Daboweb | Seguridad y ayuda informática |

Como en tantas otras ocasiones, nos hacemos eco de la publicación de una nueva lección desde Intypedia, en este caso la última y no por ello menos interesante.

Aprovechamos la ocasión para felicitarles por el gran trabajo realizado para la comunidad ;).

Lección número 14 (info).

En el servidor Web de intypedia se encuentra disponible la Lección 14 de la Enciclopedia de la Seguridad de la Información con el título Funciones unidireccionales y hash, cuyo autor es el Dr. Hugo Krawczyk, investigador de IBM Estados Unidos, y que se verá como último vídeo destacado en la Web:

En esta lección Alicia explica a Bernardo las características y usos de las funciones unidireccionales y los hash en criptografía, resaltando su importancia como primitivas de autenticación así como sus debilidades ante ataques y colisiones.

La lección tiene una duración de 14:56 minutos y está formada por 4 escenas o capítulos:

• Escena 1. Funciones unidireccionales.
• Escena 2. Funciones hash.
• Escena 3. Resistencia a colisiones.
• Escena 4. Consideraciones prácticas: procedimientos, criptoanálisis y consecuencias.

Como siempre, la lección viene acompañada por 3 documentos en pdf que pueden descargarse desde el sitio Web de intypedia: el guión, las diapositivas y ejercicios para autoevaluación.

Acceso a la lección en Intyedia.

Nos encontramos con la quinta actualización mayor de la última versión estable de uno de los más importantes sistemas operativos GNU/Linux, si no el que más ya que además de su uso para el escritorio está el más extendido como servidor web.

Esta actualización, de hace apenas un par de días,  soluciona diferentes problemas de seguridad y corrige un gran número de errores encontrados. Para instalaciones limpias todas estas actualizaciones se encuentran ya disponibles en los discos de instalación.

Los que prefieran actualizar manualmente mediante consola ya sea porque aún no les ha saltado el aviso del gestor de actualizaciones o porque simplemente prefieren hacerlo así pueden usar los comandos:

sudo aptitude update

sudo aptitude safe-upgrade

aptitude puede ser sustituido por apt-get aunque recomendamos usar el primero por resultar más efectivo, del mismo modo recomendamos el uso de safe-upgrade para actualizar la paquetería del sistema por ser menos agresivo y más seguro de cara a la estabilidad del sistema, la otra opción es full-upgrade que irá instalando y borrando todo lo necesario hasta resolver todas las dependencias.

Noticia | Changelog

Desde el 5 de mayo de 2012 se encuentra disponible en el Massive Open Online Course MOOC de Crypt4you la cuarta lección del curso El Algoritmo RSA, dedicado a las claves parejas.

Esta cuarta lección nos presenta una de las características más llamativas del sistema RSA. Se trata del hecho de que si bien la clave pública e y la clave privada d son inversas en el cuerpo trampa (p-1)(q-1) y, por tanto, son únicas en el sentido de que su producto en ese cuerpo nos da la igualdad y por ello deducimos que d es el único inverso de e y lo mismo en el sentido inverso en ese cuerpo que sólo conoce el dueño de la clave, esto no será así cuando la cifra se realice en el cuerpo público n, obviamente distinto al anterior. De esta manera, surgirán otros valores distintos a la clave privada d que realizarán la misma función de cifrado y descifrado y otro tanto ocurrirá con la clave pública e. Un tema que es menester analizar, si bien con versiones actuales de librerías criptográficas como las que se usan hoy en OpenSSL se generan claves RSA con muy pocas claves privadas y públicas parejas, algo que no sucedía a mediados de la década pasada.

Apartados de la Lección 4:

• Apartado 4.1. ¿Qué son las claves privadas parejas?
• Apartado 4.2. Minimizando las claves privadas parejas
• Apartado 4.3. También existirán claves públicas parejas
• Apartado 4.4. ¿Hay que preocuparse por estas claves parejas?

La próxima entrega de este curso, la Lección 5 sobre Mensajes o Números no Cifrables, se publicará a mediados del mes de mayo de 2012.

Lección 0. Introducción al curso
Lección 1. Los principios del algoritmo RSA
Lección 2. Valores de diseño de las claves
Lección 3. Cifrado de números y mensajes
Lección 4. Claves privadas y públicas parejas
Lección 5. Mensajes no cifrables
Lección 6. Ataque por factorización
Lección 7. Ataque por cifrado cíclico
Lección 8. Ataque por paradoja del cumpleaños
Lección 9. El uso del Teorema del Resto Chino
Lección 10. Generación de claves con openSSL

Los chicos de Drupal nos vuelven a sorprender con un salto temporal en la numeración de sus versiones, la última actualización de la que hablamos aquí referente a la rama 7.x fué una doble actualización con las versiones 7.11 y 7.12 hace 3 meses.

Nuevamente lanzan dos actualizaciones consecutivas, la 7.13 que únicamente corrige los problemas de seguridad y la 7.14 que además corrige errores de versiones anteriores (¿también de la 7.13?), como es lógico y normal lo recomendado es actualizar a la última.

La vulnerabilidad corregida ha sido catalogada como crítica y son vulnerables todas las versiones anteriores a la 7.13. La actualización de la rama 6 solo corrige errores, esta versión de momento no parece afectada por este problema de seguridad que entre otras cosas puede provocar una denegación de servicio o un robo de datos con una redirección del inicio de sesión mediante un script malicioso.

Anuncio oficial, en inglés.

Nueva actualización de PHP, concretamente para las versiones 5.3 y 5.4, en las que se encontraron dos vulnerabilidades, las cuales pueden ser aprovechadas por un posible atacante para usar una inyeccion SQL y saltarse unas determinadas restricciones de seguridad.

En la versión 5.3 el fallo consiste un cambio temporal de la directiva «magic_quotes_gpc» y en ambas (la 5.4 y la 5.3), un script PHP que aceptase múltiples subidas de archivos en una misma petición podría provocar el acceso a directorios de acceso restringido, mediante nombres de archivos creados para tal efecto. Como ya hemos dicho, ambas vulnerabilidades son explotables mediante inyección SQL, con lo que se recomienda su actualización imediata.

Acaba de liberarse la versión 3.2.2 de WordPress catalogada como «actualización de seguridad». Según podemos leer en el anuncio de la release, se han solventado varios fallos de seguridad en 3 librerías externas: «Plupload», «SWFUpload», «SWFObject,», así como una escalada de privilegios y dos XSS.

Esta actualización está disponible desde vuestro panel de administración así como desde WordPress.org.

Hoy queremos reseñar WinLockLess, una pequeña herramienta gratuita y que no precisa instalación, (programada por Sergio de los Santos en C#, y el diseño de José Mesa) para prevenir que el malware se ejecute de nuevo en el inicio del sistema (y así pueda bloquearlo).

Evita que los programas modifiquen ciertos puntos del sistema para que se lancen de forma automática en el inicio de Windows. Se ha intentado que sea bastante sencillo: niega con un solo click el permiso de crear subclaves y establecer el valor (y en algunos casos, de borrar) sobre estas ramas implicadas en el arranque de Windows y además, protege la carpeta de inicio del usuario.

En la siguiente imagen de la interfaz del programa se aprecian los detalles y empleo del programa que no reviste mayor dificultad..

El programa no es un antivirus, ni evitará ninguna infección, pero evitará que, buena parte del malware conocido, bloquee el acceso al sistema al arrancarse con él.

Más información y descarga de WinLockLess.

Detectado un grave fallo de seguridad en los drivers privativos de las tarjetas Nvidia en su versión para sistema de tipo UNIX, el cual podría permitir a un virtual atacante escribir directamente en la memoria del sistema, reconfigurando la GPU. Se da la circunstancia de que la configuración por defecto de la tarjeta gráfica otorga los permisos necesarios para llevar a cabo este ataque, permitiendo la  lectura y escritura en los nodos de dispositivos GPU.

Nvidia ha sacado los drivers 295.40 para Linux, Solaris y FreeBSD, con lo que los usuarios de estos sitemas operativos deben actualizarse si su equipo es usado por muchos usuarios, en prevención de posibles problemas de seguridad. Os dejamos este otro enlace para mas información.

Se encuentra disponible en el Massive Open Online Course MOOC de Crypt4you la tercera lección del curso El Algoritmo RSA, dedicado al cifrado de números y mensajes.

En esta tercera lección del curso, se analiza la cifra de números y mensajes con RSA, sabiendo que esta última cifra de mensajes es sólo un ejercicio de laboratorio, en tanto que al ser estos algoritmos muy lentos comparados con la cifra simétrica o de clave secreta.

En la práctica sólo se usan para cifrar pequeños números de unas centenas de bits. Comienza con una breve introducción del algoritmo de intercambio seguro de clave de Diffie y Hellman para luego usar el algoritmo RSA en dicho intercambio, comparando además ambos sistemas.

Apartados de la Lección 3:

Apartado 3.1. El intercambio de clave de Diffie y Hellman
Apartado 3.2. Implementación del intercambio de clave con RSA
Apartado 3.3. Cifrando mensajes con RSA
Apartado 3.4. Test de evaluación de la Lección 3
Apartado 3.5. Estadísticas de la Lección RSA03

La próxima entrega de este curso, la Lección 4 sobre Claves privadas y públicas parejas, se publicará a finales de la primera semana del mes de Mayo.

Lección 0. Introducción al curso
Lección 1. Los principios del algoritmo RSA
Lección 2. Valores de diseño de las claves
Lección 3. Cifrado de números y mensajes
Lección 4. Claves privadas y públicas parejas
Lección 5. Mensajes no cifrables
Lección 6. Ataque por factorización
Lección 7. Ataque por cifrado cíclico
Lección 8. Ataque por paradoja del cumpleaños
Lección 9. El uso del Teorema del Resto Chino
Lección 10. Generación de claves con openSSL

Se encuentran disponibles para su descarga e instalación varias actualizaciones para productos de Adobe, que solucionan graves vulnerabilidades de sus productos, Adobe Reader y Adobe Acrobat, en versiones para Windows, Linux y Macintosh.

Como ya hemos mencionado en anteriores ocasiones, insistimos en la importancia de mantener el sistema operativo y los programas siempre actualizados. por lo que se recomienda actualizar a la mayor brevedad posible a las nuevas versiones publicadas en la web de Adobe.

En Adobe Reader y Adobe Acrobat están afectadas las siguientes versiones:

• Adobe Reader X 10.1.2 y anteriores en Windows y Macintosh.

• Adobe Reader 9.5 y anteriores en Windows y Macintosh.

• Adobe Reader 9.4.6 y anteriores en Linux.

• Adobe Acrobat X 10.1.2 y anteriores en Windows y Macintosh.

• Adobe Acrobat 9.5 y anteriores en Windows y Macintosh.

Además recordaros que cuentas con la posibilidad de utilizar aplicaciones alternativas para trabajar con archivos PDF, con las que podrás visionarlos, crearlos, manipularlos, protegerlos, desprotegerlos, cortarlos, etc.

Se acaba de liberar hace poco más de una hora una nueva actualización para la rama 2.5.x considerada de seguridad y que soluciona dos errores etiquetados como de prioridad baja además de una buena colección de tickets de todo tipo.
Concretamente:

• Prioridad baja – Núcleo – Un error en la comprobación de permisos podría compremeter información administrativa. Más info (ENG)
• Prioridad baja – Núcleo – Un filtrado inadecuado en el gestor de actualizaciones del CMS podría provocar vulnerabilidad XSS. Más info (ENG)

Esta nueva actualización además soluciona un buen número de errores, muy importante actualizar.

Anuncio original en Joomla. (ENG).

Con nombre [senu takaa ama busani] llega una nueva actualización para Joomla!, la 1.5.26 que corrige dos problemas de seguridad, uno considerado de prioridad alta y otro de prioridad baja. El primero de ellos es un bug que afecta al restablecimiento de contraseña provocado por una insuficiencia a la hora de generar contraseñas aleatoriamente (que se generaban pocas).

La segunda y de prioridad baja es un bug que podría permitir la visualización de información administrativa tras una comprobación errónea de permisos. Concretamente:

• Prioridad alta – Núcleo – Vulnerabilidad en cambio de contraseña. Más info (ENG)
• Prioridad baja – Núcleo – Divulgación de información. Más info (ENG)

Esta nueva actualización no incluye ninguna otra mejora ni corrección alguna de errores, se recomienda actualizar a la mayor brevedad posible. También me entero vía gnumla de que el soporte para la rama 1.5.x se extiende hasta Septiembre de este año (no he encontrado confirmación oficial).

Anuncio original en Joomla. (ENG).

Según leemos en H-Online (ENG), se ha reportado un fallo de seguridad catalogado como de impacto alto en «Apache Traffic Server» (CVE-2012-0256).

Dicho bug afecta prácticamente a todas las ramas 2.x y 3.x (incluso las de desarrollo) y se recomienda actualizar a la mayor brevedad posible a la versión 3.0.4 dado que evita tanto ataques de denegación de servicio (DoS) o la ejecución arbitraria de código.

Más información (Apache Server).

El parche de seguridad MS12-020 liberado en las actualizaciones de Microsoft de la pasada semana, soluciona un grave fallo en el manejo del protocolo RDP, que puede (y será) aprovechada por muchos ciberdelincuentes para acceder a máquinas sin actualizar y obtener jugosa información de ellas.

Como ya hemos comentado en otras ocasiones, volvemos a incidir una vez más en la importancia que representa mantener actualizados tanto el sistema operativo, como todo el software o programas que utilizamos en nuestro equipo.

Las actualizaciones en la mayoría de ocasiones solucionan vulnerabilidades, problemas de seguridad o de funcionamiento del sistema, por lo que siempre debemos instalar las actualizaciones en cuanto se publiquen para tener el sistema totalmente actualizado, ya que de lo contrario, algún malware podría aprovecharse de estas debilidades e infectar nuestros equipos.

Leer más en Seguridad básica sobre el tema  Mantener el Sistema operativo y el Software actualizados.

Se encuentra disponible una prueba de concepto para la vulnerabilidad en RDP, publicado por Josep Albors en Eset laboratorio.

Hoy es un gran día para todos los amantes de la Seguridad Informática en general y de los de la Criptografía en particular. Tal y como adelantamos en el título y según podemos leer en la nota de prensa que a continuación reproducimos.

De la mano del Dr. Jorge Ramió y del Dr. Alfonso Muñoz, (impulsores de un proyecto al que le hemos dado toda la difusión que merecía, la Enciclopedia de la Seguridad de la Información, Intypedia y cuya última lección se publicará en abril de 2012) nace un nuevo formato de enseñanza online, gratuita y colaborativa, el Aula Virtual de Criptografía y Seguridad de la Información Crypt4you.

Nota de prensa;

Crypt4you es un proyecto de innovación educativa sin ánimo de lucro que nace en la Red Temática de Criptografía y Seguridad de la Información Criptored, en la Universidad Politécnica de Madrid, España. Siguiendo el título del proyecto, se trata de criptografía para ti, criptografía y seguridad de la información para todos, una manera de abrir las puertas de la universidad hacia toda la sociedad.

Los autores de los cursos serán preferiblemente investigadores y profesores universitarios miembros de la Red Temática Criptored.

Una de las características distintivas de Crypt4you es la publicación y entrega de lecciones a manera de fascículos todos los días 1 y 15 de cada mes. El primer curso que lleva por título El algoritmo RSA, del profesor Dr. Jorge Ramió, y está compuesto por 10 lecciones que se publicarán desde el 15 de marzo al 1 de agosto de 2012.

Las lecciones contemplan un conjunto de ejercicios y prácticas, propuestos y resueltos y un test final de evaluación personal; con la última lección de cada curso se publicará un examen final. Otra característica de este nuevo formato de formación e-learning es el enfoque colaborativo, en tanto se pide a los alumnos que sigan estos cursos su participación activa a través de las redes sociales facebook y twitter de Crypt4you, resolviendo dudas y aportando conocimiento.

Otra faceta novedosa de este proyecto es la actualización dinámica de sus contenidos, en el sentido de que el autor podrá en cualquier momento actualizar los contenidos de sus lecciones, añadir nuevos apartados, nuevos ejercicios y prácticas.

En definitiva, Crypt4you se presenta como un nuevo formato de formación en seguridad de la información en la nube, gratuita, online y colaborativa, con el rigor que ha demostrado Criptored en sus doce años de vida sirviendo más de dos millones de documentos, con una especial dedicación hacia Iberoamérica.

Para mayor información, acceda al sitio Web de Crypt4you y lea las Frequently Asked Questions FAQ.

Sitio Web: http://www.crypt4you.com
Criptored: http://www.criptored.upm.es/
Intypedia: http://www.intypedia.com/

Desde Daboweb, seguiremos apoyando proyectos como este y vaya desde aquí toda la suerte de mundo !