Mostrando las últimas 31 entradas de un total de 32 de abril 2008 Mostrar las entradas más antiguas
Mostrando las últimas 31 entradas de un total de 32 de abril 2008 Mostrar las entradas más antiguas

25 abril 2008

Escándalo por filtración de datos personales

Desde varios post de este blog (véase por ejemplo Me da igual y Me sigue dando igual) se ha tratado de concienciar a todo el mundo de la importancia de seguir ciertas políticas de seguridad para mantener nuestros equipos y los datos que ahí guardamos a salvo de extraños. La ignorancia y la despreocupación sobre la seguridad de nuestro equipo y sobre la importancia de los datos que ahí puede haber guardados, se traslada muchas veces al ámbito del trabajo. Frente a la legislación actual que trata de proteger la privacidad en la gestión de los datos de carácter personal (véanse los post sobre LOPD en este mismo blog), siempre sigue habiendo personas, empresas, instituciones, que no ponen todo el énfasis que debieran en proteger los datos.

Hoy mismo se ha publicado una noticia en la que se informa de que más de 11.000 historias clínicas de pacientes, entre las que se incluyen 4.000 historias de casos de abortos, han podido ser filtradas desde una clínica de Bilbao. La noticia es especialmente preocupante ya que los datos fueron compartidos a través de la red P2P de emule, lo cual indica deficiencias graves de seguridad por parte del empleado/s (que utilizaron el emule en el trabajo sin preocuparse de lo seguro que podía ser) y también por parte de la clínica (que no se ha preocupado por la seguridad de su red informática). La clínica en cuestión ha sido sancionada con 150.000 euros por la agencia española de protección de datos (AEPD) lo cual obviamente ha hecho que tome conciencia del problema e implante medidas de seguridad estrictas en sus sistemas informáticos. No obstante, según la misma noticia, este no es un caso aislado. La agencia de protección de datos ha abierto 21 expedientes a lo largo de 2007 por filtraciones a Internet de datos personales sobre historias clínicas, datos personales de recursos humanos, solicitantes de adopciones internacionales, etc.

¿Está nuestra privacidad a salvo en la era de la información? .......


Guzmán Santafé
S21sec labs



Stumble
Delicious
Technorati
Twitter
Facebook
Meneame
Linkedin

24 abril 2008

Abarcamos el ciclo completo de la seguridad

Aunque ya se ha podido apreciar en más de una ocasión en este blog, las personas del Departamento de Consultoría de S21sec no sólo estamos inmersos en la asesoría de protección de datos de carácter personal, que es lo que pudiera parecer dado que la mayoría de nuestros "posts" se han centrado en ella, quizás porque es el tema de moda actualmente.

Los consultores de S21sec somos un equipo multidisciplinar especializado en todo aquello que pueda caber en la gestión de la seguridad de la información. No somos sólo personas de perfiles de corte jurídico, sino también técnico y de gestión que además contamos con el inestimable apoyo de las personas de S21sec Labs, nuestros auditores, nuestros integradores, nuestros "partners", nuestros socios,... y, cómo no, hasta de nuestros clientes.

En S21sec abarcamos el ciclo completo de la seguridad como puede verse aquí y además aportamos al mercado nuestros productos.

Por ello particularmente voy a predicar con el ejemplo, y sin abandonar los temas que he venido tratando, espero poder escribir sobre otros temas de gestión de seguridad de la información.

Aprovechando que ayer Antonio abrió fuego, y del cruzado, en relación con las novedades PCI-DSS voy a aprovechar para desligarme (aunque sea tan sólo por un tiempo) de los temas jurídicos que han venido ocupando "posts" anteriores.

Antes de que llegue septiembre podemos ir abriendo boca con algunas publicaciones de PCI-DSS sobre las modificaciones mencionadas y otra que han tenido lugar recientemente y que publicaré en mi próximo "post".

Álvaro Del Hoyo
Departamento de Consultoría

Stumble
Delicious
Technorati
Twitter
Facebook
Meneame
Linkedin

23 abril 2008

Seguridad en protocolos de enrutamiento dinámico (I)

En la vorágine de la seguridad de Internet muchas veces olvidamos que no todo es XSS, SQL Injection, Directory Traversal, NMAP, Nessus o cualquier otra herramienta de seguridad o vulnerabilidad a nivel de host que se nos pueda ocurrir. No debemos olvidar que también hay que garantizar la disponibilidad, confidencialidad e integridad en las comunicaciones para lo cual los protocolos de enrutamiento dinámico juegan un papel fundamental en el mundo IP. Sin embargo, mucha gente desconoce si estos protocolos implementan algún mecanismo de seguridad, o de hacerlo, cuál es exactamente.

Uno de los posible ataques contra este tipo de protocolos es evitar que se envíen los mensajes legítimos de actualización de rutas con el objetivo de generar una denegación de servicio de la red (parte de la red dejaría de estar disponible). Sin embargo, los ataques más dañinos son aquellos que buscan modificar la tabla de rutas con un objetivo determinado, a través del envío de mensajes de actualización generados artificialmente. La corrupción de esta tabla permite a un atacante lograr una denegación del uso de la red, bien a través de generación de congestión, limitando la visibilidad entre partes de ésta, o generando bucles de enrutamiento. Además incluso, el atacante en cuestión podría lograr una denegación de servicio contra un host en particular, al poder desviar todo el tráfico en circulación contra él, o también acceder a información confidencial si logramos encaminar un determinado flujo de tráfico hacia un sniffer instalado en la red.

¿Realmente esto resulta tan sencillo como parece? ¿No existen mecanismos de seguridad en estos protocolos que permitan evitarlo?

En realidad sí que existen, aunque no en todas las versiones de los distintos protocolos. Además, algunos de estos mecanismos ofrecen una falsa sensación de seguridad, mientras que los más avanzados no son del todo seguros o no se implementan por aspectos de rendimiento.

Comenzando con éste, dedicaré los próximos post en este blog a analizar algunos de los mecanismos de seguridad comunes a varios protocolos de enrutamiento dinámico. También trataré algunos aspectos más particulares a cada protocolo e intentaré transmitiros en qué consisten algunas de las técnicas más novedosas que se están tratando de aplicar para mejorar la seguridad de estos protocolos. Así pues, comencemos …

Una manera sencilla de evitar que un router ajeno a una red e introducido en ésta de manera clandestina altere los mensajes de enrutamiento, es la autenticación de los mensajes de actualización de rutas. RIP y OSPF ofrecen dos mecanismos de autenticación.

El primero de ellos, conocido como autenticación de texto plano (“plaintext authentication”), se basa en que los routers de un mismo segmento de red comparten una clave “secreta” que se incluye en la cabecera de los mensajes del protocolo. El router que recibe el mensaje de actualización compara esta clave incluida en la cabecera con la que tiene en memoria, y si coinciden acepta el paquete. En caso contrario lo rechaza. Este mecanismo de seguridad es sencillamente inútil ya que basta con instalar un sniffer en la red para obtener la clave “secreta” compartida por todos los routers.

El segundo mecanismo también se basa en una clave secreta compartida previamente por los routers de la red pero en este caso se firma el mensaje aplicando una función de resumen o hash de tipo MD5 al mensaje de actualización. En el caso particular de OSPF, a cada paquete se introduce el identificador de la clave secreta, la clave secreta en sí misma y también un número de secuencia de 32 bits que garantiza la protección contra ataques por repetición. Posteriormente se calcula su MD5 y se inserta en el campo en el que previamente se había añadido la clave compartida. En la siguiente figura se muestra este proceso:

Este mecanismo, aún mejorando mucho la seguridad en la autenticación de los mensajes de actualización, resulta inútil cuando uno de los routers legítimos resulta comprometido ya que sólo garantizan la integridad salto a salto. Así, el router comprometido podría falsear la información de los mensajes de actualización de rutas procedentes de los routers vecinos al generar los vectores de distancias o los estados de los enlaces, consiguiendo el atacante su objetivo de modificar la tabla de rutas de los demás routers a su gusto.


¡Hasta el próximo post!


Elyoenai Egozcue

S21sec labs


Stumble
Delicious
Technorati
Twitter
Facebook
Meneame
Linkedin

Sweet Sensation: Infosec London 2008

Day One: Infosec Europe 2008, Kensington Olympia, London


What a sweet sensation to be representing S21sec at Infosec in London! It's a return for me, and a happy one. It is great to be here with some of the biggest names in the Infosec community, and it shows just how far S21sec has come in the last few years.


So far so good, the attendees have been interested in what we have to say, and we can honestly say that S21sec has arrived in the UK. It's also very interesting to see how we compare with our more direct competitors. We've been meeting a few old faces here and sharing our experiences. So far everyone is having a good show.





It's a a sweet sensation in another way too, the S21sec lollipops and tinned sweets have been flying from the stand. I can only hope that the UK security market does not suffer a collective attack of diabetes...

Stay tuned.


Richard Barrell

Interational Support Manager-EMEA S21sec

Stumble
Delicious
Technorati
Twitter
Facebook
Meneame
Linkedin

22 abril 2008

Noticias sobre PCI-DSS


La RSA Conference, al margen de servir para muchas otras cosas, nos ha traído novedades sobre nuestro querido estándar PCI-DSS. Su Director General, Bob Russo, nos ha anunciado que tendremos una nueva versión en septiembre; aún no sabemos si serán grandes cambios, pero desde luego habrá modificaciones.

Tendremos que estar pendientes, puesto que en agosto nos llegará para realizar comentarios. Como es un mes malo (yo al menos, espero estar de vacaciones), lo que podemos hacer es organizar una jornada de trabajo (presencial y/o virtual) en septiembre para comentarlo entre todos/as y proponer comentarios, ¿os apuntáis?.

Además, según Bob Russo, van a publicar en breve white papers para clarificar aspectos dudosos del estándar (como el famoso requerimiento 6.6 y la posibilidad de auditar código o utilizar un firewall de aplicación), al margen del más que útil webinar: "
Navigating and Understanding the PCI SSC Self Assessment Questionnaire".

En fin, os reitero el ofrecimiento, ¿comentamos el nuevo estándar en septiembre?

Antonio Ramos
Director de Consultoría



Stumble
Delicious
Technorati
Twitter
Facebook
Meneame
Linkedin

¿Cambiarán las interceptaciones de comunicaciones y la conservación de datos de tráfico y localización tal y como las conocemos?

Casi a la par se están produciendo dos recursos sobre dos normativas que afectan de forma importante al negocio de los operadores de comunicaciones electrónicas, pero sobre todo a los derechos fundamentales de todos nosotros a la intimidad personal y familiar, al secreto de las comuncaciones y a la autodeterminación informativa o privacidad.

Por un lado, y en España, después de que el Tribunal Supremo rechazara el recurso de la Asociación de Internautas contra el régimen de las interceptaciones de las comunicaciones recogido en el Real Decreto 424/2005, de 15 de abril, por el que se aprueba el Reglamento sobre las condiciones para la prestación de servicios de comunicaciones electrónicas, el servicio universal y la protección de los usuarios (en adelante, "RD 424/2005"), ahora la AI contrataca interponiendo un nuevo recurso contra esta norma, esta vez en el Tribunal Constitucional. El motivo principal no es otro que en lugar de mediante ley orgánica, los derechos fundamentales afectados por esta regulación han tenido su base en una ley cuya aprobación no ha requerido mayoría absoluta.

Por otro lado, pero en este caso en Irlanda aunque con repercusión a nivel europeo, el Gobierno interpuso un recurso contra la Directiva 2006/24/CE, sobre la conservación de datos generados o tratados en lreación con la prestación de servicios de comunicaciones electrónicas de acceso público o de redes públicas de comunicaciones, si bien este recurso se basa en los defectos formales en su adopción, de modo que ha sido aprobada no por unanimidad, sino por mayoría. A ello se han sumado Open Rights Group, Statewatch y Privacy International, entre otros 40 grupos defensores de derechos civiles han presentado una objeción a la Directiva 2006/24/CE, sumándose a la iniciativa del Gobierno irlandés, pues opinan de idéntica forma sobre los defectos formales de su tramitación, pero también alegando que la referida Directiva atenta contra el derecho a la privacidad, la libertad de expresión y la libertas de inforamción de las personas, además de ir contra el derecho a la propiedad de los operadores de comunicaciones electrónicas

En España, a pesar de que ya no queda prácticamente nada para que llegue el 8 de mayo, fecha para la que los operadores de comunicaciones electrónicas habrán de haber iniciado la conservación de los datos de tráfico y localización, aún seguimos sin que se haya aprobado la Orden Ministerial conjunta de los Ministros de Interior, de Defensa y de Economía y Hacienda regulando la forma en la que los operadores deban ceder los datos retenidos a los agentes facultados y que debiera haber estado lista el pasado 8 de febrero.

Desde luego, con la normativa sobre interceptación de comunicaciones electrónicas ya en vigor desde hace tiempo, y con el 8 de mayo a la vuelta de la esquina, en los próximos años podremos ver si nos cambían las reglas del juego tal y como las conocemos. Veremos entonces si entonces será aún más necesario que se revise íntegra y adecuadamente el desarrollo legislativo del artículo 18 de nuestra Constitución, o si por contra el legislador sigue en sus trece. Mucho me temo que puede ser mas lo segundo que lo primero.

Álvaro Del Hoyo
Departamento de Consultoría

Stumble
Delicious
Technorati
Twitter
Facebook
Meneame
Linkedin

¿Sensacionalismo, ficción o realidad?

En uno de los últimos artículos de Businessweek titulado "The New E-Spionage Threat" describen al detalle cómo el Gobierno de los EE.UU. y empresas contratistas del Departamento de Defensa han sido víctimas de un ciberataque organizado y sin precedentes. Por ello han lanzado una operación clasificada denominada "Byzantine Foothold" para detectar y corregir las intrusiones en las redes más críticas del Gobierno.

Con técnicas denominadas "Net reconnaisannce" los atacantes conseguían gran cantidad de información sobre sus objetivos (nombre completo, título, responsabilidades, direcciones de correo..) para posteriormente enviarles un correo con origen presumiblemente de alguien de confianza o con relaciones actuales, conteniendo enlaces a sitios web infectados o adjuntando malware indetectable a gran parte de los antivirus actuales, y sin apenas posibilidad de rastreo del origen real del correo.

Estos nuevos atacantes son profesionales y están muy organizados y en algunos casos financiados por gobiernos extranjeros. Se apoyan en cuatro factores clave:
  1. Conectividad global
  2. Anonimato
  3. Sin apenas posibilidad de rastreo
  4. Con objetivos de alto valor
En el departamento de Defensa cuya Agencia de Investigación de Proyectos Avanzados de Defensa (DARPA) desarrolló la Internet en 1960, empiezan a pensar que han creado un monstruo. Si DARPA piensa esto, imaginad qué desafíos nos depara un futuro que no se aleja tanto de las películas de ciencia-ficción.



En una de las últimas películas de éste género, Untraceable, vemos cómo se introducen en la red casera de un agente del FBI a través del equipo de su hija que se ha descargado un juego que contiene un troyano. El título de esta película proviene de la técnica que utiliza su protagonista fast-flux para que sea casi imposible rastrear la IP real tras el dominio de su página web, gracias al uso de botnets.

Películas de este género ilustran el impacto potencial de las vulnerabilidades de seguridad, pero en ellas no se exagera tanto como la gente cree, excepto por algunas cosas, son creíbles. Ver inseguridad en sistemas SCADA, qué no está tan lejos del argumento principal de la Jungla de Cristal 4.

La siguiente afirmación salió de boca de Ernest Hilbert, ex-agente del FBI y actual Director de Seguridad de myspace.com:
"Siempre he afirmado que los problemas de Internet y la inseguridad en las redes de ordenadores no llegarán a la conciencia pública hasta que la gente empiece a morir a causa de las vulnerabilidades de seguridad."

¿Sensacionalismo, ficción o realidad?

Emilio Casbas
S21sec labs

Stumble
Delicious
Technorati
Twitter
Facebook
Meneame
Linkedin

21 abril 2008

Guía de seguridad RLOPD de la AEPD

Desde hace un rato está disponible en la web de la AEPD la "Guía de seguridad" con base en el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (en adelante, "RLOPD").

No habrá que perder de vista esto que dijimos recientemente en relación con los ficheros de datos de carácter personal preexistentes, sean estos automatizados o no,

Este nuevo documento llega un poco a traición de quienes asistan mañana a la 1ª Sesión Anual Abierta de la AEPD, que no podía ser de otra manera, este año se ha dado en denominar "El Nuevo Reglamento de desarrollo de la Ley Orgánica de Protección de Datos: Problemática, interpretación y aplicación".

Álvaro Del Hoyo
Departamento de Consultoría

Stumble
Delicious
Technorati
Twitter
Facebook
Meneame
Linkedin

Adaptados los formularios de inscripción de ficheros del Sistema Nota

Por este aviso oficial de la AEPD nos enteramos de que hoy mismo han sido publicados los nuevos formularios del Sistema Nota para inscripción de ficheros de datos de carácter personal de titularidad pública y privada de conformidad con el nuevo régimen reglamentario traído por el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (en adelante, "RLOPD").

El procedimiento de inscripción de la creación, modificación o cancelación de oficio (a instancia de parte o de oficio) de ficheros en el Registro General de Protección de Datos está regulado en el Capítulo IV del Título IX del RLOPD, reglamento que entró en vigor el pasado sábado 19 de abril de 2008.

Como novedad en el formulario de inscripción de ficheros de titularidad privada se ha incluido una nueva notificación tipo precumplimentada para notificar los ficheros de Videovigilancia.

Los nuevos formularios pueden ser accedidos aquí.

Álvaro Del Hoyo
Departamento de Consultoría

Stumble
Delicious
Technorati
Twitter
Facebook
Meneame
Linkedin

Federal Trojan Horse

The German investigators have not yet been able to do the controversial secret online searches because of missing software. Joerg Ziercke - chief of the BKA - said they are working under "high pressure" on the appropriate software, but it would be no problem to get it also from other countries which already do this kind of observation.

The law to permit this way of online analysis is not yet determined - but the theoretical agreement exists now even though in a very restrictive form. At present the details are being discussed, like if the police is allowed to enter accommodations to install the software or if everything has to be done remotely.

For the police the situation is comparable to installing secret video cameras in order to observe people - here they are also permitted to enter the accommodations and install the necessary equipment.

The opponents see in secret online observations a break of the basic rights and a big step in the change from a democratic state towards a surveillance state.

Clemens Kurtenbach
S21sec labs

Stumble
Delicious
Technorati
Twitter
Facebook
Meneame
Linkedin

19 abril 2008

Entra en vigor el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999

Hoy mismo, 19 de abril de 2008, pasados tres meses ya desde su publicación en el BOE, ha entrado en vigor el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (en adelante, "RLOPD").

Se desarrolla con esta norma no sólo un nuevo o modificado régimen en cuanto a las medidas de seguridad exigibles de conformidad con el principio de seguridad, sino todo el articulado de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante, "LOPD"), habiendo además traido consigo por fin un desarrollo reglamentario específico los ficheros no automatizados de datos de carácter personal. Ya nos hemos hecho eco aquí de las novedades que trae consigo el RLOPD y seguiremos haciéndolo.

Debe tenerse en cuenta no obstante que:
Con respecto a la moratoria sobre la implantación de las medidas de seguridad es preciso además tener en cuenta que la exención de responsabilidad puede no alcanzar a las infracciones por vulneración de los principios distintos del de seguridad establecidos por la LOPD, de modo que podría darse el caso de que la AEPD sanciones a quienes pudieran sufrir por ejemplo una fuga de información, que quizás hubiese podido ser evitado de haber mediado las nuevas medidas de seguridad aún no implantadas. La fuga de información es un incidente de seguridad que consistiría en una vulneración del deber de secreto, infracción que dependiendo del tipo de datos de carácter personal revelados podría ser leve (art. 44.2.e LOPD), grave (art. 44.3.g LOPD) o muy grave (art. 44.4.g LOPD).

Habrá que estudiar en detalle hasta qué punto las Resolucioes e Instrucciones emitidas por la AEPD contradicen o se oponen al RLOPD para determinar si permanecen en vigor total o parcialmente.

Álvaro Del Hoyo
Departamento de Consultoría

Stumble
Delicious
Technorati
Twitter
Facebook
Meneame
Linkedin

18 abril 2008

Donde los scanners de vulnerabilidades no llegan - V

Correlación

La mayoría de los scanners no utiliza la información obtenida de la explotación de las vulnerabilidades ya detectadas, ni la información extraída de otros equipos de la red ya analizada, para hacer más efectivas sus comprobaciones. En el mundo real un hacker si aprovecharía esta información para poder localizar posibles brechas en la seguridad.

Por ejemplo en el caso que comentábamos anteriormente. Si explotamos una vulnerabilidad de riesgo bajo o medio que nos permite listar los nombres de algunos usuarios y generamos un diccionario combinando esta información con otros datos obtenidos de las aplicaciones existentes, podemos realizar un ataque de fuerza bruta más efectivo contra algún servicio que solicite autenticación.

Si conseguimos encontrar unas credenciales válidas, habremos convertido la vulnerabilidad de riesgo bajo o medio en una de riesgo alto.

También tenemos el típico caso de reutilización de contraseñas. Muchas veces un usuario utiliza la misma contraseña para varias aplicaciones o sistemas. Si conseguimos obtener una contraseña válida (Por ejemplo en una aplicación poco securizada), es muy probable que nos funcione en otros equipos, permitiendo una intrusión más amplia.

Replicar este tipo de sencillos comportamientos de los “hackers humanos” por parte de los scanners de vulnerabilidades seria posible, pero no se hace.

Ramón Pinuaga
Departamento de Auditoría

Stumble
Delicious
Technorati
Twitter
Facebook
Meneame
Linkedin

Virtualmente seguro

Hoy en día es muy común utilizar entornos virtualizados por comodidad y por seguridad, aunque esto último es discutible. En este blog también hemos hablado del tema y en la última entrada relacionada con el tema se mencionaba una vulnerabilidad descubierta recientemente. A raiz de esto, VMware ha anunciado VMsafe. Varios fabricantes de software de seguridad han anunciado que utilizando esta tecnología van a crear software que colaborando con el hypervisor de VMware, proporcionan seguridad a los sistemas operativos virtualizados.

¿Cuanto tardarán en aparecer IDS/IPS, "appliance" anti-spam y anti-malware, firewalls y todo tipo de dispositivos virtuales? ¿Veremos "data centers" 100% virtualizados? ¿Implementarán tecnologías parecidas o equivalentes otros fabricantes de productos de virtualización? ¿Serán compatibles entre sí?

Aunque aún más preocupante es pensar en qué pasaría si la máquina que aloja el entorno virtualizado está comprometida. Teniendo acceso libre a la memoria, CPU y en general a todos los dispositivos virtuales, así como a su estado, todos los sistemas virtualizados pueden manipularse fácilmente al antojo del atacante. Una cadena es tan fuerte como lo es su eslabón más débil.

Añadir medidas de seguridad virtuales, no va a evitar que necesitemos securizar el servidor que provee virtualización. Si añadimos más elementos, sean tangibles o no, tenemos más versatilidad, pero también más puntos que securizar, más complejidad y más posibles errores y vulnerabilidades.

Con todo esto no quiero decir que la virtualización sea una mala idea. Hay que evaluar para cada caso si resulta más cómoda, sencilla o segura que el uso de servidores físicos.


Patxi Astiz
S21sec labs

Stumble
Delicious
Technorati
Twitter
Facebook
Meneame
Linkedin

17 abril 2008

Spam - Google calendar

Está claro que sólo es cuestión de tiempo que un sistema sea atacado. Ahora le toca al gigante Google, y su integración de gmail con los clientes de correo de Microsoft Outlook y Outlook Express.

El problema proviene al usar una técnica mediante la cual se adjunta correo electrónico no solicitado a un archivo en el formato de calendario de Gmail. De forma que se adjunta un recordatorio en el calendario de los clientes de correo.

Debido a que la integración del cliente de correo con g-mail incorpora “de serie” la modalidad de “agregar automáticamente invitaciones a mi calendario”, el fichero de correo no deseado es agregado directamente al calendario del usuario, incluso sin ser abierto.

La solución, muy sencilla, deshabilitar dicha opción por defecto para que no se incorporen los archivos de formato calendario automáticamente.

Más información aquí.

José María Arce Guillén
S21sec labs


Stumble
Delicious
Technorati
Twitter
Facebook
Meneame
Linkedin

16 abril 2008

Proveedores de correo electrónico y conservación de datos (actualización)

Después del debate sobre la política de retención de datos de Google y sobre la consideración de las direcciones IP como dato de carácter personal, y visto el avance que ya nos había dado la AEPD, parece que ya está próxima la publicación de la Opinión del Grupo del Art. 29 sobre tratamiento de datos de carácter personal por los buscadores de Internet.

Como aperitivo, ayer nos llegaba la versión final no oficial de la Opinión, que como podéis comprobar fue publicada en la página web de la autoridad de protección de datos de carácter personal de Holanda. A este documento rápidamente Google daba réplica y la AEPD nos facilitaba un resumen.

Pues bien, este documento va a ser de vital interés no sólo para los buscadores de Internet, sino también para todo propietario de servidores web que generen cookies y logs de visitas para tratarlos para finalidades como mejorar los servicios de la Sociedad de la Información o los procesos de contratación electrónica ofrecidos, optimizar los buscadores sobre el dominio propio, disponer de estadísitcas de visitas, implantar soluciones de seguridad o prevención del fraude, generar perfiles de usuarios y clientes,... y aquellos que incluso estén facilitando el uso de cookies por terceros como por ejemplo sucede con las cookies de las empresas de publicidad on-line.

La Opinión trae consigo algunos temas que se están tratando como novedosos, pero no hay que perder de vista que otros documentos del Grupo del Art. 29 que son citados en la Opinión y que son la fuente de estos temas pretendidamente novedosos como el ámbito de aplicación de la Directiva 95/46/CE, la consideración de las direcciones IP como dato de carácter personal y las particularidades en el tratamiento de las cookies.

Algo que puede tener especial trascendencia en lo que a la aplicación de la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones, es que el Grupo del Art. 29 manifiesta que, si bien al servicio de búsquedas de Google no le aplica la Directiva conservación de datos, ésta sí que es de aplicación al servicio de correo electrónico disponible al público de GMail.

Google seguramente opera en el mercado como proveedor de correo electrónico haciendo uso del servicio de acceso a Internet provisto por algún ISP. Éste es precisamente uno de los casos que más dudas está trayendo consigo en lo referente al ámbito subjetivo de la ley de conservación de datos. En mi opinión, la ley aplica a este tipo de proveedores si bien es cierto que por manifiesta imposibilidad técnica en ningún caso podrán atender al requerimiento de conservación:
  • Con respecto a los datos necesarios para rastrear e identificar el origen de una comunicación
    • El número de teléfono asignado a toda comunicación que acceda a la red pública de telefonía (art. 1.a.2.ii)
  • Con respecto a los datos necesarios para identificar el equipo de comunicación de los usuarios o lo que se considera ser el equipo de comunicación:
    • El número de teléfono de origen en caso de acceso mediante marcado de números (art. 1.e.3.i) ; o
    • La línea digital de abonado (DSL) u otro punto terminal identificador del autor de la comunicación (art. 1.e.3.ii).
Estos datos deberán ser conservados por los proveedores de acceso a Internet contratados por los proveedores de correo electrónicos disponibles al público.

Por otra parte, es importante tener claro a este respecto que las empresas que se dotan de servidores de correo electrónico para autoconsumo no son consideradas operadores de comunicaciones electrónicas y por lo tanto no son sujeto pasivo de la legislación de telecomunicaciones ni de la ley de conservación de datos.

Un caso bastante similar al de este tipo de proveedores de correo electrónico es el de los revendedores y los operadores móviles virtuales, con la diferencia de que en estos casos los operadores de telefonía fija o móvil o los proveedores de acceso a Internet se configuran como encargados del tratamiento. De ahí la vital importancia de contar con contratos que dén cumplimiento a lo dispuesto en el artículo 12 LOPD y en el RLOPD, sin olvidar incluir provisiones específicas para la transición a otro operador de acceso en los casos de terminación del contrato que une a revendedor u operador móvil virtual con aquél.

En los próximos días publicaré algunos posts sobre algunas de las cuestiones más relevantes de la Opinión que ha dado pie a este correo.

ACTUALIZACIÓN: El Grupo del Artículo 29 ya ha hecho pública la versión oficial de la Opinión sobre tratamiento de datos de carácter personal por los buscadores de Internet (WP 148). En los próximos días iré publicando posts sobre los temas más relevantes tratados.

Álvaro Del Hoyo
Departamento de Consultoría

Stumble
Delicious
Technorati
Twitter
Facebook
Meneame
Linkedin

15 abril 2008

Phrack #65 released

El pasado 12 de Abril salió al público la edición número 65 de la revista Phrack, una de las pocas magazines de la década de los 80 que todavía sigue viva (el primer número salió en 1985) a pesar de todos los cambios de staff que ha tenido. En esta ocasión, para nosotros es aún más interesante puesto que incluye un artículo de nuestros colegas David y Juan Carlos sobre una nueva técnica de realizar hooks en ring: phook, the PEB hooker (versión en castellano también disponible) ¡Enhorabuena! Seguro que estarán encantados de recibir comentarios sobre su artículo.

El índice del número 65 es el siguiente:
  1. Introduction 
  2. Phrack Prophile on The UNIX Terrorist
  3. Phrack World News
  4. Stealth Hooking: another way to subvert the Windows kernel 
  5. Clawing holes in NAT with UPnP
  6. The only laws on Internet are assembly and RFCs
  7. System Management Mode Hacks 
  8. Mystifying the debugger for ultimate stealthness
  9. Australian Restricted Defense Networks and FISSO
  10. phook - The PEB Hooker
  11. Hacking the $49 Wifi Finder
  12. The art of exploitation: Technical analysis of Samba WINS overflow
  13. The Underground Myth
  14. Hacking your brain: Artificial
  15. International Scenes


Stumble
Delicious
Technorati
Twitter
Facebook
Meneame
Linkedin

14 abril 2008

Pinchando la red eléctrica del vecino


Hace tiempo que no teníamos noticias nuevas sobre la tecnología PLC tras el fracaso de su piloto en España y el retranqueo de la compañía promotora en 2007. A raíz de este fracaso, los ingenieros han vuelto a sus tableros para lograr una evolución de esta prometedora tecnología, consiguiendo entre otras cosas mitigar la indignación de los radioaficionados debido a las molestas interferencias que les causaba.

Para la gente de a pie, tampoco ha supuesto un profundo desengaño, ya que su expansión fue reducida. Mientras tanto, una alianza empresarial estaba embarcada en la misión de desarrollar un estándar capaz de proporcionar conexiones de alta velocidad para formar redes locales usando el cableado eléctrico de las viviendas residenciales. La salida de este esfuerzo conjunto se llama HomePlug.

En sus comienzos, HomePlug ofrecía en su versión 1.0 velocidades de hasta 14 Mbps, y mediante parejas de estos dispositivos, permitían la interconexión de dos ordenadores distantes en un domicilio. Esta tecnología compitió directamente con Wi-Fi en su versión "b", con sus 11 Mbps, aunque la movilidad de esta última hizo que ganara a HomePlug. Las especificaciones de HomePlug 1.0 determinaban la necesidad de utilizar cifrado DES (56 bits de clave) para las comunicaciones en la red eléctrica mediante una clave precompartida fijada inicialmente por el fabricante aunque cambiable por el usuario.

Más adelante, e impulsado por el principal fabricante de chips para Home Plug, Intellon, apareció una evolución extraoficial llamada HomePlug 1.0 Turbo, con velocidades de hasta 85 Mpbs, con la misma seguridad DES de la versión anterior. Tuvieron que pasar 4 años para que saliera a la luz en 2005 el estándar HomePlug AV, que promete velocidades de hasta 200 Mbps, suficiente para transmitir video en alta definición sin cortes. Además cuenta con una seguridad mejorada gracias al uso del algoritmo de cifrado de clave simétrica AES con una longitud de clave de 128 bits.

Una de las principales bazas de HomePlug AV frente a la tecnología con la que compite, Wi-Fi "n", es la fácil instalación "enchufar y listo" con una fuerte seguridad de serie, y unas velocidades sólidas sin fluctuaciones que aunque no llegan a esos 200 Mbps teóricos se acercan. Eso sí, la calidad de la instalación de la red eléctrica es crucial para el buen funcionamiento de HomePlug AV.

Es este último estándar el que esperaban como agua de mayo las Telcos orientadas a la banda ancha residencial, con el boom producido por la televisión sobre IP. Gracias a estos dispositivos, ya no es necesario tener el router junto a la televisión, con una sencillísima instalación. Y es esta instalación la que me preocupa, igual que me preocupan que se sigan entregando a día de hoy los routers inalámbricos preconfigurados con claves WEP 128 bits "aleatorias". ¿De qué sirve un supercifrado AES-128 si la clave precompartida es por ejemplo "HomePlugAV"? Desde luego más vale que el vecino común no tenga "amigos" con ganas de tomar prestados unos pocos Kw de su energía y de paso cotillear su tráfico, porque desde luego el CD con el que vienen estos dispositivos, que sirve para cambiar su contraseña precompartida (cómo no, sólo para Windows), se va a quedar en la caja. Vale, es un ataque muy raro, pero la puerta está abierta.



Álvaro Ramón
S21sec labs

Stumble
Delicious
Technorati
Twitter
Facebook
Meneame
Linkedin

11 abril 2008

El 'anonimato' en la web

Ya en varias ocasiones hemos hablado de los riesgos de las redes sociales, y del peligro de detectar perfiles de personas en otras redes sociales donde no están usando su verdadero nombre, pero existe algún dato común.

En este caso hay una interesante historia donde empleados de Parallels (tienen un producto de Virtualización similar a VMware) pusieron comentarios negativos sobre VMware Fusion en Amazon (explicación de Parallels aqui). Viendo el nombre de usuario utilizado, pudieron luego descubrir el perfil de LinkedIn asociado y ver que realmente eran empleados de Parallels.

Está claro que su comportamiento no es muy ético, pero también demuestra las conexiones 'ocultas' que muchas veces pasamos por alto, sobre todo con la gran aceptación que tienen las redes sociales hoy en día.

Hace un par de semanas pudimos ver a los creadores de Maltego una demostración de cómo 'reconstruir' las relaciones 'ocultas' para intentar descubrir nuevas relaciones o perfiles de empresas y personas. Poco a poco iremos viendo más herramientas con el mismo objetivo, con lo que ya no sólo nos tenemos que preocupar qué sabe el Gran Hermano de nosotros, sino también qué saben todos los demás de nosotros (la información está ahí, tan sólo hay que buscarla)

David Barroso
S21sec labs

Stumble
Delicious
Technorati
Twitter
Facebook
Meneame
Linkedin

10 abril 2008

Convención Nacional Bancaria, ABM Acapulco

La pasada semana tuvo lugar la la 71 Convención Nacional Bancaria, que se llevó a cabo en el marco incomparable de Acapulco y que que tuvo como principal conferenciante a D. Felipe Calderón, presidente de México.

A la misma asistieron mas de 800 personas, entre las que se encontraban representantes de instituciones bancarias, casas de bolsa, afores, aseguradoras y otros organismos al sector financiero, además de unos 110 periodistas acreditados por los diversos medios de información que cubrieron el evento.

Entre los cerca de 15 stands que patrocinaron el evento, cabe destacar que S21sec fue la única empresa de seguridad que estuvo presente. En su gran mayoría se trataba de Entidades Financieras (Banamex, Banorte, Grupo Santander ...), empresas del sector Telco y medios de pago.

La acogida por parte de todos los asistentes hacia S21sec fue excepcional y numerosas personas se acercaron a solicitar información acerca de las actividades de S21sec, referencias y sobre todo la posibilidad de cerrar reuniones en las que poder explicar los servicios de S21sec en todo lo relacionado con Vigilancia Digital, Evaluaciones Técnicas de Seguridad y Servicios Antifraude.

Adjunto os mostramos una foto de nuestro stand y una panorámica del recinto.


Tan solo una pega.... el evento se celebro bajo un calor de justicia al aire libre con una temperatura media de 32 ºC y una humedad relativa cercana al 80%, casi el paraíso ;-)


Alfonso del Castillo

Stumble
Delicious
Technorati
Twitter
Facebook
Meneame
Linkedin

Comprometida red de suministro y distribución eléctrica por pentesters

En la RSA Conference que está teniendo lugar estos días en San Francisco, California unos pentesters han presentado los detalles de un trabajo de "pentesting" o "penetration testing" realizado en una empresa del sector energético.

Tras haber recolectado las direcciones de correo electrónico del grupo de usuarios de los sistemas SCADA con los que se gestionaba la red de suministro y distribución eléctrica, los pentesters han podido tomar control de la red eléctrica después de haber tenido éxito en un ataque de phishing que dirigía a los usuarios a una página web que presentaba un error, y al mismo tiempo descargaba malware en los equipos de los usuarios por medio de los que adquirieron su control. La empresa mantenía sin segregar las redes corporativa y de control, la primera de ellas con acceso a Internet, factor principal de éxito del ataque.

Los detalles sobre el trabajo pueden verse aquí.

Cada vez más se va notando el interés de las empresas usuarias de sistemas de control de instalaciones industriales o infrastructuras críticas (PLC, DCS o SCADA) en la gestión de la seguridad de la información, después de haber caído en la cuenta de que las redes y sistemas de control son vulnerables por las diferentes razones que se presentan en este artículo de algunos de nuestros compañeros de S21sec (ver páginas 18 a 20).

Recientemente hemos tomado parte en un proyecto en Oriente Medio para evaluar el estado o la madurez y proponer recomendaciones sobre el sistema de gestión de seguridad de la información de una empresa de producción de petróleo, gas y electricidad. Esta empresa ya tenía clara la importancia de la segregación de las redes corporativa y de control en cuyo proceso de implantación estaba inmerso, habiéndonos dado la oportunidad de participar también en el diseño lógico de la nueva arquitectura de red una vez finalizada la segregación física.

Esperemos poder seguir prestando nuestros servicios de consultoría de gestión, operativa y técnica en materia de seguridad de la información a las entidades que cuentan con sistemas de control de infraestructuras industriales o infraestructuras críticas.

Álvaro Del Hoyo
Departamento de Consultoría

Stumble
Delicious
Technorati
Twitter
Facebook
Meneame
Linkedin

09 abril 2008

Firewalls: ¿La seguridad del pasado?

A raíz de un hilo generado en varias listas de correo especializadas como FW y WebSecurity, títulado, "Provocative Query: Are firewalls obsolete in a world involving enterprise WebService SOA" se generó una interesante discusión acerca del papel de los firewall de red de toda la vida (capa 3 de OSI) en un mundo de aplicaciones web (capa 7 de OSI).
Algo así como, "qué hace un dispositivo como tú en un entorno como este".

Salieron argumentos a favor y en contra, con razones de peso en algunos casos, ligerezas en otros, y obviedades. Lo interesante fue el debate que se generó, merece la pena resaltar algunas de las afirmaciones que se vieron reflejadas:
  • Si todo se diseña con buenas prácticas de seguridad en mente, no hay necesidad de firewalls. (Vivir sin Firewalls.)
  • Un firewall de red es redundante si tienes control completo sobre los hosts de la red.
  • Son vulnerables al encapsulamiento de protocolos a través de los puertos 80 y 443.
  • Los firewalls seguirán siendo útiles mientras haya gente que comprende algo sobre la seguridad.
  • El perimetro de seguridad ya no existe tal y como nos habían contado antes. Los negocios tecnológicos actuales nos llevan a eliminar esas barreras en favor de la productividad y usabilidad (con un cierto sentido común).
  • Nadie ha demostrado un valor significativo de un firewall que no puedas conseguir a través de tu host o software.
  • ¿No te pondrías el cinturón de seguridad porque tu coche ya tiene airbag?. El Firewall de red y el de aplicación no son dispositivos suplementarios, son complementarios y un ejemplo claro de seguridad en capas.
  • Un WAF implementado apropiadamente junto con unas sanas prácticas de programación son la mejor defensa en la capa de aplicación.
También se lanzó una llamada a los vendedores de WAFs para que ocupen el hueco que actualmente existe en el mercado frente a los nuevas amenazas y desafíos de la capa de aplicación. A modo de conclusión, podemos pensar en adaptarnos a los cambios de los nuevos entornos de riesgo. Mostrar una predisposición activa. Nuestro objetivo debiera ser actuar proactivamente y no reactivamente. No temamos esa curva de aprendizaje que supone adaptarse a lo nuevo y evitemos mantenernos ciegos a nuestro entorno con lo que siempre ha funcionado hasta ahora. Y vosotros, ¿qué opinais de los firewall de red en el mundo web?

Emilio Casbas
S21sec labs

Stumble
Delicious
Technorati
Twitter
Facebook
Meneame
Linkedin

Localización de las personas con RFID

Actualmente, miembros de un equipo de investigación de la universidad de Washington están inmersos en un proyecto cuya finalidad es la de medir la frontera entre la privacidad de las personas y la utilidad de estar localizado todo el tiempo.

El proyecto se llama "RFID Ecosystem Project" y de acuerdo con uno de los investigadores implicados, el objetivo es el de estudiar las ventajas que conlleva un sistema de localización RFID, y a su vez, que riesgos implica.

Los investigadores han instalado cerca de 200 antenas en el edificio de ciencias de computación de la universidad de Washington, las cuales están constantemente escaneando en busca de etiquetas RFID.

A parte del sistema RFID, los investigadores han creado una suite de aplicaciones que usan la infraestructura RFID. Gracias a estas aplicaciones es posible monitorizar la actividad de una persona dentro del edificio de la universidad; donde ha estado, con quien ha estado etc.



Como ya se ha comentado antes en este blog, los mecanismos de seguridad implementados en este tipo de tecnologías todavía dejan bastante que desear. Es por esto que debemos estar atentos ante los resultados de este tipo de proyectos, porque, pese a los pobres sistemas de seguridad implementados para RFID actualmente, parece ser que esta tecnología sigue cobrando más y más protagonismo en el día a día de las personas.


Asier Marruedo
S21sec labs

Stumble
Delicious
Technorati
Twitter
Facebook
Meneame
Linkedin

Proveedores de correo electrónico y conservación de datos

Después del debate sobre la política de retención de datos de Google y sobre la consideración de las direcciones IP como dato de carácter personal, y visto el avance que ya nos había dado la AEPD, parece que ya está próxima la publicación de la Opinión del Grupo del Art. 29 sobre tratamiento de datos de carácter personal por los buscadores de Internet.

Como aperitivo, ayer nos llegaba la versión final no oficial de la Opinión, que como podéis comprobar fue publicada en la página web de la autoridad de protección de datos de carácter personal de Holanda. A este documento rápidamente Google daba réplica y la AEPD nos facilitaba un resumen.

Pues bien, este documento va a ser de vital interés no sólo para los buscadores de Internet, sino también para todo propietario de servidores web que generen cookies y logs de visitas para tratarlos para finalidades como mejorar los servicios de la Sociedad de la Información o los procesos de contratación electrónica ofrecidos, optimizar los buscadores sobre el dominio propio, disponer de estadísitcas de visitas, implantar soluciones de seguridad o prevención del fraude, generar perfiles de usuarios y clientes,... y aquellos que incluso estén facilitando el uso de cookies por terceros como por ejemplo sucede con las cookies de las empresas de publicidad on-line.

La Opinión trae consigo algunos temas que se están tratando como novedosos, pero no hay que perder de vista que otros documentos del Grupo del Art. 29 que son citados en la Opinión y que son la fuente de estos temas pretendidamente novedosos como el ámbito de aplicación de la Directiva 95/46/CE, la consideración de las direcciones IP como dato de carácter personal y las particularidades en el tratamiento de las cookies.

Algo que puede tener especial trascendencia en lo que a la aplicación de la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones, es que el Grupo del Art. 29 manifiesta que, si bien al servicio de búsquedas de Google no le aplica la Directiva conservación de datos, ésta sí que es de aplicación al servicio de correo electrónico disponible al público de GMail.

Google seguramente opera en el mercado como proveedor de correo electrónico haciendo uso del servicio de acceso a Internet provisto por algún ISP. Éste es precisamente uno de los casos que más dudas está trayendo consigo en lo referente al ámbito subjetivo de la ley de conservación de datos. En mi opinión, la ley aplica a este tipo de proveedores si bien es cierto que por manifiesta imposibilidad técnica en ningún caso podrán atender al requerimiento de conservación:
  • Con respecto a los datos necesarios para rastrear e identificar el origen de una comunicación
    • El número de teléfono asignado a toda comunicación que acceda a la red pública de telefonía (art. 1.a.2.ii)
  • Con respecto a los datos necesarios para identificar el equipo de comunicación de los usuarios o lo que se considera ser el equipo de comunicación:
    • El número de teléfono de origen en caso de acceso mediante marcado de números (art. 1.e.3.i) ; o
    • La línea digital de abonado (DSL) u otro punto terminal identificador del autor de la comunicación (art. 1.e.3.ii).
Estos datos deberán ser conservados por los proveedores de acceso a Internet contratados por los proveedores de correo electrónicos disponibles al público.

Por otra parte, es importante tener claro a este respecto que las empresas que se dotan de servidores de correo electrónico para autoconsumo no son consideradas operadores de comunicaciones electrónicas y por lo tanto no son sujeto pasivo de la legislación de telecomunicaciones ni de la ley de conservación de datos.

Un caso bastante similar al de este tipo de proveedores de correo electrónico es el de los revendedores y los operadores móviles virtuales, con la diferencia de que en estos casos los operadores de telefonía fija o móvil o los proveedores de acceso a Internet se configuran como encargados del tratamiento. De ahí la vital importancia de contar con contratos que dén cumplimiento a lo dispuesto en el artículo 12 LOPD y en el RLOPD, sin olvidar incluir provisiones específicas para la transición a otro operador de acceso en los casos de terminación del contrato que une a revendedor u operador móvil virtual con aquél.

En los próximos días publicaré algunos posts sobre algunas de las cuestiones más relevantes de la Opinión que ha dado pie a este correo.

Álvaro Del Hoyo
Departamento de Consultoría

Stumble
Delicious
Technorati
Twitter
Facebook
Meneame
Linkedin

08 abril 2008

Sanción de 300.000€ a un particular por publicar datos de afiliación sindical en Internet

Por Samuel Parra me entero de que la AEPD ha sancionado a un particular por publicar datos de afiliación sindical sin consentimiento de los afectados en una página web.

No obstante, es de destacar que la sanción ha sido recurrida por lo que aún pasará bastante tiempo hasta que sepamos si la Audiencia Nacional confirma la tesis Bodil Lindqvist del Tribunal de Justicia de las Comunidades Europeas, dada ya en varias ocasiones por buena por la AEPD. Habrá que ver hasta qué punto la Audiencia Nacional puede llegar a considerar que lo pretendidamente hecho por la persona sancionada supone una extralimitación en el ejercicio de la libertad de expresión y por tanto una vulneración del derecho a la privacidad o a la autodeterminación informativa.

Sorprende que, conociendo de la posibilidad de trazar las comunicaciones en Internet, haya alguien tomado la cautela de utilizar un proxy para subir los datos a la página web y no haya tenido el mismo cuidado al dar de alta el sitio de Internet y el correo electrónico dado de alta de forma anónima y empleado para acceder al servicio gratuito de alojamiento de la página web. Pero todo puede y suele ser... aunque ¿seguro que el rastro de la dirección IP puede ser considerado prueba suficiente para inculpar al abonado que estaba detrás de aquélla? Ya hemos hablado antes aquí sobre las diferentes posibilidades que existen como para que ello se pueda poner en duda.

De todas formas, aún si hubiera tenido en cuenta esto, todavía quedaría a la policía o a la AEPD una vía más para la identificación de una persona que hubiera procedido de esta manera, que no es otra que comparar las direcciones IP registradas en los logs de los accesos tanto de iespana.com como de mixmail.com por si ésta no se hubiera renovado entre acceso y acceso.

Por otra parte, como ya señala Samuel, sorprende también cómo el proveedor de alojamiento revela de forma inteligible la contraseña de acceso a la página web soporte del tratamiento inconsentido, en claro incumplimiento del art. 11.2 del Real Decreto 994/1999 o, en el futuro, del artículo 93.4 RLOPD.

Al hilo de las obligaciones jurídicas de quienes publican páginas webs o blogs personales resulta de interés tener a mano el excelente análisis hecho en su blog por David Maeztu y su reciente post sobre la sentencia sobre el caso Mafius blog.

Álvaro Del Hoyo
Departamento de Consultoría

Stumble
Delicious
Technorati
Twitter
Facebook
Meneame
Linkedin

07 abril 2008

Hasta la cocina

No son pocas las empresas y particulares que usan en la actualidad un servidor proxy para dar salida a Internet. Con ello pueden ganar en velocidad de navegación, ya que las páginas más visitadas serán cacheadas por él, y además, éste podrá usarse como filtro de contenidos, que realmente puede que sea lo único que lleve a una empresa a instalarlo. En este caso me estoy refiriendo a un proxy HTTP (aunque también se usen para otros protocolos), pero también existen los que usan el protocolo SOCKS, en sus distintas versiones. Especialmente son estos últimos los que pueden dar más información de la debida si no son configurados correctamente. Esto no es nuevo, ni mucho menos, pero se hace necesario un pequeño recordatorio de vez en cuando a modo de toque de atención.

Pongamos el caso de un internauta curioso que navega por la red de redes y se dispone a probar un proxy SOCKS configurado en su navegador. Además, no sólo eso, sino que le da por enchufar su sniffer favorito para ver la comunicación entre su PC y el proxy. Después de pegar sus ojos a la pantalla y pasar unas cuantas tramas llega a una que le llama la atención. Dentro del protocolo SOCKS que le responde el servidor ve una IP interna. ¿Coincidencia?


Como ya he dicho que el internauta es curioso pone en el navegador esa IP y espera paciente la respuesta. Parece que no hay mucha suerte, por lo que deja entrever el siguiente error en un idioma asiático.


Pero bueno, si esa IP no parece dar ningún fruto, ¿por qué no probar con otras IPs del mismo rango? puede que haya más suerte...


Vaya, vaya, parece ser el acceso interno a la configuración del router, un D-Link DI-804HV. No creo que esto sea una buena política de seguridad...

Pero con el protocolo SOCKS no sólo es posible acceder al puerto 80, sino que teóricamente se podría acceder a cualquier puerto de esa máquina. Usando la librería SocksiPy de Python se tendría la herramienta perfecta para probar la teoría.


Y así, nuestro curioso amigo podría seguir indagando en las posibilidades que le ofrece esa pasarela a la red interna de la empresa X. De hecho, no le costaría demasiado trabajo la programación de un escáner de puertos para explorar todas las máquinas de ese rango, con la intención de descubrir hasta dónde podría llegar...

El problema es que en el mundo no sólo hay internautas curiosos, sino que también pululan a sus anchas algunos que intentarán sacar provecho de esos agujeros de seguridad. Además de instalar un servidor proxy es muy importante configurarlo correctamente y estrictamente para nuestro uso privado, prohibiendo explícitamente que alguien sea capaz de atravesarlo y acceder a nuestra red interna. Este ejemplo es extensible a otros servicios de red, que deben comprobarse meticulosamente antes de ser publicados en Internet; si no, como habéis visto, se nos pueden meter hasta la cocina.


José Miguel Esparza
S21sec labs

Stumble
Delicious
Technorati
Twitter
Facebook
Meneame
Linkedin

El crecimiento da vértigo

Cuando uno mira hacia atrás y observa la evolución de la compañía en estos 8 años (en mi caso solo 4) puede sentir un poco de vértigo ("apresuramiento anormal de la actividad de una persona o una colectividad" según la RAE).

A mi, personalmente, me ocurrió el mes pasado cuando fue mi turno de hablar durante el kick-off de Zaragoza. Al ver aquella inmensa sala, llena a reventar, con casi 200 personas he de reconocer que sentí algo de vértigo. Y es que los crecimientos experimentados gracias al apoyo de nuestros clientes y a la labor de las personas que forman parte de esta gran "familia" son, al menos para mi, espectaculares (ver nota de prensa para más detalles).

Esta rápida evolución tiene muchos handicaps, pero uno especialmente complicado es encontrar personas que se quieran unir a este proyecto (ya lo comentaba David unos días atrás). En este sentido, me ha sorprendido no por el hecho en sí mismo, sino porque se hagan eco de él, que aparezcamos en El Blog Salmón, como una de las empresas que más profesionales estamos deseando incorporar. Aunque lo circunscriben al ámbito de la tecnología, también otro tipo de perfiles tienen cabida (yo, por ejemplo, son Economista)...

En definitiva, aparecer junto a empresas del tamaño de INDRA, EVERIS o CAPGEMINI puede dar un poco de vértigo pero, lo cierto es que nos hace ser conscientes de la importancia que está cobrando este gran proyecto en el que estamos ahora casi 200 personas que se llama S21sec.

Antonio Ramos
Director de Consultoría

Stumble
Delicious
Technorati
Twitter
Facebook
Meneame
Linkedin

06 abril 2008

Green IT y protección de datos

En una era en la que el éxito de los negocios ya no se valora exclusivamente por su rentabilidad, sino también por la eficiencia en la gestión de su impacto sobre las personas y el planeta, desde hace ya algún tiempo en materia de gestión de tecnologías de la información de la comunicación se viene hablando de la "Green IT" o "Green Computing", esto es, la orientación de la gestión tecnológica a la adquisición de productos lo más inocuos posibles con el medioambiente, ya sea porque no han sido fabricados con materiales peligrosos para la salud de las personas o nuestro entorno o porque son reciclables o biodegradables, o también porque en la fabricación de los productos tecnológicos y en su gestión se trata de optimizar al máximo la eficiencia en el consumo energético a aquellos asociado. En esta segunda vertiente del fenómeno, una de las cuestiones principales a tratar es la gestión del consumo eléctrico asociado a la alimentación y la refrigeración de los "data centers".

Google ya ha mostrado el interés en mejorar la eficiencia del consumo eléctrico asociado a las decenas de "data centers" que tiene diseminados por todo el globo y en adoptar soluciones de menor consumo para su refrigeración como por ejemplo implantar un enorme "data center" junto al río Columbia para contar con energía hidroeléctrica y con una solución barata y eficaz de refrigeración.

Por otra parte, a los beneficios de la virtualización se asocia también el aporte que lleva consigo en términos de eficiencia en el consumo eléctrico ocasionado por los sistemas informáticos.

El consumo de los "data centers" es un asunto que preocupa mucho a sus propietarios, ya sea por el significativo gasto que supone a día de hoy o porque parece va en aumento de forma constante.

Es por ello que parece normal que se empiecen a valorar oportunidades de ahorro en el gasto energético como trasladar los "data centers" a lugares con clima polar o casi polar en donde el coste de refrigeración de sistemas puede reducirse drásticamente, u otras alternativas como la reutilización del calor generado para otros usos.

Surgen así iniciativas como ésta del Gobierno de Islandia haciendo una llamada a las grandes corporaciones para que instalen sus "data centers" en su territorio, dado que a este criterio climatológico además se suman otros como el hecho de contar con un entorno políticamente estable, donde la mayor parte de la energía consumida en el país proviene de estaciones geotérmicas, existe una alto grado de capacitación tanto de las personas como de las infraestructuras de telecomunicaciones,...

En cualquier caso, como debiera suceder siempre que una empresa se plantee un "outsourcing" u "offshoring", no sólo el clima, la situación política, la accesibilidad a recursos cualificados,... deben formar parte de la derivada de análisis de riesgos de la iniciativa, sino que también la conformidad legal ha de ser una cuestión a tomar en cuenta. Es indudable que los sistemas informáticos y de comunicaciones que se instalan en un "data center" tratan datos de carácter personal y que el traslado del "data center" puede implicar o bien un acceso a datos por cuenta de terceros o bien una transferencia internacional de datos. Por tanto, se hace preciso que antes de tomar la decisión definitiva y de proceder a su ejecución se proceda a realizar los trámites burocráticos, administrativos, operativos y técnicos que sean necesarios para que el tratamiento de los datos de carácter personal se haga conforme a Derecho. Por ejemplo, cuestiones como que por ejemplo Islandia no forme parte de la UE ni esté incluida en el listado de países declarados por la Comisión europea como país con un nivel adecuado de protección de datos tienen especial importancia en materia de transferencia internacial de datos carácter personal.

Álvaro Del Hoyo
Departamento de Consultoría

Stumble
Delicious
Technorati
Twitter
Facebook
Meneame
Linkedin

04 abril 2008

Agilidad frente a seguridad

Todos de vez en cuando tenemos que realizar trámites burocráticos de cualquier tipo, para comprar una casa, un coche, hipotecas, realización de matrículas universitarias, oposiciones, darse de alta con cualquier servicio de telecomunicaciones, y un sin fin de cosas más. Total, papeleo, papeleo, y más papeleo.

Además, muchas veces, para asegurarnos de que los trámites se realizan y poder cubrirnos las espaldas ante cualquier problema que pueda surgir, tenemos que enviar un burofax o una carta certificada, o recibir alguna de ellas de alguna empresa o Administración Pública.

Actualmente existe al menos una empresa que ofrece la posibilidad de enviar y recibir notificaciones certificadas del estilo de multas de tráfico, pagos realizados o a relaizar, convocatorias, etc, mediante el servicio de mensajes cortos de móvil (SMS). La validez jurídica que ese SMS certificado pueda tener queda al margen de este escrito, aunque dada la poca transcendencia que por ahora ha tenido, es de entender que de momento no es un método válido para este tipo de notificaciones que necesitan de un soporte legal en el que apoyarse en caso de necesidad.

La cuestión que nos trae al caso es la seguridad que ofrecen estos servicios y la información que puedan recibir los destinatarios de dichos mensajes, frente a la evidente agilidad a la hora de realizar trámites que estos supondrían, sobre todo para las Administraciones Públicas.

Las personas dedicadas a crear malware han centrado sus esfuerzos principalmente en los ordenadores personales, mucho más vulnerables y con más posibilidades, pero esta tendencia va a ir cambiando a medida que los teléfonos móviles se hagan más necesarios para las comunicaciones de datos. De hecho ya las últimas tecnologías de Sistemas Operativos para móviles centran sus esfuerzos en la seguridad.






Un servicio como el SMS certificado, dependiendo de su procedencia, puede contener información personal tanto de datos bancarios, como otro tipo de datos personales que puedan poner en riesgo al destinatario del SMS.

Si esta técnica es aprobada en algún momento, seguramente por la agilidad con la que se realizarán múltiples operaciones hará que se convierta en el estándar para el envío de certificados. En ese caso, ¿quién será el responsable de la seguridad en los móviles para evitar fuga de datos? ¿Se encargarán las empresan que ofrecen el servicio? ¿Serán las Administraciones Públicas, bancos, empresas de servicios de telecomunicaciones, ... las encargadas de velar por la confidencialidad de los datos? O será el usuario el que tenga que estar rompiéndose la cabeza buscando la manera de adelantarse a cualquier tipo de malware que pueda infectar su móvil y poner en riesgo sus datos privados?


Miguel López-Negrete
S21sec labs

Stumble
Delicious
Technorati
Twitter
Facebook
Meneame
Linkedin

03 abril 2008

Próximos eventos

Hoy empieza en Acapulco, México, la feria “80 aniversario ABM y Convención Bancaria” con motivo del 80 aniversario de la ABM (Asociación Bancaria de México). El evento se celebrará durante los próximos 2 días y acudirán expertos del sector bancario Mexicano. Nosotros, en proceso de internacionalización, no nos lo queríamos perder y participaremos con un stand.

Además, también hoy Pablo Catalina, de S21sec, ha dado una ponencia sobre Riesgos en sistemas de VoIP y sistemas IM en la segunda edición de Asegur@ IT en el Parc Tecnologic de Barcelona. Por otra parte, en Lisboa, Antonio Ramos, director de Consultoría y Auditoría de S21sec, ha hablado sobre PCI-DSS en el PCI Compliance Event organizado por CISCO celebrado en el Hotel Sheraton Lisboa Hotel & Spa.

La semana que viene estaremos en Tudela, Navarra en la II Semana de la Seguridad Informática celebrada por la Fundación Dédalo. Aquí el martes día 8 Koldo Peciña, Consultor Senior de S21sec, hablará sobre los nuevos retos en materia de protección de datos.

Del 16 al 18 de abril patrocinaremos el 9th NATO Cyber Defence Workshop en Barcelona y David Barroso, Director de Investigación de S21sec dará una ponencia sobre Malware.

Y para cerrar el mes de abril, nos iremos a Londres, a Infosecurity Europe 2008, los días 22, 23 y 24 de abril.

Seguro que alguno de estos eventos te viene bien, así que ¡esperamos verte allí!

Lierni Castaño

Dpto. Marketing


Stumble
Delicious
Technorati
Twitter
Facebook
Meneame
Linkedin

OFF TOPIC: Manual de uso del blog en la empresa

Aquí podréis encontrar el libro "Manual de uso del blog en la empresa" de Alberto Ortíz de Zárate. Puede ser comprado por el módico precio de 12€, pero también está disponible en pdf bajo licencia Creative Commons.

A algunos no os servirá de mucho porque ya sois todos unos enganchados de la blogosfera o bloggers, pero a otros os puede ayudar a entender qué es un blog y las herramientas de sindicación de contenidos, cómo sacar provecho a un blog, ya sea desde el punto de vista personal como profesional o de empresa,...

¡Qué aproveche!

Álvaro Del Hoyo
Departamento de Consultoría

Stumble
Delicious
Technorati
Twitter
Facebook
Meneame
Linkedin

02 abril 2008

S21sec se suma al núcleo de la tecnología y seguridad de León

  • Su objetivo es la realización de un proyecto emblemático de investigación y desarrollo en el marco del cluster de seguridad de INTECO
  • La extensión de las operaciones de S21sec a León permitirá una relación más cercana y personalizada con los clientes de la región
  • Se consolida de esta manera la expansión territorial y comercial de S21sec en toda España

S21sec, ha anunciado hoy la extensión de sus operaciones y actividades de I+D+i a León. Esta iniciativa permitirá prestar un servicio de seguridad digital más integral y completo a sus clientes, así como una relación y atención mucho más directa y personalizada.

La apertura de la nueva oficina en León tiene un doble objetivo: sumarse al polo tecnológico y de seguridad que se está desarrollando en la zona y consolidar la estrategia de expansión territorial y comercial de la empresa en todo el territorio nacional, donde ya cuenta con siete oficinas propias (Madrid, Barcelona, Pamplona, San Sebastián, Sevilla, Murcia y León)

La presencia de S21sec en León hará posible la transferencia local de ciertas funciones consiguiendo ofrecer una mayor eficacia en los servicios contra el fraude on line y otras amenazas crecientes, tanto en la región como en otras áreas geográficas cercanas, como Galicia, Asturias y Cantabria.

S21sec, que destina un 25% de su presupuesto anual a las actividades de I+D+i creó en 2006 el primer centro europeo de I+D+i especializado en seguridad digital con sede en Pamplona. Desde el mismo, se lleva a cabo la investigación de soluciones de seguridad en materia de protección de plataformas y sistemas de información de empresas y administraciones y, el desarrollo de productos de seguridad comercializados a nivel internacional.

Desde la sede de León, la empresa desarrollará una nueva área de investigación para la protección de infraestructuras críticas y espionaje industrial en la red. En la actualidad se producen casos de espionaje industrial perfectamente planificados dirigidos a organizaciones, cuyo objetivo es el robo, eliminación o manipulación de información sensible. También es cada vez mayor la amenaza de ataques contra las infraestructuras críticas de una nación como por ejemplo infraestructuras de electricidad, gas, refinerías y aeropuertos.

Además, S21sec inmersa en su plan de internacionalización de tecnologías y productos de seguridad canalizará en León parte del desarrollo de las mismas y su soporte a nivel mundial.

Maria Asín
Responsable Marketing


Stumble
Delicious
Technorati
Twitter
Facebook
Meneame
Linkedin
 

© Copyright S21sec 2010 - Todos los derechos reservados