security Update 2008-005 se incluyen parches para los siguientes componentes: Open Scripting Architecture, CarbonCore, CoreGraphics, Data Detectors Engine, Disk Utility, OpenLDAP, OpenSSL, PHP, QuickLook, Rsync y también para la vulnerabilidad de falsificación de DNS en BIND.

Continuar leyendo “Detalles sobre la macroactualización de seguridad para Apple Mac OS X”

Consejos útiles contra el malware 2.0 en Windows

Los consejos obsoletos ofrecen una falsa sensación de seguridad de la que se están aprovechando los atacantes. Muchas de las informaciones publicadas sobre seguridad en general y sobre malware en particular no han sabido renovarse, y se perpetúan coletillas y axiomas que (aunque útiles y necesarios) no se han matizado ni completado correctamente con el tiempo. Son consejos de hace años, que no se han adaptado a una industria (la del malware) que avanza mucho más rápido de lo que podamos imaginar. Vamos a ofrecer algunos consejos útiles contra el malware…

de hoy.

Administrador no, gracias

El principal consejo para los usuarios de sistemas operativos en general y los de Windows en particular es no usar la cuenta de administrador. Se debe utilizar la cuenta de un usuario sin privilegios, sin excusas. Esto es lo que puede llevar a una mayor protección no solo contra el malware, sino contra posibles despistes del propio usuario. Un “administrador”

está precisamente para “administrar”, y son muy pocas veces las que un usuario utiliza su sistema para realizar modificaciones importantes. La mayor parte del tiempo lee correo o navega, actividad esta última que conlleva un importante riesgo, sea con el navegador que sea. Esta irresponsable actitud de usuario administrador perpetuo está heredada de los tiempos de Windows 9x. No tenía sistema de usuarios local real, ni soportaba NTFS, con lo que no se podían establecer permisos por usuarios. Cuando apareció XP, tras su instalación Microsoft permitía por fin la creación de un usuario distinto al administrador para el uso del sistema. Un gesto que hubiera servido de algo si este mismo usuario no perteneciese por defecto al grupo administradores, y por tanto fuese tan poderoso como él.

A nadie que utilice un sistema operativo que no sea Windows se le ocurre realizar sus actividades cotidianas como “root” o súperusuario. En Windows, lo extraño es precisamente lo contrario, trabajar con cuentas limitadas. Este es el verdadero origen de la mayor parte de los males, y de que el malware pueda campar a sus anchas en un ordenador donde puede escribir, leer, modificar… puesto que es ejecutado con los mismos permisos del usuario que está usando la máquina.

En Windows Vista, Microsoft ha establecido un importante sistema de seguridad para mitigar este problema heredado, rompiendo así una tendencia muy arraigada y limitando el poder del usuario habitual. Se ha relegando por fin el uso del administrador a un segundo plano. Sin embargo esto ha sido visto por muchos usuarios como un estorbo, en vez de como una importantísima mejora en su seguridad.

Aunque se presente aquí como panacea, no lo es. Todavía una parte del malware actual podría seguir actuando. Además, trabajar como usuario raso en XP o 2000 puede llegar a ser incómodo, incluso para usuarios experimentados. Es necesario tener conocimientos sobre permisos, privilegios, NTFS, derechos, herencias, grupos… Por si fuera poco, con ánimo de no complicar al usuario, Windows XP Home Edition escondía deliberadamente la pestaña de seguridad para poder cambiar los permisos, a no ser que se trabajara en modo a prueba de fallos.

Continuar leyendo “Consejos útiles contra el malware 2.0 en Windows”

40 Plantillas y guias CSS

1-Tres Columnas Fijas usando CSS


2-Diseñar una plantilla usando css.


3-Como crear un scroll Horizontal.


4-Super Simple Plantilla dos Columnas.


5-Simple plantilla de 2 Columnas.

Continuar leyendo “40 Plantillas y guias CSS”

10 conceptos que todo Ingeniero de Software debe conocer

El futuro del desarrollo de software es de unos buenos artesanos. Con la infraestructura como Amazon Web Services y un gran número de bibliotecas básicas, ya no tiene un pueblo para construir una buena pieza de software.

En estos días, un par de ingenieros que saben lo que están haciendo puede suministrar sistemas completos. En este puesto, hablamos de las 10 principales conceptos de ingenieros de software debe saber para conseguirlo

El éxito de ingeniero de software conoce y utiliza patrones de diseño, código activamente refactors, escribe ensayos y unidad religiosa busca la simplicidad. Más allá de los métodos básicos, hay conceptos que la buena ingenieros de software conocer. Estos trascienden lenguajes de programación y proyectos – que no son patrones de diseño, sino más bien grandes áreas que usted necesita estar familiarizado con. The top 10 concepts are: Los 10 principales conceptos son los siguientes:

  1. Interfaces
  2. Convenios y plantillas
  3. Capas
  4. La complejidad algorítmica
  5. Hashing
  6. Caching
  7. Concurrencia
  8. Nubes de Computación
  9. Seguridad
  10. Bases de Datos Relacionales

10. Bases de Datos Relacionales

Bases de datos relacionales han sido recientemente recibiendo un mal nombre porque no pueden escalar bien el apoyo masivo a servicios web. Sin embargo, este fue uno de los logros más fundamentales de la informática que nos ha llevado durante dos décadas y seguirá siendo durante mucho tiempo. Bases de datos relacionales son excelentes para la gestión de pedidos de sistemas, bases de datos corporativas y P & L de datos.

En cada registro se añade a una tabla, que define el tipo de información. La base de datos ofrece una forma de buscar los registros utilizando un lenguaje de consultas, en la actualidad SQL. La base de datos ofrece una manera de correlacionar la información de múltiples tablas.

La técnica de los datos sobre la normalización es la manera correcta de particionamiento de datos entre las mesas para minimizar la redundancia de datos y maximizar la velocidad de recuperación.

9. Seguridad

Continuar leyendo “10 conceptos que todo Ingeniero de Software debe conocer”

La pelicula mejor valorada de la historia del cine.

Atencion Pregunta:  ¿Cual es la película mejor valorada de la historia del Cine?

muchos contestareis como yo, El Padrino, o BenHur, o cualquier obra maestra del septimo arte, PUES NOOOOOOOOOO en tan solo 3 dias desde su estreno la mejor pelicula valorada con un 9.5 en la historia del cine es…………………….

BATMAN: EL CABALLERO OSCURO

parece increible pero es asi via Zona Fandom:

En tan solo tres días, El Caballero Oscuro se ha situado como la película mejor valorada de la historia del cine según el top de IMDB, lo cual supera todas las expectativas que, al menos yo, tengo puestas en la película. Sed conscientes de lo que significa este hecho. Una película basada en un cómic, un arte maltratado por otras expresiones artísticas autoconsideradas superiores a él, se ha situado por encima de obras como El Padrino (I y II), Cadena Perpetua o La Lista de Schindler.

No puedo esperar al estreno en españa, menos mal que este jueves estrenan la nueva de Expediente X

Mitos y leyendas: “Compruebe el candadito del navegador para estar seguro” II (Troyanos)

Si mezclamos SSL con troyanos, el resultado es una completa confusión por parte del usuario. Un sistema troyanizado es un sistema en el que no se puede confiar, muestre el navegador una conexión segura o no. De nuevo, esta recomendación del candadito (válida, pero que necesita muchos matices) se convierte en un arma de doble filo. Si un sistema queda infectado, ya no solo puede aparecer el candadito, sino que el certificado puede ser válido y de hecho, estaremos en la página legítima del banco, pero nuestros datos pueden ser robados.

 

Las técnicas que usan los troyanos más difundidos hoy día, pueden invalidar la recomendación de la comprobación de la conexión segura. De hecho, los troyanos permiten la conexión a la página real del banco, pero pueden estar robando la información entre bambalinas gracias a diferentes técnicas.

 

Delephant

Continuar leyendo “Mitos y leyendas: “Compruebe el candadito del navegador para estar seguro” II (Troyanos)”

Monta tu propio R2D2

Via: Zona Fandom

si te tragas todos los programas de Bricomania, si el garaje de tu casa parece el Leroy Merlin este es tu reto…

Te gustaria tener esto?

pues valor y al toro aqui tienes las piezas jejejjee

Mitos y leyendas: “Compruebe el candadito del navegador para estar seguro” I (Phishing)

Via: HispaSec
Esta frase es una de las recomendaciones de seguridad básicas que todo sistema de banca online ofrece a sus usuarios. Ha sido uno de los consejos estrella para intentar evitar el phishing en los últimos años.
En realidad, SSL podría ser un arma poderosa contra le phishing pero no ha sido así. En parte porque no se entiende la tecnología, en parte porque se ha vuelto tan popular y barata que ha dejado de tener el efecto deseado. El SSL y “el candadito del navegador” simplemente ya no significan nada. Tanto, que se ha tenido que crear un nuevo concepto de certificado. Un consejo obsoleto que ofrece una falsa sensación de seguridad de la que se están aprovechando los phishers.

¿Para qué sirve el SSL?

Incluso entre los profesionales de la informática existe cierta confusión al entender el SSL y qué significa que se navegue bajo el protocolo HTTPS. Se sabe que es un “canal seguro”, pero ¿seguro por qué?
Sin entrar en tecnicismos, hay que decir que SSL debería cumplir dos funciones. Primero es una conexión cifrada sobre un canal público. Cifra la conexión de forma que en teoría sólo el servidor y el navegador pueden acceder al flujo de datos entre ellos. Lo que olvidan muchos es que SSL también autentica al servidor. Nos ayuda a estar seguros de que el servidor es quien dice ser y también que pertenece a la empresa a la que debería pertenecer. Esto lo hace gracias a la criptografía de clave pública, que garantiza que el servidor al que nos conectamos tiene la clave privada que corresponde con la pública que dice tener.

Para la parte de autenticación, los servidores con SSL activo ofrecen al navegador un certificado para que lo compruebe, que es como una especie de DNI. En él, una autoridad (Verisign, Godaddy….) certifica con su firma que la clave pública realmente pertenece al sitio. Para conseguir un certificado, el dueño del servidor ha generado dos claves, y la pública la ha enviado a estas autoridades certificadoras para que la firmen, junto con otras pruebas de identidad como pueden ser documentos de empresa u otros, dependiendo del criterio del certificador (y de lo que se quiera pagar). Cuando un usuario se conecta a la página, de forma transparente el navegador comprueba que el certificado es correcto.
Siguiendo con la analogía del DNI, sólo el Estado (las autoridades
certificadoras) puede certificar (firmar critográficamente) que la fotografía y los datos (la clave pública) pertenecen a una persona (servidor web de esa empresa).

¿Es efectivo contra el phishing?

Idealmente, autenticar al servidor es la solución contra el phishing, pero no es así. El usuario medio a veces comprueba que hay un candadito, o una conexión HTTPS al visitar una web. Con esta mínima comprobación, comprende que está sobre un sitio seguro (se le ha repetido hasta la
saciedad) y confía en la página en la que va a introducir sus datos. Muy pocos confirman que el certificado es válido. Para ello abría que hacer doble click sobre el candado y comprobar la ruta de certificación, que debe culminar en una autoridad certificadora que ha firmado el certificado. Pero, hoy en día, incluso si el certificado es válido, es posible que no se esté sobre la página que se desea. Para evitar esto, el usuario debería interpretar además qué información está ofreciendo esa cadena de certificación y a qué datos está asociado. El conjunto de usuarios que llega a este punto es mínimo.

Lo que los phishers están haciendo cada vez con más frecuencia, es comprar certificados que sólo certifican que el dominio pertenece a quien lo compró. La autoridad certificadora no pide más documentos ni pruebas, sólo que el dominio te pertenece. Los hay por 20 euros.
Empresas como Godaddy certifican que el dominio te pertenece, y con ello el navegador aparecerá con el candadito y bajo el protocolo HTTPS.
Efectivamente, la información irá sobre un canal seguro, y el servidor será el del auténtico phisher, que ha podido comprar un dominio con un nombre parecido al legítimo, o añadir en la URL dominios de tercer nivel para confundir.

Existen certificados de hasta 300 euros al año, y estas autoridades certifican el dominio, los datos… es un proceso caro y costoso que se paga. Pero como se ha dicho también los hay “light” en los que toda la gestión se hace online y con una mínima comprobación. Esto es legítimo y válido, pero llevado al contexto del phishing, resulta ventajoso para los atacantes. Los phishers pagan 20 euros (con tarjetas que a su vez han robado) y tendrán un candadito y una conexión HTTPS en su phishing.
El nivel de credibilidad aumenta con respecto a sus víctimas.

El SSL se ha convertido en algo tan popular y accesible que ya no es exclusivo de los sitios seguros, y lo que con tanto esfuerzo se ha conseguido inculcar en el subconsciente del usuario: “si tiene candadito, es seguro”, se ha vuelto en contra. Por tanto, los phishings bajo conexión segura siguen aumentando con éxito.

Extended Validation Certificates al rescate

Continuar leyendo “Mitos y leyendas: “Compruebe el candadito del navegador para estar seguro” I (Phishing)”

Vulnerabilidad crítica Linux Debian – Ubuntu

Via: DiarioTi

Vulnerabilidad en Linux implica que, en la práctica, las conexiones seguras hacia servidores basados en Debian, no están cifradas.

Open SSL es una implantación de código abierto de los protocolos Secure Sockets Layer y Transport Layer Security, usados para establecer comunicaciones cifradas en Internet. Los protocolos son usados para asegurar procedimientos como transferencia de archivos, sesiones de banca en línea y correo electrónico.

Según diversos foros dedicados a Linux, un experto identificado como Luciano Bello habría descubierto que el generador de cifras del paquete OpenSSL para la distribución Debian es previsible. Esto implica que las claves criptográficas creadas con este paquete, muy probablemente pueden ser adivinadas.

La distribución Debian es una de las más populares de Linux, y forma a la vez la base para numerosas otras distribuciones, incluida la más usada de ellas, Ubuntu.

Otras distribuciones de Linux que no están basadas en Debian no están afectadas por la presunta vulnerabilidad, que se atribuye a una modificación hecha por los responsables del proyecto Debian.

La vulnerabilidad de todas las conexiones SSH de servidores basados en Debian consiste en que no están cifradas. En la práctica, todos los certificados SSL generados en estos sistemas no están cifrados. En la práctica, los sitios web seguros ejecutados desde tales sistemas no están cifrados. Esto se aplica desde tiendas en línea donde los usuarios proporcionan los datos de sus tarjetas de crédito hasta bancos en línea.

En uno de los foros sobre Linux se escribe que esta situación implica que todos los usuarios que usen este sistema para conectarse e iniciar sesiones seguras en la práctica no están disponiendo de autenticación segura.

El proyecto Debian sugiere que todo el material criptográfico de importancia clave que haya sido creado con las versiones señaladas de OpenSSL deben ser programado nuevamente, desde cero. La vulnerabilidad habría sido introducida en la versión 0.9.8c-1, que fue implementada a partir del 17 de septiembre de 2006.

La primera versión de Debian afectada es la 4.0 (etch). Todas las versiones de Ubuntu, desde Ubuntu 7.04, están afectadas. La vulnerabilidad ha sido eliminada en el paquete OpenSSL de Debian, versión 0.9.8c-4 etch3.

Una lista de las actualizaciones que deben ser instaladas en las distintas versiones de Ubuntu está disponibles en el sitio de Debian.

Teaser DragonBall 2009 y juego online

vamos por partes han publicado el Teaser (poster) para promocionar la nueva pelicula basada en la serie creada por el genial Akira Toriyama, DragonBall y claro tras compararlo con el teaser que publicamos sobre Batman The DarkNight, solo se me ocurre decir ,

VAYA PUTA MIERDA, se, estoy seguro que la pelicula me decepcionara, puesto que a mis 27 años soy un incondicional de esta obra maestra con la que me he criado.

cambiando de tema Via Zona Fandom , me encuentro un interesante post sobre un MMORPG basado en DragonBall y este si tiene muy buena pinta, reproduzco el post


Gracias a nuestro amigo Dani Candil de VidaExtra, me entero de la existencia de un vídeo in-game de un MMORPG para PC que quizás no desbanque al todopoderoso World of Warcraft pero si que conseguirá una considerable cantidad de seguidores, sobre todo entre los otakus. Me refiero por supuesto a Dragon Ball Online.

Dragon Ball Online es obra de la compañía medio japonesa medio Surcoreana NTL y estará ambientado 216 años (número poco redondo) después de que Son Goku decidiera adoptar a Oob, la reencarnación de Boo, como su discípulo. Una de las cosas que más me ha gustado de la historia es que se va a pasar por el forro la saga Dragon Ball GT, ese aborto que intentó estar a la altura del legado del gran Akira Toriyama. Aunque si todo esto es cierto, ¿alguien me quiere explicar qué pinta Raditz en el vídeo? ¿Un flashback quizás?

Continuar leyendo “Teaser DragonBall 2009 y juego online”

Vulnerabilidades en Cisco Video Surveillance IP Gateway y en el Content Switch Module para los Catalyst 6500

Cisco ha publicado dos alertas de seguridad relativas a su sistemas de vigilancia en vídeo y módulos de balanceadores de carga. Estos fallos podrían permitir que un atacante obtuviese acceso al "gateway" de Video Surveillance IP con privilegios de administrador o causar una denegación de servicio en el Load Balancer Content Switching Module (CSM) en el caso de Catalyst 6500 switches.

El problema se basa en el servidor Telnet del Video Surveillance IP Gateway, que no requiere de ninguna autenticación para permitir el acceso. Además, la Services Platform y la Integrated Services Platform

(SP/ISP) se suministran con contraseñas conocidas y estándar para usuarios como sypixx y root. Esto permitiría el acceso a un atacante con privilegios administrativos. Se ven afectadas la versión 1.1 1.8 y previas de Video Surveillance Decoder SP/ISP, y todas las de Video Surveillance SP/ISP hasta 1.23.7.

 
El Content Switch module para los Catalyst 6500 no maneja adecuadamente paquetes de red especialmente manipulados (fuera de orden, según Cisco).

Esto puede hacer que el dispositivo ponga su CPU al 100% y reiniciarse, lo que se consideraría una denegación de servicio. El CSM-S con SSL también sufre un problema de seguridad no especificado. Se ven afectadas hasta la versión 4.2.3a (no incluida) de CSM y hasta la 2.1.2a de CSM-S.

 Cisco, a través de los canales habituales, ha puesto a disposición de sus clientes soluciones para solventar los problemas.

 Se aconseja consultar la tabla de versiones vulnerables y contramedidas

en:

 http://www.cisco.com/warp/public/707/cisco-sa-20070905-csm.shtml

http://www.cisco.com/warp/public/707/cisco-sa-20070905-video.shtml

 

Fuente: www.hispasec.com

Troyanos “simples”: “Keep it simple, stupid!”

Fuente: www.hispasec.com  

Llevamos meses y meses hablando de lo sofisticado de las técnicas de los nuevos troyanos, de lo sutil y avanzado de sus métodos, siempre enfocados a pasar desapercibidos, engañar a usuarios cada vez más concienciados y entorpecer su propio análisis. ¿Evita eso que exista una corriente de "involución" en el mundo de los troyanos? Ni mucho menos. Técnicas simples (incluso chapuceras) siguen obversándose y no por ello con un menor "éxito" para el atacante. "¡Hazlo simple, idiota!" (conocida técnica KISS).

 

Ya se habló en el blog de Hispasec

(http://blog.hispasec.com/laboratorio/) de troyanos sencillos que pasaban desapercibidos para (en aquel momento) la totalidad de los motores antivirus con los que trabaja VirusTotal.com (“Cuando 30 antivirus no son suficientes” se llamó la entrada). Hoy vemos como esta técnica sigue teniendo éxito con numerosas campañas.

 

La última de las campañas lanzadas corresponde a un supuesto correo proveniente de la rimbombante "Dirección General de Servicios de Cómputo Académico de la Universidad Nacional Autónoma de México a través del Departamento de Seguridad en Cómputo y UNAM-CERT". En un correo donde precisamente (y con fina ironía) se dan consejos útiles y reales para prevenir el phishing. El el mensaje se pide la descarga de un manual.exe que supuestamente contiene más información para prevenir este tipo de estafas.

 

Manual.exe está alojado en un servidor legítimo comprometido, perteneciente a una organización sin ánimo de lucro con dominio .au

(Australia) y resulta ser de lo más chapucero. Sin ningún tipo de ocultación ni ofuscación de código (de hecho, si se usan técnicas habituales de ofuscación comienza a ser detectado por los motores gracias a una herústica paranoide), modifica el archivo "hosts" del sistema (pharming local) redirigiendo al usuario que pretenda conectarse a un importante banco mexicano hacia una web fraudulenta que simula ser la banca online de la entidad.

 

Un simple vistazo al código desnudo del archivo (abriéndolo con cualquier editor de texto) permite conocer qué y cómo modifica el sistema. Es tan "simple" que ni siquiera utiliza la variable de entorno %systemroot% para encontrar el archivo de "hosts" (usa c:\windows, afectando sólo a las instalaciones por defecto de XP y 2003). Está escrito en VisualBasic y su vida útil es muy corta. De hecho, a las pocas horas de analizarlo, la web fraudulenta a la que redirigía al usuario era desactivada, con lo que el troyano queda ya inutilizado (esa dirección se encontraba incrustada en su código).

 

Sin embargo este malware pasaba desapercibido para la totalidad de los motores en VirusTotal.com. 24 horas después de nuestro estudio ya lo detectan 3 motores, pero en el momento de ser lanzada la "campaña", pasaba inmaculado cualquier análisis. Precisamente comienzan a detectarlo cuando ya no sirve para nada, pero eso es otro problema.

En cualquier caso, no todo es simple en este tipo de ejemplares: este tipo de troyano en concreto ofrece ciertas ventajas que permiten “saltarse” el sistema de OTP (one time password) específico de la entidad a la que ataca.

  Continuar leyendo “Troyanos “simples”: “Keep it simple, stupid!””