Daboweb | Seguridad y ayuda informática |

Estos días se está hablando mucho de la debilidad frente a ataques remotos de un iPhone que tenga hecho el «Jailbreak» (enlace a Blackra1n para hacerlo desde Windows o Mac OS X) para saltarse las restricciones de uso e instalación de programas de terceros impuestas por Apple o usar el teléfono con otro operador.

Esa vulnerabilidad no es otra que dejar el dispositivo con el password por defecto que es «alpine» una vez que se ha hecho el «Jailbreak». De ese modo, en una búsqueda de red, es posible identificar el iPhone y probar a acceder como root (super usuario, con privilegios totales) al teléfono y hacerse con el control total, pudiendo desde borrar todos los datos hasta instalar todo tipo de malware.

Si no tenéis conocimientos de como se usa una consola de comandos GNU/Linux, o el terminal que viene en Mac OS X, con esta guía no tendréis problema, en nuestro foro de noticias hay abierto un hilo sobre este tutorial y ahí podéis dejar vuestras dudas.

Para hacerlo desde Windows podéis usar PuTTY y el resultado será el mismo en todos los casos.

Es preciso apuntar que es necesaria una conexión wifi para el iPhone y que vuestro equipo esté conectados en el mismo rango de red que el iPhone.

1º, Identificando la IP interna del iPhone;

Continue reading…

De un modo resumido os informamos que la contraseña maestra de Firefox o Iceweasel (Firefox según Debian) se usa para guardar información tan privada como los passwords almacenados en los diferentes sitios en los que hayáis activado la cómoda y peligrosa opción de «recordar contraseña» si vuestro equipo cae en malas manos.

Podéis activar esa opción y ver las contraseñas almacenadas en vuestro equipo en el menú «Editar-Preferencias-Seguridad» donde pone «Contraseña maestra» y ver las guardadas justo debajo en «Contraseñas guardadas». Además de visualizarlas, no es un mal momento para mirar si alguna de ellas no os conviene tenerla guardada y en ese caso borrarla.

Hay muchas extensiones para Firefox especialmente indicadas para aumentar la seguridad de los passwords almacenados y como gestionar las contraseñas que se guardan como podéis observar desde esta búsqueda en la zona de las extensiones para Firefox de Mozilla.

Pero como consejo personal os diré que también existe alguna aplicación destinada a intentar romper y revelar esa contraña maestra, por lo que cuanto más larga y segura sea la contraseña maestra, mejor que mejor (aquí algún consejo para aumentar la seguridad de vuestras contraseñas).

Fijaos cuando la activéis o cambiéis en el medidor de la seguridad de la contraseña que tiene Firefox integrado para ver si realmente potente, (la barra inferior os lo muestra según la introducís).

Si anteriormente nos hacíamos eco de la noticia sobre el ataque recibido por parte de Microsoft en sus cuentas de hotmail, msn.com o live.com, hoy leemos que otros servicios de correo web también podrían verse afectados por este ataque.

Concretamente cuentas de correo de servicios tan conocidos como GMail, Yahoo, AOL, Comcast, etc., también podrían haber sido afectadas por lo que, si dispones de cuentas en alguno de estos servicios, se recomienda cambiar sus contraseñas inmediatamente.

Manuales para cambiar las contraseñas:

Cambiar la contraseña de GMail.

Cambiar la contraseña de AOL .

Cambiar la contraseña de Yahoo.

Cambiar la contraseña en cuentas de Hotmail.

Via: Neowin

Diversos medios se están haciendo eco de la noticia del ataque recibido por parte de Microsoft en su cuentas de hotmail, msn.com o live.com. Ahora mismo se habla de más de 10.000 cuentas de usuario cuya contraseña ha quedado expuesta y afecta a las que empiezan en las letras A y B

Pero no nos podemos fiar ya que la información no es muy clara y puede que haya otras listas o cuentas afectadas por lo que es urgente cambiar los passwords y migrar por si acaso a otras cuentas los correos almacenados (o bajártelos a tu ordenador) hasta que la situación se clarifique.

— Nota– Para cambiar el password una vez logeados en live.com (pantalla principal) accedéis a Opciones y más Opciones (en el menú desplegable). Cuenta > contraseña > cambiar la contraseña. Si tenéis alguna pega, seguir las indicaciones de este manual para cambiar la contraseña en cuentas de Hotmail.

Fuente NeoWin (ENG).

Podemos ver hoy un práctico tutorial realizado por nuestra compañera Danae para recuperar una contraseña de administrador en un sistema Windows.

Recordaos que esta herramienta es un crackeador de claves que al estar basado en tablas rainbow, puede realizar los ataques de fuerza bruta contra una contraseña de un modo eficaz y más rápido que con otros métodos.

Tiene también una GUI (interfaz gráfica de usuario) muy sencilla y que además corre en múltiples plataformas, estando disponible también en un LiveCD, pudiéndose descargar libremente.

Hoy he visto el exploit en milw0rm y afecta a WordPress versión 2.8.3 y anteriores. No es que realmente sea algo peligroso para vuestros blogs, pero si muy molesto ya que es posible resetear la contraseña del primer usuario creado en WordPress según hemos podido comprobar.

El problema es que si el ataque se hace de una forma automatizada, te obligaría a estar continuamente mirando el correo para ver la nueva contraseña de dicho usuario lo cual como he comentado antes es muy molesto y siempre hay un peligro potencial en estos casos.

¿la solución? podemos encontrarla según me ha comentado Destroyer vía una información de arturogoga.com y como hemos visto funciona. Simplemente hasta que salga una nueva versión que corrija el bug, hay que cambiar la siguiente línea de código.

Buscar en wp-login.php, la línea 190 y cambiar

if ( empty( $key ) )

Por

if ( empty( $key ) || is_array( $key ) )

Después podéis comprobar que estáis a salvo del bug tipeando lo siguiente en vuestro navegador (que hace que se resetee el pasword)

http://nombrededominio.com/wp-login.php?action=rp&key[]=

****************************************************************
EDITADO:

Disponible Actualización versión 2.8.4

****************************************************************

Una de las brechas de seguridad más frecuentes en el tráfico web, suele ser la conexión a lugares donde se almacena información sensible sin establecer dicha conexión bajo una capa de cifrado, es el caso de las cuentas de Gmail con su configuración por defecto, claramente insegura.

En este caso, se entiende que desde Google han preferido sacrificar la seguridad en pro de una mayor compatibilidad con todo tipo de navegadores web, dispositivos móviles, notificadores de correo, etc, un error a mi entender ya que debería ser al revés en un caso como este del correo electrónico, primero seguridad y luego compatibilidad o el mejor compromiso posible para estos dos factores.

Este tema es más preocupante al haber muchos usuarios de Gmail que se conectan únicamente a través del navegador, en el caso de recibir el correo vía POP o IMAP, normalmente se hace bajo SSL (Segure Socket Layer) o TSL, su sucesor y esos correos llegarán a vuestro sistema bajo cifrado, por lo que en el caso de que alguien intente interceptar con un sniffer esos datos, al no circular como texto plano (para entendernos), serán mucho más difíciles de capturar.

Para evitar esto en la navegación, se usa el protocolo HTTPS, similar al HTTP pero bajo una capa de cifrado vía SSL y es básicamente lo que os recomendamos para un uso correcto y más seguro de Gmail. Esta opción se hace imprescindible en el caso de que os conectéis vía web a Gmail bajo redes «no seguras» como pueden ser una Wi-fi pública o abierta, un cibercafé (nada recomendable), un equipo que se encuentre en vuestro trabajo, compartido, etc.

¿Cómo activar el uso de HTTPS?

1. Accede a Gmail.
2. Haz clic en Configuración en la parte superior de cualquier página de Gmail.
3. Selecciona «Usar siempre https» para la «Conexión del navegador:».
4. Haz clic en Guardar cambios.
5. Vuelve a cargar Gmail.

La mejor combinación posible sería (para este caso de Gmail y otros) el uso de SSL activado en vuestro cliente de correo electrónico y si es posible, usar una conexión web segura (https) para consultarlo vía webmail.

Si alguno tiene dudas de su importancia, puede probar a bajar sus correos sin cifrar y someter el tráfico de su tarjeta de red al análisis de una herramienta como Dsniff y cuando vea la contraseña del su cuenta de correo electrónico, así como todos sus mails en texto plano visualizados en la pantalla de su equipo, se dará cuenta de lo devastador que puede ser un ataque de este tipo…

Gmail avisa de que con la opción HTTPS activada, puede haber alguna incompatibilidad con su notificador de correo, subsanable con un parche que ellos mismos proveen y también que en algún caso, su aplicación de Gmail para móviles puede funcionar incorrectamente (también hay instrucciones sobre como intentar solventarlo). También hablan de una posible lentitud en el servicio cosa que personalmente nunca he llegado a notar y las ventajas siempre en este caso pesan mucho más en la balanza.

Por David Hernández (Dabo).

Esta entrada viene a raíz del robo de cuentas sufrido por Christian Van Der Henst, administrador de Maestros del web y Foros del web, caso felizmente resuelto y del que nos hicimos eco en Daboweb, (No hay de que -;) al igual que desde muchos otros blogs y comunidades.

Hace unos días, en una conversación vía Skype con Kids de Blogoff, cuando el se encontraba preparando su podcast de rabiosa actualidad con Christian como protagonista (os lo recomiendo), yo le decía que no acaba de entender el por qué de no avisar al usuario de cuando su cuenta (de correo, panel web, facebook, twitter, etc, etc como le sucedió a Christian) estaba siendo víctima de un ataque o cuando se cambia una contraseña.

Por ataque me pueden servir los que se realizan por fuerza bruta (intentos masivos de crackeo/adivinación de la contraseña del usuario) o de otro modo, con la peligrosa opción de “olvidé mi contraseña” y la consiguiente pregunta para recuperarla, uno de los males de la seguridad más explotados y que siguen dando sus devastadores frutos todos los días por ataques de ingeniería social (a través del conocimiento de los usos, costumbres y detalles personales de la víctima)

Está claro que la responsabilidad final de la seguridad de un servicio ofrecido vía web es principalmente del usuario, (sobre este punto habría mucho que «puntualizar» llegado el caso) pero estaréis de acuerdo conmigo en que no cuesta nada que por parte del prestador del servicio faciliten las cosas. Un caso que técnicamente cuesta bien poco implementar pero muy efectivo y que ha sido aplaudido por todos, es la política de Gmail de mostrar en el pie de página la dirección IP de la última conexión al correo, tan sencillo como leerlo de logs de acceso y meter el “refer” al final de la página ¿coste? cero.

Lo que me cuesta más entender es que en muchos de esos servicios (gmail o hotmail por ejemplo), te inviten a dejar una dirección de correo secundaria en tu perfil y no se valgan de esa segunda dirección para enviar un aviso en el caso de que estén intentando reventarte la cuenta legítima, porque cuesta lo mismo impedir el acceso de forma temporal caso de hotmail a la recuperación de una cuenta tras varios intentos fallidos que leer en la base de datos esos intentos y llegado a un número enviar un mail avisando.

Muchas veces hemos hablado de las contraseñas seguras y su importancia,(lo escribí hace 4 años) del uso de programas como Keepass o Colossus,  de como trabajar de forma remota con seguridad, también de no usar una sola cuenta o la principal y pública para administrar sitios web, información sensible, etc, etc, pero creo que también es momento de compartir la responsabilidad con el usuario del aseguramiento de una cuenta ya que el coste es mínimo y para ese usuario, un mail que incluya la IP desde la que se produjo el error de acceso, vital en esos momentos en los que se está llevando a cabo el ataque y a posteriori para depurar responsabilidades.

Muchos de esos servicios no deberían preocuparse sólo por sus anunciantes, monopolios, cuotas de mercado e impresiones de página, sino también por esos usuarios que son los que se tragan sus cookies, publicidad en ocasiones abusiva y condiciones de uso (y desuso).

¿Quieres comentar algo sobre este post? Puedes hacerlo en nuestro foro de noticias

Por David Hernández (Dabo).

En tiempos de crisis, las empresas ven en el teletrabajo una forma rápida de ahorrar costes y con ello los riesgos para su seguridad aumentan. La consultora Ernst & Young en un reciente estudio afirma que esos beneficios pueden ser superados por las pérdidas ocasionadas por unas malas prácticas respecto a la seguridad de la información.

Realmente, todo esto puede sonar un tanto antiguo como bien aclara Scott en Security Views (fuente) porque llevamos muchos años hablando de lo mismo en Daboweb. Pero no está de más recordarlo y he querido traducirlo  ya que por mucho que hablemos de estos temas, nunca es suficiente y si tienes una empresa en la que algunos empleados trabajan remotamente a través de una intranet corporativa o si tu mismo eres uno de ellos, deberías tener en cuenta estos aspectos.

5 formas de fomentar un teletrabajo más seguro;

1 – Antivirus, antispyware y políticas de filtrado a través de Firewalls. Como todos sabemos, ciertos virus que entran en los ordenadores personales que tienen en su hogar esos empleados, pueden llegar a propagarse fácilmente a través de las redes corporativas infectando a otros trabajadores y en algunos casos a los servidores de la empresa. Las empresas deberían preocuparse de dotar a sus empleados de buenas soluciones contra el malware y proporcionar medios eficientes de filtrado (bien por software, hardware o una combinación de ambos) así como de proporcionar regularmente las últimas versiones y parches del sistema operativo que usen.

2- Instalación de software y políticas de actualización. Se hace una llamada de atención a los potenciales riesgos del mal uso de programas P2P a través de los cuales puedan romper la seguridad de esos equipos (y aclaro, de uso totalmente legal por mucho que alguno quiera hacernos ver otra cosa-;) y también se habla del software no actualizado y los peligros que conlleva aconsejando el uso por ejemplo de Secunia PSI (sólo para Windows) para detectar ese software desfasado y ayudar a que esos empleados trabajen en entornos más seguros.

3- Otro tema a tener en cuenta es la política de acceso a redes inalámbricas desde el hogar de esos empleados. Si no se accede a Internet con unas mínimas medidas de seguridad por esas redes Wi-fi, la información que viaja por la red puede ser sensible a ser capturada por técnicas de «sniffing» quedando expuesto contenido sensible así como contraseñas y datos personales del usuario. (Sobre este punto y para realizar una traducción más completa, añado que es muy importante que el correo electrónico vaya cifrado bajo SSL o similar aunque se podría añadir tanto que haría esta entrada interminable-;).

4- Papel, medios de almacenamiento y políticas de eliminación. Los usuarios deberían estar obligados a realizar un seguimiento de los medios de comunicación electrónicos y en papel, se recomienda el uso de destructoras de papel (de costes ahora más reducidos) para mantener la información corporativa sensible a salvo de algunos que buscan «hasta en la basura» (que por cierto sigue siendo una técnica tan usada como efectiva para obtener información). Se hace una llamada de atención al almacenamiento de documentos, disquetes o CD’s, los cuales deben ser colocados en recipientes o gabinetes bajo llave. (Añado también que la información que contienen los discos duros debería estar protegida mediante cifrado o bajo el uso de unidades externas por ejemplo con protección por huella dactilar).

5- Para acabar, recordar que por mucho que se apliquen todas las medidas posibles y políticas de seguridad para evitar sufrir pérdidas y accesos no deseados a esa información, una «navegación responsable» es la mejor compañera así como el uso de sentido común. Añado también que la formación en la empresa sobre buenas prácticas de seguridad es fundamental, así como una actitud responsable de los empleados del uso de los sistemas corporativos no olvidando que en manos de todos, está reducir ese 90 % de Spam que acompaña a todo el correo electrónico que circula por la red. También y por básico que parezca, añado que el cambio frecuente y uso de contraseñas seguras es la primera medida a tener en cuenta. (Eso y…no dejarlas pegadas en un papel en la pantalla-;).

Por David Hernández (Dabo).

¿Quieres comentar algo sobre este post? Puedes hacerlo en nuestro foro de noticias

Manual PDFCreator, un interesante programa freeware, en castellano y de fácil manejo, que nos será de gran utilidad para crear archivos pdf con contraseña, de tal modo que si asi lo establecemos, no podrán ser visionados y/o  modificados sin antes introducir la contraseña.

Continue reading…