Daboweb | Seguridad y ayuda informática |

Unas horas después del problema con el borrado de ficheros en algunas cuentas que tenían activa la «sincronización selectiva», el equipo de Dropbox ha desmentido que hayan tenido una intrusión en sus sistemas ante tanto revuelo y noticias sobre un hackeo masivo.

Se hablaba de 7 millones de cuentas, de las que el supuesto atacante iba publicando avances en Pastebin (400 cuentas, con el usuario y su correspondiente contraseña) y según Dropbox, la mayoría de ellas están inactivas, aunque por seguridad han forzado al cambio de password a las cuentas que se ven en los listados.

Viendo las cuentas de correo publicadas, en su mayoría de Hotmail y en algunos casos de Yahoo, puede parecer a simple vista que el origen sea un Phishing, (suplantación de identidad) aunque esto es una apreciación de la redacción de Daboweb y según vayan pasando los días, tendremos una información más fiable.

Nuestro consejo es que aún con todas las explicaciones, actives la verificación en dos pasos y cambies tu contraseña actual como buena práctica regular de seguridad, además de para evitar ser víctima de esta posible brecha en un servicio de terceros.

No obstante, no dejéis de pasar por el centro de seguridad para ver los dispositivos vinculados, ya que tal y como nos hace saber Dropbox vía mail cuando cambiamos nuestra contraseña:

Si bien actualizamos tu contraseña, tus computadoras y teléfonos todavía están vinculados a Dropbox. Para desvincular un dispositivo que perdiste o te robaron, haz clic en este vínculo.

Os recomendamos leer: Guía de utilización segura de Dropbox – CSIRT-cv

Desde hace unos meses, estamos viendo como los ataques, bien por vulnerabilidades «0 Day» o ya publicadas, hacia servidores web con paneles de administración Plesk van en aumento..

Una forma sencilla de saber si tu panel es sensible a los últimos bugs que le afectan (ENG, sirva como ejemplo y algunos solventados de forma poco transparente en forma de «microupdates») es instalando y ejecutando este sencillo script en PHP que ha realizado Parallels (ENG).

Como recomendación, caso que el resultado revele que está pendiente de actualizar, además de aplicar el parche lo antes posible, frente a posibles intrusiones en días anteriores, es conveniente cambiar todos los passwords de acceso al propio Plesk, cuentas FTP, MySQL, etc.

Se está hablando mucho estos días del bug y el cambio de passwords en Lion tal y como podemos leer en Ontinet y nos han llegado varias consultas sobre cómo actuar hasta que Apple publique una actualización que lo solvente.

Aclaramos en el título lo de «un ataque local», ya que se requiere acceso físico a la máquina para poder llegar a efectuar dicho ataque con sólo tipear el siguiente comando en el terminal; dscl localhost -passwd /Search/Users/NombreUsuario.

Esta vulnerabilidad / debilidad en la gestión de las contraseñas de Mac OS X no es nueva tal y como nos recuerdan desde Genbeta (donde también se dan buenos consejos), ahora, con el lanzamiento de Lion, vuelve a estar de actualidad y es lógica la preocupación de los usuarios de OS X frente a un ataque de este tipo.

Realmente no es algo tan complejo de paliar y obviamente, ayuda que sea un ataque para el que se necesite estar frente al equipo caso de querer efectuarlo. También en LifeHacker (ENG) un usuario ha preguntado lo mismo y vamos a dar un repaso a las medidas a poner en práctica.

Desde el terminal;

• Desactivar los permisos de dscl (como root) tipeando; chmod 100 /usr/bin/dscl

Desde Preferencias del Sistema – Seguridad;

• #Nota. Puedes ver esta imagen de LifeHacker para ver mejor los cambios
• Desactiva el inicio de sesión automático.
• Activa la opción «solicitar password inmediatamente» cuando se active el salvapantallas o la suspensión.
• (Sobre este punto comentar que en Preferencias- Energía podéis bajar el tiempo de esos valores, recomendable).
• Solicitar la contraseña de administrador para desbloquear cualquier preferencia del sistema bloqueada.
• No olvides bloquear el candado en la zona inf izquierda.

Desde Preferencias del Sistema – Usuarios y grupos;

• Desactivar la cuenta de invitado
• (También recomendable en «compartir» desactivar el acceso a carpetas compartidas)

Ahora sólo es cuestión de esperar y ver el «tiempo de respuesta» por parte de Apple para parchear este agujero de seguridad.

Según ha reconocido hace unos minutos Matt Mullenweg (ENG) y ante la sospecha de que plugins como AddThis, WPtouch y W3 Total Cache puedan contener una puerta trasera, con el correspondiente riesgo que conlleva, además de cerrar el acceso al repositorio de plugins mientras según sus propias palabras «buscan algo más desagradable», desde WordPress.org han decidido forzar a restablecer las contraseñas de acceso a servicios como sus foros, el trac, bbPress.org o BuddyPress.org.

Lógicamente, se recomienda no usar el password anterior ni tener el mismo en distintos servicios de WordPress. También se recomienda comprobar si  AddThis, WPtouch y W3 Total Cache corren con sus últimas versiones y en su defecto actualizar a la mayor brevedad posible.

Desde Daboweb os recomendamos encarecidamente acelerar estos procesos si usas esos servicios, ya que aún están buscando y sin querer caer en un alarmismo del que nunca hemos hecho gala, no está de más ante la duda cambiar también vuestros passwords de usuario en WordPress.com.

Continuando con nuestra sección de Seguridad Básica para los que empiezan, hoy trataremos un apartado de vital importancia y al que no siempre se le da el valor que requiere.

Las Contraseñas  o Passwords.

Las contraseñas o passwords son ya un elemento imprescindible, tanto en nuestra vida cotidiana como en nuestra vida informática; tarjetas de crédito, alarmas, DNI-e, correo electrónico, accesos a foros y webs, acceso a banca online, Redes sociales, etc., son una pequeña muestra de ello.

Lejos de modas, repeticiones e insistencias que podáis encontrar a diario sobre este tema, como ya indicábamos en otra entrada de Daboweb, la comodidad en la seguridad se paga y a veces el precio es muy elevado.

En ocasiones además, tendemos a relajarnos tras un periodo en el que no hemos tenido ningún problema con los passwords o contraseñas que habitualmente manejamos y ello, va a posibilitar que tarde o temprano suframos un percance.

Entrando en materia, vamos a ver una serie de consejos y recomendaciones a tener en cuenta a la hora de elegir y trabajar con nuestras contraseñas, que hemos publicado en nuestro otro blog, Basicoyfacil.

Una Contraseña o Clave personal, también denominada con su anglicismo Password, es un código o combinación de caracteres, utilizado como medida de seguridad y cuyo objeto es el de proteger el “acceso no autorizado” a un recurso determinado.

Como ejemplo de contraseñas de uso cotidiano tenemos las de nuestras tarjetas de crédito, el pin y el puk del teléfono móvil, la de bloqueo del televisor, la alarma de casa o la oficina, etc., e informáticamente hablando; la de acceso al sistema operativo o a nuestra sesión de usuario, la del Messenger, la de nuestros correos electrónicos, la de acceso al blog, a nuestras cuentas bancarias, etc.

Como podréis observar es algo bastante habitual en nuestro día a día y por tanto, debemos metalizarnos de que hay que prestarle una atención máxima, tanto en su empleo como en su elección, discrección y mantenimiento posterior.

Consejos para la elección y empleo de las contraseñas:

• Una contraseña será más segura cuanto mayor sea la dificultad para averiguarla, pero claro, a veces la elección de contraseñas con combinaciones muy rebuscadas y difíciles de recordar complican su empleo posterior, pero esto nunca debe ser motivo para obviar este aspecto.
  Existen además programas informáticos que nos permiten almacenarlas para utilizarlas cuando sea necesario, como puede ser Keepass.

• Se recomienda utilizar contraseñas que estén compuestas por una combinación de caracteres de al menos 8 cifras, compuesto por Letras (mayúsculas y minúsculas), Números (1,2,3,4,5) y Signos ( & % $ ! = ? *· – / )  Por ejemplo: Di5/4%$ext&.

• Dependiendo del recurso que se proteja algunas de estas contraseñas podrán ser en cierto modo más livianas, más cortas, etc., pero aún así, recomendamos utilizar siempre que sea posible las combinaciones expresadas anteriormente.

• Para generar vuestras contraseñas huir de utilizar palabras comunes, de uso habitual o que se encuentren en el diccionario, no utilicéis vuestra fecha de nacimiento o de los familiares, matrícula del coche u otros datos relacionados, que alguien puede conocer y por tanto deducir.

• Por supuesto sobra decir que la contraseña es secreta y como tal debe tratarse. No se debe dejar al alcance de otras personas, poca validez puede tener por ejemplo la contraseña para arrancar nuestro equipo si la dejamos colocada en la pantalla con un Pos-it 😀

• Es recomendable cambiar las contraseñas periódicamente, quizás no es necesario hacerlo todos los días pero si hay que hacerlo de vez en cuando y sobre todo, siempre cambiarlas tras aquellos supuestos en que nuestro equipo haya estado comprometido (infectado por algun troyano, virus, etc).

• No es recomendable utilizar la opción que nos ofrecen determinados programas y navegadores web para guardar las contraseñas automáticamente para que en accesos posteriores no tengas que introducirla, piensa que otro usuario detrás de tí podrá acceder a ese programa.

• Y por supuesto, ni que decir tiene que no se debe utilizar la misma contraseña para todo.

Hasta la próxima entrega.

Entradas publicadas de Seguridad Básica:

• Seguridad básica para los que empiezan.
• ¿A qué nos enfrentamos?.

• Las contraseñas.

• La pregunta secreta.

• Analiza siempre tus descargas con el antivirus.

• Utiliza cuentas de usuario limitadas.

• Enlaces cortos, como crearlos, precauciones.