Categorías
Seguridad

The New York Times pide la amnistía de Snowden

Es interesantísmo leer el editorial del The New York Times Edward Snowden, Whistle-Blower con una lógica aplastante:

“Cuando alguien revela que funcionarios del gobierno han rutinaria y deliberadamente violado la ley, esa persona no debería enfrentarse a una condena de vida en prisión a manos de ese mismo gobierno. Es por eso que Rick Ledgett, quien lidera el grupo de trabajo de la NSA sobre Snowden, dijo recientemente a CBS News que él consideraría una amnistía si Snowden frena cualquier fuga adicional. Y es por eso que el presidente Obama debería ordenarle a sus asistentes que comiencen la búsqueda de una forma de acabar con la difamación del Sr. Snowden y darle un incentivo para volver a casa.”

A diferencia de muchos de los países donde vivimos algunos de nosotros, cuando un juzgado dictamina que el Ejecutivo violó una ley hay consecuencias, cuando el director de Inteligencia le miente al Congreso también hay consecuencias y esto muestra la separación de poderes…

Snowden ha violado leyes para demostrar que otros han violado leyes y sigo sosteniendo que esto es la noticia tecnológica del año por las implicancias sociales y políticas que tuvieron.. en serio, balcanizaron Internet y finalmente se perdió la inocencia.

Categorías
Seguridad

RSA y su contrato con la NSA

rsa-securid Todo aquel que trabaje en una empresa con una VPN corporativa conoce a RSA, la empresa que genera un código de autenticación de dos vías que es supuestamente la mejor solución para conectarse a una red corporativa, pero resulta que RSA recibió u$10 millones de dólares de la NSA para usar un algoritmo débil en esa herramienta de generación de números aleatorios… haciendo de esta una combinación insegura.

Categorías
Seguridad

Huawei y la infraestructura como arma

Huawei, el proveedor chino de equipos de telecomunicaciones abandona el mercado de USA por encontrarlo “hostil” y cansado de acusaciones de espionaje. Es interesante leer lo que dijo un legislador de USA en 2012:

“Tenemos que estar seguros de que las empresas de telecomunicaciones chinas que trabajan en Estados Unidos son confiables para acceder a nuestra infraestructura crítica” … “Cualquier error, beacon o backdoor puesto en nuestros sistemas podrían permitir un efecto dominó catastrófico y un devastador efecto dominó de fallos a través de nuestras redes.”

Pese a que no hay pruebas públicas del link Huawei/Espionaje, esta frase la dicen en un país donde hay toda una infraestructura de inteligencia dedicada a espiar, vulnerando hasta estándares de seguridad y hackeando servicios estadounidenses… extraña coincidencia.

Categorías
Seguridad

México, Brasil, Francia, Alemania… perdiendo la inocencia

Hace unos 6 meses cuando comenzó el el caso Snowden y PRISM dije que esto tenía la posibilidad de destruir Internet como la conocemos y sigo convencido que esto es real y no nos estamos dando cuenta del problema.

“TAO successfully exploited a key mail server in the Mexican Presidencia domain within the Mexican Presidential network to gain first-ever access to President Felipe Calderon’s public email account.” Mayo de 2010… en adelante la seguridad fue destrozada

Categorías
Seguridad

Crypto Wars… otra vez

Si no hubiera leido que el Decano de Johns Hopkins le pidió a Matthew Green, profesor de Criptografía de esa Universidad que remueva los posts sobre la NSA de sus servers, tal vez, no me hubiera dado cuenta que definitivamente las revelaciones de Edward Snowden están llevando una guerra en la comunidad de criptografía como no había desde hace décadas y 1 Password hizo genial en resucitarla para entender el momento actual.

servicios vulnerados por la NSA

Categorías
Seguridad

Shodan o el buscador de “la internet de las cosas”

Hoy en una nota de Forbes se habla de Shodan un buscador que uso cada tanto para ver como lo van actualizando y que tiene una particularidad, no busca documentos sino dispositivos conectados a Internet con dos detalles, una serie de filtros te permiten encontrar cosas muy específicas como cámaras Cisco vulnerables a ciertos ataques que estén localizadas en una ciudad y se hayan instalado entre X fechas… y así, lo que el fundador pensó que podía ser usado para mapear el mundo de The Internet of Things, resultó una excelente herramienta para darse cuenta que nadie le presta atención a la seguridad de estos dispositivos.

SHODAN - Computer Search Engine

Por poner un ejemplo, si uno busca en la zona de exploits va a ver que hay noticias donde se dice cuales son los equipos susceptibles de fallas de seguridad pero si uno encuentra muchos equipos conectados y hace una búsqueda en Google tonta como linksys cameras default password y sabe sumar 2+2… ya saben sobre que cosas pueden tomar control :)

Categorías
Seguridad

PRISM sigue generando daño en Internet

Hace tres meses dije que PRISM tiene el potencial de dañar Internet para siempre; hace unos días el Gobierno Británico le pasó por arriba a los derechos de la pareja del periodista de The Guardian y esto solo demuestra que nadie en la comunidad de Inteligencia sabe la amplitud ni profundidad de los datos que Snowden filtró o tiene encima pero nos guste o no, esto va a cambiar el panorama de Internet definitivamente.

Categorías
Seguridad

El correo electrónico dejó de ser seguro

email inseguroGenial nota de Silent Circle: Why can’t email be secure? que explica excelentemente bien porque el email no es considerado seguro actualmente y, básicamente, tiene que ver con su diseño original y el aumento de poder de procesamiento:

Como se puede ver, la seguridad de correo electrónico se ha vuelto más compleja de lo que solía ser. En el pasado, con “asegurar” el cuerpo del mensaje era suficiente. Las herramientas y técnicas utilizadas para el espionaje no tenían una escala lo suficientemente grande como para permitir que los metadatos sean útiles. Con la intervención de los proveedores de la red troncal de Internet, los espías pueden ver todo el tráfico en Internet. Los días en los que era posible que dos personas tengan una conversación realmente privada por correo electrónico, si es que alguna vez existieron, son pasado.

Y es interesante porque esto se relaciona de forma directa con la forma de establecer relaciones entre los POI y cualquier otra persona, cuando eso lo agregás a bases externas y decidís que querés saber el contenido de una charla… tu poder de procesamiento te permite destruir las capas de seguridad. Buena nota en serio.

Categorías
Seguridad

Google Chrome y su peligroso manejo de claves

Vamos a poner algo en claro: si alguien tiene acceso físico a tu PC o Mac puede acceder a todos tus datos, lo único que cambia es el tiempo que tarde. Ahora, si en esa PC o Mac tenés instalado Google Chrome con solo abrirlo puede ver todas tus claves de Safari o Firefox o Chrome con 3 clicks y que el jefe de seguridad de Chrome diga que “no usamos una clave maestra ni otras protecciones para que no haya una falsa sensación de seguridad” es simplemente ridículo. Lo ridículo es que recién hoy me doy cuenta de esto por el post de Elliot Kember

Categorías
Mobile Seguridad

White Hat Hack de las SIM para evitar un problema de seguridad

Me pareció interesante esta nota de CNN SIM card hack inspires quick fix by carriers porque muestra como las operadoras reaccionaron al hack de seguridad en las SIM Cards que hablamos hace un tiempo… y fue explotando el hack original para cerrar ese agujero de seguridad.

sim cards

Categorías
Seguridad

Smart home, smart car, smart hacking

En el curso de esta semana me crucé con un par de noticias que son, además de esperables, una muestra de que no hay conciencia de la necesidad de seguridad en todo lo que esté conectado, repito: en TODO lo que esté conectado… y hoy en día eso implica desde smart-phones conectados hasta casas con controles remotos.

Categorías
Apple Comunicación Seguridad

Apple Developer Center Hackeado

Hace ya tres días Apple sufrió el hack de su Apple Developer Center, cerraron el sitio, no dijeron nada y recién hoy piden disculpas “por los inconvenientes que pueden haberte causado” y advierten que “no descartan que “nombres de desarrolladores, direcciones y correo electrónico hayan sido accedidos” sinceramente no entiendo que se defiendan este tipo de estrategia.

apple developer center hackeado

Para ponerlo simple: Apple tuvo claro hace 72 horas que los datos de sus desarrolladores fueron hackeados y no dijo nada, entiendo que hayan cerrado el sitio para evaluar daños [los cuales SIGUEN sin ser evaluados o comunicados] y definir los pasos a seguir y comunicar; pero pasaron 72 horas y recién ahora admiten haber sido hackeados.

Categorías
Seguridad

Ransomware en Safari para Mac

Hace unos días comenzó a circular un “ransomware” que funciona en Safari para Mac y como en general el usuario de Mac está menos preparado para entender como funciona esto les dejo un video que explica como desactivarlo porque es fácil pero no vas a darte cuenta rápido :)

Para resumirlo, si te aparece un cartel en la Mac diciendo “you have been viewing or distributing prohibited Pornographic content.. To unlock your computer and to avoid other legal consequences, you are obligated to pay a release fee of $300.” simplemente caíste en un Javascript que no te deja salir de la ventana y aprovecha el “restore session” de Safari para que te creas que es verdad :)

Resúmen: Andá al menú Safari -> “Reset Button” y listo; más detalles en este link

Categorías
Seguridad

DefCon deja fuera a los agentes federales

Por primera vez en sus veinte años DefCon, la conferencia de hacking más grande del mundo, le pide explícitamente a los agentes federales (FBI, NSA, etc.) que no participen de la misma. Dos detalles interesantes de este tema que es una derivación del caso Snowden-PRISM y del caso Verizon-FBI.

defcon silent splice

Categorías
Seguridad

Privacidad vs Comodidad vs Ingresos

PGP logoEl día que los desarrolladores y empresas entiendan el valor de la comodidad el mundo va a cambiar Amazon un día nos cambió la forma de comprar con el one-click-shopping, iTunes nos mostró que era más simple descargar un tema que torrentearlo, hoy Tim Berners Lee da en el clavo de porque nadie usa las herramientas disponibles para tener privacidad:

“La utilización de PGP es tan molesta que incluso los que tienen una fuerte necesidad de comunicación segura resisten su uso. Cuando Edward Snowden, el hombre que filtró los detalles del programa PRISM, contactó primero Glenn Greenwald en The Guardian en febrero, le pidió al periodista configurar PGP en su ordenador de manera que ambos pudieran comunicarse de forma segura. Incluso envió a Greenwald un video con instrucciones paso a paso para configurar el software. Pero Greenwald, quien todavía no conocía el significado de la información de Snowden, evitaba hacerlo. Él no instaló el software hasta finales de marzo, después que la cineasta Laura Poitras, también en contacto con Snowden, se reunió con Greenwald y lo alertó de la importancia de sus revelaciones.”

Categorías
Seguridad

General Keith Alexander y la iniciativa de ciberguerra de USA

Excelente perfil del General Keith Alexander en Wired que vale la pena leer, no sólo para conocer quien es el tipo más poderoso (de los conocidos) en mundo de la Inteligencia sino que explica como fue su ascenso y un espiral que, con cierto tipo de lógica conspirativa, parece haber ser copiado del teorema de Thomas

“if men define situations as real, they are real in their consequences”

Y es interesante leer como ciertas cosas que uno fue leyendo y cubriendo con el paso del tiempo, como la Patriot Act, la primer muerte por un Drone, Abu Ghraib, Stuxnet, PRISM y la respuesta física a un acto cibernético… cierran un círculo de desesperanza.

Categorías
Seguridad

Seguridad en Twitter: se prepara autenticación en dos pasos

Finalmente, y luego de muchos hacks y ataques de phishing, aparece una política de seguridad en Twitter con la preparación de la autenticación de dos pasos o verificacion en dos pasos de acuerdo a Wired.twitter_bird

Lo que me sorprende de esto es que se haya demorado tanto en poner esto como parte de su sistema de autenticación; de hecho yo haría que esto fuese obligatorio para cuentas verificadas que se conectan de equipos desconocidos porque ya ayer se volvió a notar que Twitter como fuente de información tiene poder.

Categorías
Seguridad

Mythbusters y el RFID: Seguridad por oscuridad

Reconozco que cuando me robaron pasaporte e identificaciones varias mi instinto paranoico hizo que reemplace casi todo lo robado con cosas que bloquean señales RFID.. (de hecho acá está el link a mi post de cosas indispensables para un viajero frecuente con modelo y todo) y siempre me pregunté porque Mythbusters o incluso en Black Hat no se ven grandes muestras de como romper RFID….

¿La respuesta? en este video de Mythbusters donde cuentan que pasó cuando hicieron una reunión de producción :)

Es casi ridículo que los abogados de las firmas de tarjetas de crédito intervengan anunciando sanciones a un programa que habla de tecnología de forma masiva y que encima las cadenas de TV se sumen a esta movida de “seguridad por oscuridad” y que encima hoy tenga RFID hasta en mi Pasaporte… y mientras me llaman paranoico

Categorías
Seguridad

La Universidad de Oxford bloquea el acceso a Google Docs

Hoy la Universidad de Oxford decidió bloquear el acceso a una herramienta de colaboración casi imprescindible como Google Docs por algo que es crítico y nadie parece entender: la falta de velocidad de respuesta a problemas de seguridad que está caracterizando a las empresas de Internet.

Ayer Twitter mostró que no tiene ni previstos sistemas de validación doble ante el hackeo de una cuenta por más que esta sea de un anunciante verificado y que luego de 5 horas no podían hacer nada más que suspender la cuenta… 5 horas en las que la marca fue ridiculizada sin parar.

Hoy la Universidad de Oxford cuenta que como Google tiene su tráfico encriptado no pueden frenar el acceso a formularios y documentos de Google Docs usados como herramienta de phishing y que la respuesta promdio de Google iba de un par de semanas antes a casi 48 horas hoy en día… con sus “procedimientos mejorados”.

Categorías
Seguridad

Ciberguerra: USA ya deja ver a China como origen de los ataques

Pensar que los primeros intentos de ciberguerra parecían ser sofisticados como en las películas, ataques a la infraestructura del enemigo entre Georgia y Rusia o el desarrollo de malware como Stuxnet para demorar los proyectos nucleares iraníes.. pero luego fueron perdiendo un poco de glamour ¿en serio usar community managers como el ejercito israelí?

Siguiendo ese mismo pensamiento podría pensar que los ataques a servicios de Google, Facebook o medios de USA desde China también serían un sinsentido; pero hoy USA (a través de canales no oficiales) revela un estudio que ata a una unidad de inteligencia de China con esos ataques y la realidad es que si las mejores mentes de tecnología están desarrollando este tipo de tecnología ¿porque no atacarlos?