Alguna vez ya os hemos recomendado visitar la página personal de Alfon, Seguridad y Redes , también, para un mejor seguimiento de sus artículos, podéis suscribiros a su Feed.

La web de Alfon es un lugar donde se hacen las cosas “como antes”, es decir, sin prisa, publicando series de artículos detallados donde realmente podrás aprender más allá de una breve reseña u opinión y con mucho fundamento.

Para este fin de semana os queremos sugerir esta serie de entradas en las que podréis aprender como se captura, filtra y analiza todo tipo de tráfico de red con varias de las herramientas más potentes para escuchar y capturar esos paquetes.

Siempre es un momento amargo cuando una web cierra sus puertas después de tantos años de actividad y tan buen hacer. En el caso de Fentlinux, por la cercanía y todos los lazos que unos unen aún más.

En el mes de Agosto de este año cesarán su actividad y nos quedamos con los buenos momentos que hemos pasado juntos y todo el esfuerzo por llevar al gran público su pasión por el mundo de GNU/Linux. También con cantidades ingentes de información que ha publicado a lo largo de casi 6 años que sin duda han servido de ayuda a mucha gente.

Todo el equipo de redacción de Daboweb os deseamos lo mejor en todo lo que os propongáis tanto a nivel individual o colectivo y personalmente sólo puedo decir que me lo tomaré como ese “hasta luego” que precede a la noticia de la despedida.

Mucha suerte compañeros !!!

Michael Zalewski, reputado consultor y desarrollador en asuntos de seguridad, ha desarrollado para Google “Skipfish”, un potente y rápido escáner de vulnerabilidades web que sin lugar a dudas dará que hablar. Por lo poco que he podido comprobar desde que lo he instalado, cumple fielmente con casi todo lo que se anuncia en cuanto a fluidez y certeza en los análisis.

Para compilarlo, una vez desempaquetado, sólo necesitarás usar “make” pero te recuerdo que necesitarás instalar la librería libidn primeramente.

Skipfish está escrito intégramente en “C”, se distribuye gratuitamente bajo una Licencia Apache versión 2.0 y está disponible para sistemas GNU/Linux, FreeBSD 7.0+, MacOS X y Windows (Cygwin). Esta herramienta de seguridad cuenta entre otras, con las siguientes funciones hablando de detección de posibles fallos de seguridad;

* Alertas de riesgo alto:

o Server-side SQL injection (including blind vectors, numerical parameters).
o Explicit SQL-like syntax in GET or POST parameters.
o Server-side shell command injection (including blind vectors).
o Server-side XML / XPath injection (including blind vectors).
o Format string vulnerabilities.
o Integer overflow vulnerabilities.

* Alertas de riesgo medio:

o Stored and reflected XSS vectors in document body (minimal JS XSS support present).
o Stored and reflected XSS vectors via HTTP redirects.
o Stored and reflected XSS vectors via HTTP header splitting.
o Directory traversal (including constrained vectors).
o Assorted file POIs (server-side sources, configs, etc).
o Attacker-supplied script and CSS inclusion vectors (stored and reflected).
o External untrusted script and CSS inclusion vectors.
o Mixed content problems on script and CSS resources (optional).
o Incorrect or missing MIME types on renderables.
o Generic MIME types on renderables.
o Incorrect or missing charsets on renderables.
o Conflicting MIME / charset info on renderables.
o Bad caching directives on cookie setting responses.

* Alertas de bajo riesgo:

o Directory listing bypass vectors.
o Redirection to attacker-supplied URLs (stored and reflected).
o Attacker-supplied embedded content (stored and reflected).
o External untrusted embedded content.
o Mixed content on non-scriptable subresources (optional).
o HTTP credentials in URLs.
o Expired or not-yet-valid SSL certificates.
o HTML forms with no XSRF protection.
o Self-signed SSL certificates.
o SSL certificate host name mismatches.
o Bad caching directives on less sensitive content.

* Alertas internas:

o Failed resource fetch attempts.
o Exceeded crawl limits.
o Failed 404 behavior checks.
o IPS filtering detected.
o Unexpected response variations.
o Seemingly misclassified crawl nodes.

* Otros datos de interés:

o General SSL certificate information.
o Significantly changing HTTP cookies.
o Changing Server, Via, or X-… headers.
o New 404 signatures.
o Resources that cannot be accessed.
o Resources requiring HTTP authentication.
o Broken links.
o Server errors.
o All external links not classified otherwise (optional).
o All external e-mails (optional).
o All external URL redirectors (optional).
o Links to unknown protocols.
o Form fields that could not be autocompleted.
o All HTML forms detected.
o Password entry forms (for external brute-force).
o Numerical file names (for external brute-force).
o User-supplied links otherwise rendered on a page.
o Incorrect or missing MIME type on less significant content.
o Generic MIME type on less significant content.
o Incorrect or missing charset on less significant content.
o Conflicting MIME / charset information on less significant content.
o OGNL-like parameter passing conventions.

Página de Skipfish en Google Code | Más info | Fuente (ENG).

Una vez que el Anteproyecto de Ley ha sido aprobado sin modificar ni una sola coma en lo que se refiere al cierre de páginas webs por el procedimiento de todos conocido, no es mal momento para expresar una opinión compartida por la gran mayoría.

Opinión que la clase política (dándome prácticamente igual las siglas, que algunos tenemos memoria histórica, véase la LSSI) por mucho que nos hartemos de expresarla, parece que no quiere recoger como válida;

Ante la inclusión en el Anteproyecto de Ley de Economía Sostenible de modificaciones legislativas que afectan al libre ejercicio de las libertades de expresión, información y el derecho de acceso a la cultura a través de Internet, los periodistas, bloggers, usuarios, profesionales y creadores de internet manifestamos nuestra firme oposición al proyecto, y declaramos que:

1. Los derechos de autor no pueden situarse por encima de los derechos fundamentales de los ciudadanos, como el derecho a la privacidad, a la seguridad, a la presunción de inocencia, a la tutela judicial efectiva y a la libertad de expresión.
2. La suspensión de derechos fundamentales es y debe seguir siendo competencia exclusiva del poder judicial. Ni un cierre sin sentencia. Este anteproyecto, en contra de lo establecido en el artículo 20.5 de la Constitución, pone en manos de un órgano no judicial -un organismo dependiente del ministerio de Cultura-, la potestad de impedir a los ciudadanos españoles el acceso a cualquier página web.
3. La nueva legislación creará inseguridad jurídica en todo el sector tecnológico español, perjudicando uno de los pocos campos de desarrollo y futuro de nuestra economía, entorpeciendo la creación de empresas, introduciendo trabas a la libre competencia y ralentizando su proyección internacional.
4. La nueva legislación propuesta amenaza a los nuevos creadores y entorpece la creación cultural. Con Internet y los sucesivos avances tecnológicos se ha democratizado extraordinariamente la creación y emisión de contenidos de todo tipo, que ya no provienen prevalentemente de las industrias culturales tradicionales, sino de multitud de fuentes diferentes.
5. Los autores, como todos los trabajadores, tienen derecho a vivir de su trabajo con nuevas ideas creativas, modelos de negocio y actividades asociadas a sus creaciones. Intentar sostener con cambios legislativos a una industria obsoleta que no sabe adaptarse a este nuevo entorno no es ni justo ni realista. Si su modelo de negocio se basaba en el control de las copias de las obras y en Internet no es posible sin vulnerar derechos fundamentales, deberían buscar otro modelo.
6. Consideramos que las industrias culturales necesitan para sobrevivir alternativas modernas, eficaces, creíbles y asequibles y que se adecuen a los nuevos usos sociales, en lugar de limitaciones tan desproporcionadas como ineficaces para el fin que dicen perseguir.
7. Internet debe funcionar de forma libre y sin interferencias políticas auspiciadas por sectores que pretenden perpetuar obsoletos modelos de negocio e imposibilitar que el saber humano siga siendo libre.
8. Exigimos que el Gobierno garantice por ley la neutralidad de la Red, en España ante cualquier presión que pueda producirse, como marco para el desarrollo de una economía sostenible y realista de cara al futuro.
9. Proponemos una verdadera reforma del derecho de propiedad intelectual orientada a su fin: devolver a la sociedad el conocimiento, promover el dominio público y limitar los abusos de las entidades gestoras.
10. En democracia las leyes y sus modificaciones deben aprobarse tras el oportuno debate público y habiendo consultado previamente a todas las partes implicadas. No es de recibo que se realicen cambios legislativos que afectan a derechos fundamentales en una ley no orgánica y que versa sobre otra materia.

Este manifiesto, elaborado de forma conjunta por varios autores, es de todos y de ninguno. Se ha publicado en multitud de sitios web. Si estás de acuerdo y quieres sumarte a él, difúndelo por Internet.

Por David Hernández (Dabo).

Como cada mes, ya tenéis disponible en este caso el número 43, de la revista Foto DNG (Año V). listo para descargar, también ver en formato Flash online o para imprimir a través de lulu.com.

Desde Daboweb os recomendamos la descarga y visualización de Foto DNG, revista electrónica gratuita sobre fotografía, dirigida a todos los aficionados y profesionales de este ámbito. Una publicación que está orientada a usuarios que vengan del analógico como del digital. El formato es como siempre en pdf, y están licenciada bajo Creative Commons.

El índice de contenidos de este número 43 es el siguiente:

• Redacción (Página 2).

• Indice (Página 3).

• Novedades (Página 4).

• Fotografía de Manuel Vilches (Página 20).

• Jonás Luna en FotoImaginaria (Página 40).

• XV Edición Fotocam (Página 61).

• REQUIEM POR LA NIEBLA (Página 70).

• Parque Rural de Anaga (Página 76).

• Tomas publicitarias con luz ambiente (Página 86).

• Noticias Eventos (Página 90).

• Libros (Página 102).

• Grupo Foto DNG en Flickr (Página 104).

• Cuarto Concurso Fotográfico Foto DNG (Página 112)

Acceso a la web de Foto DNG.

A pesar de que hay muchos trackers dedicados a reseñar los múltiples tipos de vulnerabilidades que van surgiendo en todo tipo de software, hoy os queríamos recomendar a los usuarios de Ubuntu, un lugar donde podéis estar al tanto de los paquetes afectados por alguna vulnerabilidad o que estén pendientes de ser revisados.

Como muchos sabréis, CVE, abreviatura de Common Vulnerabilities and Exposures (Vulnerabilidades y amenazas comunes) es un código único que se asigna a una vulnerabilidad con el identificador CVE-año-número, fue creado por la Corporación MITRE y es el sistema estándar para estas cuestiones.

En el Ubuntu CVE Tracker podréis estar informados del estado de la seguridad de Ubuntu con el habitual sistema de clasificación de colores, rojo sería alto o crítico, naranja nivel medio y amarillo un riesgo bajo. Si en la lista aparece un asterisco, significa que ese paquete en concreto es mantenido por Canonical (propietaria de Ubuntu) en lugar de terceros.

Fuente > Jeff Jones Security Blog. (ENG).

Apple acaba de publicar el lanzamiento de la versión 4.0.5 de su navegador web Safari, esta entrega del software solventa múltiples vulnerabilidades en ColorSync, ImageIO, PubSub y su motor WebKit.

Safari 4.0.5 está disponible para Mac OS X S.Leopard, Leopard, Tiger, Windows Vista y 7 y dado el impacto de los bugs que se han parcheado en esta versión, es más que aconsejable su inmediata actualización. La gran mayoría de fallos corregidos previenen la ejecución arbitraria de código en el sistema afectado, corrupciones de memoria en el navegador o un cierre inesperado.

Además de lo dicho, se mejoran otros aspectos del navegador como pueden ser el funcionamiento de “Top Sites” o la configuración de Safari con algunos routers Linksys.

Descarga de Safari 4.0.5.

(Debajo toda la lista de vulnerabilidades corregidas según la info de la lista de correo de “Apple Security”; (ENG)

APPLE-SA-2010-03-11-1 Safari 4.0.5

Safari 4.0.5 is now available and addresses the following:

Continue reading…