Seguridad en la nube y Google
- En: Cloud Software, Empresas, Google
- Por: Francisco Bartolomé
- March 8th, 2010
En el marco de las nuevas tecnologías que se desarrollan en Internet, la computación en la nube, o cloud computing, es una de las que más fuerza está adquiriendo. Y como todo lo que funciona y es utilizado por cada vez más gente, sufre el ataque bien de los que pretenden aprovecharse de nuestra ingenuidad, bien fastidiar por que sí. Por esas y otras causas hace ya algún tiempo se constituyó la cloud security alliance. Se trata de una organización sin animo de lucro que pone el foco en establecer, divulgar y proponer las mejores practicas sobre seguridad en cloud computing.
Publican en su web un documento que se puede descargar tanto en inglés como en español donde se explica qué es cloud computing, los diferentes modos de despliegue (privado, publico, híbrido y comunitario), los diferentes servicios que ofrece (saas, paas e iaas) y decenas de recomendaciones para conseguir una excelencia en su operatividad y en todo lo referente a la securidad.
Algunos de los temas que abarca este documento y que más importantes nos han parecido son: la confidencialidad, integridad, disponibilidad, autenticidad y autorización de la información; la ley de protección de datos; backup y planes de recuperación. Ofrecen recomendaciones para encontrar la solución a los principales problemas encontrados en la nube. Está dirigido tanto a clientes como proveedores. Realmente sorprende aunque tengas experiencia en estos temas.
Google es una de las empresas que más y mejor está apostando por la computación en la nube. De hecho la mayor parte de sus últimas aplicaciones estrella se apoyan en esta tecnología (Google Docs, Picasa, Buzz…). Así que no es extraño que haya querido adherirse a esta alianza de seguridad en la nube. Le interesa fomentar la divulgación y educación sobre el cloud computing y en concreto en los temas relativos a la seguridad. Se entiende que con este movimiento se declara a favor del documento oficial de esta entidad, así como con sus recomendaciones
Además de Google ya son miembros de este grupo: Microsoft, Dell, Cisco, McAffe y una larga lista de empresas.
Una de la actividades que hará Google para esta organización será participar en el SecureCloud 2010 organizado por el CSA y que se celebrará el proximo 16 y 17 de Marzo en Barcelona.
Visto en Saasmania
El antiguo oeste en Google: Se buscan “vivos o muertos” errores de seguridad
- En: Código abierto, Google, Proyectos
- Por: Francisco Bartolomé
- February 4th, 2010
Al más puro estilo del antiguo oeste americano… Sólo que ahora en lugar de buscar “vivo o muerto” a algún bandido el objetivo es encontrar errores de seguridad en el navegador de código abierto sobre el que se sustenta la versión comercial de Chrome, el navegador de Google.
Así se pone una recompensa de 500 dólares a los investigadores o desarrolladores externos a la compañía que reporten algún tipo de error de seguridad. Para aquellos a los que les gusten los retos más emocionantes, la suma de esta recompensa ascenderá hasta los 1337 dólares cuando el error se considere de extrema gravedad.
Todo un programa de incentivos que pretende involucrar a media humanidad con tal de asegurarse el buen funcionamiento. Si no se les ocurriera a los americanos no se le ocurriría a nadie. Los tiempos cambian, la tecnología nos desborda, pero la idiosincrasia de este gran país se mantiene fiel a sus orígenes.
Los responsables del proyecto de software libre Chromium (base del Google Chrome) dicen estar trabajando muy duro para conseguir un navegador más seguro. Sin embargo, algunos de los errores de seguridad más importantes han sido reportados por investigadores externos al proyecto.
Así que, con un gran sentido práctico, ponen en marcha esta iniciativa experimental para premiar e incentivar la participación de más personas en la revisión del código de Chromium especialmente en las versiones beta o en desarrollo y también de plugin que formen parte del proyecto (no de terceros). También se incluyen fallos de seguridad en componentes de terceros como WebKit y libxml.
La Fundación Mozilla emplea también un sistema similar para descubrir vulnerabilidades en Firefox.
comentarios
Alemania recomienda no usar Internet Explorer
McAfee Labs ha realizado un estudio en tiempo record para descubrir cómo se realizó el ciberataque, bautizado como “Aurora”, que afectó tanto a Google como a varias decenas de empresas y a sus servidores de correo.
Según han explicado, una de las causas de este ataque ha sido la aparición de una nueva vulnerabilidad Zero Day en Internet Explorer, que se descubrió recientemente gracias a esas tareas de investigación y sobre la que Microsoft ya ha publicado sus propias notas.
Según los estudios de McAfee, los intrusos ganaron accesos a las organizaciones mandando ataques a medida a ciertas personas que se supone tenían permisos de acceso especiales. La combinación de mensajes que parecían provenir de fuentes de confianza y de la vulnerabilidad en IE puede haber sido la base de dichos ataques, según la firma de seguridad.
En vista de lo cual, la Oficina Federal alemana para la seguridad en las tecnologías de la información recomienda a los usuarios la utilización de un navegador alternativo a Internet Explorer hasta que Microsoft parchee la vulnerabilidad crítica informada por McAfee.
Se trata de una decisión sin precedentes en todo el mundo. La oficina de seguridad alemana explica que “la vulnerabilidad afecta a las tres versiones de Internet Explorer 6, 7 y 8 en sistemas operativos XP y Vista y 7 y aunque las recomendaciones de Microsoft de utilizar el modo protegido o deshabilitar los comandos ActiveX minimizan el riesgo no evitan por completos los ataques”.
Desde luego no parece que los Chinos (su gobierno) se estén ganando las simpatías de las grandes empresas informáticas. A este paso…
comentarios
Se filtran cuentas y contraseñas de 3.800 usuarios de Tuenti
- En: Seguridad
- Por: Francisco Bartolomé
- December 14th, 2009
De nuevo es noticia la seguridad de las redes sociales.
La semana pasada se ha efectuado un ataque de phishing a la red social española de Tuenti. Han sido filtrados los datos de casi 4.000 usuarios. Se ha llegado a publicar sus cuentas y contraseñas, por lo que cualquiera que haya estado rápido y hábil puede haber entrado en los perfiles y obtener y manipular buena cantidad de información personal.
El autor ha sido un hacker usuario de Tuenti que estaba descontento con la política de seguridad de esta red. El propio hacker, bajo el apodo de McKiza, ha publicado en este portal la noticia de que había lanzado un ataque alegando su desacuerdo con la política de seguridad de esta red social. En concreto por la cantidad de eventos falsos que se publican en este sitio web. Afirma que “me he centrado en conseguir reventar la la seguridad de Tuenti para ver la dificultad que tendría una persona con un poco de idea en programación para hacerse con algunas cuentas”.
Y así ha sido. A continuación el hacker publicaba una base de datos con los correos electrónicos y las contraseñas de 3.800 de usuarios de Tuenti.
La red social ya ha emitido un oficial en el que indican que ya han tomado las medidas necesarias para resolver esta incidencia. En concreto han desactivado las cuentas afectadas, cambiado su cuenta y avisado a sus usuarios.
El problema es que puede haber quien haya aprovechado el tiempo de reacción y haberse adueñado también de la cuenta de correo electrónico de alguna víctima. Pues es habitual que utilicemos la misma contraseña para todas las cuentas que tenemos en internet… incluso las del banco… En fin…
Os dejamos un vídeo de Tuenti, publicado hace ya algo de tiempo, en el que ellos mismos hablan de lo importante que es la seguridad y la preservación de la privacidad de sus usuarios:
comentarios
Sophos cuestiona la seguridad de Windows 7
Uno de los principales proveedores de software de seguridad, Sophos, ha realizado un análisis de seguridad en Windows 7 y concluye que sin programas antivirus adicionales, el nuevo sistema operativo de Microsoft es vulnerable a 8 de los 10 virus más comunes en la actualidad.
Pero… vamos por partes.
- Estas de pruebas de Sophos llegan tras el lanzamiento de Microsoft Security Essentials, una suite de seguridad gratuita y que ha caído como un jarro de agua fría entre los proveedores de programas de seguridad, pues entienden que van a disminuir sus ventas.
- La propia empresa Microsoft ha advertido en varias ocasiones que la UAC (User Control Access) no sirve para frenar a todos los tipos de virus, por lo que ella misma recomienda el uso de programas antivirus adicionales y externos.
Así, Sophos afirma que el “sistema de seguridad de 7 les ha decepcionado, que es tan inseguro como anteriores Windows y que necesita protección antivirus adicional ya que es incapaz de proporcionar por sí mismo protección frente al malware”, tras haber comprobado que el UAC (Control de cuentas de usuario, en español) sólo logra frenar 3 de los virus más activos. Pero esta especie de denuncia alarmista, es algo que Microsoft reconoce abiertamente con todos sus sistemas operativos.
La realidad es que Windows es vulnerable, ya sea por su diseño interno interno, ya sea por la tremenda extensión de malware debido a su gran implantación en el mercado. O bien por una mezcla de ambos factores. Esto lo saben los de Microsoft y los usuarios… De manera que el enfoque que Sophos ha querido dar a su informe se parece más bien a una pataleta ante la competencia que supone la suite de seguridad gratuita de Microsoft. Que, por cierto, tiene una buena reputación entre los entendidos.
Ojalá este rifirrafe entre Microsoft y los proveedores de software de seguridad no suponga una avalancha de nuevo malware en Windows. La sombra de la duda… el mito urbano (en este caso cibernético) sobrevuela todo este asunto; un grupo de usuarios aseguran que la mayoría del malware salen de los mismos laboratorios que después proveen las vacunas… teoría de la conspiración en toda regla.
comentarios
Curiosa “mutación” de virus de Windows capaz de correr en Wine (Linux)
Aunque aún hay muchas personas poco o nada familiarizadas con sistemas operativos alternativos a Windows de Microsoft, lo cierto es que la mayoría es consciente, aún sin saber cómo, que Linux y otros sistemas operativos son más seguros.
La lucha encarnizada que mantienen las empresas de seguridad contra virus, hackers y malware en el universo Windows, no tiene nada que ver con la sencillez y eficacia con que queda protegido Linux.
Por eso, quizá, llama la atención cuando surge alguna noticia puntual sobre la seguridad en Linux. Minucias en comparación.
La compatibilidad entre unos sistemas y otros es uno de los terrenos en los que más se está trabajando desde hace tiempo, pues es uno de los principales impedimentos que echan para atrás para trabajar con Linux.
Wine, es un servicio de virtualización de aplicaciones de Windows sobre Linux. Es decir una de estas herramientas que permiten funcionar en Linux como si estuviéramos en Windows. Y la noticia que acontece es curiosa (que no grave).
Wine, en Linux, ha avanzado tanto en su desarrollo que puede llegar a ser infectado por virus de Windows. Aunque afecta exclusivamente a los programas que corren sobre Wine y no, por tanto, al sistema operativo GNU/Linux en cuestión.
Nos relatan esta posibilidad en el blog opensourcenerd. En todo momento se es consciente de que se está instalando un programa malware que se hace pasar como el antivirus Windows Police Pro.
En resumen, se puede concluir que Wine ejecuta de manera excepcionalmente fidedigna software creado para Windows sobre Linux ya que hasta malware y virus corren de forma correcta.
Pero todo ello con múltiples avisos de Firefox de sitio no seguro, aplicación no segura y demás. Consecuencia: el sistema de Wine se ve modificado, incluyendo explorer.exe, algo que hice que para limpiar el sistema se tengaa que eliminar (purgar) completamente el paquete y volver a instalarlo.
comentarios
La mayor tanda de soluciones a vulnerabilidades de Microsoft
Quizá para los supersticiosos pueda ser una señal, pero el caso es que ayer, martes y trece, Microsoft publicó un gran conjunto de soluciones a vulnerabilidades de sus diversos desarrollos. En esta ocasión la empresa de Redmond ha liberado una gran cantidad de parches.
Los problemas solucionados también afectan a su flamante Windows 7, sistema operativo que ya está en su versión RTM y que llegará en poco más de una semana de forma oficial.
Un total de 13 actualizaciones para solverntar 34 vulnerabilidades. Desde que Micorsoft se decidiera a lanzar actualizaciones de seguridad mensuales (en 2003) se trata del mayor paquete lanzado para reparar los problemas de seguridad en distintas versiones de Windows. El anterior “hito” se remonta a diciembre de 2008 (se corrigieron 28 agujeros).
Microsoft califica a 8 de las 13 actualizaciones (y 21 de las 34 vulnerabilidades) como críticas, el nivel más alto de los cuatro que conforman su clasificación. El resto son consideradas como importantes.
La compañía ha parcheado tres vulnerabilidades en SMB (Server Message Block) 2, además de dos agujeros en el servidor FTP que está incluido en versiones antiguas de Internet Information Services (IIS). También se han solucionado dos errores en Windows Media Runtime.
En este boletín de seguridad, Microsoft también soluciona 8 problemas en GDI+ (Graphics Device Interface), un componente que debutó con Windows XP y que es parte fundamental de Windows Vista y Windows 7, así como para los sistemas operativos para servidores Windows Server 2003 y Windows Server 2008.
Para los que tengan interés, el boletín MS09-050 es para los errores en SMB 2, el boletín MS09-053 resuelve los fallos en IIS, mientras que MS09-051 actualiza Internet Explorer.
En cualquier caso, estas actualizaciones de seguridad se pueden descargar e instalar desde los servicios Microsoft Update y Windows Update, así como a través de Windows Server Update Services.
comentarios
¿Quién dijo que Linux era invulnerable?
Sin duda uno de los principales argumentos que se han venido dando a favor de Linux en contraste con Windows era la menor vulnerabilidad de los programas basados en este sistema operativo.
Por eso es especialmente llamativa la noticia que ha saltado estos días sobre un problema de seguridad que lleva estando presente en el kernel de Linux nada menos que ¡desde hace 8 años!.
El descubrimiento lo han hecho dos expertos en seguridad del equipo de google (Google Security Team), Tavis Ormandy y Julien Tinnes. Según explican en el blog del segundo de ellos, ”el problema reside en cómo Linux se encarga de operaciones no disponibles para algunos protocolos, como sock_sendpage y otros que no comprueban la existencia de punteros a NULL antes de desreferenciar operaciones en la estructura de operaciones”.
En resumen, existe un sencillo método para realizar una escalada de privilegios en los ordenadores que usan núcleos Linux en sus versiones 2.4.x y 2.6.x. El error provoca que sea posible ejecutar código que provoque esta escalada de privilegios, lo que daría a un atacante acceso total a un sistema afectado por la vulnerabilidad. En el citado artículo muestran un exploit de ejemplo que precisamente haría uso de esta técnica
Afortunadamente los desarrolladores de Linux ya han corregido el problema, y el propio Linus Torvalds ha publicado un commit en el sistema de control de versiones Git de Linux que evita este tipo de ataques. La actualización estará pronto disponible en los distintos repositorios para todas las distribuciones, de modo que el fallo de seguridad ha sido corregido realmente rápido y no se conoce que haya sido utilizado nunca, ya que además la vulnerabilidad se encontraba asociada a un protocolo de muy escaso uso.
comentarios
Ya está disponible el Panda Security 2010
En estos tiempos “el que no corre, vuela”. Y así andan muchos de los fabricantes de soluciones antivirus. Aún no acabamos de pasar la mitad del año 2009 y ya comienzan a comercializar productos con denominación 2010. Este es el caso de Panda Security, que acaba de presentar su “Panda Security 2010“, especialmente diseñado para proteger a los netbooks que corren bajo plataforma Windows.
En este caso el esfuerzo se ha realizado en reducir el consumo de memoria RAM, que apenas llega a 8 MB, gracias a la paginación de ficheros que realiza. De este modo sólo carga en memoria lo que utiliza en el momento, actualizándose cada 90 segundos. Teniendo en cuenta que hasta ahora la mayoría de las suites de seguridad arrojan un consumo medio de 100 MB (Panda 130 MB en la versión 2009), es un verdadero avance.
Pero no es nada en comparación con lo que se avecina. Evidentemente, si a mitad de 2009 lanzan la versión 2010, es de suponer que ya están trabajando a fondo con la siguiente versión. Y sabemos que están implementando una nueva gama de antivirus gratuita: “Panda Cloud Antivirus“, o sea, el antivirus en la nube. Con ello lograrán aligerar considerablemente los procesos de escaneado en la parte del cliente y sólo ocupará un 3 % en el sistema del usuario.
Otra apuesta del nuevo Panda es el incremento de seguridad respecto al malware, con un motor más potente capaz de detectar cualquier amenaza, gracias a las tecnologías de protección proactiva avanzada e inteligencia colectiva que incluyen heurística genética y análisis de comportamiento TruPrevent 2.0. En este sentido, la firma asegura haber reducido hasta en un 80 % el consumo de memoria que lleva a cabo cualquier solución antivirus actual.
El resto de mejoras están relacionadas con la implantación de identidad, un motor anti-troyanos bancarios, el filtrado Web de sus productos, y la diversificación de productos.
comentarios
EEUU coordina su ciber-protección con un CiberZar.
- En: Innovacion, Seguridad
- Por: Francisco Bartolomé
- June 4th, 2009
La seguridad cibernética lleva siendo ya desde hace unos años uno de los principales frenos a la expansión de múltiples tareas y aplicaciones que se pueden hacer vía internet y que aún así la sociedad o parte de ella se resiste a informatizar por miedo a los piratas informáticos.
Pero la informatización de la mayoría de nuestros procesos avanza inexorablemente y ahora la cuestión ya no está en si volcamos o no nuestros datos en la red, sino en cómo los protegemos. Internet es una tremenda herramienta que facilita nuestra existencia, pero también puede convertirse en un punto débil que afecte incluso a la seguridad de un país.
No nos sorprende, por tanto que el presidente de EEUU, Barack Obama, haya creado un nuevo cargo: el “zar del ciberespacio“, que tendrá como función coordinar las políticas destinadas a proteger a los EEUU y su infrastructura informática de ataques en las hipotéticas ciberguerras del futuro.
La persona que desarrolle el nuevo cargo va a forma parte del Consejo de Seguridad Nacional. Está claro que comienzan a considerar el ciberespacio como uno de los principales campos de batalla donde se libren las guerras del futuro.
Y no es para menos. El valor de las compras realizadas a través de internet el año pasado alcanzó unos 120.000 millones de dólares. Y se calcula que sólo en 2008 se robaron unos 8.000 millones de dólares a través de la Red. ¿Se podría realizar un atque masivo y arruinar a los ciudadanos de un país?
Entre las funciones del nuevo “zar” figuran el coordinar las medidas de prevención de los organismos públicos y de aquellos privados considerados clave para la seguridad y estabilidad del país, como la bolsa de valores y las compañías aéreas, de forma que a partir de ahora la estrategia de defensa sea integral. Asimismo, también se encargará de diseñar una estrategia de respuesta común que abarque todas las instituciones públicas, incluidas las municipales.
comentarios
