México, Brasil, Francia, Alemania… perdiendo la inocencia

Hace unos 6 meses cuando comenzó el el caso Snowden y PRISM dije que esto tenía la posibilidad de destruir Internet como la conocemos y sigo convencido que esto es real y no nos estamos dando cuenta del problema.

“TAO successfully exploited a key mail server in the Mexican Presidencia domain within the Mexican Presidential network to gain first-ever access to President Felipe Calderon’s public email account.” Mayo de 2010… en adelante la seguridad fue destrozada

Continue reading “México, Brasil, Francia, Alemania… perdiendo la inocencia”

Crypto Wars… otra vez

Si no hubiera leido que el Decano de Johns Hopkins le pidió a Matthew Green, profesor de Criptografía de esa Universidad que remueva los posts sobre la NSA de sus servers, tal vez, no me hubiera dado cuenta que definitivamente las revelaciones de Edward Snowden están llevando una guerra en la comunidad de criptografía como no había desde hace décadas y 1 Password hizo genial en resucitarla para entender el momento actual.

servicios vulnerados por la NSA

Continue reading “Crypto Wars… otra vez”

Shodan o el buscador de “la internet de las cosas”

Hoy en una nota de Forbes se habla de Shodan un buscador que uso cada tanto para ver como lo van actualizando y que tiene una particularidad, no busca documentos sino dispositivos conectados a Internet con dos detalles, una serie de filtros te permiten encontrar cosas muy específicas como cámaras Cisco vulnerables a ciertos ataques que estén localizadas en una ciudad y se hayan instalado entre X fechas… y así, lo que el fundador pensó que podía ser usado para mapear el mundo de The Internet of Things, resultó una excelente herramienta para darse cuenta que nadie le presta atención a la seguridad de estos dispositivos.

SHODAN - Computer Search Engine

Por poner un ejemplo, si uno busca en la zona de exploits va a ver que hay noticias donde se dice cuales son los equipos susceptibles de fallas de seguridad pero si uno encuentra muchos equipos conectados y hace una búsqueda en Google tonta como linksys cameras default password y sabe sumar 2+2… ya saben sobre que cosas pueden tomar control :)

Continue reading “Shodan o el buscador de “la internet de las cosas””

PRISM sigue generando daño en Internet

Hace tres meses dije que PRISM tiene el potencial de dañar Internet para siempre; hace unos días el Gobierno Británico le pasó por arriba a los derechos de la pareja del periodista de The Guardian y esto solo demuestra que nadie en la comunidad de Inteligencia sabe la amplitud ni profundidad de los datos que Snowden filtró o tiene encima pero nos guste o no, esto va a cambiar el panorama de Internet definitivamente. Continue reading “PRISM sigue generando daño en Internet”

El correo electrónico dejó de ser seguro

email inseguroGenial nota de Silent Circle: Why can’t email be secure? que explica excelentemente bien porque el email no es considerado seguro actualmente y, básicamente, tiene que ver con su diseño original y el aumento de poder de procesamiento:

Como se puede ver, la seguridad de correo electrónico se ha vuelto más compleja de lo que solía ser. En el pasado, con “asegurar” el cuerpo del mensaje era suficiente. Las herramientas y técnicas utilizadas para el espionaje no tenían una escala lo suficientemente grande como para permitir que los metadatos sean útiles. Con la intervención de los proveedores de la red troncal de Internet, los espías pueden ver todo el tráfico en Internet. Los días en los que era posible que dos personas tengan una conversación realmente privada por correo electrónico, si es que alguna vez existieron, son pasado.

Y es interesante porque esto se relaciona de forma directa con la forma de establecer relaciones entre los POI y cualquier otra persona, cuando eso lo agregás a bases externas y decidís que querés saber el contenido de una charla… tu poder de procesamiento te permite destruir las capas de seguridad. Buena nota en serio.

Google Chrome y su peligroso manejo de claves

Vamos a poner algo en claro: si alguien tiene acceso físico a tu PC o Mac puede acceder a todos tus datos, lo único que cambia es el tiempo que tarde. Ahora, si en esa PC o Mac tenés instalado Google Chrome con solo abrirlo puede ver todas tus claves de Safari o Firefox o Chrome con 3 clicks y que el jefe de seguridad de Chrome diga que “no usamos una clave maestra ni otras protecciones para que no haya una falsa sensación de seguridad” es simplemente ridículo. Lo ridículo es que recién hoy me doy cuenta de esto por el post de Elliot Kember

Continue reading “Google Chrome y su peligroso manejo de claves”

White Hat Hack de las SIM para evitar un problema de seguridad

Me pareció interesante esta nota de CNN SIM card hack inspires quick fix by carriers porque muestra como las operadoras reaccionaron al hack de seguridad en las SIM Cards que hablamos hace un tiempo… y fue explotando el hack original para cerrar ese agujero de seguridad.

sim cards

Continue reading “White Hat Hack de las SIM para evitar un problema de seguridad”

Smart home, smart car, smart hacking

En el curso de esta semana me crucé con un par de noticias que son, además de esperables, una muestra de que no hay conciencia de la necesidad de seguridad en todo lo que esté conectado, repito: en TODO lo que esté conectado… y hoy en día eso implica desde smart-phones conectados hasta casas con controles remotos.

Continue reading “Smart home, smart car, smart hacking”

Apple Developer Center Hackeado

Hace ya tres días Apple sufrió el hack de su Apple Developer Center, cerraron el sitio, no dijeron nada y recién hoy piden disculpas “por los inconvenientes que pueden haberte causado” y advierten que “no descartan que “nombres de desarrolladores, direcciones y correo electrónico hayan sido accedidos” sinceramente no entiendo que se defiendan este tipo de estrategia.

apple developer center hackeado

Para ponerlo simple: Apple tuvo claro hace 72 horas que los datos de sus desarrolladores fueron hackeados y no dijo nada, entiendo que hayan cerrado el sitio para evaluar daños [los cuales SIGUEN sin ser evaluados o comunicados] y definir los pasos a seguir y comunicar; pero pasaron 72 horas y recién ahora admiten haber sido hackeados.

Continue reading “Apple Developer Center Hackeado”

Ransomware en Safari para Mac

Hace unos días comenzó a circular un “ransomware” que funciona en Safari para Mac y como en general el usuario de Mac está menos preparado para entender como funciona esto les dejo un video que explica como desactivarlo porque es fácil pero no vas a darte cuenta rápido :)

Para resumirlo, si te aparece un cartel en la Mac diciendo “you have been viewing or distributing prohibited Pornographic content.. To unlock your computer and to avoid other legal consequences, you are obligated to pay a release fee of $300.” simplemente caíste en un Javascript que no te deja salir de la ventana y aprovecha el “restore session” de Safari para que te creas que es verdad :)

Resúmen: Andá al menú Safari -> “Reset Button” y listo; más detalles en este link

DefCon deja fuera a los agentes federales

Por primera vez en sus veinte años DefCon, la conferencia de hacking más grande del mundo, le pide explícitamente a los agentes federales (FBI, NSA, etc.) que no participen de la misma. Dos detalles interesantes de este tema que es una derivación del caso Snowden-PRISM y del caso Verizon-FBI.

defcon silent splice

Continue reading “DefCon deja fuera a los agentes federales”

Privacidad vs Comodidad vs Ingresos

PGP logoEl día que los desarrolladores y empresas entiendan el valor de la comodidad el mundo va a cambiar Amazon un día nos cambió la forma de comprar con el one-click-shopping, iTunes nos mostró que era más simple descargar un tema que torrentearlo, hoy Tim Berners Lee da en el clavo de porque nadie usa las herramientas disponibles para tener privacidad:

“La utilización de PGP es tan molesta que incluso los que tienen una fuerte necesidad de comunicación segura resisten su uso. Cuando Edward Snowden, el hombre que filtró los detalles del programa PRISM, contactó primero Glenn Greenwald en The Guardian en febrero, le pidió al periodista configurar PGP en su ordenador de manera que ambos pudieran comunicarse de forma segura. Incluso envió a Greenwald un video con instrucciones paso a paso para configurar el software. Pero Greenwald, quien todavía no conocía el significado de la información de Snowden, evitaba hacerlo. Él no instaló el software hasta finales de marzo, después que la cineasta Laura Poitras, también en contacto con Snowden, se reunió con Greenwald y lo alertó de la importancia de sus revelaciones.”

Continue reading “Privacidad vs Comodidad vs Ingresos”

General Keith Alexander y la iniciativa de ciberguerra de USA

Excelente perfil del General Keith Alexander en Wired que vale la pena leer, no sólo para conocer quien es el tipo más poderoso (de los conocidos) en mundo de la Inteligencia sino que explica como fue su ascenso y un espiral que, con cierto tipo de lógica conspirativa, parece haber ser copiado del teorema de Thomas

“if men define situations as real, they are real in their consequences”

Y es interesante leer como ciertas cosas que uno fue leyendo y cubriendo con el paso del tiempo, como la Patriot Act, la primer muerte por un Drone, Abu Ghraib, Stuxnet, PRISM y la respuesta física a un acto cibernético… cierran un círculo de desesperanza.

Seguridad en Twitter: se prepara autenticación en dos pasos

Finalmente, y luego de muchos hacks y ataques de phishing, aparece una política de seguridad en Twitter con la preparación de la autenticación de dos pasos o verificacion en dos pasos de acuerdo a Wired.twitter_bird

Lo que me sorprende de esto es que se haya demorado tanto en poner esto como parte de su sistema de autenticación; de hecho yo haría que esto fuese obligatorio para cuentas verificadas que se conectan de equipos desconocidos porque ya ayer se volvió a notar que Twitter como fuente de información tiene poder.

Continue reading “Seguridad en Twitter: se prepara autenticación en dos pasos”

Mythbusters y el RFID: Seguridad por oscuridad

Reconozco que cuando me robaron pasaporte e identificaciones varias mi instinto paranoico hizo que reemplace casi todo lo robado con cosas que bloquean señales RFID.. (de hecho acá está el link a mi post de cosas indispensables para un viajero frecuente con modelo y todo) y siempre me pregunté porque Mythbusters o incluso en Black Hat no se ven grandes muestras de como romper RFID….

¿La respuesta? en este video de Mythbusters donde cuentan que pasó cuando hicieron una reunión de producción :)

Es casi ridículo que los abogados de las firmas de tarjetas de crédito intervengan anunciando sanciones a un programa que habla de tecnología de forma masiva y que encima las cadenas de TV se sumen a esta movida de “seguridad por oscuridad” y que encima hoy tenga RFID hasta en mi Pasaporte… y mientras me llaman paranoico

La Universidad de Oxford bloquea el acceso a Google Docs

Hoy la Universidad de Oxford decidió bloquear el acceso a una herramienta de colaboración casi imprescindible como Google Docs por algo que es crítico y nadie parece entender: la falta de velocidad de respuesta a problemas de seguridad que está caracterizando a las empresas de Internet.

Ayer Twitter mostró que no tiene ni previstos sistemas de validación doble ante el hackeo de una cuenta por más que esta sea de un anunciante verificado y que luego de 5 horas no podían hacer nada más que suspender la cuenta… 5 horas en las que la marca fue ridiculizada sin parar.

Hoy la Universidad de Oxford cuenta que como Google tiene su tráfico encriptado no pueden frenar el acceso a formularios y documentos de Google Docs usados como herramienta de phishing y que la respuesta promdio de Google iba de un par de semanas antes a casi 48 horas hoy en día… con sus “procedimientos mejorados”.

Continue reading “La Universidad de Oxford bloquea el acceso a Google Docs”

Ciberguerra: USA ya deja ver a China como origen de los ataques

Pensar que los primeros intentos de ciberguerra parecían ser sofisticados como en las películas, ataques a la infraestructura del enemigo entre Georgia y Rusia o el desarrollo de malware como Stuxnet para demorar los proyectos nucleares iraníes.. pero luego fueron perdiendo un poco de glamour ¿en serio usar community managers como el ejercito israelí?

Siguiendo ese mismo pensamiento podría pensar que los ataques a servicios de Google, Facebook o medios de USA desde China también serían un sinsentido; pero hoy USA (a través de canales no oficiales) revela un estudio que ata a una unidad de inteligencia de China con esos ataques y la realidad es que si las mejores mentes de tecnología están desarrollando este tipo de tecnología ¿porque no atacarlos?

Continue reading “Ciberguerra: USA ya deja ver a China como origen de los ataques”

Contraseñas: una línea de caracteres no es segura

contrasena pirata hacker Hace un tiempo el hackeo a Matt Homan fue tan fuerte y tan público que Amazon y Apple cambiaron sus políticas de seguridad claro que no todos tenemos el peso de Wired para influir en las empresas pero esta bueno cada tanto hacer un reality-check sobre nuestra actitud frente a la seguridad y lo digo aún cuando tuve que reconstruir este blog desde cero.

Continue reading “Contraseñas: una línea de caracteres no es segura”

Hacking: la vergüenza de reconocer el acceso

Según Gartner se gastan u$s 60.000 millones anuales en infraestructura de seguridad; sin embargo a Coca Cola lo hackearon y le frenaron un acuerdo de adquisición de u$s 2.400 millones sobre China Huiyuan Juice Group.

El jefe del MI5 Jonathan Evans dijo que una sola empresa Británica perdió casi u$s 1.300 millones por tener condiciones contractuales malas gracias a información que le robaron en hacks corporativos.

Continue reading “Hacking: la vergüenza de reconocer el acceso”

Amazon y Apple cambian sus políticas por el hack a un periodista

Hacía falta que le hackearan la cuenta a una persona que pudiera publicarlo en Wired y en su blog y lograr que hasta empresas de seguridad analizaran como pudieron borrarle toda su vida digital en una hora para que Amazon y Apple, dos pesos pesado del comercio electrónico, decidieran cambiar sus políticas de seguridad… y aunque personalmente crea que el error de Apple es enorme la realidad es que esto muestra que hacen falta estándares de seguridad a nivel global.

Continue reading “Amazon y Apple cambian sus políticas por el hack a un periodista”