Día Internacional de la Copia de Seguridad

hd111111-660x350
Cada 31 de marzo se celebra el World Backup Day, o el Día Internacional de la Copia de Seguridad.
Las copias de seguridad son el pilar básico de las buenas prácticas de seguridad, pues en último término, ante un ataque o desastre de cualquier tipo, lo primordial es conservar la información generada.
“Las copias de seguridad son sólo el primer paso en una estrategia de seguridad completa”, comenta al respecto el director para Iberia de esta firma experta en backup, Nicholas Green. “Comprobar regularmente una copia de seguridad es de suma importancia para asegurar el acceso a nuestros datos”.
Por tal motivo, aquí dejo cinco consejos para realizar copias de seguridad:
1. No esperes a que sea demasiado tarde. Pon manos de un disco duro externo y haz una copia de seguridad o backup, significará tener por duplicado cualquier dato que consideres valioso. Utilizar discos duros externos es la mejor elección para hacer copias de seguridad por su buena  relación capacidad-precio, por su calidad, gran velocidad y por su mayor capacidad de almacenamiento comparado con una memoria USB o un CD.
2. Usa un software automático de copia de seguridad. ¡Configúralo y olvídate! Es mejor no depender de copias de seguridad manuales de tus datos, es probable que te olvides o que no puedas hacer un backup. También es fácil cometer errores u omitir algo importante. Usa un software de copia de seguridad para automatizar tu proceso de backup. Un programa de copia de seguridad fácil de usar crea una copia de tus datos de forma fiable y automática, mantiene la configuración del sistema y te avisa si hay algún problema.
3. Ten copias en diferentes lugares: una copia de seguridad de una copia de seguridad de una copia de seguridad…Asegúrate de que tienes como mínimo dos copias de tus datos más importantes. Tener varias copias en diferentes unidades y en diferentes lugares, reduce el riesgo de perder por completo tus datos. Recuerda que mover importantes archivos de tu ordenador a un disco duro no es una copia de seguridad, si no almacenar en otro sitio, así que tus datos aún están en riesgo de perderse si  las cosas se tuercen.
4. Cuenta con tu propia nube personal Asegúrate que tus datos están a salvo en casa, pero también accesibles cuando estás fuera a través de tu propio sistema de almacenamiento en la nube personal.


5. ¡Actualiza tu de copia de seguridad! Tu software de copia de seguridad registra todos los problemas que haya tenido al guardar tus archivos, asegúrate de que no ha perdido nada… podría ser justamente esa foto o video tan especial que nunca podrás repetir.


Aaron Swartz – Genio que la Internet merecia

Aaron Swartz, el Cofundador de Reddit, creador del RSS y paladín contra SOPA. Estuvo a punto de ser encarcelado por más de 30 años tras una exhaustiva persecución de los Estados Unidos, persecución que terminaría con el suicido de Aaron el año 2013. Conozcamos su legado y el gran aporte que nos dejo este gran Hacker.
Mi primer acercamiento a Aaron fue a través de Christian y Fredy de Mejorandola, allí comprendí la importancia que realizan las personas al mundo de la informática y que muchos desconocemos, es por ello que deseo iniciar esta sección de biografías con la Aaron Swart, el creador del Really Simple Syndication y como su muerte fue un balde de agua fría para Internet.
Swartz nació en Chicago , Illinois , hijo mayor de Susan y Robert Swartz. Su padre fundo la empresa de software de Mark Williams Company . Aaron se sumergió en el estudio de las computadoras, la programación, la Internet y la cultura misma de Internet. Asistió a North Shore Country Day School , una pequeña escuela privada, cerca de Chicago, hasta el noveno grado. Swartz abandonó la escuela secundaria en el décimo grado, y se inscribió en los cursos en una universidad del área de Chicago.
La vida de Aaron Swartz estuvo marcada, desde muy joven, desde los 13 años, por su pasión por Internet y por construir un lugar en el que fluyeran los contenidos libremente; un hecho que lo sentó delante de un tribunal acusado de crímenes informáticos por haber descargado 4 millones de artículos científicos de JSTOR (a través de la red del MIT) sujetos a copyright con la intención de liberarlos y que le costó una sentencia de un millón de dólares de multa y 35 años de cárcel (una sentencia enormemente exagerada que equiparaba un gesto a favor del conocimiento libre a ser considerado un acto de terrorismo por la elevada pena); un proceso judicial al que la familia achaca, precisamente, las causas del suicidio de Aaron.
Con la pérdida de Aaron Swartz, los usuarios de Internet hemos perdido algo más que un activista o un defensor de la cultura libre, Internet ha perdido un genio que, gracias a su toque, consiguió influir en millones de personas haciéndoles más sencillo el acceso a la información o hacerles más productivos en la generación de contenidos; algo que pocas personas son capaces de conseguir con la edad de 26 años.
Aaron Swartz era un genio, una persona inquieta que quería construir una red mejor; algo que podemos ver bien recordando 5 de sus obras (y hoy ya legados) más significativas:

RSS 1.0

Servicios como Google Reader o aplicaciones como Flipboard o Google Currents no hubieran nacido si, a la edad de 14 años, Aaron Swartz no hubiese colaborado en la implementación del estándar RSS 1.0(Really Simple Syndication), un formato XML que nos permite compartir fácilmente contenidos a lo largo y ancho de la red.
Gracias al RSS podemos suscribirnos a fuentes de contenidos y acceder a éstas sin necesidad de visitar sus páginas web, agregando toda esta información en lectores de feeds tanto de escritorio como aplicaciones para dispositivos móviles o servicios web como Google Reader. El RSS es un formato de archivo que sigue la estructura del XML que recoge los contenidos que se publican en una página web dentro de un formato estandarizado (con el título, fecha de publicación o la descripción) con el que los lectores de RSS pueden ofrecernos las novedades de un sitio web que visitemos regularmente encargándose estos de la presentación de los contenidos en un formato de agradable lectura para el usuario.

Reddit

Reddit es uno de los sitios web más populares que podemos encontrar en la red, un sitio de referencia que nació en el año 2005 enfocado en la agregación de noticias donde los usuarios van dejando enlaces que encuentran por la red y otros usuarios comentan, discuten o valoran el contenido para promocionar las que tienen más impacto.
Si bien Reddit es un proyecto fundado por Steve Huffman y Alex Ohanian, Aaron Swartz podría considerarse también como uno de los fundadores del proyecto puesto que gran parte de su know-howtécnico está presente en este servicio y mucho de lo que ocurre en las "entrañas" del servicio procede de la mente de este genio que se unió al equipo en enero del año 2006 que, entre otras cosas, desarrolló el framework para Python que se utilizó durante bastante tiempo (y que, a día de hoy, está liberado como software libre).

Markdown

Muchos de los que dedicamos parte de nuestro tiempo a publicar contenidos en Internet tenemos mucho que agradecer a Aaron Swartz puesto que nos hizo ser algo más productivos. Dotar de estilos a un texto es algo mucho más sencillo y rápido gracias a Markdown, un lenguaje de marcado ligero que creó junto a John Gruber y con el que podemos dar formato a nuestros textos sin necesidad de recurrir a editores WYSIWYG o tener que usar las etiquetas de HTML.
Markdown es un lenguaje que nos permite escribir en texto plano y sustituir los formatos y estilos por combinaciones de símbolos (almohadillas, asteriscos, etc) que podemos escribir conforme vamos redactando y que, además, no dificultan la lectura del contenido. Una vez que tenemos redactado el contenido, Markdown se encarga de transformarlo en un documento HTML perfectamente interpretable por un navegador (esta nota se ha escrito íntegramente con Markdown).
Originalmente, Markdown se desarrolló en Perl pero, a día de hoy, está disponible en forma de plugin para muchos gestores de contenidos y, por ejemplo, es muy cómodo de utilizar desde WordPress, por citar un ejemplo.

Defensor de la Cultura Libre

Su acto de liberación de 4 millones de artículos científicos, quizás, sea uno de los ejemplos más significativos de las convicciones de Aaron Swartz en defensa la cultura libre pero este hecho es solamente un ejemplo de la lucha de Swartz a favor de la libre distribución de los contenidos y la lucha contra la censura en la red.
Como bien comentaba ayer Eduardo, Aaron colaboró con Larry Lessig en el primer borrador de la Licencia Creative Commons bajo la cual se publican miles de obras en Internet cada día, tanto contenidos como fotografías y vídeo. Además, en el año 2010, Aaron Swartz fundaría Demand Progress, una organización en pro del activismo en la red especializada en la lucha contra actividades y decisiones que pusieran en peligro la libertad en Internet.
[youtube http://www.youtube.com/watch?v=gl0vHBsapBc]
Demand Progress fue uno de los pilares clave que aglutinaron la movilización contra el infame proyecto deley SOPA estadounidense, ha protestado contra el uso de Rayos-X en los controles de seguridad de los aeropuertos de Estados Unidos o le ha plantado cara a Facebook al suspender (sin previo aviso) los perfiles y cuentas de activistas y disidentes de China o Siria.

Open Library

Open Library es un proyecto que tiene como objetivo crear una gran biblioteca en la red de manera colaborativa y con acceso libre donde cada libro esté reflejado con una página que le sirva de ficha y convertir así a esta web en una enorme base de datos bibliográfica.
El proyecto estaba impulsado por Internet Archive y la Biblioteca del Estado de California y contaba con Aaron Swartz como director técnico donde, junto al equipo del proyecto, desarrollaron una wiki semántica capaz de combinar metadatos de bibliotecas y editoriales de todo el mundo junto a los datos aportados por los usuarios, libreros o bibliotecas tradicionales de cualquier rincón del mundo.


Ciberdelincuentes matan a Miley Cyrus

myley-628x250_628x250

La falsa muerte de Miley Cyrus se propagó hace unos días por las redes sociales como la pólvora. Pero este domingo se ha conocido que la campaña, elaborada por un grupo de ciberdelincuentes, buscaba difundir la noticia para engañar al máximo de usuarios de las redes y fans de la excéntrica cantante para redirigirlos a páginas maliciosas que comprometían la seguridad de los internautas.
La noticia, que incluye una foto de un coche accidentado, ha sido identificada por Sophos a través de Facebook. La campaña incluye un vídeo del supuesto accidente, pero para visualizarlo, el usuario está obligado a compartir el enlace y, de esta forma, propagar a amenaza por Internet.
"Una vez más observamos como un personaje famoso es utilizado como gancho para los ciberdelincuentes en las redes sociales. Nunca hay que acceder a este tipo de contenidos sensacionalistas, ya que en la mayoría de los casos las páginas de destino suelen descargar un malware en el ordenador de las víctimas, infectando el sistema", ha explicado el director general de Sophos Iberia, Pablo Teijeira.


The Private Eye – Un Cómic para los amantes de la seguridad y el espionaje

Private-Eye-Brian-Vaughan-Marcos-Martin
La trama de The Private Eye se desarrolla en el año 2076 en Estados Unidos, donde todo y todos son espiados. Un indiscreto paparazzo y un detective privado al margen de la ley son los protagonistas de este mundo de ciencia ficción que unos pocos meses después de su primer capítulo se convertiría en realidad con las revelaciones de John Snowden y la NSA.
Se puede ver o descargar gratuitamente, los cinco primeros capítulos, y aunque piden hacer una donación igual se puede bajar a costo $0.


Criptografía – Public Key Infrastructure

pki
Public Key Infrastructure (Infraestructura de Clave Pública), acronimo PKI, es la forma común de referirse a un sistema complejo necesario para la gestión de certificados digitales y aplicaciones de la Firma Digital.

Criptografía Asimétrica

La base tecnológica para la Firma Digital está fundamentada principalmente en el uso de ciertos algoritmos criptográficos, con unas características que permiten obtener el nivel de  Seguridad requerido.
A diferencia de los algoritmos de cifrado simétrico, en los que la información se cifra y descifra con la misma clave, los algoritmos asimétricos basan su funcionamiento en un par de claves (matemáticas dependientes) para cada usuario, con la característica de que la información cifrada con una clave, sólo puede descifrarse con la otra del mismo par.
A cada usuario se debe asignar un par de claves, que se denominan Clave Pública y Clave Privada. Como indican sus nombres, la Clave Pública puede ser conocida por todo el mundo, mientras que la Clave Privada debe ser custodiada por el usuario y nunca hacerse pública.
Si se desea enviar información confidencial a un usuario, se le enviará la información cifrada con su clave pública, de tal forma que sólo ese usuario, que posee la Clave Privada correspondiente, podrá descifrar la información. Por otra parte, si un usuario envía información cifrada con su clave privada, al descifrarla con su clave pública (acción que puede realizar cualquiera que conozca dicha clave), puede asegurarse que ha sido ese usuario quién envió la información, ya que sólo él posee la clave privada.

Firma Digital.

Una Firma Digital tiene dos características principales:
  • Sólo puede ser generada por el poseedor de la clave privada y puede ser verificada por cualquiera que conozca la clave pública del firmante.
  • Es dependiente del documento a firmar (la Firma Digital de un documento no puede emplearse para firmar otro documento).
El proceso de generación de una Firma Digital consiste en dos pasos:
  • Empleando un algoritmo de"Hashing" se genera un resumen, de tamaño fijo, del documento.
  • Se cifra el Hashempleando la clave privada del usuario.

Definición de Firma Digital

La firma digital es una solución tecnológica que permite garantizar la autoría e integridad de los documentos digitales y la  posibilidad de demostrar estas propiedades ante terceros, permitiendo que éstos gocen de características que únicamente eran propias de los documentos en formato duro.
Deberá transmitirse o almacenarse el documento original y la firma.
Deben realizarse los siguientes pasos:
  • A partir del Documento Original, se genera de nuevo el Hash.
  • Empleando la Clave Pública del firmante, se descifra la firma digital.
  • Se comprueba si ambos "Hashes" coinciden, si es así, la firma es auténtica, si no lo es, el documento ha sido modificado y/o la firma es falsa.
  • Adicionalmente, debe comprobarse que el Certificado Digital es válido. El Certificado puede haber caducado, o puede haber sido revocado por una de las partes.

Certificados Digitales

Las técnicas anteriormente indicadas, si bien son técnicamente correctas, implican un grave problema a nivel de seguridad: ¿Cómo se puede asegurar que una clave pública pertenece a un usuario dado?. Es necesario poder vincular la clave pública de un usuario con su identidad y para esto surge el concepto de "Certificado Digital", que contiene la siguiente información:
  • Identidad del usuario (Nombre, NIF, etc...).
  • Clave Pública del usuario.
  • Periodo de Validez del Certificado.
  • Identidad de la Autoridad Certificadora (entidad que emite el certificado).
  • Firma digital del certificado (los datos anteriores más otras posibles extensiones personalizables, p.e. la dirección de correo electrónico), generada por la Autoridad Certificadora.
    Esta información se encapsula en un formato estándar, definido por la normaISO X.509 versión 3. Generalmente existirá un repositorio (p.e. directorio LDAP) en el que se publican todos los certificados gestionados por la PKI y puede ser consultado por otros usuarios de la PKI que quieran enviar información cifrada o verificar firmas digitales.

La Autoridad Certificadora

La Autoridad Certificadora, es la entidad que asegura la identidad de los usuarios de los certificados digitales. Posee su propio par de claves y firma digitalmente los certificados con su clave privada. Confiando en la Firma Digital de la Autoridad Certificadora, puede confiarse en cualquier certificado generado por la misma.
Las tareas realizadas por la Autoridad Certificadora son, entre otras, las siguientes:
  • Procesa peticiones de Certificado a través de la Autoridad de Registro. Estas solicitudes están compuestas básicamente por los datos identificativos y la clave pública del solicitante.
  • Genera los Certificados y los almacena en el repositorio público (p.e. LDAP).
  • Gestiona la caducidad y renovación de certificados.
  • Gestiona la revocación de certificados (p.e. por compromiso de la clave privada del usuario al serle sustraída su SmartCard).
    Toda la fiabilidad de la Autoridad de Certificación se basa en la inviolabilidad de su propia clave privada, la cual resulta crítico proteger empleando medios técnicos y humanos.

La Autoridad de Registro

En toda PKI deben establecerse los mecanismos para que los usuarios soliciten su propio certificado, de tal forma que se asegure la identidad de dicho usuario. A este procedimiento se le denomina "Proceso de Registro" y se realiza a través de la denominada "Autoridad de Registro".


Tipos de registros

Existen dos tipos principales de registro:
  • Registro Clásico. El solicitante acude en persona a una "Oficina de Registro", donde, tras acreditar su identidad, se le proporciona de forma segura su clave privada y su certificado.
  • Registro Remoto. El usuario, a través de Internet, realiza una solicitud de certificado. Para esto empleará un software (p.e. un navegador) que generará el par de claves y enviará su clave pública a la Autoridad de Registro para que sea firmada por la Autoridad Certificadora y le sea devuelto su certificado.
    La validez de la Firma Digital estará condicionada por la calidad del proceso de registro, siendo obligatorio para asegurar la validez legal de la firma, algún tipo de registro "Cara a Cara", ya que es el único que asegura la identidad del solicitante. Por otra parte, la validez de la firma digital también estará condicionada a la firma manuscrita de un "contrato" por el que el solicitante acepta su certificado y las condiciones de uso del mismo.
    La Autoridad de Registro se compondrá de una serie de elementos tecnológicos (hardware y software específico) y unos medios humanos (los Operadores de Registro). Es el punto de comunicación entre los usuarios de la PKI y la Autoridad certificadora.

Componenetes de una PKI

Los sistemas anteriormente descritos deben englobarse en un único sistema, al que se denomina "Infraestructura de Clave Pública" (PKI), cuyo elementos se pueden ilustrar en la siguiente figura.
Pki-text.gif
Existen multitud de componentes adicionales, y cada elemento es un sistema complejo en si mismo. Los componentes básicos pueden resumirse en:
  • La Autoridad de Certificación.La pieza central del "puzzle" y la que proporciona la base de confianza en la PKI. Constituido por elementos hardware, software y, evidentemente, humanos.
  • Publicación de Certificados.El repositorio de certificados permite a los usuarios operar entre ellos (p.e. para la validación de una Firma Digital), y es un requisito legal que cuente con una total disponibilidad de acceso.
  • Soporte de la Clave Privada.La elección de un buen soporte para que los usuarios custodien su clave privada es un punto esencial y complejo en si mismo (p.e. si la clave está en una SmartCard, es necesario diseñar el Sistema de Gestión de SmartCards que permita la emisión y distribución de las tarjetas a los usuarios).
  • Aplicaciones "PKI-Enabled".Se denomina así a las aplicaciones software capaces de operar con certificados digitales. Estas aplicaciones son las que dan el valor real de la PKI de cara al usuario.
  • Políticas de Certificación.Deben diseñarse una serie de políticas, o procedimientos operativos, que rigen el funcionamiento de la PKI y establecen los compromisos entre la Autoridad Certificadora y los Usuarios Finales. Estos documentos tendrán un carácter tanto técnico como legal.
    El Proceso de Construcción de una PKI deberá siempre partir de la definición de las Políticas Operativas y contemplar como requerimiento esencial el asegurar la calidad y seguridad de las operaciones que los usuarios finales realizan con sus claves privadas (p.e. Firma Digital de Documentos).

Fuentes



Falsificación de extensiones de ficheros en WinRAR (0-day)

Publicación interesante de Hackplays que puede ver aquí:

Hace poco se mostraba en un blog israelí una vulnerabilidad 0-day en la versión 4.20 de WinRAR (otras versiones podrían verse también afectadas) con la que es posible engañar muy fácilmente a un usuario para que ejecute por ejemplo... un troyano. Además es sumamente sencilla de explotar...
Para nuestra PoC empezaremos creando un simple vbs 'pruebas.vbs':
MsgBox("PWNED! jajaj")
y lo comprimiremos creando el fichero 'pruebas.zip':


Cuando tratamos de comprimir el archivo en "formato ZIP" con WinRAR, la estructura de archivos es la estándar pero WinRAR añade varias propiedades adicionales, como un segundo nombre de archivo:

¿Qué pasa si modificamos ese nombre con nuestro editor hexadecimal por algo más "sugerente" como 'tetazas.jpg'?:


Veamos el resultado:
Al abrir el fichero comprimido nos muestra aparentemente una imagen, pero al hacer doble clic en ella se ejecutará nuestro script, es decir, hemos falsificado el nombre y la extensión del fichero comprimido ... con lo que todo ello supone...


Malware #Ploutus permite robar cajeros automáticos a través de SMS

ATM_blog_infographic_fig1
La tecnología avanza a pasos agigantados y mas aún los delincuentes con sus sofisticados métodos. Así lo anuncia la empresa Symantec en su publicación Texting ATMs for Cash Shows Cybercriminals’ Increasing Sophistication donde mencionan que principal método para robar dinero de cajeros automáticos es a través de mensajería te texto (SMS).
En octubre del año pasado Symantec publico en su blog una entrada  haciendo referencia a un malware llamado Ploutus que era utilizado para atacar cajeros automáticos en México que permitía a los atacantes forzar los equipos para que entregaran dinero en efectivo usando un teclado externo conectado al cajero.
Ahora, la más reciente investigación de Symantec sobre este tipo de amenazas encontró que una nueva variante de Ploutus permite a los ciberdelincuentes obtener dinero tras enviar un mensaje de texto al cajero automático comprometido, para luego dirigirse al mismo y recoger el dinero entregado por el equipo.
Symantec, la autoridad en protección de información, dio a conocer hoy los hallazgos de una investigación realizada por sus especialistas en seguridad que muestra la creciente sofisticación de los ciberdelincuentes y una nueva forma en que pueden obtener dinero de los cajeros automáticos mediante algo tan simple como mandar un mensaje de texto (SMS).
El funcionamiento de este malware parte por la instalación de  Ploutus en el cajero automático y posterior a conectar un teléfono móvil al equipo con un cable USB. El delincuente envía dos mensajes de texto al teléfono móvil que está conectado al cajero, uno con un número de activación válido para poder activar Ploutus en el cajero y otro con un comando válido para activar la entrega del dinero y poder retirar el efectivo. Posteriormente, el teléfono celular dentro del cajero detecta los mensajes de texto recibidos y al ser validados los reenvía al sistema del cajero automático como si fuera un paquete TCP o UDP. Dentro del cajero, uno de los componentes recibe la información y si contiene un comando válido, ejecuta Ploutus y entrega el dinero que posteriormente alguien recoge físicamente del cajero automático.
Via: http://blog.segu-info.com.ar/2014/03/malware-ploutus-permite-robar-cajeros.html#axzz2xCnejNzO


Criptografía – Hashing

kotaix4
Hashing y cifrado son dos técnicas que sirven para proteger la información. El cifrado permite descifrar posteriormente el texto original y recuperarlo. El hashing resume el texto en una pequeña huella que no puede descifrarse.Estas funciones de resumen son algoritmos que consiguen crear a partir de una entrada (ya sea un texto, una contraseña o un archivo, por ejemplo) una salida alfanumérica de longitud normalmente fija que representa un resumen de toda la información que se le ha dado (es decir, a partir de los datos de la entrada crea una cadena que solo puede volverse a crear con esos mismos datos).
Características de los hash
En definitiva las funciones hash se encargan de representar de forma compacta un archivo o conjunto de datos que normalmente es de mayor tamaño que el hash independientemente del propósito de su uso.
Este sistema de criptografía usa algoritmos que aseguran que con la respuesta (o hash) nunca se podrá saber cuales han sido los datos insertados, lo que indica que es una función unidireccional. Sabiendo que se puede generar cualquier resumen a partir de cualquier dato nos podemos preguntar si se podrían repetir estos resúmenes (hash) y la respuesta es que teóricamente si, podría haber colisiones, ya que no es fácil tener una función hash perfecta (que consiga que no se repita la respuesta), pero esto no supone un problema, ya que si se consiguieran (con un buen algoritmo) dos hash iguales los contenidos serían totalmente distintos.

Ejemplos y formas de uso

Las funciones hash son muy usadas, una de las utilidades que tiene es proteger la confidencialidad de una contraseña, ya que podría estar en texto plano y ser accesible por cualquiera y aún así no poder ser capaces de deducirla. En este caso, para saber si una contraseña que está guardada, por ejemplo, en una base de datos es igual a la que hemos introducido no se descifra el hash (ya que debería de ser imposible hacerlo) sino que se aplicará la misma función de resumen a la contraseña que especificamos y se comparará el resultado con el que tenemos guardado (como se hace con las contraseñas de los sistemas Linux).
Un ejemplo de esto es generar claves con hash en SHA1, por ejemplo, tenemos una contraseña sin protección:
MiPasswordesUnicornioRosa
Aplicando SHA1 quedaría

45f48feda40b153f2d4f5f0e6a9004d86f07a2b5


Criptografía – Integridad

INTEGRIDAD
El termino “integridad” es un aspecto fundamental en la Seguridad Informática y aunque su uso no es exclusivo para la criptografía es fundamental conocer su significado para así comprender de mejor manera el cifrado de información.
La Integridad es la propiedad que busca mantener los datos libres de modificaciones no autorizadas. La violación de la Integridad se presenta cuando una persona, programa o proceso por accidente o de forma intencionada, cambia o elimina datos importantes que son parte de la información, así mismo hace que su contenido permanezca inalterado a menos que sea modificado por el personal autorizado; y esta modificación será registrada, asegurando su precisión y confiabilidad.
Por tal motivo, la Integridad permite asegurar que la información no sea falseada, es decir, que los datos recibidos o recuperados sean exactamente los que fueron enviados o almacenados, sin que se haya producido ninguna modificación.


Vulnerabilidad en Word

rtf
Microsoft publico el día de ayer un boletín de seguridad sobre una vulnerabilidad que afecta a Word, mencionando que se están realizando una serie de ataques dirigidos a Word 2010 (aunque igual afecta a otras versiones).
Este fallo de seguridad (CVE-2014-1761) permitirá la ejecución de código remoto al abrir o previsualizar archivos RTF, de igual manera se ve afectada la seguridad al abrir o previsualizar este tipo de documentos mediante el cliente Microsoft Outlook mientras se utiliza Word como visor de correo.
Por el momento Microsoft lanzo un parche “Fix It”  para prevenir este tipo de ataque. Debemos de tener claro que este parche es solo momentáneo y no corrige la vulnerabilidad, solo impide la apertura o visualización de los archivos RTF, por tal motivo se recomienda la lectura en modo texto plano si utilizamos Outlook.

Más Información
Via: Hispasec.com


Criptografía - Confidencialidad y Cifrado

kotaix2
Confidencialidad:
La confidencialidad es uno de los grandes conceptos de la seguridad informática y se entiende como la acción de protección de datos e información entre un emisor a uno o varios receptores frente a terceros, logrando así la no divulgación de información de manera no autorizada. La confidencialidad es independiente de la seguridad del sistema de comunicación utilizado, sobre todo en vías inseguras como Internet.
En el ámbito criptográfico el objetivo de esta misma es mantener la confidencialidad de la información garantizando así el acceso únicamente a las personas autorizadas a acceder a dicha información. Para llevar a la practica la confidencialidad es necesario abarcar el tema de cifrado.
Cifrado:
El cifrado de información es convertir los datos en un formato no legible a un tercero el cual no conozca el algoritmo de cifrado o la llave secreta.
El algoritmo es una función matemática que se encarga de la encriptación y desencriptación. Un algoritmo criptográfico trabaja en combinación con una llave secreta para encriptar y desencriptar datos. Para encriptar, el algoritmo combina matemáticamente la información a proteger con una llave provista. El resultado de este cálculo son los datos encriptados. Para desencriptar, el algoritmo hace un cálculo combinando los datos encriptados con una llave provista, siendo el resultado de esta combinación los datos desencriptados (exactamente igual a como estaban antes de ser encriptados si se usó la misma llave). Si la llave o los datos son modificados el algoritmo produce un resultado diferente. El objetivo de un algoritmo criptográfico es hacer tan difícil como sea posible desencriptar los datos sin utilizar la llave. Si se usa un algoritmo de encriptación realmente bueno, entonces no hay ninguna técnica significativamente mejor que intentar metódicamente con cada llave posible. Incluso para una llave de sólo 40 bits, esto significa 2ˆ40 (poco más de 1 trillón) de llaves posibles.



Criptografía – Introducción [2]

Copia_de_ESPARTANOS_2010_LOGO
La criptografía nace de la necesidad de cifrar la información para mantener la privacidad de este mismo. Adentrándonos un poco en la historia encontramos la escítala espartana, método utilizado en el siglo V antes de cristo. Los griegos no se quedaron atrás e inventaron el cifrado Polybios, seguidos de los romanos con el cifrado del César. Ya más contemporáneo se encuentra la maquina Enigma que fue utilizada en la segunda guerra mundial para el cifrado.
La Escítala Espartana:
escitalaEste método consistía en cifrar el mensaje cambiando el orden de las letras. Se utilizaba una vara llama escítala donde se enrollaba un pergamino o cuero escrito de forma longitudinal. Al desenrollar la cinta se apreciaba un montón de letras sin sentido, quien un mensajero llevaba a trote hasta su destino. Para leer el mensaje se necesitaba de una vara con el mismo diámetro que la original, este diámetro pasaría a ser la clave para desencriptar el mensaje.

Polybios:
Su invención se atribuye al historiador griego Polybios  y el método consiste en realizar el cifrado por sustitución de caracteres utilizando una tabla.
polybios1

Por ejemplo si deseamos cifrar la palabra “unicornio” este quedaría así: DECCBDACCDDBCCBDCD
Cifrado del César:
Este método utilizado por los Romanos es el mas sencillo de todos y consiste en desplazarse tres espacios en el alfabeto para reemplazar el carácter
320px-Caesar3.svg

Tomando el ejemplo anterior de la palabra “unicornio” este quedaría de la siguiente manera: xqlfruqlr


Criptografía – Introducción [1]

cripto6
Aquí comienza un pequeño curso introductorio a la criptografía informática para todos aquellos que estén interesados en aprender los conceptos y técnicas utilizadas en esta área. Los aspectos fundamentales que veremos serán los siguientes:
  • Confidencialidad
  • Cifrados
  • Integridad
  • Hashing
  • Public Key Infrastructure
  • Digital Certificate
  • Herramientas y Técnicas
Antes de entrar en materia criptografía debemos conocer el significado de la palabra y en que consiste.
Introducción:
El criptografía es tan antigua como la escritura misma, el termino proviene del griego cuyo significado etimológico es “escritura oculta. La crutografía la podríamos considerar un arte que reúne una serie de técnicas para cifrar mensajes. Ya desde la antigüedad los humanos han estado utilizando estos métodos para cifrar u ocultar sus mensajes con la finalidad de que ojos curiosos o in deseables no pudieran entender su contenido. Sin ir mas lejos podríamos referirnos que en tiempos de crisis como las guerras, era necesario establecer una vía de comunicación segura entre tropas o aliados, siendo conscientes y considerando el hecho de que el mensaje podría ser interceptado por el enemigo los mensajes eran cifrados y solo podrían ser leído por los aliados, quienes en posesión de una llave podrían desencriptar dicha información, así el enemigo aunque tuviese en poder dicho mensaje no podría interpretarlo de forma alguna puesto que no sabría el método o la clave para hacer legible información.
Sin embargo los tiempos avanzan y los métodos también, ahora se utiliza la informática para llevar a cabo el cifrado de información para hacer mas seguro el envío y recepción de datos a través de Internet y salvaguardar la integridad de nuestros datos de delincuentes que están al acecho.  Por ese motivo este curso se centra en la criptografía informática, abarcando los distintos conceptos y técnicas utilizadas en este ámbito.


Mozilla – Publicación de 18 boletines de seguridad

Firefox-ThunderBird-SeaMonkey-logo
La Fundación Mozilla publico 18 boletines de seguridad para corregir vulnerabilidades de su navegador Mozilla, del cliente de correo ThunderBird y de la suite  SeaMonkey. Estas vulnerabilidades se encuentran divididas en las siguientes categorías según el criterio de mozilla:
  • Critico: este tipo de vulnerabilidad  puede ser utilizado para ejecutar código malicioso.
  • Alto: puede recopilar información personal de la nevegacion del usuario en sitios web, también permite inyecciones de cogido.
  • Moderado: estas vulnerabilidades a diferencia del modo alto necesitan que el usuario active ciertos parámetros de la configuración del navegador o el cliente de correo.
  • Bajo: pueden ser utilizada para ataques de denegación de servicios o fuga de información.
En Hispasec se hace una mención en español sobre estos boletines de nivel critico (http://unaaldia.hispasec.com/2014/03/mozilla-publica-18-boletines-de.html ):
Para información más detallada se recomienda visitar http://www.mozilla.org/security/announce/


Redes:

Created by ThemeXpose