Un par de cursos de seguridad informática en línea

Durante esta semana me enteré que Microsoft lanzó su Value Academy, una plataforma de educación virtual, gratuita, que entre otras cosas, incluye una carrera de seguridad que por lo que estuve revisando está bastante interesante.

Esto me dio pie también para comentar la existencia de otra plataforma gratuita de educación en seguridad informática que lleva adelante la empresa ESET (*).

Les recomiendo darle una visita a ambas plataformas porque el contenido es interesante, se dan certificados (en línea) y sirven para aprender más sobre seguridad informática:

http://www.mslatam.com/latam/technet/mva/home.aspx
http://edu.eset-la.com

Que aprendan mucho :-)


(*) Disclaimer: desempeño mi carrera profesional en dicha empresa desde mediados del 2004.

Confirme el Acuerdo de Licencia (Beta) para continuar

Bastante lío se armó la semana pasada con el Acuerdo de Licencia de Usuario Final (EULA en inglés) del nuevo navegador Google Chrome. El mismo contenía una sección, más específicamente, la número 11, que se reservaba algunos derechos interesantes y un tanto “amplios”, por llamarlos de alguna manera.

Para el que no conozca lo que es el Acuerdo de Licencia de Usuario Final, les recomiendo leer al respecto en el siguiente enlace:

http://es.wikipedia.org/wiki/CLUF

La sección 11 del EULA de Chrome decía lo siguiente:

"a perpetual, irrevocable, worldwide, royalty-free, and non-exclusive license to reproduce, adapt, modify, translate, publish, publicly perform, publicly display and distribute any Content which you submit, post or display on or through, the Services"

Para el que no sabe inglés, dice algo como “una licencia perpetua, irrevocable, mundial, sin costo y no exclusiva para reproducir, adaptar, modificar, traducir, publicar, utilizar y mostrar públicamente, y distribuir cualquier contenido que Ud. envíe, publique o muestre en o a través de los Servicios” de Google.

Al día siguiente Google la cambió, y en los siguientes posts hay varias respuestas oficiales al respecto:

http://googleblog.blogspot.com/2008/09/update-to-google-chromes-terms-of.html
http://www.mattcutts.com/blog/google-chrome-license-agreement/

Según Google, todo se debió a un error, se utilizaron partes de EULA que usan en otros servicios, y “bueno, lo sentimos mucho”.

El problema con esto es que normalmente ninguno de nosotros lee los acuerdos de licencia, y ésta es una clara muestra de ello. El acuerdo de licencia es lo que dictamina los términos del servicio o software que estamos utilizando, y si los aceptamos, estamos aceptando también dichas condiciones. Y si las condiciones dicen que se puede hacer lo que el fabricante o proveedor quiera con los datos que incluyamos en el servicio o software, nosotros las habremos aprobado al aceptar el EULA.

Con tanto software beta dando vueltas, los EULA beta ya están entre nosotros, y bueno, los fabricantes los cambiarán cuando tengan ganas y nosotros no les prestaremos atención. Y un día vamos a ver las fotos de nuestras vacaciones en algún otro sitio, iremos a protestar, y será porque utilizamos algún software cuyo EULA decía que podía tomar nuestra información sin problemas (y cosas como estas ya han pasado ;-P)

A prestar un poco de atención a donde hacemos click, que no hace daño, al menos no tanto como el que podemos sufrir luego del click :-)

Una nueva fuente de vulnerabilidades: Google Chrome

El título puede ser un tanto "tremendista", pero hace honor a la realidad que la Internet nos depara a diario. Google ha lanzado ayer su propio navegador web, que competirá por el gusto de los usuarios contra Internet Explorer, Mozilla Firefox y Opera, y se llama Google Chrome.

No pasaron 24 horas que ya se encontró que este nuevo navegador contiene vulnerabilidades y agujeros de seguridad. Aviv Raff, un conocido especialista en seguridad, lo informó en su blog e incluso puso a disposición una prueba de concepto, tal como informa The Register, a través de John Leyden hoy:

http://www.theregister.co.uk/2008/09/03/google_chrome_vuln/

La vulnerabilidad es la misma que se anunció hace un tiempo atrás para Safari, el navegador de Apple, y esto se debe a que Google Chrome está basado en Webkit, motor de navegación web de código abierto, y que también es utilizado por el explorador web de la manzanita. El problema es que mientras Safari ya no cuenta con esa vulnerabilidad, Chrome está usando una versión no actualizada de Webkit, y por ende, vulnerable.

Teniendo en cuenta la eterna lucha de los departamentos de marketing y seguridad de las empresas ("¡Necesito sacar este producto YA!" vs. "Espera que tenemos que evaluar la seguridad del producto antes de lanzarlo, por favor"), es más que lógico que
pasen este tipo de cosas.

Es una lástima que este apuro opaque el hecho de que Chrome parece tener unos cuantos aspectos interesantes en materia de seguridad.

"is"

Houston, tenemos un virus

Como habrán notado, este mes no he posteado mucho. Cuestiones de poco tiempo, la verdad... Pero estaba leyendo una noticia hoy y me pareció interesante compartirlo.

Parece ser, de acuerdo a la NASA, que un malware hizo de las suyas y logró llegar hasta la Estación Espacial Internacional. Si, sres., y lo más interesante, no es la primera vez que un código malicioso llega hasta el espacio.

En una noticia que apareció en varios medios entre ayer y hoy, se informó sobre las palabras de un vocero de la NASA que confirmó que unas laptops que se enviaron a la Estación Espacial Internacional tenía un malware capaz de robar contraseñas de software de juegos en línea.

Además de que la razón de esto es que algunos procesos de seguridad deben haber fallado, otro motivo de lo sucedido es que las mismas no tenían antivirus.

Obviamente, la NASA informó que esto de ninguna manera afectó ni pudo haber afectado el correcto funcionamiento de la Estación.

Con tanto malware y problemas de seguridad dando vueltas, uno se pregunta cómo puede ser que una de las agencias gubernamentales estadounidenses que mayor cantidad de dinero tiene asignado a su presupuesto puede tener tan pobres procedimientos de seguridad que permitan tamaña falla.

Fuente: The Register

Guia de Seguridad en Windows Vista

Como esta semana estoy algo complicado de tiempo, al menos les quiero dejar algo interesante que vi el día de hoy: La Guía de Seguridad en Windows Vista.

Es un documento al estilo manual que analiza diversos aspectos de seguridad en el último sistema operativo de Microsoft, incluyendo aspectos como malware, políticas, protección de datos, etc.

La guía solamente está en inglés (y francés), pero no deja de ser interesantes para quienes tengan la posibilidad de leerla, más allá de que algunos conceptos es bueno tomarlos con pinzas, porque no es tan bonito como lo pintan ahi.

Está más bien orientada a usuarios avanzados o administradores, pero también se las recomiendo a aquellos que tienen ganas de experimentar un poco en materia de seguridad con sus equipos.

Está disponible desde al año pasado, en:

http://technet.microsoft.com/es-ar/bb629420.aspx

Visto en Segu-Info y DragonJAR.

Para quienes anden interesados en ver la de XP, algo más antigua, aquí también les dejo el enlace:

http://www.microsoft.com/technet/security/prodtech/windowsxp/secwinxp/default.mspx

Cuando somos nosotros los culpables (II)

La semana pasada escribí un post titulado “Cuando somos nosotros los culpables”, respecto a cómo, tanto usuarios y administradores, somos en parte responsables de muchos de los problemas de seguridad relacionados con el malware.

En ese post destacaba los casos del cliqueo adictivo sobre enlaces a mensajes de correo electrónico que nos llegan, así como el alojamiento de malware en sitios web “normales” debido a que los administradores no toman las medidas de seguridad necesarias.

Pero que quede claro, no sólo de eso somos culpables, hay más, y esto no es más que una toma de conciencia de lo irresponsables que somos muchos al andar por Internet.

Los usuarios de Internet están siendo cada vez más culpables de que sus usuarios y contraseñas circulen por la red. ¿Por qué? Porque ellos mismos son quienes los entregan, voluntariamente, a terceros, sin siquiera pensar en quien los está viendo del otro lado.

Ya había hecho referencia al tema cuando escribí “¡Conseguí amigos y mucho spam!”, pero no solo nos quedamos ahí.

Acá tenés las llaves de mi casa, desconocido

Esta semana recibo de un amigo, por MSN, un mensaje simplemente con un enlace; ese enlace llevaba a una página donde se me solicitaban mis datos de usuario y contraseña de mi mensajero instantáneo. Leyendo para qué querían mis datos (además de para mil cosas maravillosas), reviso sus términos y condiciones, en las cuales claramente se expresaba que se usarían para distribuir más enlaces entre mis contactos de MSN.

Explicándolo simplemente: mis datos de usuario y contraseña serían usados para seguir distribuyendo esos enlaces entre mis amigos, con mi consentimiento, dado que estaba explicado en el sitio, aunque en letra pequeña, que para eso lo usarían.

Este tipo de servicios es seguido bien de cerca por Cristian de Segu-info, y justamente el que recibí lo comentamos en la semana, y encontrarán más detalles en los siguientes enlaces:

http://seguinfo.blogspot.com/2008/07/checkapic-otro-sitio-sospechoso.html
http://seguinfo.blogspot.com/2008/07/friendlypixx-roba-tus-datos.html

Lo que no terminan de comprender las personas que “caen voluntariamente” en este tipo de cosas, es que al ingresar su usuario y contraseña en este tipo de sitios que no conocen, le están entregando las llaves de su casa, y una vez hecho eso, no saben qué es lo que estos “desconocidos” harán con las mismas.

No importa cuantas veces advertimos sobre este tipo de cosas, siempre pero siempre, los usuarios de Internet siguen cayendo en estas trampas. Pese a que uno se cansa un poco de repetirlo, aquí van las recomendaciones sobre el tema:

1. No ingresen su usuario y contraseña en sitios desconocidos.
2. Referirse a la recomendación 1.
3. Si no quedó claro, volver a referirse a la recomendación 1.
4. Si hasta ahora no se entienden las recomendaciones de los 3 puntos anteriores, repito, ¡NO INGRESEN SUS CONTRASEÑAS EN SITIOS DESCONOCIDOS POR USTEDES! :-)

Si alguna vez lo hicieron, cambien su contraseña ya mismo, en este instante, ¡YA! Con las “llaves de su casa”, una persona maliciosa puede hacer básicamente lo que quiera… ¿o no?

Desprotegiendo al querer proteger

Como siempre, los administradores a veces no se quedan atrás. Leo hoy en PuntoGeek sobre un servicio llamado DirProtect, que es básicamente una página que permite crear, en línea, los archivos necesarios para que, luego de subirlos a nuestro sitio web, podamos proteger algún directorio del mismo.

Quienes administramos sitios web, siempre tenemos la necesidad de que alguna parte del mismo quede fuera del acceso de cualquier curioso, y una de las mejores medidas para hacerlo, es cerrar esa parte mediante una protección, por ejemplo.

Si lo pensamos desde el punto de vista funcional, servicios como DirProtect son muy útiles para muchos de quienes hoy tienen un sitio web, pero no tienen los conocimientos técnicos necesarios para administrarlo completamente.

Pero si lo pensamos desde el punto de vista de la seguridad, al usar un servicio de DirProtect, ¡le estamos dando las llaves de nuestra casa a un desconocido antes incluso de poner la cerradura!

Esto es así porque el servicio nos pide: ruta del directorio a proteger de nuestro sitio web (la cual normalmente incluye el dominio de nuestra página), y el usuario y contraseña que queremos usar… o sea… ¡todo lo necesario para poder luego ingresar y saltar esa protección!

No es que crea que la gente detrás de DirProtect sea maliciosa o tenga esa intención con este servicio, pero no los conozco, entonces, si no sé quienes son, no los voy a invitar a que sepan como entrar a mi casa (Al menos yo, no invito desconocidos a mi hogar). Para colmo, en todo el sitio de DirProtect no encuentro ninguna confirmación de si almacenan esos datos o no, así como ni una declaración de si hacen algo con la información allí ingresada.

Este tipo de servicios puede ser muy útil, pero usarlos, implica abrir la puerta a futuros problemas de seguridad en nuestro sitio web. En este caso se aplican las mismas recomendaciones que dí antes: ¡No ingresar usuarios y contraseñas de algún servicio de uds. en un sitio desconocido!

En el caso particular de DirProtect, si así y todo tenés la necesidad utilizar el servicio, lo menos que podés hacer es:

1. Ingresar una ruta inexistente y cuando se genere el htaccess, cambiala por la real
2. Utilizar un usuario cualquiera, y cuando el archivo htpasswd se genere, cambialo por el que realmente querés utilizar (vas a tener que poner el password real de todas formas, pero al poner otro usuario y otra ruta, menos inseguro va a terminar siendo el tema)

Otra vez el post quedó largo, pero dejar claros estos puntos necesita mucho espacio. Espero quede claro el tema, y sino, no tenemos ningún derecho a quejarnos luego cuando nuestro MSN ya no anda, nuestra cuenta sea “robada” o nuestro sitio sea vulnerado por alguien, porque somos nosotros mismos quienes le estamos abriendo la puerta a los ladrones, sabiendo que están ahí.

“is”

El drama de los DNS (II)

Como dije en el último post sobre el tema de la vulnerabilidad del cache poisoning en los servidores DNS, mi idea es mantenerlos al tanto sobre los distintos avances de este tema tan problemático para todos los que usamos Internet a diario.

Primero comentarles que además de la posibilidad de chequear si sus DNS son vulnerables a través de la página de Dan Kaminsky, el descubridor de la vulnerabilidad, DNS-OARC también liberó una herramienta similar (hacer click en la opción Test my DNS en el centro de la página disponible aquí).

Es importante contar con dos herramientas porque nos dará más seguridad sobre si nuestros DNS aún son vulnerables o no.

Con lo complicado del alcance de esta vulnerabilidad, se hace más marcada la diferencia entre tres tipos de proveedores de servicios y/o software de de DNS:

• Los que ya han liberado parches y repiten continuamente las palabras “Patch now!” (“¡Parcheen ahora!”, por implementar las actualizaciones cuanto antes) 
• Los que hasta ahora no han liberado o aplicado los parches, como Apple o algunos de los principales proveedores de Internet del mundo
• Los que no han sufrido vulnerabilidad ahora porque se han anticipado a la posibilidad y han implementado mayores medidas de seguridad contra el envenenamiento de caché, como OpenDNS, PowerDNS y MaraDNS
  

El mayor problema está en que no solo la vulnerabilidad ya es conocida públicamente, sino que ya existen herramientas para explotarlas, tales como Evilgrade, o lo incluido en Metasploit.

Lo anterior hace que ya se comiencen a encontrar algunos casos de ataques que podrían estar dándose gracias al aprovechamiento de esta vulnerabilidad, y como se dijo anteriormente, todavía hay demasiados proveedores y fabricantes que no han logrado parchear o liberar actualizaciones.

Todo esto no ha hecho que algunas soluciones ya seguras, como OpenDNS, comiencen a recibir mucha atención y las recomendaciones para utilizarlos pululan en Internet. No es que sea mala idea, todo lo contrario; si no saben si su DNS es vulnerable, o si comprueban que lo es con las herramientas anteriores, les recomiendo analizar la posibilidad de utilizar estos proveedores ya asegurados.

Algunos enlaces de interes para todos:

• Para administradores que usen Snort, en el blog de Sergio Hernando se pueden encontrar firmas para esa aplicación a fin de detectar posibles ataques aprovechando esas vulnerabilidades
• Para aquellos administradores que quieran detectar si han sufrido ataques de este tipo, existe la herramienta CacheAudit 
• Una curiosidad: uno de los responsables de hacer que los exploits para esta vulnerabilidad se comiencen a masificar, fue víctima de los mismos

En resumen: si son administradores, ¡parcheen ya! Si son usuarios, comprueben si sus DNS son vulnerables, y sino, cambien a algunos que no lo sean.

"is"