Una nueva mejora en la protección de las cuentas de Google añade más seguridad a nuestra información confidencial.
La proliferación de ataques y herramientas con las que obtener de forma fraudulenta las contraseñas que abren las puertas de acceso a nuestras cuentas de Google y por tanto a la información sensible que en ellas se guarda, ha llevado a la implementación de una nueva sesión de inicio con mayor garantía.
Tras una primera prueba con éxito meses atrás en Google Apps, se ha decidido incluir un nuevo inicio de sesión que junto al tradicional nombre de usuario y contraseña nos va a solicitar un código de verificación que Google nos enviará a través de SMS a nuestro teléfono móvil.
Este nuevo sistema avanzado de seguridad de acceso a cuentas de Google, no viene habilitado por defecto sino que todos aquellos usuarios interesados pueden activarlo desde Cuentas de Google-> Personal Settings -> Using 2-step verification.
El código facilitado con una duración de 30 días y que podrá ser utilizado para acceder a todos los servicios de Google ya ha empezado a implementarse en todas las cuentas de usuarios norteamericanos y pronto llegará al resto del mundo.
Fuente Desarrolloweb.com
Comunidad dedicada a la seguridad de información (noticias, foros, charlas, actualidad)
Bienvenido a la Comunidad Ethical Shields
Ethical Shields les da la bienvenida a nuestra comunidad, queremos invitarlos a compartir sus experiencias, noticias en el ambito de seguridad de información. Esta comunidad se enriquece con sus comentarios, y en ella estaremos publicando todo lo relacionado con esta importante tema. Aqui podras ver las ultimas noticias de interes, compatir con otros profesionales y estudiantes del area, experiencias, casos, anecdotas y podras estar en contactos con nuestros especialistas en el area.
Para mas información sobre nosotros visita www.ethicalshields.com
Para mas información sobre nosotros visita www.ethicalshields.com
Mostrando entradas con la etiqueta Seguridad. Mostrar todas las entradas
Mostrando entradas con la etiqueta Seguridad. Mostrar todas las entradas
lunes, 14 de febrero de 2011
Google incluye un sistema avanzado de seguridad
Facebook y la (in)seguridad: Un resumen (I)
Facebook ha llegado a los 600 millones de usuarios y sin duda, se ha convertido en un punto de referencia en Internet. En los últimos meses, además, la seguridad en Facebook ha dado demasiados dolores de cabeza a la compañía que, muy tímidamente y a pequeños pasos, intenta mejorar la protección del portal.
El problema de Facebook ha sido, históricamente, la privacidad. Un punto de encuentro tan popular donde 600 millones de personas introducen tantos datos y fotografías requiere que sus usuarios confíen en el portal al máximo y además de unos mecanismos y una infraestructura adecuados que garantice su intimidad. Y Facebook está proporcionando esta seguridad... poco a poco. Como es habitual, han aprendido a base de ensayo y error, y cada error ha sido un pequeño golpe a su imagen. Aunque sí es cierto que no ha sido el centro de enormes escándalos y que goza de una salud envidiable, sí que se ha visto obligada a ponerse manos a la obra para mejorar la seguridad global de portal. El 26 de enero anunciaban mejoras en este aspecto, curiosamente, tras sufrir una serie de problemas y ataques. Repasemos algunos hitos interesantes.
El 26 de enero Alex Rice, responsable de seguridad de Facebook anunciaba dos mejoras importantes con respecto a la seguridad.
* La primera es el uso de conexión segura (SSL) no solo a la hora de introducir la clave, sino durante toda la sesión. Esto es una medida que llega muy tarde, y en respuesta directa a herramientas como Firesheep. Se trata de un plugin para Firefox aparecido en octubre de 2010 que aúna varias herramientas de forma muy cómoda. Pone la tarjeta de red del sistema en modo promiscuo (a "escuchar" todo el tráfico de red local no segmentada) y extrae automáticamente los datos que le interesan (la cookie de sesión) de ciertas páginas no protegidas (entre ellas Facebook) y permite que un usuario suplante la identidad de otros que naveguen en la misma red local. Esto ya se puede hacer con un sniffer, un proxy local, envenenamiento ARP, etc... pero Firesheep demostró lo fácil que puede resultar para cualquiera robar la sesión a través de un solo click. La solución es también sencilla: cifrar toda la información. Facebook ha reaccionado permitiendo que toda la sesión se base en SSL, pero de forma opcional, lo que todavía deja en manos del usuario la decisión de que su sesión permanezca protegida o no. Es una medida necesaria pero insuficiente.
Además existe Borogove, otro programa que facilita con mecanismos similares la obtención de conversaciones de chat dentro de Facebook. Aunque se supone que debería estar protegido por el cifrado, el sistema de chateo no funciona correctamente bajo el cifrado.
* Autenticación Social. Esto, en resumen, es eliminar el tradicional CAPTCHA y utilizar el reconocimiento de caras de amigos para demostrar que eres un ser humano. Troyanos como koobface han demostrado que los CAPTCHA no son infalibles. Recordemos que el troyano Koobface, "secuestraba" el sistema y pedía a la víctima la resolución de varios CAPTCHA de Gmail. Así conseguía crear cuentas fantasma automáticamente para poder difundirse mejor, entre otros objetivos. Usaba a sus víctimas como esclavos o "CAPTCHA brokers".
Estas dos nuevas medidas se añaden a un continuo esfuerzo en Facebook por demostrar que están comprometidos con la seguridad y la privacidad de los datos. Ya anunciaron mejoras en marzo de 2008 (introdujo la categoría "amigos de amigos"), en diciembre de 2009 (facilitó los controles para proteger la seguridad de las cuentas), etc...
Fuente HISPASEC.com
El problema de Facebook ha sido, históricamente, la privacidad. Un punto de encuentro tan popular donde 600 millones de personas introducen tantos datos y fotografías requiere que sus usuarios confíen en el portal al máximo y además de unos mecanismos y una infraestructura adecuados que garantice su intimidad. Y Facebook está proporcionando esta seguridad... poco a poco. Como es habitual, han aprendido a base de ensayo y error, y cada error ha sido un pequeño golpe a su imagen. Aunque sí es cierto que no ha sido el centro de enormes escándalos y que goza de una salud envidiable, sí que se ha visto obligada a ponerse manos a la obra para mejorar la seguridad global de portal. El 26 de enero anunciaban mejoras en este aspecto, curiosamente, tras sufrir una serie de problemas y ataques. Repasemos algunos hitos interesantes.
El 26 de enero Alex Rice, responsable de seguridad de Facebook anunciaba dos mejoras importantes con respecto a la seguridad.
* La primera es el uso de conexión segura (SSL) no solo a la hora de introducir la clave, sino durante toda la sesión. Esto es una medida que llega muy tarde, y en respuesta directa a herramientas como Firesheep. Se trata de un plugin para Firefox aparecido en octubre de 2010 que aúna varias herramientas de forma muy cómoda. Pone la tarjeta de red del sistema en modo promiscuo (a "escuchar" todo el tráfico de red local no segmentada) y extrae automáticamente los datos que le interesan (la cookie de sesión) de ciertas páginas no protegidas (entre ellas Facebook) y permite que un usuario suplante la identidad de otros que naveguen en la misma red local. Esto ya se puede hacer con un sniffer, un proxy local, envenenamiento ARP, etc... pero Firesheep demostró lo fácil que puede resultar para cualquiera robar la sesión a través de un solo click. La solución es también sencilla: cifrar toda la información. Facebook ha reaccionado permitiendo que toda la sesión se base en SSL, pero de forma opcional, lo que todavía deja en manos del usuario la decisión de que su sesión permanezca protegida o no. Es una medida necesaria pero insuficiente.
Además existe Borogove, otro programa que facilita con mecanismos similares la obtención de conversaciones de chat dentro de Facebook. Aunque se supone que debería estar protegido por el cifrado, el sistema de chateo no funciona correctamente bajo el cifrado.
* Autenticación Social. Esto, en resumen, es eliminar el tradicional CAPTCHA y utilizar el reconocimiento de caras de amigos para demostrar que eres un ser humano. Troyanos como koobface han demostrado que los CAPTCHA no son infalibles. Recordemos que el troyano Koobface, "secuestraba" el sistema y pedía a la víctima la resolución de varios CAPTCHA de Gmail. Así conseguía crear cuentas fantasma automáticamente para poder difundirse mejor, entre otros objetivos. Usaba a sus víctimas como esclavos o "CAPTCHA brokers".
Estas dos nuevas medidas se añaden a un continuo esfuerzo en Facebook por demostrar que están comprometidos con la seguridad y la privacidad de los datos. Ya anunciaron mejoras en marzo de 2008 (introdujo la categoría "amigos de amigos"), en diciembre de 2009 (facilitó los controles para proteger la seguridad de las cuentas), etc...
Fuente HISPASEC.com
El iPhone se puede ‘crackear’ en menos de seis minutos
Un grupo de investigadores alemanes ha descubierto un agujero en Apple iOS que podría permitir que un hacker extraiga las credenciales de acceso de un dispositivo comprometido.
Una presentación de Fraunhofer SIT (PDF) sugiere que un ciberdelincuente que ha robado un iPhone, iPad o iPod Touch podría superar no sólo la protección de código de acceso del propio dispositivo sino acceder a otras contraseñas almacenadas en la herramienta de cadena de claves que gestiona las credenciales de acceso.
Los investigadores aseguran que el procedimiento se puede realizar en un dispositivo parcheado y sin modificar que esté bloqueado con un código de acceso que el atacante no pudiera adivinar ni obtener.
Superar las protecciones empieza por hacer un jailbreak en el dispositivo, o modificarlo. Un atacante podría conectar el dispositivo al ordenador mediante USB e instalar y ejecutar una herramienta de jailbreak para poder acceder a ciertas partes del terminal. Desde ese momento los investigadores fueron capaces de ejecutar un código de script y descifrar la información almacenada.
El equipo de investigadores asegura que el descifrado de la información se puede hacer porque en los actuales dispositivos basados en iOS las claves criptográficas no dependen del código de acceso secreto del usuario. Teniendo acceso a la cadena de claves un atacante podría obtener las credenciales de todos los sites y servicios almacenados dentro del dispositivo.
La conclusión, según los investigadores, es que tanto usuarios como empresas debería tener procedimientos de emergencia en caso de robo o pérdida del dispositivo.
Fuente: itespresso.com.es
Una presentación de Fraunhofer SIT (PDF) sugiere que un ciberdelincuente que ha robado un iPhone, iPad o iPod Touch podría superar no sólo la protección de código de acceso del propio dispositivo sino acceder a otras contraseñas almacenadas en la herramienta de cadena de claves que gestiona las credenciales de acceso.
Los investigadores aseguran que el procedimiento se puede realizar en un dispositivo parcheado y sin modificar que esté bloqueado con un código de acceso que el atacante no pudiera adivinar ni obtener.
Superar las protecciones empieza por hacer un jailbreak en el dispositivo, o modificarlo. Un atacante podría conectar el dispositivo al ordenador mediante USB e instalar y ejecutar una herramienta de jailbreak para poder acceder a ciertas partes del terminal. Desde ese momento los investigadores fueron capaces de ejecutar un código de script y descifrar la información almacenada.
El equipo de investigadores asegura que el descifrado de la información se puede hacer porque en los actuales dispositivos basados en iOS las claves criptográficas no dependen del código de acceso secreto del usuario. Teniendo acceso a la cadena de claves un atacante podría obtener las credenciales de todos los sites y servicios almacenados dentro del dispositivo.
La conclusión, según los investigadores, es que tanto usuarios como empresas debería tener procedimientos de emergencia en caso de robo o pérdida del dispositivo.
Fuente: itespresso.com.es
jueves, 10 de febrero de 2011
Un nuevo ataque revela las contraseñas de los iPhones en minutos
Investigadores alemanes aseguran haber descubierto una forma de ataque que revela las contraseñas almacenadas en iPhones en tan sólo seis minutos sin necesidad de disponer del código de acceso a los dispositivos.
El ataque, que exige la posesión del iPhone, se dirige contra el sistema de gestión de contraseñas de Apple y se basa en exploits existentes que proporcionan acceso a grandes partes del sistema de archivos de iOS. Con él puede hacerse que el smartphone revele contraseñas de acceso a redes y sistemas de información corporativos en casos de robo o pérdida del dispositivo.
Los investigadores que lo han desarrollado, primero desbloquearon el iPhone utilizando herramientas de hailbreaking disponibles. Después instalaron un servidor SSH sobre el smartphone que permitía correr software sobre él.
A continuación copiaron un script de acceso a la gestión de contraseñas del iPhone, que utiliza funciones de sistemas que ya existen en el dispositivo para acceder a las entradas del sistema y finalmente revela a los atacantes los detalles de las cuentas que descubre.
El ataque funciona porque la clave criptográfica de los actuales dispositivos basados en el sistema operativo iOS está basada en material disponible dentro del dispositivo y es independiente del código de acceso al mismo, según los investigadores que lo han descubierto.
Las contraseñas que revela y desencripta, no obstante, se limitan a las del sistema de gestión de contraseñas de Apple “keychain”, quedando a salvo las protegidas por otros sistemas. Entre las vulnerables se incluyen las de cuentas en Google Mail o MS Exchange, LDAP y correo de voz, así como a las de acceso a VPN y WiFi.
Fuente CSOSPAIN
El ataque, que exige la posesión del iPhone, se dirige contra el sistema de gestión de contraseñas de Apple y se basa en exploits existentes que proporcionan acceso a grandes partes del sistema de archivos de iOS. Con él puede hacerse que el smartphone revele contraseñas de acceso a redes y sistemas de información corporativos en casos de robo o pérdida del dispositivo.
Los investigadores que lo han desarrollado, primero desbloquearon el iPhone utilizando herramientas de hailbreaking disponibles. Después instalaron un servidor SSH sobre el smartphone que permitía correr software sobre él.
A continuación copiaron un script de acceso a la gestión de contraseñas del iPhone, que utiliza funciones de sistemas que ya existen en el dispositivo para acceder a las entradas del sistema y finalmente revela a los atacantes los detalles de las cuentas que descubre.
El ataque funciona porque la clave criptográfica de los actuales dispositivos basados en el sistema operativo iOS está basada en material disponible dentro del dispositivo y es independiente del código de acceso al mismo, según los investigadores que lo han descubierto.
Las contraseñas que revela y desencripta, no obstante, se limitan a las del sistema de gestión de contraseñas de Apple “keychain”, quedando a salvo las protegidas por otros sistemas. Entre las vulnerables se incluyen las de cuentas en Google Mail o MS Exchange, LDAP y correo de voz, así como a las de acceso a VPN y WiFi.
Fuente CSOSPAIN
Michelle Obama prohibió a sus hijas usar Facebook
La primera dama de Estados Unidos, Michelle Obama, es contraria a que sus hijas, Sasha y Malia, tengan una cuenta en la red social Facebook, según declaró.
"No soy una gran partidaria de que los muchachos jóvenes tengan Facebook. No es algo que les haga falta, no es necesario", declaró la primera dama en una entrevista concedida al programa "Today", de la cadena NBC, con ocasión del primer aniversario de su iniciativa "Let's Move" contra la obesidad infantil.
Sus hijas no tienen una cuenta en esa red social, reveló, algo para lo que las estrictas normas de seguridad que impone el Servicio Secreto -responsable de velar por la integridad física de la familia presidencial- ha resultado una gran ayuda.
"Creo que tenemos suerte de que haya tantos límites, cosas como el Servicio Secreto", explicó.
Malia, de doce años, y Sasha, de nueve, podrían abrir una cuenta en la red social una vez que los Obama abandonen la Casa Blanca, aunque, según precisa su madre, dependerá de la edad que tengan cuando eso ocurra.
Mientras tanto, subrayó, tanto ella como el presidente Barack Obama se esfuerzan en que las dos niñas tengan una infancia lo más normal posible.
"Nuestras hijas son de veras muy normales", aseguró, antes de añadir que "de la Casa Blanca han salido muchos niños estupendos. Las hijas de Bush son magníficas. Chelsea Clinton es una joven muy sólida... Ojalá que las niñas Obama se encuadren en el mismo grupo".
Facebook sólo permite abrir cuentas a los mayores de trece años, aunque niños más jóvenes consiguen entrar al declarar una edad superior en el momento de registrarse.
En la misma entrevista, Michelle Obama se refirió también a las canas que le han salido a su esposo desde su llegada a la presidencia.
Obama "tiene el pelo bastante gris", reconoció la primera dama, que subrayó que el presidente no se tiñe el cabello. "Es demasiado tarde" para empezar a hacerlo, se rió.
Quizás, si hubiera sabido hace diez años que iba a presentarse a las elecciones presidenciales y ganarlas, hubiera podido empezar a disimular las canas, bromeó.
Acerca de dos fotografías tomadas el mismo día el mes pasado, en las que se ve en una de ellas a Obama con el cabello más oscuro, atribuyó la diferencia a la iluminación.
El presidente, agregó Michelle Obama, "se preocupa muy poco por su aspecto", hasta el punto de que ella desearía que cambiara en algún momento el color de sus chaquetas.
Sus hijas y ella, agregó, "aplaudimos cuando se pone una camisa de color brillante".
Fuente: Segu-Info.com.ar
"No soy una gran partidaria de que los muchachos jóvenes tengan Facebook. No es algo que les haga falta, no es necesario", declaró la primera dama en una entrevista concedida al programa "Today", de la cadena NBC, con ocasión del primer aniversario de su iniciativa "Let's Move" contra la obesidad infantil.
Sus hijas no tienen una cuenta en esa red social, reveló, algo para lo que las estrictas normas de seguridad que impone el Servicio Secreto -responsable de velar por la integridad física de la familia presidencial- ha resultado una gran ayuda.
"Creo que tenemos suerte de que haya tantos límites, cosas como el Servicio Secreto", explicó.
Malia, de doce años, y Sasha, de nueve, podrían abrir una cuenta en la red social una vez que los Obama abandonen la Casa Blanca, aunque, según precisa su madre, dependerá de la edad que tengan cuando eso ocurra.
Mientras tanto, subrayó, tanto ella como el presidente Barack Obama se esfuerzan en que las dos niñas tengan una infancia lo más normal posible.
"Nuestras hijas son de veras muy normales", aseguró, antes de añadir que "de la Casa Blanca han salido muchos niños estupendos. Las hijas de Bush son magníficas. Chelsea Clinton es una joven muy sólida... Ojalá que las niñas Obama se encuadren en el mismo grupo".
Facebook sólo permite abrir cuentas a los mayores de trece años, aunque niños más jóvenes consiguen entrar al declarar una edad superior en el momento de registrarse.
En la misma entrevista, Michelle Obama se refirió también a las canas que le han salido a su esposo desde su llegada a la presidencia.
Obama "tiene el pelo bastante gris", reconoció la primera dama, que subrayó que el presidente no se tiñe el cabello. "Es demasiado tarde" para empezar a hacerlo, se rió.
Quizás, si hubiera sabido hace diez años que iba a presentarse a las elecciones presidenciales y ganarlas, hubiera podido empezar a disimular las canas, bromeó.
Acerca de dos fotografías tomadas el mismo día el mes pasado, en las que se ve en una de ellas a Obama con el cabello más oscuro, atribuyó la diferencia a la iluminación.
El presidente, agregó Michelle Obama, "se preocupa muy poco por su aspecto", hasta el punto de que ella desearía que cambiara en algún momento el color de sus chaquetas.
Sus hijas y ella, agregó, "aplaudimos cuando se pone una camisa de color brillante".
Fuente: Segu-Info.com.ar
Etiquetas:
obama,
redes sociales,
Seguridad
Adobe soluciona 42 fallos en Reader y Flash
Adobe acaba de parchear 29 vulnerabilidades en Reader, su aplicación para poder leer documentos en formato PDF, y otras 13 en Flash, como parte de su actualización de seguridad trimestral.
Esta es la primera vez que Adobe parchea Reader X, la última versión del software lanzada el pasado mes de noviembre y que incluía una ‘sandbox’, una tecnología anti-exploit en la versión de Windows.
La mayoría de los fallos de Reader se han calificado de ‘críticos’, lo que significa que pueden ser explotados por los atacantes para llenar de malware un sistema no parcheado. Dos de las 29 vulnerabilidades podrían generar ataques cross-site scripting (XSS); además, los ciberdelincuentes podrían explotar una de las vulnerabilidades, que sólo afecta a la versión para Windows, para obtener privilegios sobre la máquina.
La actualización afecta a las versiones 8.2.6, 9.4.2 y 10.0.1 de Reader pata Windows y Mac OS X. Los usuarios de Linux tendrán que esperar hasta el 28 de febrero.
Salvo tres, todos los fallos afectan a Reader X, la actualización que Adobe lanzó hace unos tres meses. La gran novedad en la versión de Windows fue la incorporación de una ‘sandbox’, una tecnología que aísla los procesos de la aplicación del ordenador, para detener y aislar un código de ataque e impedir de esta forma que afecte a todo el sistema. Desde Adobe confirman que ninguno de los 26 fallos que afectan a Reader X afectan a la sandbox y que no se pueden utilizar para superar su protección.
Adobe también ha actualizado Flash para solventar un total de 13 vulnerabilidades, todas consideradas como ‘críticas’ porque podrían ser explotadas para ejecutar ataques. Ocho de las 13 están relacionados con fallos de corrupción de memoria. La actualización de seguridad ha llevado a Flash a su versión 10.2.152.26.
A continuación Listado de parches
http://www.adobe.com/support/security/bulletins/apsb11-01.html
http://www.adobe.com/support/security/bulletins/apsb11-02.html
http://www.adobe.com/support/security/bulletins/apsb11-03.html
http://www.adobe.com/support/security/bulletins/apsb11-04.html
Fuente: Adobe.com
Esta es la primera vez que Adobe parchea Reader X, la última versión del software lanzada el pasado mes de noviembre y que incluía una ‘sandbox’, una tecnología anti-exploit en la versión de Windows.
La mayoría de los fallos de Reader se han calificado de ‘críticos’, lo que significa que pueden ser explotados por los atacantes para llenar de malware un sistema no parcheado. Dos de las 29 vulnerabilidades podrían generar ataques cross-site scripting (XSS); además, los ciberdelincuentes podrían explotar una de las vulnerabilidades, que sólo afecta a la versión para Windows, para obtener privilegios sobre la máquina.
La actualización afecta a las versiones 8.2.6, 9.4.2 y 10.0.1 de Reader pata Windows y Mac OS X. Los usuarios de Linux tendrán que esperar hasta el 28 de febrero.
Salvo tres, todos los fallos afectan a Reader X, la actualización que Adobe lanzó hace unos tres meses. La gran novedad en la versión de Windows fue la incorporación de una ‘sandbox’, una tecnología que aísla los procesos de la aplicación del ordenador, para detener y aislar un código de ataque e impedir de esta forma que afecte a todo el sistema. Desde Adobe confirman que ninguno de los 26 fallos que afectan a Reader X afectan a la sandbox y que no se pueden utilizar para superar su protección.
Adobe también ha actualizado Flash para solventar un total de 13 vulnerabilidades, todas consideradas como ‘críticas’ porque podrían ser explotadas para ejecutar ataques. Ocho de las 13 están relacionados con fallos de corrupción de memoria. La actualización de seguridad ha llevado a Flash a su versión 10.2.152.26.
A continuación Listado de parches
http://www.adobe.com/support/security/bulletins/apsb11-01.html
http://www.adobe.com/support/security/bulletins/apsb11-02.html
http://www.adobe.com/support/security/bulletins/apsb11-03.html
http://www.adobe.com/support/security/bulletins/apsb11-04.html
Fuente: Adobe.com
Oracle lanza un parche de seguridad de emergencia para Java
Oracle ha anunciado un parche de emergencia que soluciona una vulnerabilidad en Java que puede causar que el sistema se cuelgue y que pueda ser explotado por atacantes de manera remota sin autenticación.
Según la alerta notificada por Oracle, el error hace que el entorno de ejecución Java se cuelgue al convertir “2.2250738585072012e-308″ a un número binario de punto flotante. Las aplicaciones y servidores web basados en Java están especialmente expuestos a esta vulnerabilidad, aseguran desde Oracle.
Varios son los productos afectados por el fallo, como Java SE y Java for Business. En la página de Oracle se puede acceder a un listado completo junto con los enlaces para conseguir los parches.
Normalmente Oracle lanza los parches de seguridad de sus productos trimestralmente, aunque en este caso el fallo resulta tan grave que la compañía se ha saltado la norma.
La última actualización de seguridad, en el mes de enero, incluía más de 60 parches, lo que según la opinión mayoritaria no son muchos si se tiene en cuenta la cantidad de adquisiciones que ha realizado Oracle en los últimos años.
Listado de Oracle
http://www.oracle.com/technetwork/topics/security/alert-cve-2010-4476-305811.html
Fuente: itespresso.es
Según la alerta notificada por Oracle, el error hace que el entorno de ejecución Java se cuelgue al convertir “2.2250738585072012e-308″ a un número binario de punto flotante. Las aplicaciones y servidores web basados en Java están especialmente expuestos a esta vulnerabilidad, aseguran desde Oracle.
Varios son los productos afectados por el fallo, como Java SE y Java for Business. En la página de Oracle se puede acceder a un listado completo junto con los enlaces para conseguir los parches.
Normalmente Oracle lanza los parches de seguridad de sus productos trimestralmente, aunque en este caso el fallo resulta tan grave que la compañía se ha saltado la norma.
La última actualización de seguridad, en el mes de enero, incluía más de 60 parches, lo que según la opinión mayoritaria no son muchos si se tiene en cuenta la cantidad de adquisiciones que ha realizado Oracle en los últimos años.
Listado de Oracle
http://www.oracle.com/technetwork/topics/security/alert-cve-2010-4476-305811.html
Fuente: itespresso.es
Intel opta por Symantec para securizar sus próximos procesadores Core
Intel y Symantec han dicho que su acuerdo servirá para unir las credenciales de Verisign Identity Protection (VIP) de Symantec con la Identity Protection Technology (IPT) de Intel, una plataforma que crea credenciales de usar y tirar en los chipsets de Intel.
Diseñado para proteger la información de las cuentas online, la plataforma VIP utiliza credenciales válidas para una única vez para autentificar a los usuarios e impedir accesos no autorizados cuando se ha conseguido robar un nombre de usuario y contraseña. El sistema fue parte de las tecnologías que Symantec adquirió con la compra de VeriSign.
Integrando VIP directamente en la plataforma IPT, las dos compañías podrán hacer que el sistema de autenticación de VeriSign se integre directamente en el chipset. El resultado es un servicio que Symantec cree que permitirá a las empresas asegurar mejor los sistemas de los usuarios junto con la información de las cuentas online. Además, la compañía asegura que la oferta combinada permitirá a los administradores TI simplificar la gestión de la seguridad.
Atri Chatterjee, presidente de autenticación de Symantec, afirma que sincronizar VIP con los chipsets de Intel ha permitido crear una credencial de autenticación fuerte “que no se ve pero siempre está en el PC”.
Desde que Intel anunciara la compra de la empresa de seguridad McAfee en agosto del año pasado ha afirmado que la adquisición le permitiría integrar seguridad en su hardware, aunque por el momento no se ha anunciado un producto concreto que haya sido el resultado de aquel acuerdo de compra.
Fuente: itespresso.com.es
Diseñado para proteger la información de las cuentas online, la plataforma VIP utiliza credenciales válidas para una única vez para autentificar a los usuarios e impedir accesos no autorizados cuando se ha conseguido robar un nombre de usuario y contraseña. El sistema fue parte de las tecnologías que Symantec adquirió con la compra de VeriSign.
Integrando VIP directamente en la plataforma IPT, las dos compañías podrán hacer que el sistema de autenticación de VeriSign se integre directamente en el chipset. El resultado es un servicio que Symantec cree que permitirá a las empresas asegurar mejor los sistemas de los usuarios junto con la información de las cuentas online. Además, la compañía asegura que la oferta combinada permitirá a los administradores TI simplificar la gestión de la seguridad.
Atri Chatterjee, presidente de autenticación de Symantec, afirma que sincronizar VIP con los chipsets de Intel ha permitido crear una credencial de autenticación fuerte “que no se ve pero siempre está en el PC”.
Desde que Intel anunciara la compra de la empresa de seguridad McAfee en agosto del año pasado ha afirmado que la adquisición le permitiría integrar seguridad en su hardware, aunque por el momento no se ha anunciado un producto concreto que haya sido el resultado de aquel acuerdo de compra.
Fuente: itespresso.com.es
Aclaraciones sobre el filtrado del patrón de generación de claves WPA de Movistar y Jazztel
El pasado 4 de febrero se hizo público el algoritmo que genera las contraseñas por defecto de los routers Comtrend. Estos son los que ofrecen MoviStar (Telefónica) y Jazztel a sus clientes para dar acceso a Internet. Mucho se ha especulado con el asunto. Hemos investigado sobre la filtración, acudiendo directamente a las fuentes, y queremos compartir algunos aspectos interesantes.
Me he puesto en contacto con Comtrend para contrastar la información, con los que he mantenido una interesante conversación telefónica. Desde ahí, me aseguran que seguridadwireless no ha sacado ni ha exigido a Comtrend ningún beneficio ni económico ni de ningún tipo por el descubrimiento.
Comtrend es una compañía cuyo departamento de investigación y desarrollo opera desde España, y el algoritmo generado ha sido diseñado por ellos mismos. Es importante destacar que desde Hispasec reconocemos que el algoritmo es robusto y correcto. Si bien se utiliza MD5 (no muy seguro hoy en día) creemos que la lógica del algoritmo no ha influido demasiado en su descubrimiento. Como todavía no sabemos los detalles de cómo ha sido descubierto, podemos especular que el punto débil puede ser en el hecho de que el algoritmo se ejecute en el mismo router cada vez que se inicializa su configuración (un comportamiento no exclusivo de Comtrend, casi todos los routers lo hacen de esta forma). Tanto desde Comtrend como desde seguridadwireless se niega explícitamente el filtrado de la información. Parece pues que el algoritmo fue consecuencia de ingeniería inversa avanzada.
¿Por qué no se ha publicado un firmware que solucione este fallo para los routers ya existentes? Hay que tener en cuenta que lógicamente tanto MoviStar como Jazztel son a su vez clientes muy importantes de Comtrend y parte de las decisiones técnicas son consensuadas. Desde Hispasec suponemos que no es una situación fácil para ninguno de los implicados. Las posibles actualizaciones de los routers que operan bajo MoviStar y Jazztel en España obligarían a la coordinación de todas las partes y además, a desplegar tanto un operativo técnico adecuado como una campaña de información sencilla para los usuarios "de a pie". Por si fuera poco, hay que tener en cuenta que los clientes que no han cambiado su clave, precisamente los más vulnerables, muy probablemente tampoco actualicen su firmware. Entendemos que es una situación delicada, tanto para MoviStar, Jazztel como para Comtrend y es por lo que todavía no existe un comunicado oficial de estos últimos. Deben pensar bien cuál es el siguiente paso para actuar responsablemente.
Contrastada la información de primera mano, creemos que desde ambas partes, tanto desde Comtrend como desde seguridadwireless, se ha actuado de buena fe y con las mejores intenciones aunque se hayan cometido algunos errores. No así la fuente anónima que publicó el algoritmo completo. En este caso concreto, la revelación tan temprana parece no haber beneficiado a nadie.
Queda esperar qué solución se propone en conjunto para que no sean los clientes finales los que se vean finalmente más afectados.
Fuente: Hispasec.com
Me he puesto en contacto con Comtrend para contrastar la información, con los que he mantenido una interesante conversación telefónica. Desde ahí, me aseguran que seguridadwireless no ha sacado ni ha exigido a Comtrend ningún beneficio ni económico ni de ningún tipo por el descubrimiento.
Comtrend es una compañía cuyo departamento de investigación y desarrollo opera desde España, y el algoritmo generado ha sido diseñado por ellos mismos. Es importante destacar que desde Hispasec reconocemos que el algoritmo es robusto y correcto. Si bien se utiliza MD5 (no muy seguro hoy en día) creemos que la lógica del algoritmo no ha influido demasiado en su descubrimiento. Como todavía no sabemos los detalles de cómo ha sido descubierto, podemos especular que el punto débil puede ser en el hecho de que el algoritmo se ejecute en el mismo router cada vez que se inicializa su configuración (un comportamiento no exclusivo de Comtrend, casi todos los routers lo hacen de esta forma). Tanto desde Comtrend como desde seguridadwireless se niega explícitamente el filtrado de la información. Parece pues que el algoritmo fue consecuencia de ingeniería inversa avanzada.
¿Por qué no se ha publicado un firmware que solucione este fallo para los routers ya existentes? Hay que tener en cuenta que lógicamente tanto MoviStar como Jazztel son a su vez clientes muy importantes de Comtrend y parte de las decisiones técnicas son consensuadas. Desde Hispasec suponemos que no es una situación fácil para ninguno de los implicados. Las posibles actualizaciones de los routers que operan bajo MoviStar y Jazztel en España obligarían a la coordinación de todas las partes y además, a desplegar tanto un operativo técnico adecuado como una campaña de información sencilla para los usuarios "de a pie". Por si fuera poco, hay que tener en cuenta que los clientes que no han cambiado su clave, precisamente los más vulnerables, muy probablemente tampoco actualicen su firmware. Entendemos que es una situación delicada, tanto para MoviStar, Jazztel como para Comtrend y es por lo que todavía no existe un comunicado oficial de estos últimos. Deben pensar bien cuál es el siguiente paso para actuar responsablemente.
Contrastada la información de primera mano, creemos que desde ambas partes, tanto desde Comtrend como desde seguridadwireless, se ha actuado de buena fe y con las mejores intenciones aunque se hayan cometido algunos errores. No así la fuente anónima que publicó el algoritmo completo. En este caso concreto, la revelación tan temprana parece no haber beneficiado a nadie.
Queda esperar qué solución se propone en conjunto para que no sean los clientes finales los que se vean finalmente más afectados.
Fuente: Hispasec.com
Etiquetas:
Seguridad,
telefonia movil
lunes, 7 de febrero de 2011
Un tercio de los internautas de la UE tuvieron algún virus en 2010
El próximo 8 de marzo es el Día de Internet Seguro, y Eurostat lo ha empezado a celebrar publicando una serie de estadísticas sobre el tema en la Unión Europea. La conclusión del informe es clara: aunque una gran mayoría de los usuarios utiliza algún software de protección (un 84%, al igual que en España), eso no ha impedido que casi un tercio de los internautas europeos viera su ordenador infectado por algún virus en 2010.
El informe desglosa distintas áreas de seguridad, destacando los datos que indican que España fue, junto con Bulgaria, uno de los países en los que más usuarios (un 7%) afirmaron haber sufrido algún abuso o violación de su privacidad en la red. Además, un 3% de los usuarios de la UE aseguraron haber sufrido pérdidas económicas.
En cuanto al uso de software de control paternal, su uso en la Europa de los 27 continúa siendo bastante limitado, con tan solo el 14% de los usuarios que viven en un hogar con niños teniendo este tipo de software instalado (un 13% en España).
En este aspecto, el estudio también recoge las incidencias en las que los niños accedieron a sitios web inadecuados o conectaron con personas potencialmente peligrosas, concluyendo que esto ocurrió en el 5% de los casos en toda Europa y en el 3% en el caso de España.
Fuente: itespresso.com.es
El informe desglosa distintas áreas de seguridad, destacando los datos que indican que España fue, junto con Bulgaria, uno de los países en los que más usuarios (un 7%) afirmaron haber sufrido algún abuso o violación de su privacidad en la red. Además, un 3% de los usuarios de la UE aseguraron haber sufrido pérdidas económicas.
En cuanto al uso de software de control paternal, su uso en la Europa de los 27 continúa siendo bastante limitado, con tan solo el 14% de los usuarios que viven en un hogar con niños teniendo este tipo de software instalado (un 13% en España).
En este aspecto, el estudio también recoge las incidencias en las que los niños accedieron a sitios web inadecuados o conectaron con personas potencialmente peligrosas, concluyendo que esto ocurrió en el 5% de los casos en toda Europa y en el 3% en el caso de España.
Fuente: itespresso.com.es
Facebook ahora permite conexiones seguras SIEMPRE
Hasta hace unas semanas Facebook solo cifraba nuestra información cuando ingresábamos en su sistema, dejando a merced de cualquiera con un sniffer o un navegador web, toda nuestra información (incluyendo chats, secciones, etc..); Facebook se dio cuenta del problema y empezó a cambiar esto permitiendo el uso de httpS siempre y no solo en el login, la noticia empezó a rodar por la web incluso en sitios relacionados con la seguridad en español, sin que esta solución estuviera todavía implementada en nuestro idioma (todos con el mismo pantallazo).
Facebook ahora permite conexiones seguras SIEMPRE
En la comunidad ya habíamos escrito artículos sobre como forzar las conexiones seguras en las redes sociales y hasta hace poco eran la única alternativa que teníamos los hispanohablantes para asegurar nuestra conexión segura en las redes sociales (aunque otros dijeran lo contrario).
Después de mucha espera, por fin Facebook ha decidido implementar esta funcionalidad también en los perfiles de cuentas en español, pero no viene activada por defecto, es por eso que les dejo el siguiente proceso para que asegures las conexiones a tu cuenta de Facebook en todo momento.
Como activar conexiones SSL en Facebook siempre?
* Ingresa con tu cuenta en Facebook
* Click en la esquina superior derecha Cuenta/Configuración de la cuenta.
SSLenFB Facebook ahora permite conexiones seguras SIEMPRE
* Dentro de la configuración de la cuenta buscamos Seguridad en la cuenta, y activamos la casilla Navegación segura (https)
SSLenFB1 Facebook ahora permite conexiones seguras SIEMPRE
* Le das al botón Guardar, y listo.
Con estos simples pasos podrás proteger tu cuenta y evitar que un usuario mal intencionado se haga con tus credenciales o espíe tu comportamiento dentro de Facebook.
Fuente: www.dragonjar.org
Facebook ahora permite conexiones seguras SIEMPRE
En la comunidad ya habíamos escrito artículos sobre como forzar las conexiones seguras en las redes sociales y hasta hace poco eran la única alternativa que teníamos los hispanohablantes para asegurar nuestra conexión segura en las redes sociales (aunque otros dijeran lo contrario).
Después de mucha espera, por fin Facebook ha decidido implementar esta funcionalidad también en los perfiles de cuentas en español, pero no viene activada por defecto, es por eso que les dejo el siguiente proceso para que asegures las conexiones a tu cuenta de Facebook en todo momento.
Como activar conexiones SSL en Facebook siempre?
* Ingresa con tu cuenta en Facebook
* Click en la esquina superior derecha Cuenta/Configuración de la cuenta.
SSLenFB Facebook ahora permite conexiones seguras SIEMPRE
* Dentro de la configuración de la cuenta buscamos Seguridad en la cuenta, y activamos la casilla Navegación segura (https)
SSLenFB1 Facebook ahora permite conexiones seguras SIEMPRE
* Le das al botón Guardar, y listo.
Con estos simples pasos podrás proteger tu cuenta y evitar que un usuario mal intencionado se haga con tus credenciales o espíe tu comportamiento dentro de Facebook.
Fuente: www.dragonjar.org
jueves, 21 de octubre de 2010
Vulnerabilidad del núcleo de GNU/Linux cede permisos de superusuario
El sistema operativo open-source Linux contiene una seria falla de seguridad que puede ser explotada para conseguir permisos de superusuario en el sistema atacado.
La vulnerabilidad, en la implementación Linux del protocolo Reliable Datagram Sockets (RDS), afecta a versiones no parchadas del kernel de Linux, comenzando con la 2.6.30, donde fue incluido por primera vez el protocolo RDS.
Según VSR Security, el equipo de investigación que descubrió el agujero de seguridad, las instalaciones Linux solo son afectadas si la opción de configuración del núcleo CONFIG_RDS está activada, y si no hay restricciones para los usuarios no privilegiados de cargar la familia de paquetes de módulos, como es el caso en las mayoría de las distribuciones.
Debido a que las funciones del núcleo responsables del copiado de datos entre el kernel (kernel) y el espacio de usuario falló al verificar que la direccion provista por usuario actualmente reside en el segmento de usuario, un atacante local podía libera una llamada a una función socket preparada especialmente para escribir valores arbitrarios en la memoria del núcleo. Apoyandose en esta capacidad, es posible para usuarios no privilegiados el escalar sus privilegios a los de root.
La compañía ha liberado una explotación como prueba de concepto para demostrar la gravedad de la vulnerabilidad. Los muchachos de H Security probaron la explotación en Ubuntu 10.04 (64 bits) y tuvieron éxito en abrir una shell como root.
Un arreglo para este asunto ha sido enviado por Linus Torvald. VSR Secutrity recomienda a los usuarios instalar las actualizaciones provistas por las distribuciones o aplicar el parche liberado y recompilar sus kernel.
Fuente Segu-info.com.ar
La vulnerabilidad, en la implementación Linux del protocolo Reliable Datagram Sockets (RDS), afecta a versiones no parchadas del kernel de Linux, comenzando con la 2.6.30, donde fue incluido por primera vez el protocolo RDS.
Según VSR Security, el equipo de investigación que descubrió el agujero de seguridad, las instalaciones Linux solo son afectadas si la opción de configuración del núcleo CONFIG_RDS está activada, y si no hay restricciones para los usuarios no privilegiados de cargar la familia de paquetes de módulos, como es el caso en las mayoría de las distribuciones.
Debido a que las funciones del núcleo responsables del copiado de datos entre el kernel (kernel) y el espacio de usuario falló al verificar que la direccion provista por usuario actualmente reside en el segmento de usuario, un atacante local podía libera una llamada a una función socket preparada especialmente para escribir valores arbitrarios en la memoria del núcleo. Apoyandose en esta capacidad, es posible para usuarios no privilegiados el escalar sus privilegios a los de root.
La compañía ha liberado una explotación como prueba de concepto para demostrar la gravedad de la vulnerabilidad. Los muchachos de H Security probaron la explotación en Ubuntu 10.04 (64 bits) y tuvieron éxito en abrir una shell como root.
Un arreglo para este asunto ha sido enviado por Linus Torvald. VSR Secutrity recomienda a los usuarios instalar las actualizaciones provistas por las distribuciones o aplicar el parche liberado y recompilar sus kernel.
Fuente Segu-info.com.ar
Etiquetas:
linux,
Seguridad,
vulnerabilidad
El robo de información es un problema mayor que el robo de bienes
Cualquier persona que ha recibido alguna "notificación" sobre extrañas actividades en su tarjeta de crédito, o una petición urgente por correo electrónico de la viuda de Mobutu Sese Seko, no se sorprenderá al saber que el robo de información es un gran problema. Pero una nueva encuesta de la Consultoría Kroll considera que también es una situación que enfrentan las empresas y que supera incluso al robo de bienes físicos.
En su Informe sobre Fraudes a Nivel Mundial, Kroll dijo que en una encuesta realizada a 800 ejecutivos reveló que el robo de información era la forma más denunciada de fraude, con un total de 27.3% de los encuestados que reportaron algún incidente de robo de información en los últimos 12 meses, frente a 18 % que reportó el robo de información en los últimos 12 meses en 2009. En comparación, los informes sobre el robo de activos físicos fueron menores, con tan solo 27.2% en los últimos 12 meses.
Kroll aplico la encuesta a 800 ejecutivos de alto nivel en empresas con presencia mundial a través de la Economist Intelligence Unit en julio y agosto de 2010. La encuesta abarcó a ejecutivos en una amplia gama de mercados verticales, incluidos los servicios financieros, comercio minorista, servicios profesionales, tecnología, medios de comunicación y así sucesivamente. Alrededor del 47% eran ejecutivos de nivel C, y la mayoría de los encuestados trabajaban en empresas con ingresos anuales de más de 500 millones de dólares. Alrededor del 30% provino de América del Norte, una cuarta parte provino de Europa y la región de Asia y el Pacífico, y 11% de América Latina, África y Oriente Medio.
El robo de información fue dirigida especialmente a empresas verticales centradas en la información, incluidos los servicios financieros, tecnología, servicios profesionales, así como los medios de comunicación y telecomunicaciones, según el sondeo. Cuarenta y dos por ciento de las empresas de servicios financieros encuestados por Kroll informaron de robo de información, pérdida o ataques en los últimos 12 meses, comparado con sólo el 24% en 2009. El número fue de 40% para las empresas de servicios profesionales, 27% más que el año pasado.
Los activos de tecnología pobremente protegidos son señalados como un factor que contribuye al crecimiento del problema de robo de información.
"La tecnología pobremente defendida es cada vez más fácil de explotar por parte de los defraudadores con cada vez más herramientas avanzadas de origen propio, que van desde la sofisticada piratería informática hasta una simple unidad de memoria", concluyó el informe.
Los ataques de robo de identidad fueron una importante fuente de preocupación, con un 20 por ciento de los encuestados que la menciona, así como "un incremento en el uso de la tecnología" o el llamado 'consumidor de las TI como los dos elementos más comunes de fraude que llevaron al robo de información.
Los temores entre las empresas sobre el robo de información tiene sus bases en el incremento de las inversiones en tecnología de la información de este año, con el 48% de los encuestados que mencionó que aumentará su inversión en tecnologías de seguridad y de lucha contra el fraude.
Un punto más para preocuparse, especialmente para los países en desarrollo, sin embargo es lo que las empresas no van a hacer, por ejemplo: ampliar las operaciones en los países donde existen altos riesgos a la corrupción, el robo de información o el robo de propiedad intelectual. Según la encuesta de Kroll, el 33% de los encuestados citaron los temores de robo de información como un factor para disuadirlos de hacer negocios en China. La preocupación por el robo de propiedad intelectual impidió que el 23% de los encuestados realizara negocio en ese país.
Fuente http://blog.segu-info.com.ar
En su Informe sobre Fraudes a Nivel Mundial, Kroll dijo que en una encuesta realizada a 800 ejecutivos reveló que el robo de información era la forma más denunciada de fraude, con un total de 27.3% de los encuestados que reportaron algún incidente de robo de información en los últimos 12 meses, frente a 18 % que reportó el robo de información en los últimos 12 meses en 2009. En comparación, los informes sobre el robo de activos físicos fueron menores, con tan solo 27.2% en los últimos 12 meses.
Kroll aplico la encuesta a 800 ejecutivos de alto nivel en empresas con presencia mundial a través de la Economist Intelligence Unit en julio y agosto de 2010. La encuesta abarcó a ejecutivos en una amplia gama de mercados verticales, incluidos los servicios financieros, comercio minorista, servicios profesionales, tecnología, medios de comunicación y así sucesivamente. Alrededor del 47% eran ejecutivos de nivel C, y la mayoría de los encuestados trabajaban en empresas con ingresos anuales de más de 500 millones de dólares. Alrededor del 30% provino de América del Norte, una cuarta parte provino de Europa y la región de Asia y el Pacífico, y 11% de América Latina, África y Oriente Medio.
El robo de información fue dirigida especialmente a empresas verticales centradas en la información, incluidos los servicios financieros, tecnología, servicios profesionales, así como los medios de comunicación y telecomunicaciones, según el sondeo. Cuarenta y dos por ciento de las empresas de servicios financieros encuestados por Kroll informaron de robo de información, pérdida o ataques en los últimos 12 meses, comparado con sólo el 24% en 2009. El número fue de 40% para las empresas de servicios profesionales, 27% más que el año pasado.
Los activos de tecnología pobremente protegidos son señalados como un factor que contribuye al crecimiento del problema de robo de información.
"La tecnología pobremente defendida es cada vez más fácil de explotar por parte de los defraudadores con cada vez más herramientas avanzadas de origen propio, que van desde la sofisticada piratería informática hasta una simple unidad de memoria", concluyó el informe.
Los ataques de robo de identidad fueron una importante fuente de preocupación, con un 20 por ciento de los encuestados que la menciona, así como "un incremento en el uso de la tecnología" o el llamado 'consumidor de las TI como los dos elementos más comunes de fraude que llevaron al robo de información.
Los temores entre las empresas sobre el robo de información tiene sus bases en el incremento de las inversiones en tecnología de la información de este año, con el 48% de los encuestados que mencionó que aumentará su inversión en tecnologías de seguridad y de lucha contra el fraude.
Un punto más para preocuparse, especialmente para los países en desarrollo, sin embargo es lo que las empresas no van a hacer, por ejemplo: ampliar las operaciones en los países donde existen altos riesgos a la corrupción, el robo de información o el robo de propiedad intelectual. Según la encuesta de Kroll, el 33% de los encuestados citaron los temores de robo de información como un factor para disuadirlos de hacer negocios en China. La preocupación por el robo de propiedad intelectual impidió que el 23% de los encuestados realizara negocio en ese país.
Fuente http://blog.segu-info.com.ar
Etiquetas:
informe,
Seguridad,
vulnerabilidad
La Agencia de Protección de Datos investiga si Facebook ha vulnerado la ley
Una denuncia periodística del diario estadounidense The Wall Street Journal relativa a Facebook provocó el pasado día 18 la reacción inmediata en España de la Asociación de Consumidores y Usuarios en Acción-Facua, que se dirigió a la Agencia de Protección de Datos para que investigue si usuarios españoles han podido verse afectados por la trasmisión de datos de usuarios a terceros mediante distintos juegos y aplicaciones ofrecidos por la red social.
Hoy, la agencia ha anunciado la apertura de una investigación para determinar si Facebook ha vulnerado la legislación española de protección de datos y que remitirá un requerimiento a la red social solicitando información.
The Wall Street Journal denunció que varias aplicaciones de terceros en la red social han transmitido a empresas ajenas a la red datos sobre la identidad de los miembros de la citada red social.
Según el diario, los programadores de tales aplicaciones han comunicado a empresas de publicidad y de análisis datos como el nombre de los amigos de miembros de la red, incluso en el caso de que aquéllos habían especificado en la configuración de su perfil que se trataba de información privada.
La propia compañía había reconocido recientemente la difusión por problemas técnicos de datos como el identificador del usuario, y un identificador utilizado en los interfaces de programación de aplicaciones.
Seis de las aplicaciones implicadas son de la empresa Zynga: FarmVille, (con 59,4 millones de usuarios a nivel mundial), Texas HoldEm (36,3), FrontierVille (30,6), Café World (21,9), Mafia Wars (21,9) y Treasure Isle (15,3). El resto son Phrases (43,4 millones), Causes (26,7), Quiz Planet (16,5), e IHeart (14,0).
La filtración de datos privados debe tener duras consecuencias para las firmas que hayan incurrido en ella y los gobiernos de todos los países donde opera Facebook deben adoptar medidas para proteger los derechos de los usuarios, advierte Facua.
Fuente elpais.com
Hoy, la agencia ha anunciado la apertura de una investigación para determinar si Facebook ha vulnerado la legislación española de protección de datos y que remitirá un requerimiento a la red social solicitando información.
The Wall Street Journal denunció que varias aplicaciones de terceros en la red social han transmitido a empresas ajenas a la red datos sobre la identidad de los miembros de la citada red social.
Según el diario, los programadores de tales aplicaciones han comunicado a empresas de publicidad y de análisis datos como el nombre de los amigos de miembros de la red, incluso en el caso de que aquéllos habían especificado en la configuración de su perfil que se trataba de información privada.
La propia compañía había reconocido recientemente la difusión por problemas técnicos de datos como el identificador del usuario, y un identificador utilizado en los interfaces de programación de aplicaciones.
Seis de las aplicaciones implicadas son de la empresa Zynga: FarmVille, (con 59,4 millones de usuarios a nivel mundial), Texas HoldEm (36,3), FrontierVille (30,6), Café World (21,9), Mafia Wars (21,9) y Treasure Isle (15,3). El resto son Phrases (43,4 millones), Causes (26,7), Quiz Planet (16,5), e IHeart (14,0).
La filtración de datos privados debe tener duras consecuencias para las firmas que hayan incurrido en ella y los gobiernos de todos los países donde opera Facebook deben adoptar medidas para proteger los derechos de los usuarios, advierte Facua.
Fuente elpais.com
Etiquetas:
facebook,
Seguridad,
vulnerabilidad
miércoles, 6 de octubre de 2010
Security updates available for Adobe Reader and Acrobat
Adobe ha publicado un boletín de actualización para las nuevas vulnerabilidades, consideradas como críticas, que se han encontrado el día 5 de octubre y que afectan a usuarios con Adobe Reader 9.3.4 y versiones anteriores. Este boletín ha sido liberado de forma anticipada para cubrir dichas vulnerabilidades ya que tenían previsto anunciarlo el día 12 de octubre; con este adelantamiento de fechas Adobe no publicará mejoras adicionales para Adobe Reader y Adobe Acrobat el dia 12 de octubre, tal como lo tenian planeado inicialmente.
El proximo boletein de actualizacions para Adobe Reader y Adobe Acrobat esta programado para el 8 de febrero del 2011.
BOLETIN DE ACTUALIZACIONES
Fuente vulnerabilityteam
El proximo boletein de actualizacions para Adobe Reader y Adobe Acrobat esta programado para el 8 de febrero del 2011.
BOLETIN DE ACTUALIZACIONES
Fuente vulnerabilityteam
Etiquetas:
acrobat,
actualizaciones,
Seguridad
La encriptación de backup de BlackBerry, crackeada!!
Una compañía rusa especializada en herramientas de cracking asegura haber conseguido romper la protección basada en contraseña utilizada para securizar los backups de datos desde smartphones BlackBerry.
Según la empresa rusa Elcomsoft, una vulnerabilidad en la forma en que BlackBerry ha implementado la aparentemente segura encriptación AES de 256 bits en su programa de backup sobre PC y Mac, denominado BlackBerry Desktop Software, hace posible llevar a cabo con éxito un ataque de recuperación de contraseñas en el archivo de backup con relativa facilidad.
“Relativo” significa en este caso que una contraseña formada por una cadena de caracteres de cinco letras minúsculas y dos mayúsculas puede creackearse en alrededor de media hora utilizando un procesador Intel Core i7. Contraseñas más complejas son violables en tres días utilizando el mismo hardware, de acuerdo con los expertos de Elcomsoft. Además, los tiempos pueden acortarse considerablemente si se utiliza además hardware de gráficos, como una tarjeta ATI Radeon HD5970.
Lo que puede contener un archivo de backup del tipo de los violables por este sistema varían según los usuarios, pero en el caso de un usuario empresarial con un dispositivo gestionado, probablemente incluirá todos los datos del BlackBerry, como contactos, correo electrónico y contraseñas de acceso a correo electrónico y conectividad WiFi.
fuente: csospain.es
Según la empresa rusa Elcomsoft, una vulnerabilidad en la forma en que BlackBerry ha implementado la aparentemente segura encriptación AES de 256 bits en su programa de backup sobre PC y Mac, denominado BlackBerry Desktop Software, hace posible llevar a cabo con éxito un ataque de recuperación de contraseñas en el archivo de backup con relativa facilidad.
“Relativo” significa en este caso que una contraseña formada por una cadena de caracteres de cinco letras minúsculas y dos mayúsculas puede creackearse en alrededor de media hora utilizando un procesador Intel Core i7. Contraseñas más complejas son violables en tres días utilizando el mismo hardware, de acuerdo con los expertos de Elcomsoft. Además, los tiempos pueden acortarse considerablemente si se utiliza además hardware de gráficos, como una tarjeta ATI Radeon HD5970.
Lo que puede contener un archivo de backup del tipo de los violables por este sistema varían según los usuarios, pero en el caso de un usuario empresarial con un dispositivo gestionado, probablemente incluirá todos los datos del BlackBerry, como contactos, correo electrónico y contraseñas de acceso a correo electrónico y conectividad WiFi.
fuente: csospain.es
Etiquetas:
Seguridad
Las redes sociales entrañan más riesgos si se usan desde el móvil
La Agencia Europea de Seguridad de la Información y Redes, Enisa, ha publicado un informe en el que ofrece una lista de 17 Reglas de Oro para mantenerse seguro en las redes sociales.
Enisa, la Agencia Europea de Seguridad de la Información y Redes, ha lanzado un nuevo informe sobre los peligros de utilizar las redes sociales, particularmente desde los teléfonos móviles.
Enisa ha perfilado una serie de riesgos y amenazas asociadas con la utilización de este tipo de sites, y propone a los usuarios y organizaciones una lista de 17 Reglas de oro en su estudio ‘Online as soon as it happens’.
La mayoría de los usuarios utilizan sus teléfonos móviles para acceder a las redes sociales, y la agencia advierte de que hay que mantenerse seguros y evitar que cualquier información empresarial caiga en malas manos. En el informe se dice también que el uso cada vez mayor de las redes sociales ha sido tal que los hackers están “disfrutando de un rico botín”.
Son varios los estudios de seguridad publicados en Europa que han puesto de manifiesto que los usuarios tienen un nivel muy básico de seguridad cuando se adentran en estas palataformas, y el último informe de Enisa sugiere diferentes maneras de evitar ser víctima de los hackers.
Las 17 Reglas de Oro son:
1. Considera cuidadosamente qué imágenes, videos e información personal publicas.
2. Nunca ofrezcas información sensible.
3. Utiliza un pseudónimo.
4. No aceptes peticiones de amistad de gente que no conoces.
5. Verifica todos tus contactos.
6. Cuando te unas a una red social utiliza tu dirección de correo electrónico personal.
7. Ten cuidado de cómo describes a tu compañía en Internet.
8. No mezcles tus contactos de trabajo con los amigos.
9. No dejes que nadie vea tu perfil o información personal sin tu consentimiento.
10. No dejes tu teléfono móvil desatendido.
11. No guardes contraseñas en el móvil.
12. Utiliza las opciones de seguridad disponibles en tu teléfono.
13. Ten cuidado con lo que publicas sobre cualquiera.
14. Lee cuidadosamente la política de privacidad y las condiciones y términos de uso de la red social que escojas.
15. Utiliza los ajustes de privacidad.
16. Ten cuidado cuando utilices tu móvil.
17. Descativa los servicios basados en localización cuando no los estés utilizando.
fuente: itespresso.es
Enisa, la Agencia Europea de Seguridad de la Información y Redes, ha lanzado un nuevo informe sobre los peligros de utilizar las redes sociales, particularmente desde los teléfonos móviles.
Enisa ha perfilado una serie de riesgos y amenazas asociadas con la utilización de este tipo de sites, y propone a los usuarios y organizaciones una lista de 17 Reglas de oro en su estudio ‘Online as soon as it happens’.
La mayoría de los usuarios utilizan sus teléfonos móviles para acceder a las redes sociales, y la agencia advierte de que hay que mantenerse seguros y evitar que cualquier información empresarial caiga en malas manos. En el informe se dice también que el uso cada vez mayor de las redes sociales ha sido tal que los hackers están “disfrutando de un rico botín”.
Son varios los estudios de seguridad publicados en Europa que han puesto de manifiesto que los usuarios tienen un nivel muy básico de seguridad cuando se adentran en estas palataformas, y el último informe de Enisa sugiere diferentes maneras de evitar ser víctima de los hackers.
Las 17 Reglas de Oro son:
1. Considera cuidadosamente qué imágenes, videos e información personal publicas.
2. Nunca ofrezcas información sensible.
3. Utiliza un pseudónimo.
4. No aceptes peticiones de amistad de gente que no conoces.
5. Verifica todos tus contactos.
6. Cuando te unas a una red social utiliza tu dirección de correo electrónico personal.
7. Ten cuidado de cómo describes a tu compañía en Internet.
8. No mezcles tus contactos de trabajo con los amigos.
9. No dejes que nadie vea tu perfil o información personal sin tu consentimiento.
10. No dejes tu teléfono móvil desatendido.
11. No guardes contraseñas en el móvil.
12. Utiliza las opciones de seguridad disponibles en tu teléfono.
13. Ten cuidado con lo que publicas sobre cualquiera.
14. Lee cuidadosamente la política de privacidad y las condiciones y términos de uso de la red social que escojas.
15. Utiliza los ajustes de privacidad.
16. Ten cuidado cuando utilices tu móvil.
17. Descativa los servicios basados en localización cuando no los estés utilizando.
fuente: itespresso.es
Etiquetas:
redes sociales,
Seguridad,
telefonia movil
Protección de dispositivos portátiles: Seguridad física
¿Cómo proteger el ordenador portátil o PDA?
* Proteja su ordenador: Asegúrese de que para poder acceder al equipo portatil (portatil o pda) necesite ingresar una contraseña (ver consejos-sencillos-para-crear-una-contrasena-menos-insegura)
* Mantenga su equipo portátil con usted en todo momento: Cuando viaja, mantenga su equipo portatil portátil con usted. Los horarios de comida son los momentos idoneos para que los ladrones, puedan comprobar, por ejemplo, en las habitaciones de hoteles si ha dejado su equop portatil alli. Si está asistiendo a una conferencia o feria comercial, debe ser especialmente cauteloso ya que en estos lugares con tanto publico pueden ser muy buenos para uqe los ladrones se hagan con un equipo portaitl repleto de informacion confidencial.
* Pasar desapercibido con su equipo portatil: No hay necesidad de anunciar a los ladrones que usted tiene un ordenador portátil o PDA. Evite el uso de su dispositivo portátil en áreas públicas (al menos que sea muy necesario), y considere usar maletines no tradicionales para llevar el ordenador portátil.
* Cuidado de los alrededores: Si usted usa su computadora portátil o PDA en una zona pública, preste atención a las personas a su alrededor. Tome precauciones para blindarse de “shoulder surfers”, asegúrese de que nadie puede ver cuando escriba sus contraseñas o ver cualquier información sensible en su pantalla.
* Considere la posibilidad de una alarma o candado: Muchas compañías venden alarmas o candados para que pueda protegere su dispositivo portatil. Si usted viaja a menudo o frecuenta zonas con mucha multitud es posible que desee considerar la posibilidad de invertir en una alarma para el maletin del portátil o un candado para asegurar su computadora portátil a alguna mesa o escritorio.
* Haga copia de seguridad de los archivos: Si le roban el dispositivo portátil, seria bastante desafortunado que alguien más acceda a su información. Para evitar perder toda la información, haga copias de seguridad de la información importante y guardelas en un lugar seprado (que no sea el mismo portaitl o en el mismo maletin del ordenador) . Realizando esta practica no sólo va a seguir siendo capaz de acceder a la información, sino que ademas será capaz de identificar exactamente la información que está en riesgo. (ver backup:necesidad-o-perdidad-de-tiempo-espacio-y-dinero)
Acciones a tomar en caso de robo o perdida de dispositivos portátiles.
Informe de la pérdida o el robo a las autoridades competentes. Si fue robado en algun hotel o centro de conferencias avisar a los organizadores y puesto de seguridad del mismo.
Si el dispositivo es de la empresa y lleva informacion confidencial de la compañia o algun cliente, reportar inmediatamente la pérdida o el robo para que puedan actuar con rapidez.
Fuente vulnerabilityteam.wordpress.com
* Proteja su ordenador: Asegúrese de que para poder acceder al equipo portatil (portatil o pda) necesite ingresar una contraseña (ver consejos-sencillos-para-crear-una-contrasena-menos-insegura)
* Mantenga su equipo portátil con usted en todo momento: Cuando viaja, mantenga su equipo portatil portátil con usted. Los horarios de comida son los momentos idoneos para que los ladrones, puedan comprobar, por ejemplo, en las habitaciones de hoteles si ha dejado su equop portatil alli. Si está asistiendo a una conferencia o feria comercial, debe ser especialmente cauteloso ya que en estos lugares con tanto publico pueden ser muy buenos para uqe los ladrones se hagan con un equipo portaitl repleto de informacion confidencial.
* Pasar desapercibido con su equipo portatil: No hay necesidad de anunciar a los ladrones que usted tiene un ordenador portátil o PDA. Evite el uso de su dispositivo portátil en áreas públicas (al menos que sea muy necesario), y considere usar maletines no tradicionales para llevar el ordenador portátil.
* Cuidado de los alrededores: Si usted usa su computadora portátil o PDA en una zona pública, preste atención a las personas a su alrededor. Tome precauciones para blindarse de “shoulder surfers”, asegúrese de que nadie puede ver cuando escriba sus contraseñas o ver cualquier información sensible en su pantalla.
* Considere la posibilidad de una alarma o candado: Muchas compañías venden alarmas o candados para que pueda protegere su dispositivo portatil. Si usted viaja a menudo o frecuenta zonas con mucha multitud es posible que desee considerar la posibilidad de invertir en una alarma para el maletin del portátil o un candado para asegurar su computadora portátil a alguna mesa o escritorio.
* Haga copia de seguridad de los archivos: Si le roban el dispositivo portátil, seria bastante desafortunado que alguien más acceda a su información. Para evitar perder toda la información, haga copias de seguridad de la información importante y guardelas en un lugar seprado (que no sea el mismo portaitl o en el mismo maletin del ordenador) . Realizando esta practica no sólo va a seguir siendo capaz de acceder a la información, sino que ademas será capaz de identificar exactamente la información que está en riesgo. (ver backup:necesidad-o-perdidad-de-tiempo-espacio-y-dinero)
Acciones a tomar en caso de robo o perdida de dispositivos portátiles.
Informe de la pérdida o el robo a las autoridades competentes. Si fue robado en algun hotel o centro de conferencias avisar a los organizadores y puesto de seguridad del mismo.
Si el dispositivo es de la empresa y lleva informacion confidencial de la compañia o algun cliente, reportar inmediatamente la pérdida o el robo para que puedan actuar con rapidez.
Fuente vulnerabilityteam.wordpress.com
Etiquetas:
Seguridad,
telefonia movil
Móviles y redes sociales, principales objetivos del cibercrimen en 2011
Los cibercriminales no suelen tardar en adaptarse a las nuevas tendencias del mercado tecnológico, por lo que tanto las redes sociales como los smartphones no tardarán en convertirse en sus objetivos prioritarios. Eso es por lo menos lo que opina Enrique Salem, CEO de Symantec.
El experto en seguridad explicó en una conferencia que en 2011 habrá más teléfonos que PCs conectados a Internet, por lo que los ataques no tardarán en adaptarse a este nuevo y superpoblado nicho.
Las redes sociales, por su parte, ya llevan un tiempo siendo objetivo de ataques por parte de cibercriminales. Aún así, debido a que cada vez cuentan con más usuarios, las amenazas tenderán a multiplicarse y diversificarse, introduciendo “nuevos riesgos de seguridad”.
Para no ser víctima de estos ataques, serán claves tanto la prudencia del usuario como el papel de las compañías especialistas en seguridad a la hora de dar con soluciones que se adapten a las nuevas circunstancias.
fuente: itespresso.es
El experto en seguridad explicó en una conferencia que en 2011 habrá más teléfonos que PCs conectados a Internet, por lo que los ataques no tardarán en adaptarse a este nuevo y superpoblado nicho.
Las redes sociales, por su parte, ya llevan un tiempo siendo objetivo de ataques por parte de cibercriminales. Aún así, debido a que cada vez cuentan con más usuarios, las amenazas tenderán a multiplicarse y diversificarse, introduciendo “nuevos riesgos de seguridad”.
Para no ser víctima de estos ataques, serán claves tanto la prudencia del usuario como el papel de las compañías especialistas en seguridad a la hora de dar con soluciones que se adapten a las nuevas circunstancias.
fuente: itespresso.es
Etiquetas:
Cibercrimen,
redes sociales,
Seguridad
Symantec ofrece seguridad para Android y dispositivos Apple
La empresa de seguridad Symantec, que estos días celebra su encuentro Vision 2010 en Barcelona, ha anunciado una ampliación de su seguridad para las plataformas Android e iOS4, con características clave como la ejecución remota de contraseñas y limpieza.
Desde Symantec aseguran que ampliando el soporte para dispositivos Andrid y Apple Symantec reducirá el riesgo de que los datos corporativos y las comunicaciones se pierdan o utilicen de forma incorrecta.
Además, la compañía ha adaptado sus productos de seguridad a los proveedores de comunicaciones para ayudarles a ofrecer una mejor experiencia a sus clientes reduciendo al mismo tiempo sus costes operativos. Es decir que les ayudará a reducir costes mientras ofrecen redes más seguras.
Vision 2010 también ha permitido a Symantec mostrar sus nuevas ofertas de cifrado y la integración de PGP Whole Disk Encryption con la tecnología de hardware Anti-Theft Technology de Intel, que ayuda a los usuarios a proteger sus datos e impedir el robo de portátiles.
PGP Whole Disk Encryption con soporte para Intel Anti-Theft Technology version 2.0 estará disponible en el invierno de 2011.
Este anuncio de colaboración muestra las intenciones de Intel de continuar colaborando con Symantec a pesar de haber comprado McAfee.
Fuente itespresso.es
Desde Symantec aseguran que ampliando el soporte para dispositivos Andrid y Apple Symantec reducirá el riesgo de que los datos corporativos y las comunicaciones se pierdan o utilicen de forma incorrecta.
Además, la compañía ha adaptado sus productos de seguridad a los proveedores de comunicaciones para ayudarles a ofrecer una mejor experiencia a sus clientes reduciendo al mismo tiempo sus costes operativos. Es decir que les ayudará a reducir costes mientras ofrecen redes más seguras.
Vision 2010 también ha permitido a Symantec mostrar sus nuevas ofertas de cifrado y la integración de PGP Whole Disk Encryption con la tecnología de hardware Anti-Theft Technology de Intel, que ayuda a los usuarios a proteger sus datos e impedir el robo de portátiles.
PGP Whole Disk Encryption con soporte para Intel Anti-Theft Technology version 2.0 estará disponible en el invierno de 2011.
Este anuncio de colaboración muestra las intenciones de Intel de continuar colaborando con Symantec a pesar de haber comprado McAfee.
Fuente itespresso.es
Suscribirse a:
Entradas (Atom)