Seguridad

Acaban de hackear Geelbe.com y publicaron en una URL todas las combinaciones de mail + clave (encriptada pobremente) y, por la hora del día, la respuesta de Geelbe va a tardar. Las claves estan encriptadas de forma de ser simplemente desencriptadas y, como en general hacen todos, usan la misma combinacion de clave + correo electrónico en más de un sitio.

Como medida de seguridad, vayan a los otros servicios web donde usen ESA combinación específica de mail + clave para ingresar y cambienlo urgente primero en los otros sitios. ¿Porque recomiendo ir primero a los otros? Porque la vulnerabilidad va a seguir estando al menos hasta que lo solucionen y toda clave nueva que pongan en Geelbe va a quedar "debilitada"... entonces, primero salven lo que no es vulnerable y luego vean si cambian la clave a una que sea temporaria.

Leer completa

Para todos los que están interesados en saber como funciona una botnet de escala mundial y como lograron cortar comunicaciones con los botmasters que la controlaban (aunque esto no implique haber desactivado la amenaza) les recomiendo leer el post del Microsoft Threat Research & Response Blog y la nota en The Register: Waledac Down.

No sólo te sirve para entender la escala de estas amenazas sino como funcionan, como se las está enfrentando y, especialmente, como esto marca un nuevo paso en la escalada entre los "buenos" y los "malos" de Internet porque, repito, Waledac como Botnet no fue desactivada sino que le cerraron acceso a las comunicaciones entonces están "dormidos" y esperando ;)

Twitter acaba de anunciar en su blog oficial, Trust And Safety que lanzan un acortador de URLs similar a bit.ly pero que está pensado para básicamente frenar ataques de scam y phishing en mensajes directos y mails enviados por el sistema como ocurre siempre.

¿Cual es problema de la confianza en los mensajes directos de twitter? que uno los recibe de contactos a los que sigue, entonces, cuando cualquier de estos contactos pierde control de su cuenta uno puede recibir links a malware sin que el dueño de la cuenta se entere y vos haciendo click porque sos un nabo confiás en cualquier link que recibís y que en general viene enmascarado en un servicio de acortamiento de URLs.

Leer completa

Es interesante que exista un servicio online que haga backups en la nube de esos servicios que ya usás y están en la nube; porque Backupify hace básicamente eso, creas una cuenta y podés hacer backups completos de tus cuentas en Twitter; Google Docs; WordPress; GMail; Facebook; Zoho; Delicious; Flickr; Basecamp; Photobucket y otros lo cual me parece que cada día está siendo casi tan importante como lo que tenemos en la PC.

Leer completa

Durante el día de hoy mientras todo el mundo miraba el ataque DDoS a Twitter, se estaba atacando al mismo tiempo a Facebook y a LiveJournal.

Con Twitter lograron tirar abajo el servicio y hacerlo tan inestable que fue casi imposible usarlo vía web, y eso no sorprende porque en general hay caídas pero en el caso de Facebook los problemas fueron casi invisibles para los usuarios... y ahí se ve la diferencia de infraestructura entre ambos.

Leer completa

Seguramente si algunos de ustedes estaban suscriptos a este blog a través del feed rdf habrán notado que en el ultimo tiempo entre los posts de este blog se recibían algunas actualizaciones con gran cantidad de spam y pese a buscar y rebuscar no encontré la solución hasta que hoy Esteban y Juan de SomosWP lo han solucionado.... y acá cuentan como lo solucionaron.
Leer completa

Leyendo a Jennifer Leggio veo como una invitación de Facebook puede generar un problema de seguridad gigantesca; un grupo llamado “Facebook MessengerTM NEW Facebook Messenger Available Now For News Facebook.” llegó a tener 1.1 millón de usuarios que fueron a descargar un supuesto, e inexistente, programa para poder chatear con tus contactos de Facebook sin problemas.

En este caso el grupo apuntaba a una URL donde había una Toolbar para descargar y no mucho más, pero si logran que 1.1 millones de usuarios caigan en un hoax gigante como este y se crean que hay que hacer click en una página que obviamente no era creada ni administrada por Facebook ¿que podría lograr un grupo que sea más profesional al desarrollar una aplicación para aprovechar la des-inteligencia colectiva existente?

El principio de la ingeniería social amplificado por "plataformas de confianza" acaba de abrir la puerta y lo ridículo es que Facebook haya tardado en desactivar el grupo lo suficiente como para que 1.1 millones de personas se suscriban.

Consumerist, ahora parte de Consumer Report, acaba de descubrir dos pequeños cambios en los términos y condiciones de servicio de Facebook con los que, básicamente, todo el "contenido creado por el usuario" pasa a estar licenciado por Facebook para cualquier uso que quieran darle, a perpetuidad y sin posibilidad de revocación de la licencia.

¿Que es esto en menos palabras? Que todo lo que subas, escribas o pase por Facebook.com es de su propiedad aunque canceles la cuenta y ellos pueden hacer lo que quieran con esos datos. En definitiva, perdés la poca privacidad que te quedaba al cancelar la cuenta si un día decidías no continuar usando el servicio.

Y si hay algo que me sorprende es como, los usuarios de internet, se escandalizan en algunos casos pero en otros (este por ejemplo) ni les importa y ponen tantos datos online y compartibles con tanta gente diferente que es imposible que sepas que pasa con los mismos.... y no, no se imaginen que soy uno de esos idiotas que dicen que "las redes sociales fomentan los secuestros" porque eso es una mentira y un argumento que sólo un imbécil puede sostener, pero la realidad es que nadie imagina que al subir sus fotos o poner sus datos o escribir una obra está licenciandola de manera draconiana y sin posibilidad de recuperar esos datos....

¿Que hubiese pasado si "El Weblog de una mujer gorda" hubiese sido escrito por Hernán en su página de Facebook para buscar mayor viralidad? ¿Hubiese podido Hernán editar un libro, una obra, etc.? ¿Y las fotos que subo? ¿Dejan de ser mias para ser de Facebook? estos nuevos términos y condiciones son simplemente ridículos y no entiendo como no hay más quejas de los usuarios.

Tip: Por mi cuenta, ya frené la implementación de Facebook Connect hasta que esto se aclare y, les recomiendo, ver que pasa con los datos generados o compartidos en tu blog pero usando este servicio.

Justo cuando la RIAA empieza a dejar de usar MediaSentry y se espera un cambio de estrategia de las organizaciones de derechos de copyright, aparece un troyano [wikipedia] que cambia ciertos archivos de tu PC y te impide acceder los dos trackers de torrents del mundo: The Pirate Bay y Mininova.

Leer completa

Mientras la bit9 con una lista de las 12 aplicaciones más vulnerables en Windows [PDF] donde encabeza Firefox y solo en el puesto 12 aparece una aplicación de MSFT que, ni siquiera, es IE sino el Live Messenger.

Claro, el pequeño detalle que los medios no recogen (ni siquiera Neowin increíblemente) es que los criterios para estar en esa lista dejan fuera de la misma a casi todo producto de Microsoft, con lo que la lista pierde toda validez y seriedad ¿porque la publico entonces? Porque es típico que alguien va a poner "Firefox es la aplicación más vulnerable" cuando es, lisa y llanamente ridículo.

Leer completa

Desde el lanzamiento oficial del navegador Google Chrome, era obvio que todos iban a estar buscando vulnerabilidades para darse el gustito de decir "Yo sé más que los ingenieros de Google" y como nada es perfecto y mucho menos una beta que no fue tratada de explotar constantemente... ya hay varias vulnerabilidades dando vueltas.

Leer completa

Es realmente impresionante una nota en ZDnet sobre la tercerización del hackeo de CAPTCHAs en India a los que se les paga 2USD por cada 1000 gráficos resueltos y estas empresas ofrecen hasta 500.000 resueltos por día.

CAPTCHA: Captcha es el acrónimo de Completely Automated Public Turing test to tell Computers and Humans Apart (Prueba de Turing pública y automática para diferenciar a máquinas y humanos).

Se trata de una prueba desafío-respuesta utilizada en computación para determinar cuándo el usuario es o no humano.

¿Quienes son los principales damnificados? En realidad somos todos los usuarios de Internet porque los clientes son spammers, phishers y esas castas que hacen de Internet un lugar con problemas... pero, los sitios que soportan sus CAPTCHAs destruídos con esta nueva tercerización de la economía negra de internet MFM son los 4 o 5 grandes y que pueden ser usados para manejar estas defraudaciones: MySpace, Gmail, etc.

Leer completa

Hace ya varios días Georgia, Osetia del Sur y Rusia están en una guerra no declarada que, al menos en los medios, es menos interesante que la apertura de los Juegos Olímpicos de Beijing.. más allá de eso es interesante ver un frente de batalla mucho más discreto, Internet.

Arbor Networks detectó un aumento en los ataques de denegación de servicio una semana antes que comience la guerra "física" orientados hacia sitios gubernamentales de Georgia y deja caer una frase bastante interesante "con el costo por maquina infectada en menos de 4 centavos, podés financiar un ciber ataque completo por menos de lo que cuesta reemplazar un tanque".

En Silicon Republic, se habla de la pérdida de confiabilidad de todos los sitios georgianos por la cantidad de DDoS y defacements y hackeos constantes que están sufriendo hace varios días... con lo que entra en peligro la integridad de la informacion brindada a la poblacion y entre funcionarios del mismo gobierno. El detalle esta vez, la Cancilleria Georgiana abrió un blog en blogspot.com para evitar DDoS y hackeos ¿no es medio naif confiar en la infraestructura de Blogspot/Google para las comunicaciones oficiales de un país en plena guerra?

Y tal vez la mejor pregunta de Mashable en mucho tiempo ¿podemos confiar nuestros datos en algo que está cada día más siendo un objetivo estratégico en caso de conflictos?

Manu publicó en Celularis un link MUY útil si sos dueño de una Blackberry: Como comprar o vender una Blackberry con un PDF oficial de Research in Motion donde te explican paso a paso como "limpiar" tu BB antes de venderla o.. justo después de comprarla.

Pese a que puede parecer una cosa simple, la realidad es que el dispositivo está asociado a una cuenta BIS podés tener un problema de seguridad aún cuando sea divertido tratar de encontrar data del usuario anterior; en definitiva, sigan estos pasos antes de sacarse de encima el BB y saltarle encima a la nueva Blackberry Bold ;)

Ayer Symantec presentó su estudio de amenazas de seguridad en Internet, el ISTR v.13, y además de varios datos interesantes... el dato extraño: Buenos Aires fue la ciudad con más PCs infectadas por Bots en el último semestre de 2007

¿Que es el ISTR? Básicamente un estudio hecho sobre toda la infraestructura de Internet a la que Symantec tiene acceso, desde honeypots propios hasta las PCs con sus sistemas de seguridad instalados; y entonces es de los estudios más neutrales que hay dando vueltas porque en total son 120 millones de dispositivos tomando y enviando datos.

Cambio de paradigma en seguridad
Fue muy buena la presentacion que hicieron Douglas Wallace y Hernán Coronel porque se muestra el cambio de paradigma que está metiéndose en la seguridad online, en cierto sentido acompañando el desarrollo de la Web 2.0

Leer completa

Pese a que el NYT y Seattle Times digan que Microsoft COFEE es una manera de saltar todo tipo de encriptación de archivos soy bastante escéptico sobre algo tan contundente.

¿Que es Microsoft COFEE? Una memoria Flash USB con más de 150 programas desarrollados en Microsoft que fueron brindados a algunas agencias de seguridad de USA como una "navaja suiza de seguridad" que les permitiría, supuestamente, poder saltar la encriptación y seguridad de cualquier PC a la que se conecten para hacer análisis forense de pruebas.

Leer completa

Excelente recopilación de SpeckyBoy: Top 10 Security and Protection Plugins for WordPress que me permito traducir en caso que a alguien le resulten útiles... todo esto va más allá de los básicos para un WordPress seguro: siempre tener la última versión instalada y no usar admin como acceso ;)

Leer completa

Pocas aplicaciones para hacer backups locales de tu cuenta de GMAIL funcionaban tan rápido como G-Archiver pero, si la usás, por favor desinstalá y cambiá tu clave de GMAIL porque un error de código hizo que la versión anterior envíe al desarrollador tu usuario y contraseña de tu ceunta con lo que gana acceso total a todos tus servicios de Google.

Esta vez fue un error que descubrió el desarrollador, incluso publicando un screenshot de su cuenta con lo que venía recibiendo y aclarando que ya están sacando esas líneas del código... algo que no creo sea útil porque ¿quien va a volver a confiar sus datos a esta aplicacion? ;)

En la conferencia de seguridad Sydney 2006, Adam Boileau, presentó una herramienta llamada Winlockpwn que te permitía hackear cualquier PC con Windows XP en segundos a través de un simple puerto firewire [PDF].

Casi dos años después el bug no fue arreglado asi que, el creador, decidió liberar la herramienta en su site esperando que, tal vez así, MSFT decida solucionar el problema.

No es un bug, es una función ;)
¿Porque no se solucionó? Porque la capacidad de usar el puerto firewire para acceder a la memoria de una PC es, en realidad, una función (estos de FayerWayer son peligrosos :P) y, según Sophos, lo mejor es desconectar los puertos FW si no los usás en ese momento ¿soy el único al que ese consejo le parece ridículo? :S

Una noticia que los macosos van a tomar mal, pero si el jefe de Seguridad de Paypal dice que usar un navegador no es completamente seguro... yo tiendo a creerle ;)

Es interesante ver que recomiende usar IE 7, IE8, FF2, FF3 u Opera antes que Safari, y que, principalmente sea la falta de soporte para Extended Verification una tecnología antiphishing relativamente nueva.