Daboweb | Seguridad y ayuda informática |

Detectado un grave fallo de seguridad en los drivers privativos de las tarjetas Nvidia en su versión para sistema de tipo UNIX, el cual podría permitir a un virtual atacante escribir directamente en la memoria del sistema, reconfigurando la GPU. Se da la circunstancia de que la configuración por defecto de la tarjeta gráfica otorga los permisos necesarios para llevar a cabo este ataque, permitiendo la  lectura y escritura en los nodos de dispositivos GPU.

Nvidia ha sacado los drivers 295.40 para Linux, Solaris y FreeBSD, con lo que los usuarios de estos sitemas operativos deben actualizarse si su equipo es usado por muchos usuarios, en prevención de posibles problemas de seguridad. Os dejamos este otro enlace para mas información.

Se encuentra disponible en el Massive Open Online Course MOOC de Crypt4you la tercera lección del curso El Algoritmo RSA, dedicado al cifrado de números y mensajes.

En esta tercera lección del curso, se analiza la cifra de números y mensajes con RSA, sabiendo que esta última cifra de mensajes es sólo un ejercicio de laboratorio, en tanto que al ser estos algoritmos muy lentos comparados con la cifra simétrica o de clave secreta.

En la práctica sólo se usan para cifrar pequeños números de unas centenas de bits. Comienza con una breve introducción del algoritmo de intercambio seguro de clave de Diffie y Hellman para luego usar el algoritmo RSA en dicho intercambio, comparando además ambos sistemas.

Apartados de la Lección 3:

Apartado 3.1. El intercambio de clave de Diffie y Hellman
Apartado 3.2. Implementación del intercambio de clave con RSA
Apartado 3.3. Cifrando mensajes con RSA
Apartado 3.4. Test de evaluación de la Lección 3
Apartado 3.5. Estadísticas de la Lección RSA03

La próxima entrega de este curso, la Lección 4 sobre Claves privadas y públicas parejas, se publicará a finales de la primera semana del mes de Mayo.

Lección 0. Introducción al curso
Lección 1. Los principios del algoritmo RSA
Lección 2. Valores de diseño de las claves
Lección 3. Cifrado de números y mensajes
Lección 4. Claves privadas y públicas parejas
Lección 5. Mensajes no cifrables
Lección 6. Ataque por factorización
Lección 7. Ataque por cifrado cíclico
Lección 8. Ataque por paradoja del cumpleaños
Lección 9. El uso del Teorema del Resto Chino
Lección 10. Generación de claves con openSSL

Se encuentran disponibles para su descarga e instalación varias actualizaciones para productos de Adobe, que solucionan graves vulnerabilidades de sus productos, Adobe Reader y Adobe Acrobat, en versiones para Windows, Linux y Macintosh.

Como ya hemos mencionado en anteriores ocasiones, insistimos en la importancia de mantener el sistema operativo y los programas siempre actualizados. por lo que se recomienda actualizar a la mayor brevedad posible a las nuevas versiones publicadas en la web de Adobe.

En Adobe Reader y Adobe Acrobat están afectadas las siguientes versiones:

• Adobe Reader X 10.1.2 y anteriores en Windows y Macintosh.

• Adobe Reader 9.5 y anteriores en Windows y Macintosh.

• Adobe Reader 9.4.6 y anteriores en Linux.

• Adobe Acrobat X 10.1.2 y anteriores en Windows y Macintosh.

• Adobe Acrobat 9.5 y anteriores en Windows y Macintosh.

Además recordaros que cuentas con la posibilidad de utilizar aplicaciones alternativas para trabajar con archivos PDF, con las que podrás visionarlos, crearlos, manipularlos, protegerlos, desprotegerlos, cortarlos, etc.

Se está hablando de más de 600.000 equipos infectados en todo el mundo por el troyano «Flashback» que como su nombre indica, se hace pasar por una actualización del reproductor de Flash para instalarse en tu equipo y aprovecharse de un bug en Java (desde Apple vía «Actualización de software» ya hay parches disponibles).

Tal y como leemos en SpamLoco, Dr Web ha puesto a disposición de los usuarios (Actualización, enlazamos a una de Kaspersky en Inglés) para que una vez hayas introducido el UUID de tu Mac (En la manzana, «acerca de este equipo» | «Más información» | «Hardware»), comprobar si estás infectado.

Se ha publicado en Crypt4you una nueva e interesante lección sobre RSA:

La segunda lección del curso tratará sobre los valores típicos de diseño que deben usarse en los parámetros que intervienen en una clave RSA, como son la clave pública e, la clave privada d, los primos p y q cuyo producto es el módulo o cuerpo de cifra n y el valor del indicador de Euler o cuerpo trampa Φ(n).

Si bien las ecuaciones que permiten generar una clave RSA son muy sencillas, debe tenerse especial cuidado en la elección de estos parámetros. En esta lección aprenderás el porqué de los valores actuales de estas claves RSA que te encuentras, por ejemplo, en certificados digitales X.509 cuando accedes a una página Web segura.

Anteriores   Lección 0: Introducción al curso  |  Lección 1: Los principios del algoritmo RSA

Un mes más, os recomendamos el recopilatorio de entradas publicadas en Daboweb en Marzo de 2012 por si en el día a día de la publicación alguna que pudiera interesarte, se te ha pasado por alto.

Todos los comentarios los vamos recogiendo en el foro de noticias que hemos creado para opinar sobre ellas. También te invitamos a participar en nuestros foros para exponer tus dudas o ayudar a despejar las que tengan otros. (Te recomendamos ver nuestro archivo de contenidos publicados).

marzo 2012

• 31: [Breves] Joomla! 1.5.26 actualización de seguridad
• 26: [Breves] Vulnerabilidad grave en “Apache Traffic Server”.
• 20: El kernel de Linux 3.3 ya incluye el núcleo de Android
• 20: Parche MS12-020 grave fallo en el manejo del protocolo RDP; la importancia de actualizar el sistema operativo;
• 16: [Breves] Disponible Joomla 2.5.3. Actualización de seguridad,
• 15: Aula Virtual de Criptografía y Seguridad de la Información Crypt4you. (Por los creadores de Intypedia)
• 14: Actualizaciones de Microsoft Marzo de 2012
• 13: INTECO ¿Qué sucedió y qué está por venir en seguridad y privacidad?
• 11: [Breves] Debian 5.0.10 “Lenny” released (última oportunidad para actualizar vuestros servers con “Lenny”).
• 10: phpBB 3.1 requerirá PHP 5.3.2
• 09: Linux Mint 12 LXDE
• 06: [Breves] Disponible Joomla 2.5.2 (actualización de seguridad).
• 04: Disponible BackTrack 5 R2
• 02: [Breves] Drupal 6.25
• 02: Publicado en Daboweb, Febrero de 2012

El parche de seguridad MS12-020 liberado en las actualizaciones de Microsoft de la pasada semana, soluciona un grave fallo en el manejo del protocolo RDP, que puede (y será) aprovechada por muchos ciberdelincuentes para acceder a máquinas sin actualizar y obtener jugosa información de ellas.

Como ya hemos comentado en otras ocasiones, volvemos a incidir una vez más en la importancia que representa mantener actualizados tanto el sistema operativo, como todo el software o programas que utilizamos en nuestro equipo.

Las actualizaciones en la mayoría de ocasiones solucionan vulnerabilidades, problemas de seguridad o de funcionamiento del sistema, por lo que siempre debemos instalar las actualizaciones en cuanto se publiquen para tener el sistema totalmente actualizado, ya que de lo contrario, algún malware podría aprovecharse de estas debilidades e infectar nuestros equipos.

Leer más en Seguridad básica sobre el tema  Mantener el Sistema operativo y el Software actualizados.

Se encuentra disponible una prueba de concepto para la vulnerabilidad en RDP, publicado por Josep Albors en Eset laboratorio.

El pasado día 6 os informamos sobre la versión 2.5.2 de Joomla y la necesaria actualización, hoy volvemos a traer a nuestra portada a un CMS con tanta presencia como Joomla para recomendaros que actualicéis lo antes posible a la versión 2.5.3 que solventa dos vulnerabilidades catalogadas como de un impacto «alto» por sus creadores.

Sobre los bugs corregidos (ENG):

• High Priority – Core – Privilege Escalation. More information »
• High Priority – Core – Password Change. More information »

Anuncio de la versión 2.5.3 (ENG).

Hoy es un gran día para todos los amantes de la Seguridad Informática en general y de los de la Criptografía en particular. Tal y como adelantamos en el título y según podemos leer en la nota de prensa que a continuación reproducimos.

De la mano del Dr. Jorge Ramió y del Dr. Alfonso Muñoz, (impulsores de un proyecto al que le hemos dado toda la difusión que merecía, la Enciclopedia de la Seguridad de la Información, Intypedia y cuya última lección se publicará en abril de 2012) nace un nuevo formato de enseñanza online, gratuita y colaborativa, el Aula Virtual de Criptografía y Seguridad de la Información Crypt4you.

Nota de prensa;

Crypt4you es un proyecto de innovación educativa sin ánimo de lucro que nace en la Red Temática de Criptografía y Seguridad de la Información Criptored, en la Universidad Politécnica de Madrid, España. Siguiendo el título del proyecto, se trata de criptografía para ti, criptografía y seguridad de la información para todos, una manera de abrir las puertas de la universidad hacia toda la sociedad.

Los autores de los cursos serán preferiblemente investigadores y profesores universitarios miembros de la Red Temática Criptored.

Una de las características distintivas de Crypt4you es la publicación y entrega de lecciones a manera de fascículos todos los días 1 y 15 de cada mes. El primer curso que lleva por título El algoritmo RSA, del profesor Dr. Jorge Ramió, y está compuesto por 10 lecciones que se publicarán desde el 15 de marzo al 1 de agosto de 2012.

Las lecciones contemplan un conjunto de ejercicios y prácticas, propuestos y resueltos y un test final de evaluación personal; con la última lección de cada curso se publicará un examen final. Otra característica de este nuevo formato de formación e-learning es el enfoque colaborativo, en tanto se pide a los alumnos que sigan estos cursos su participación activa a través de las redes sociales facebook y twitter de Crypt4you, resolviendo dudas y aportando conocimiento.

Otra faceta novedosa de este proyecto es la actualización dinámica de sus contenidos, en el sentido de que el autor podrá en cualquier momento actualizar los contenidos de sus lecciones, añadir nuevos apartados, nuevos ejercicios y prácticas.

En definitiva, Crypt4you se presenta como un nuevo formato de formación en seguridad de la información en la nube, gratuita, online y colaborativa, con el rigor que ha demostrado Criptored en sus doce años de vida sirviendo más de dos millones de documentos, con una especial dedicación hacia Iberoamérica.

Para mayor información, acceda al sitio Web de Crypt4you y lea las Frequently Asked Questions FAQ.

Sitio Web: http://www.crypt4you.com
Criptored: http://www.criptored.upm.es/
Intypedia: http://www.intypedia.com/

Desde Daboweb, seguiremos apoyando proyectos como este y vaya desde aquí toda la suerte de mundo !

Primera entrada como colaborador en Inteco de nuestro compañero Dabo.

Con el tema ¿Qué sucedió y qué está por venir en seguridad y privacidad?, Reflexión final de Dabo, se cierra una serie de XII capítulos o entrevistas junto a otros colaboradores del blog de Inteco, con lo que ha acontecido en seguridad de la información y privacidad durante este último año (#resumen2011) y lo que está por venir en 2012 (#prospectiva2012).

Citando a Dabo:

Posiblemente, este año 2012 si fuese el responsable de una PYME, me preocuparía más de la formación a mi equipo humano, la gestión integral de la seguridad y preparación frente a incidentes informáticos, que del tiempo consumido en mi empresa navegando por la Red Social de turno.

La inversión en seguridad debería ser considerada como un activo en medio de tanto «ROI«. Sí, no vende tanto como el Marketing, eso lo sabemos todos, pero te causará menos pérdidas a todos los niveles que «una mala campaña».

# XII Entrevista Dabo.

Leer los artículos anteriores:

• XI Entrevista Antonio Ramos.

• X Entrevista Javier Cao Avellaneda.

• IX Entrevista Antonio Sanz.

• VIII Entrevista Manuel Díaz Sampedro.

• VII Entrevista Jorge Campanillas Ciaurriz.

• VI Entrevista Miguel Ángel Hernández Ruíz.

• V Entrevista Sergio de los Santos.

• IV Entrevista Joseba Enjuto.

• III Entrevista Javier Villacañas.

• II Entrevista Samuel Parra Sáez.

• I Entrevista Mariano del Río.

Si el pasado día 2 nos hicimos eco de una nueva versión de Drupal, hoy es otro CMS tan implantado como Joomla, el que necesita ser parcheado con los cambios que trae consigo en forma de actualización de seguridad, la versión 2.5.2.

Concretamente, se trata de dos bugs de impacto medio y alto:

• Prioridad alta      – Core – SQL Injection. Más info (ENG)
• Prioridad media – Core – XSS Vulnerability. Más info (ENG)

Anuncio original en Joomla. (ENG).

Un mes más, os recomendamos el recopilatorio de entradas publicadas en Daboweb en Febrero de 2012 por si en el día a día de la publicación alguna que pudiera interesarte, se te ha pasado por alto.

Todos los comentarios los vamos recogiendo en el foro de noticias que hemos creado para opinar sobre ellas. También te invitamos a participar en nuestros foros para exponer tus dudas o ayudar a despejar las que tengan otros. (Te recomendamos ver nuestro archivo de contenidos publicados).

Febrero 2012;

• 29: En Intypedia. Nuevo vídeo, lección 13. Seguridad en DNS
• 26: Aprende esperanto en GNU/Linux
• 25: El futuro de SMF
• 24: HijackThis es Open Source
• 19: Ubuntu Lucid Lynx 10.04.4
• 18: [Breves] Mozilla Firefox 10.0.2 solventa vulnerabilidad crítica
• 15: Actualizaciones de Microsoft Febrero de 2012
• 15: [Breves] Actualización crítica de seguridad para Firefox 10.0.1 Thunderbird 10.0.1 y SeaMonkey 2.7.1
• 12: Comprueba si el password de tu Router ADSL es visible vía web
• 07: Canonical “se deshace” de Kubuntu
• 07: Liberado Kernel Linux 3.2.5
• 03: Joomla! 2.5.1 y 1.7.5, actualizaciones de seguridad
• 02: Publicado en Daboweb, Enero de 2012
• 02: Drupal 7.11, 7.12, 6.23 y 6.24 actualización de seguridad

Al igual que en anteriores ocasiones, os recomendamos una nueva lección de Intypedia (Enciclopedia de Seguridad de la Información). En este caso, está orientada a la seguridad en DNS. Por Javier Osuna García‐Malo de Molina (GMV – Jefe de División de Consultoría de Seguridad y Proceso).

Según podemos leer en el resumen de esta lección;

Hola  Bernardo,  esta  mañana  la  agencia  de  viajes  donde  trabaja  una  amiga  ha  tenido  un
problema con su página Web y la forma en la que accedían sus clientes. He mirado su página y
parece que un atacante se ha aprovechado del funcionamiento del sistema DNS para simular la
página  web  de  la  agencia.  Su  intención  era  suplantarles  y  robar  información  de  sus  clientes.
Como  no  he  estudiado  detenidamente  cómo  funciona  internamente  DNS,  ¿podrías
aconsejarme algo para orientar a mi amiga?

Información de apoyo

Guión [PDF][562KB]
Diapositivas [PDF][348KB]
Ejercicios [PDF][531KB]

Pocos días después del lanzamiento de la versión 10.0.1, según leemos en INTECO -CERT, Mozilla ha liberado la versión 10.0.2 de su navegador Firefox. Dicha release, solventa una vulnerabilidad catalogada como crítica (MFSA 2012-11. Un «integrer overflow en libpng), así como otros problemas con «applets» de Java. Podéis actualizar directamente desde el propio navegador.

Esta es una noticia de este fin de semana que se nos quedó en el tintero «electrónico», pero por si no estáis al tanto sirva a modo de recordatorio. Sólo unos días después del lanzamiento de estas nuevas versiones de productos de la factoría Mozilla, llega una actualización crítica de seguridad para Firefox 10.0.1 Thunderbird 10.0.1 y SeaMonkey 2.7.1. Podéis actualizar de forma automática, más info en INTECO.