Menú

Mostrar Mensajes

Esta sección te permite ver todos los mensajes escritos por este usuario. Ten en cuenta que sólo puedes ver los mensajes escritos en zonas a las que tienes acceso en este momento.

Mostrar Mensajes Menú

Temas - Nosferatu

#1
Bugs y Exploits / Vulnerabilidad en WordPress 4.2
Abril 27, 2015, 05:46:02 PM
Estimada Familia.

Llevo unos días desconectado porque se me han abierto unos cuantos frentes.

La cosa es que estaba con un proyecto en WordPress cuando me he topado con esta vulnerabilidad que afecta a la última versión.




Revisión:

Las versiones actuales de WordPress son vulnerables a un XSS almacenado. Un atacante no autenticado puede inyectar JavaScript en los comentarios de WordPress. El script se activa cuando el comentario está activo.

Si el administrador ha iniciado sesión bajo la configuración predeterminada, el atacante puede aprovechar la vulnerabilidad para ejecutar código arbitrario en el servidor a través de los editores de plugins y temas.

Alternativamente, el atacante podría cambiar la contraseña del administrador, crear nuevas cuentas de administrador, o hacer cualquier otra cosa en el momento en que el administrador ha iniciado sesión.

Detalles:

Si el texto del comentario es lo suficientemente largo, se truncará cuando se inserta en la base de datos. El límite de tamaño tipo TEXT en MySQL es de 64 kilobytes, por lo que el comentario tiene que ser bastante largo.

Los resultados de truncamiento en HTML con formato incorrecto generado en la página. El atacante puede suministrar cualquier atributo en las etiquetas HTML permitidas, en la misma forma que con los otros dos XSS publicados recientemente, que afectan el núcleo de WordPress.

La vulnerabilidad tiene una similitud con la reportada por Cedric Van Bockhaven en 2014, (parcheada esta semana, después de 14 meses). En lugar de usar un caracter UTF-8 no válido para truncar el comentario, esta vez un comentario de texto excesivamente largo se utiliza para el mismo efecto.

En estos dos casos el JavaScript inyectado al parecer no puede ser desencadenado en el tablero de instrumentos administrativos, por lo que estas hazañas requieren moverse por la moderación de comentarios, por ejemplo, mediante la publicación de un comentario inofensivo primero.

Pruebas:

El código a inyectar en el comentario es este:


Código: php
<a title='x onmouseover=alert(unescape(/hello%20world/.source))
style=position:absolute;left:0;top:0;width:5000px;height:5000px
AAAAAAAAAAAA [64 kb] ...'></a>


Ha sido probado en WordPress 4.2, 4.1.2, y 4.1.1, y las versiones de MySQL 5.1.53 y 5.5.41.

Solución:

Deshabilitar los comentarios . No aprobar cualquier comentario. (Un poco triste las soluciones, no??).




Siento mucho la traducción, pero tenéis el artículo original, en inglés, aquí:
No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Saludos Cordiales.

#2
Seguridad / DarkNet: Vida más allá de TOR
Abril 19, 2015, 04:13:38 PM

Estimada Familia.

Me encontraba absorto en una lectura sobre criptología clásica y sistemas computacionales cuando se me cruzó una palabra que llamó mi atención, (y no es que no la haya visto nunca).
Se trataba del término Darknet. Y no sé si habrá sido la parte del 'Dark' o la la parte del 'Net' lo que me ha distraído de mi lectura para ponerme a leer sobre la DarkNet.
Lo que voy a exponer aquí no es mío. Se trata de una pequeña recolección de información. Por lo que pondré sus correspondientes enlaces.

¿¿Qué es DarkNet??

"...es una colección de redes y tecnologías usadas para compartir información y contenidos digitales, (...), que está "distribuida" entre los distintos nodos y que trata de preservar el anonimato de las identidades de quienes intercambian dicha información, es decir, persiguen el anonimato del origen y el destino cuando se produce la transferencia de información."

"Debido a la búsqueda del anonimato de la entidades comunicantes, es frecuente que este tipo de redes hagan un uso intensivo de algoritmos criptográficos", (Esto es lo que llamó mi atención).



No tienes permitido ver los links. Registrarse o Entrar a mi cuenta



Introducción

La red anónima más conocida, con diferencia, es la red Tor. Como causa, y probablemente consecuencia, su comunidad de usuarios, desarrolladores e investigadores es también la mayor. Esta atención también ha resultado en un mayor número de ataques y vulnerabilidades encontradas en Tor, (prácticamente resueltas o mitigadas en la medida de lo posible). No obstante, esto también ha causado que la comunidad empiece a prestar atención a otras alternativas, para conocer si son más o menos robustas.

En cualquier caso, son pocas las opciones que ofrecen al mismo tiempo sencillez de uso, robustez y cuentan con una comunidad suficientemente grande que ayude al desarrollo y evolución del software asociado. Esto es debido a que son sistemas altamente complejos, debiendo proporcionar al mismo tiempo una alta seguridad y una baja latencia, (si pretenden servir para uso común), y que requieren un gran esfuerzo para su mantenimiento.

A raíz de las noticias que han venido apareciendo recientemente acerca de posibles ataques y compromisos de la red Tor, I2P ha recibido creciente atención. No obstante, como los propios desarrolladores de I2P reconocen, Tor está respaldada por una comunidad de usuarios, desarrolladores e investigadores mucho mayor que I2P. Esto, en parte, explica por qué en Tor se han producido más ataques, (y encontrado más vulnerabilidades), aunque I2P tampoco ha pasado totalmente desapercibida.

Ya no voy a resaltar nada más, pues quiero que la lectura sea íntegra. Para mí no tiene desperdicio.




No tienes permitido ver los links. Registrarse o Entrar a mi cuenta



TOR

"Es un proyecto cuyo objetivo principal es el desarrollo de una red de comunicaciones distribuida de baja latencia y superpuesta sobre internet, en la que el encaminamiento de los mensajes intercambiados entre los usuarios no revela su identidad."



No tienes permitido ver los links. Registrarse o Entrar a mi cuenta



I2P

"Es un software que ofrece una capa de abstracción para comunicaciones entre ordenadores, permitiendo así la creación de herramientas y aplicaciones de red con un fuerte anonimato. Sus usos incluyen páginas webs anónimas (eepsitees), servidores y clientes de chat, blogging, transferencia de archivos, además es una red que se adapta muy bien a las redes p2p. I2P es software libre y utiliza varias licencias libres."



No tienes permitido ver los links. Registrarse o Entrar a mi cuenta



I2P es una red de anonimato de baja latencia basada en mixes, (como Tor). Evoluciona el concepto de onion routing, en lo que llaman garlic routing. En esta variante, quien envía un mensaje puede cifrarlo con la clave pública del destinatario y, además, encapsularlo junto con otros mensajes cifrados bajo la misma clave.

Por otro lado, en I2P todos los nodos tienen el mismo rol, formando una red totalmente descentralizada, poniéndose el foco en la navegación hacia «sitios eep>>, (el equivalente a lo que en Tor se conoce como servicios ocultos), con los que es posible establecer una conexión cifrada punto a punto y formando lo que se conoce como la darknet de I2P. Esta aproximación difiere de Tor, donde hay nodos con distintos roles (nodos de entrada, nodos de salida, nodos intermedios, directorios, etc.), que también está diseñada para acceder a sitios web normales, (no ocultos).

Aunque es posible salir fuera de esta darknet a través de los «outproxies» de la red, no es el objetivo inicial del sistema.

El hecho de que I2P esté diseñado para sitios eep, (servicios ocultos), hace que la navegación sea más eficiente en comparación con los servicios ocultos de Tor. Por otro lado, en I2P es posible utilizar tanto TCP como UDP a nivel de transporte.

Como primitivas criptográficas, I2P utiliza ElGamal de 2048 bits y AES de 256 bits para cifrado, DSA, (aunque están migrando a otros algoritmos, como ECDSA), para firmado y SHA-256 para hashing. Las claves públicas se incluyen en la base de datos distribuida de I2P, en entradas conocidas como «routerInfo», (para routers), y «leaseset», (para nodos finales), que cada nodo tendrá que consultar para establecer conexiones.

En cuanto a las conexiones que se establecen, I2P utiliza por defecto dos túneles, (unidireccionales), de salida y dos túneles, (unidireccionales), de entrada, que cambian cada 10 minutos. Para que un nodo A conecte con un nodo B, el nodo A debe «enganchar» uno de sus túneles de salida con uno de los túneles de entrada de B, (anunciado en su leaseSet). El número máximo de saltos para cada túnel es 7.

También se categorizan los nodos en 4 tipos, dependiendo de su disponibilidad y ancho de banda, utilizándose esta clasificación para establecer túneles dependiendo del uso que se les quiera dar.

I2P está implementado en Java, y está disponible para Windows, Mac, distribuciones de Linux, (Debian, Ubuntu), BSD, Solaris y Android, además de ser código abierto. También hay distribuciones de Linux orientadas a la privacidad que lo incorporan de forma nativa, como Tails, IprediaOS y Liberté.



No tienes permitido ver los links. Registrarse o Entrar a mi cuenta



FreeNet

"Es una red de distribución de información descentralizada y resistente a la censura diseñada originalmente por Ian Clarke. Freenet tiene por objeto proporcionar libertad de expresión a través de las redes de pares mediante una fuerte protección del anonimato; como parte del apoyo a la libertad de sus usuarios, Freenet es software libre. Freenet trabaja por medio de la puesta en común del ancho de banda y el espacio de almacenamiento de los ordenadores que componen la red, permitiendo a sus usuarios publicar o recuperar distintos tipos de información anónimamente. Freenet ha estado bajo continuo desarrollo desde el año 2000, y aunque todavía no ha sido liberada una posible versión 1.0, las versiones actuales son completamente funcionales."



No tienes permitido ver los links. Registrarse o Entrar a mi cuenta



En «Freenet: A Distributed Anonymous Information Storage and Retrieval System» se describe Freenet, como un sistema P2P para la publicación, replicación y recuperación de información destinado a proteger la identidad de lectores y autores a través del anonimato. Es decir, a diferencia de Tor e I2P, más que para anonimizar las comunicaciones, Freenet está pensada para anonimizar el almacenamiento de información y distribuirla entre los equipos que componen la red. De esta forma, se garantiza la disponibilidad, protegiendo también a quienes acceden a la información, ya que ni siquiera el equipo donde se almacena tiene acceso a los contenidos de la misma.

Cuando un usuario sube un fichero al sistema le asigna una etiqueta. Esta etiqueta se utiliza, (junto con el namespace del usuario), para derivar una clave de cifrado y un par de claves asimétricas, (conocido como SSK). La clave de cifrado simétrica se utiliza para cifrar el propio fichero, y la clave privada de la asimétrica para firmarlo.

Además, se calcula una etiqueta adicional, (conocida como CHK), como un hash del contenido del fichero. El usuario comparte el fichero, su firma y el CHK con el resto de nodos de Freenet. Por separado, publica la etiqueta junto con el CHK y la clave de descifrado de alguna forma, (existen repositorios web para ello, parecidos a la Hidden Wiki, para sitios .onion).

Un usuario que quiera recuperar un fichero de Freenet, debe conseguir la etiqueta, el CHK y la clave de descifrado, (por ejemplo, a través de los repositorios mencionados), que puede usar para solicitar el archivo. Una ventaja de Freenet es que, debido a su algoritmo de enrutamiento interno, tienden a crearse clusters de nodos que contienen ficheros con claves de búsqueda similares. De esta forma, se optimiza el número de saltos que debe dar un cliente para localizar un fichero determinado.

Una vez recuperado el fichero desde alguno de los nodos que lo almacenan, se descifra el fichero y se verifica su firma utilizando las claves correspondientes.

Este sistema ha sido implementado en Java como open source por el Freenet project, como una aplicación para navegadores web. Entre sus principales usos, destaca por la protección frente a censura, ya que es robusto ante denegaciones de servicio, (p.e., intentar eliminar un fichero de la red), y al almacenarse cifrada la información por separado de la clave de cifrado, los propios nodos que la contengan pueden afirmar no saber qué están almacenando, (como pasa con Mega, por ejemplo). No obstante, esto lleva de la mano que se utilice también para almacenar contenido ilegal, como se indica en la propia aplicación.



No tienes permitido ver los links. Registrarse o Entrar a mi cuenta



MegaNet

"Es una red descentralizada, similar al Freenet en objetivo, aunque no en diseño. La función de Metanet es ocultar las identidades de otros en la red, permitiéndoles hospedar contenido anónimamente y recibir los servicios IPv4."



No tienes permitido ver los links. Registrarse o Entrar a mi cuenta



GNUNet

"Es un software libre para redes P2P descentralizadas. Este marco ofrece cifrado a nivel de capa de red y localización de recursos. Los pares de GNUnet monitorizan el comportamiento de otros pares, con respecto al uso de recursos; los pares que contribuyen a la red son recompensados con un mejor servicio."



No tienes permitido ver los links. Registrarse o Entrar a mi cuenta



RetroShare

"Es un software que proporciona comunicaciones de red cifradas P2P, un sistema de email no centralizado, mensajería instantánea, un BBS y un sistema de compartición de ficheros basado en una red friend-to-friend o amigo-a-amigo, haciendo uso para todo ello de la herramienta de cifrado GPG. No es estrictamente un cliente para una darknet o red oscura dado que los pares pueden opcionalmente comunicar certificados y direcciones IP de/a sus amigos."



No tienes permitido ver los links. Registrarse o Entrar a mi cuenta



OneSwarm

"Es un cliente P2P que preserva la privacidad, desarrollado en la Universidad de Washington. Aunque es compatible hacia atrás con clientes tradicionales de BitTorrent, Oneswarm también incluye nuevas funciones diseñadas para proteger la privacidad del usuario al compartir datos entre amigos mediante la creación de un Darknet distribuido; tal sistema se llama compartir friend-to-friend."



No tienes permitido ver los links. Registrarse o Entrar a mi cuenta



StealthNet

"Es un programa p2p anónimo para intercambiar ficheros que utiliza la red Rshare, publicado como software libre para sistemas Windows y Linux. Ofrece resistencia contra el análisis de las descargas así como de las subidas de ficheros a la red, mediante un fuerte cifrado. Contrariamente a programas similares el protocolo de StealthNet ofrece un buen rendimiento en cuánto a velocidad de descarga y anonimato."



No tienes permitido ver los links. Registrarse o Entrar a mi cuenta



Comparaciones

Actualmente TOR, I2P y FreeNet son las redes que se encuentran en un estado más avanzado. No se puede desestimar ninguna ni pretender que alguna sea "superior" a otra. Siempre es necesario tener presente que se trata simplemente de herramientas que intentan conseguir el mismo fin: Preservar el anonimato y la privacidad de sus usuarios.
Sin embargo, cuando alguien desea que sus "acciones" sean anónimas, necesita conocer muy bien estas soluciones y determinar cual se ajusta a sus necesidades concretas. En algunos casos, los usuarios se decidirán por el uso de TOR dadas sus capacidades de "Outproxy" mientras que otros preferirán I2P o FREENET por sus capacidades de "Inproxy" y VPN. Se trata simplemente de una decisión que el usuario debe tomar en un momento determinado dependiendo de lo que quiera hacer.



No tienes permitido ver los links. Registrarse o Entrar a mi cuenta



TOR vs I2P

Como se ha comentado a lo largo de esta serie de entradas, TOR es una solución que utiliza múltiples nodos para su funcionamiento llamados en su conjunto "circuito virtual". I2P sigue un modelo similar donde existen múltiples nodos que crean canales de comunicación unidireccionales seguros llamados "túneles". Una de las diferencias entre TOR e I2P, es que el modelo comunicacional es distinto, mientras que TOR utiliza un único "circuito" bidireccional para enviar y recibir peticiones, I2P utiliza dos unidireccionales, uno para el envío de paquetes y otro para recepción. Sin embargo, la diferencia que tiene mayor relevancia y que sin duda alguna es la que más resalta entre estas dos soluciones de anonimato es el contexto de la comunicación propiamente dicho, ya que TOR utiliza un modelo OutProxy mientras que I2P utiliza un modelo InProxy. Un modelo OutProxy esta principalmente enfocado a redes "externas" a la red virtual (circuito virtual) tales como máquinas en Internet, un modelo InProxy es justamente lo contrario, es un modelo de VPN "puro" donde ninguna entidad externa puede participar en la red sin antes unirse a ella, del mismo modo los participantes del InProxy acceden a recursos localizados al interior de la red, los principios que declara el modelo de InProxy son normalmente conocidos como "darknet". Partiendo de esta diferenciación, se procede a listar una serie de ventajas y desventajas que tiene una solución sobre la otra.

Ventajas de TOR sobre I2P

El número de usuarios y recursos disponibles en la red de TOR es mucho mayor que en I2P.
Se trata de una solución que es mucho más conocida y "visible" en el campo académico y las comunidades de hackers, por esto existen una gran cantidad de recursos informativos, papers, herramientas, librerías y múltiples trabajos de investigación relacionados con TOR.
Dada su trayectoria y soporte, cuenta con soluciones a problemas comunes en redes anónimas (especialmente relacionados con el rendimiento) que I2P aun esta desarrollando, por ejemplo, en TOR el trafico en los "Exit Nodes" se encuentra mucho más optimizado que en I2P con sus "Outbound Tunnels".
Dado su tamaño, puede ser más resistente a la censura y a diferentes tipos de ataques de DoS que I2P.
Tiene mejoras considerables en términos de consumo de memoria con respecto a I2P, dado que un nodo (cliente o relay) en TOR consume una cuenta limitada de recursos y normalmente no afecta el desempeño general de la máquina donde se ejecuta, en I2P el rendimiento puede verse seriamente afectado dependiendo del número de túneles abiertos, conexiones, trasferencias de ficheros, etc.
TOR maneja un modelo "centralizado" mientras que en I2P el modelo de intercambio de datos es descentralizado, lo que para algunos puede representar una ventaja de TOR sobre I2P.
TOR se encuentra escrito en C, lo que para algunos puede representar una ventaja de TOR sobre I2P (cuestión de gustos).

Ventajas de I2P sobre TOR

I2P cuenta con un modelo de servicios al interior de la red mucho más extenso, eficiente y robusto que TOR, dado que soporta diversas aplicaciones como BitTorrents (la cual no es soportada en TOR). Los servicios internos en I2P son mucho más eficientes que los Hidden Services en TOR, esto principalmente debido a que TOR esta enfocado en el anonimato "básico" para poder navegar y acceder a sitios en internet, pero no esta optimizado para compartir ficheros . Esta es una ventaja considerable e importante para muchos usuarios que quieren hacer mucho más que simplemente navegar por internet, ya que con I2P se pueden crear EEPSITES, compartir ficheros, enviar mensajes de correo electrónico, chatear, etc. De una forma mucho más optima que con TOR.
I2P es una red completamente distribuida y auto-gestionada, dado que cada uno de los nodos seleccionados para la creación de un túnel determinado en una instancia de I2P, se toma como base un "ranking" sobre el desempeño de los nodos en lugar de un modelo de "confianza" sobre dicha información como es en TOR con sus directorios autoritativos.
No existe un directorio autoritativo central, por lo tanto los ataques dirigidos son mucho más difíciles de llevar a cabo, dado que cada usuario en I2P, es en si mismo, un nodo que participa en la red para componer los túneles de otros usuarios. Esta claro que atacar a unos pocos directorios autoritativos en TOR, es mucho más factible que atacar miles de nodos en I2P.
Dado que a la fecha de escribir este articulo, aun no cuenta con la difusión ni tamaño que tienen otras soluciones como TOR, no han habido tantos ataques de denegación de servicio o problemas relacionados con la censura como ha ocurrido con TOR.
El uso de túneles uni-direccionales en I2P supone una ventaja con respecto a TOR en el sentido de que un atacante debe "doblar" el número de nodos por instancia que debe comprometer para obtener la misma información.
Los túneles en I2P normalmente duran poco tiempo y con bastante frecuencia se reconstruyen con nuevos peers, a diferencia de TOR donde los circuitos son de "larga duración" y su renovación depende de los directorios autoritativos.
Soporta UDP, TCP e ICMP a diferencia de TOR que solamente soporta TCP.
I2P se encuentra escrito en Java, lo que para algunos puede representar una ventaja de I2P sobre TOR. Ademas de contar con varias API, (Streaming Library, BOB SAM), para desarrollo de aplicaciones utilizando, I2P (cuestión de gustos).

FREENET vs TOR

Del mismo modo que ocurre con I2P y TOR, las principales diferencias entre FreeNet y TOR radican en el modelo de comunicación empleado, ya que FreeNet es también una red "InProxy" o "DarkNet" (si, existen muchos términos que se designan a los mismos conceptos prácticos...) mientras que TOR como se ha indicado anteriormente es una red "OutProxy" que brinda la posibilidad de acceder a internet por medio de TOR. Para aclarar un poco más estos conceptos antes de continuar, es necesario comprender que el principal objetivo de las redes "InProxy" o "Darknet" es el de facilitar la comunicación anónima entre dos o más entidades (personas) utilizando un medio de comunicación seguro, por esta razón se trata de un modelo de comunicación cerrado donde no pueden intervenir otros nodos que se encuentran localizados en internet sin antes "entrar" en la red. De hecho, para navegar a cualquier FreeSite en FreeNet es necesario contar con su correspondiente clave y posteriormente utilizar una herramienta como FProxy, con TOR solamente es necesario utilizar un proxy HTTP/HTTPS/SOCKS y configurarlo para que funcione con TOR, con esto es suficiente para acceder a Internet utilizado el correspondiente circuito virtual de TOR. Ademas de lo anterior, FreeNet es en realidad, un repositorio de almacenamiento descentralizado, puede verse perfectamente como una base de datos que se encuentra replicada en los "datastore" de los nodos que participan activamente en la red (por participar, se refiere a una acción tan simple, como acceder a una clave FreeNet desde TCMI o FProxy). Dado el modelo que sigue FreeNet y TOR, puede hablarse de algunas ventajas y desventajas entre dichas redes.

Ventajas de TOR sobre Freenet

Cantidad de usuarios desarrollando y usando el software, número de routers participando en la red, cantidad de aplicaciones, recursos, etc.
Maneja mucho mejor la privacidad de los usuarios dado que no almacena ningún fichero en el sistema de archivos local sin previa autorización por parte del usuario. Freenet por otro lado, almacena ficheros e información de otros usuarios en el sistema de ficheros local en una zona conocida como "DataStore" sobre la cual se tiene muy poco control de lo que se almacena y se consulta.
Freenet es una red lenta, TOR presta un servicio mucho más eficiente y tiene mejor entropia que Freenet.
TOR puede ser utilizado de muchas maneras, desde un navegador web o desde una aplicación externa simplemente "enrutando" todas las peticiones por medio de TOR, con FreeNet, existen solamente 3 mecanismos posibles, utilizando FProxy, TCMI o empleando la API disponible para crear "manualmente" aplicaciones que accedan a la red.

Ventajas de FreeNet sobre TOR

Como se ha comentado anteriormente, TOR se encuentra bastante limitado en términos de servicios prestados, esto principalmente a causa de que solamente soporta protocolo TCP y no es una solución optima ni segura para compartir ficheros sobre la red. En este aspecto FreeNet tiene una amplia ventaja, ya que esta red se encuentra diseñada e implementada sobre el principio de ser una "base de datos distribuida" donde cada nodo en la red almacena información de otros usuarios.
Se trata de una solución que puede ser más segura que TOR en el sentido de que existen menos vectores de ataque (dado que es menos popular) y que no cuenta con un modelo de amenazas tan extenso como TOR, especialmente con los problemas de seguridad que puede acarrear un nodo de salida comprometido o malicioso.
Todas las ventajas que proporciona un sistema distribuido sobre uno centralizado, especialmente relacionadas con el modelo de amenazas, ya que no es igual atacar una cantidad fija y pequeña de sistemas (en el caso de TOR, los directorios autoritativos) que una cantidad en constante aumento (en el caso de FreeNet).
Cuenta con un conjunto de servicios anónimos mucho más rico que TOR, con aplicaciones y plugins para desplegar sitios web anónimos (conocidos como FreeSites), chat anónimo, compartir ficheros, participar en foros, etc.
Soporta UDP, ICMP y TCP, mientras que TOR solamente soporta TCP.

I2P vs FREENET

I2P y FreeNet son soluciones siguen un modelo bastante similar, dado que ambas utilizan mecanismos de cifrado fuertes para la creación de conexiones entre dos o mas nodos, como se ha mencionado anteriormente, se trata de soluciones "InProxy" que permiten la creación de redes privadas, donde es posible conocer cuales son los participantes de la misma (nodos), pero la información que viaja entre cada participante y los puntos finales (emisores y receptores) solamente es conocida por el destinatario en cada uno de los casos. Una de las características que hacen que estas soluciones tengan similitud con TOR, es el concepto de "Onion Routing" donde cada nodo implementa una "capa" de cifrado a nivel de transporte, de tal forma que cuando un nodo recibe un paquete, sabe cual es el próximo destino (el siguiente nodo al que debe dirigir el paquete recibido, que evidentemente también se encuentra cifrado) pero no tiene información sobre los nodos por los que ha pasado anteriormente el paquete así como tampoco sabe cuantos nodos falta por recorrer antes de que este llegue a su correspondiente destino. Cada vez que un mensaje (paquete) viaja por un nodo, se descubre una capa de cifrado, de tal forma que en la medida que el paquete se encuentra más cerca de su destino final, existirán menos capas por descifrar (ningún nodo sabe cuantas capas se han "removido" ni cuantas faltan por "remover"). Cuando el mensaje llega finalmente a su destino solamente queda el paquete propiamente dicho que puede ser descifrado por el destinatario en la capa de aplicación. Aunque existen bastantes similitudes, aun existen algunas ventajas y desventajas de una solución sobre otra. Algunas de estas son:

Ventajas de I2P sobre FreeNet

Facilidades a la hora de crear cualquier tipo de túnel desde la aplicación I2PTunnel lo que permite que otras aplicaciones puedan integrarse y/o usar fácilmente I2P.
Dado que I2P requiere la construcción de dos túneles separados (inbound y outbound) para la comunicación con otros nodos, los ataques se hacen cada vez más complejos y su tasa de éxito es menor.
I2P tiene un rendimiento mucho más óptimo que Freenet. El hecho de que FreeNet sea más lento que I2P es debido a que la velocidad de conexión puede verse afectada por la cantidad de "peers" a los que se conecta un nodo de Freenet, entre más peers, mejor será el rendimiento, sin embargo, en casos donde un nodo tiene configurado un nivel de seguridad alto "solamente se permite la conexión con nodos conocidos, comúnmente nombrados como Friends".
I2P esta más "orientado al servicio" que FreeNet, ya que tiene la capacidad de exponer casi cualquier servicio de un nodo I2P en la red como por ejemplo SSH, Telnet, servidores web, etc.
Implementación mucho más estable y con menos problemas en términos de arquitectura (software).
Esta "ventaja" es bastante subjetiva, sin embargo considero oportuno mencionarla: La documentación existente sobre I2P es mucho más completa que la que existe sobre Freenet, además de que el movimiento de los canales IRC y los foros de I2P en la actualidad parece ser que tienen mucha más actividad que los medios de comunicación de Freenet, por lo tanto la resolución de problemas puede ser mucho más dinámica que con Freenet.

Ventajas de FreeNet sobre I2P

Freenet cuenta con unas considerables ventajas sobre I2P, una de las principales es el modelo de datos distribuidos que se ha conseguido gracias de los DataStores de FreeNet, este mecanismo es una medida contra la censura de los contenidos publicados, ya que en función de la popularidad de la información que se almacene, será mucho más difícil restringir el acceso a un contenido determinado.
Sistema de resolución de nombres mucho más completo (y posiblemente más seguro) que el existente en Freenet ya que mientras que en I2P se utilizan dominios con extensión *.i2p, en Freenet todos los contenidos son claves que resuelven internamente cualquier consulta sobre un determinado recurso al interior de la red
Permite la segmentación de grupos de "Friends" en el interior de la red, lo que permite crear pequeñas "darknets" al interior de la red, con lo cual se controla mucho mejor los peers con los que interactua la instancia de Freenet. En I2P este nivel de control no es tan fino, ya que se puede decidir cuales nodos restringir, pero no se cuenta con unos niveles de seguridad en la conexión con otros nodos tan granular como los que permite Freenet.
Dado que todos los nodos en Freenet almacenan información de otros servicios en sus correspondientes "DataStores", un nodo de FreeNet puede ser "apagado" y aun así el servicio se encontrará disponible en algún punto de la red.



No tienes permitido ver los links. Registrarse o Entrar a mi cuenta



Conclusiones Personales, (Y simples)

No veo que ninguna sea mejor o superior a otra. Simplemente son diferentes porque, simplemente, cada una tiene un objetivo distinto, (a parte de prestar anonimato).

Espero que os haya agradado la lectura.

Saludos Cordiales.
#3
Off Topic / Problema con Tapatalk
Abril 19, 2015, 08:46:17 AM
Estimada Familia.

Desde esta mañana tengo este problema con Tapatalk.



Ha alguien más le pasa?? Si le doy a restablecer contraseña se queda 'procesando' de manera permanente.

Saludos Cordiales.
#4

Estimada Familia.

El pasado día, 12 de marzo, tuvo lugar en el Campus sur de la Universidad Politécnica de Madrid, la Conferencia UPM TASSI 2015 "Ecrime evolution", organizada por la Escuela Técnica Superior de Ingeniería de Sistemas Informáticos de la UPM.

Esta conferencia estuvo impartida por Marc Rivero, (CyberSOC Deloitte), y Dani Creus, (Kaspersky Lab).




Sin más os dejo el enlace al PDF de la misma:
Descarga: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta




PD: No pongo la url de donde está porque no la tengo. Si alguien la quiere añadir...

Saludos Cordiales.
#5

Estimada Familia

Medidas de seguridad para Android 4.x

El CCN-CERT ha hecho pública la Guía CCN-STIC 453B Seguridad en Dispositivos Móviles: Android 4.x, un completísimo documento en el que se proporciona una lista de recomendaciones de seguridad para la configuración de dispositivos móviles basado en Android 4.x, cuyo objetivo es proteger el propio dispositivo móvil, sus comunicaciones y la información y datos que gestiona y almacena. Todo ello, teniendo en cuenta que es uno de los principales sistemas operativos de dispositivos móviles utilizados en la actualidad y el que recibe un mayor número de ciberataques.

La Guía, elaborada por el Centro Criptológico Nacional, recoge los detalles específicos de la aplicación e implementación de las medidas de seguridad más adecuadas en este tipo de dispositivos móviles. El documento cuenta con un amplio capítulo sobre la configuración de seguridad en Android que, entre otros, aborda aspectos tales como la actualización del sistema operativo, modelo y arquitectura de seguridad, la gestión empresarial d e dispositivos móviles, acceso físico al dispositivo móvil, múltiples perfiles de usuario, cifrado de datos, gestión de certificados digitales y credenciales o la eliminación de datos en Android.

Esta Guía se une a otras sobre dispositivos móviles del CCN-CERT (Android, iPad e iPhone) que son públicas y están accesibles para su descarga desde el portal del CCN-CERT.

Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta




Más información: Guía CCN-STIC 453B Seguridad en Dispositivos Móviles: Android 4.x
Descarga: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta - (Sólo 356 páginas de deliciosa lectura)  ::)




Saludos Cordiales.
#6

Estimada Familia.

Recientemente ha tenido entrada en uno de mis buzones la siguiente noticia:


"Como cada año por esta época, la Agencia Estatal de la Administración Tributaria (AEAT)  presenta la campaña de la declaración deLogo Agencia Tributaria IRPF del ejercicio pasado.

También en esta época, volvemos a recibir emails que, haciéndose pasar por la AEAT y con el asunto "Mensajes de devolución de impuestos", nos envían un enlace que nos dirige a una página web con un formulario donde nos solicitan nuestros datos, con la excusa de devolvernos cierta cantidad de dinero. TODOS NUESTROS DATOS: Nombre, NIF, número de tarjeta, fecha de caducidad, código PIN, Fecha de nacimiento.

El consejo es el mismo que en cualquier phising: Ninguna entidad bancaria ni organismo oficial solicita datos de este tipo a través de email o formulario."




Texto íntegro sacado de: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta



Como noticia... pues bueno. Una más como otras tantas que hubiera archivado directamente. Pero esta me llamó la atención por unos cuantos detalles que, cuanto menos, son curiosos.

Ojalá tuviera la imagen original para escudriñarla a fondo, pero no la tengo.

Por ello, yo la hubiera titulado "Cómo no hacer Phising"

Veamos la imagen que nos muestran:



¿¿Sabéis a qué me refiero??

Os recuadro en rojo un detalle, (el que más me ha impactado), y el resto basta con leer.



Os toca.

Saludos Cordiales.
#7

Estimada Familia.

¿Es posible vivir sin Antivirus?

DESCUBRE LAS CLAVES PARA... SOBREVIVIR. Los ataques de hackers y las infecciones de malware están a la orden del día. En ese entorno hostil, ¿tu ordenador podría sobrevivir sin un antivirus?.

Los antivirus son unos programas excelentes que protegen tu ordenador frente a las amenazas que, de forma habitual, nos acechan en Internet. No obstante, a veces, su uso puede suponer incluso un lastre en tu experiencia como usuario. Esto ocurre, por ejemplo, en ordenadores antiguos en los que la vigilancia constante del antivirus ralentiza tanto el sistema que se convierte en un problema más que en una solución.

Por ello, aunque como norma general debes contar siempre con la protección de un antivirus, (recomendamos encarecidamente su uso), hay casos en los que es mejor desinstalarlo. Sin embargo, si se prescinde del antivirus, a cambio hay que modificar algunos hábitos al utilizar tu equipo, para intentar minimizar en todo lo posible los riesgos que podrían poner en peligro la seguridad del equipo.

¿NECESITAS NAVEGAR EN INTERNET? ENTONCES DEBES PROTEGERTE

La principal amenaza para tu equipo proviene de Internet. Modificar algunos hábitos durante la navegación, así como la forma de gestionar los archivos que descargas de la Red será el punto crítico en este proceso de 'liberación' para tu PC.

Tú eres el mejor antivirus:

Antes de pulsar el botón que desinstalará el antivirus de tu ordenador, debes preguntarte a ti mismo si estás dispuesto a asumir el compromiso de actuar con sentido común a la hora de navegar por la Red. Si eres un habitual de las páginas de descargas de archivos de dudosa procedencia, si haces click sobre todo banner que se te cruza por la pantalla o visitas páginas con contenido para adultos, definitivamente no es buena idea desinstalar el antivirus. En cambio, si habitualmente navegas por sitios razonablemente seguros, tus
descargas de archivos o documentos son desde sus respectivas páginas oficiales y eres consciente de que nadie regala coches ni iPads por ser el visitante 1 Millón que visita su página web, ya tienes media batalla ganada.

Google como guardián:

Nadie conoce tan bien Internet y sus recovecos como el omnipresente buscador de Google. Los robots del buscador de la gran G deben examinar e indexar la mayoría de las páginas web de la Red, así que el buscador también es capaz de 'intuir' si una página esconde contenido malicioso tras una apariencia normal. Por este motivo, si te has decidido a navegar sin la protección de un antivirus, es mejor que lo hagas desde un navegador que te proporcione el extra de seguridad que necesitas.

SIN ANTIVIRUS:

1.  Este navegador es Google Chrome (No tienes permitido ver los links. Registrarse o Entrar a mi cuenta) no sólo por su versatilidad y facilidad de uso, sino por su zona de pruebas, (o el sistema Sand-box), que analiza las páginas antes de mostrarte las y determina si realmente son lo que dicen ser. Esta zona de pruebas te protege frente a páginas qué contiene malware o sean sospechosa de Phishing. Es decir, páginas falsas qué intentan hacerse pasar por otras que no están verificada.

2.  Tras instalar Google chrome en tú equipo, asegúrate de qué están activadas las opciones de protección para comprobarlo haz clic sobre el icono personaliza y controla Google Chrome, que encontraras en la esquina superior de su interfaz.

y elige la entrada configuración.

3.  A continuación, ve al final de la página de opciones y pulsa sobre Mostrar opciones avanzadas. Después, en el apartado privacidad, activa la casilla Habilitar protección contra phishing y software malicioso.

Una vez configurada está opción, cuando Chrome me detecte algún comportamiento extraño en la web que vas a visitar, mostrará una llamativa pantalla en la que te advierte del peligro.

Antivirus online: Si aun teniendo cuidado con los archivos que descargas de Internet, sospechas que alguno de ellos podría ser nocivo, puedes optar por los análisis de archivos online. Uno de los servicios mas fiables es el qué ofrece Virustotal (No tienes permitido ver los links. Registrarse o Entrar a mi cuenta), el cual da la posibilidad de analizar los archivos sospechosos, con más de 50 motores de antivirus simultáneamente, por lo que ofrece mayor fiabilidad que los antivirus tradicionales. Además, su uso es muy sencillo.

Mitos y leyendas sobre el antivirus: Si tu mayor motivación para optar por un sistema operativo Linux o por un equipo Mac fue que no necesitabas utilizar antivirus, tenemos malas noticias para ti. Es cierto que el método de instalación de los programas dificulta la infección de virus en estos sistemas, pero nadie está totalmente a salvo del malware, el phishing, o cualquiera de las ciberamenazas.



Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta



Saludos Cordiales.
#8
Off Topic / Opinión Personal
Abril 14, 2015, 03:04:02 AM
Estimada Familia.

No sé muy bien por dónde empezar... y voy a procurar escoger muy bien las palabras que voy a decir.

He estado siguiendo diferentes comunidades de Seguridad Informática, Hacking, Hacking Ético, [In]Seguridad Informática, como queramos llamarlas... Hasta dar con esta, que considero que es la mejor de las que conozco. Por eso me uní a ella.

Porque, aun habiendo preguntas, quizás un poco absurdas, (que no tontas), se responde adecuadamente. Porque, ante todo, se trata de todo lo que tenga que ver con las Nuevas Tecnologías, (por resumirlo en un término). Porque, por lo que he visto, se procuran dejar de lado los temas ajenos a esta Comunidad, (como temas políticos). Porque la definición que se da a esta Comunidad, y he visto que se recalca, es que es una Familia. Por eso os llamo Familia y Hermanos.

En el poco tiempo que llevo en ella, los que habéis leído mis aportes, sabréis que he recibido de muy buen grado las críticas, sean del tipo que sean. Y también os habréis dado cuenta que, cuando no me quedo tranquilo con algo, lo digo.



Recientemente publiqué este Post en el apartado de Diseño Gráfico: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta



No me quedé anoche tranquilo... y tenía que escribir estas líneas.

Independientemente de la persona que sea, y del tema que se trate, considero que en esta Familia tenemos que dejar los temas Polícos, (por llamarlo de alguna forma), de lado, y centrarnos en los temas que nos ocupa.

Sois... (Somos) una Comunidad de Hacking Ético. La principal característica de un hacker ético es el principio moral. Ententiendo por esto, que hay aplicar unos conocimientos de informática y seguridad para realizar pruebas en redes y encontrar vulnerabilidades, para luego reportarlas y que se tomen medidas, sin hacer daño. Entendiendo, igualmente, que somos profesionales de la seguridad que aplican sus conocimientos de hacking, (en mayor o menor grado), con fines defensivos, (y legales). Si no, no seríamos una Comunidad de Hacking Ético.

No obstante, como siempre, cada uno es libre de dar su opinión, y cada uno es libre de respetar o no las que recibe. Personalmente... respeto TODAS las opiniones.

Espero no haber ofendido a nadie y haber dejado claro mi punto de vista personal.

Saludos Cordiales.
#9
Galería / Wallpaper Guardia Civil - Underc0de
Abril 13, 2015, 06:05:12 PM
Estimada Familia.

Hay veces que trabajo con/para esta "empresa", y viendo un fondo de pantalla de ella he decidido hacer esto.
No creo que me haya quedado mal del todo.


Saludos cordiales.
#10
Off Topic / Inteco?? NO - Incibe?? SÍ
Abril 13, 2015, 05:20:36 PM

Estimada Familia.

No sé muy bien si colocar aquí este tema... Pero si no corresponde a este apartado, lo movéis.

Llevo bastante tiempo viendo rondar, circular por la Red, un par de guías que provienen de los portales de Inteco-Incibe. Concretamente se tratan de dos:

"Guía sobre análisis de tráfico con Wireshark" y "Guía de toma de evidencias en entornos Windows".(Yo mismo he tirado de ellas).

Pero... no hay más guías, y de más interés?? La respuesta es... .

Primero vamos a empezar por definir:

Inteco: ERA "el Instituto Nacional de Tecnologías de la Comunicación, que como centro de excelencia promovido por el Ministerio de Industria, Turismo y Comercio para el desarrollo de la sociedad del conocimiento, desarrollaba proyectos de innovación y programas de investigación dirigidos a la mejor implantación de las medidas de seguridad."


Fuente: Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica.


Incibe: ES el Instituto Nacional de Ciberseguridad de España desde que, el 28 de octubre de 2014, el Instituto Nacional de Tecnologías de la Comunicación, S.A. (INTECO), cambiara de denominación e imagen, "acorde con su orientación estratégica y posicionamiento como centro nacional de referencia en ciberseguridad."

..."INCIBE, sociedad dependiente del Ministerio de Industria, Energía y Turismo, (MINETUR), a través de la Secretaría de Estado de Telecomunicaciones y para la Sociedad de la Información, (SETSI), es la entidad de referencia para el desarrollo de la ciberseguridad y de la confianza digital de los ciudadanos, la red académica y de investigación española, (RedIRIS), y las empresas, especialmente para sectores estratégicos."

..."Es un instrumento del Gobierno para desarrollar la ciberseguridad como motor de transformación social y oportunidad para la innovación. Para ello, con una actividad basada en la investigación, la prestación de servicios y la coordinación con los agentes con competencias en la materia , lidera diferentes actuaciones para la ciberseguridad a nivel nacional e internacional.

..."Trabaja para aumentar la capacidad de detección y alerta temprana de nuevas amenazas, la respuesta y análisis de incidentes de seguridad de la información, aumentar la ciberresiliencia de las organizaciones y el diseño de medidas preventivas para atender a las necesidades de la sociedad en general y, en virtud del Convenio de Colaboración suscrito entre la Secretaría de Estado de Seguridad del Ministerio del Interior y la Secretaría de Estado de Telecomunicaciones y para la Sociedad de la Información, a las necesidades de seguridad de las infraestructuras críticas, de apoyo en la investigación y lucha frente a ciberdelitos y ciberterrorismo."

Por lo tanto, tiene como misión: ..."reforzar la ciberseguridad, la confianza y la protección de la información y privacidad en los servicios de la Sociedad de la Información, aportando valor a ciudadanos, empresas, Administración, red académica y de investigación española, sector de las tecnologías de la información y las comunicaciones y sectores estratégicos en general."


Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta


Imagen Circular de Incibe


Soltada la parrafada, y volviendo al tema de las guías que publican, considero que hay muchas y más interesantes. Por ejemplo, y siempre a juicio del que suscribe, guías sobre la fuga de información o la protección de menores.

Por todo ello, y para que conozcáis este "organismo", quiero compartir con vosotros las guías publicadas hasta el día de hoy, siendo el listado este:

ACTUACIONES EN SEGURIDAD TECNOLÓGICA
¡Actualizada! Guía legal sobre fiscalidad de los negocios a través de Internet
¡Actualizada! Guía legal sobre Protección de Datos de Carácter Personal
Análisis de Tráfico con WireShark
Catálogo de Empresas y Soluciones de Seguridad TIC - Catálogo Accesible
Catálogo de Empresas y Soluciones de Seguridad TIC - Catálogo Accesible (Versión Texto)
Cuarto monográfico del Catálogo: Cumplimiento Legal
Educando en seguridad TI
El Puesto del Operador: Guía básica de protección de Infraestructuras Críticas
Estudio sobre hábitos seguros en el uso de las TIC por niños y adolescentes y e-confianza de sus padres
ESTUDIO SOBRE LA PRIVACIDAD DE LOS DATOS PERSONALES Y LA SEGURIDAD DE LA INFORMACIÓN EN LAS REDES SOCIALES ONLINE
Guía básica de seguridad en Magento
Guía básica para la securización del gestor de contenidos Joomla!
Guía básica para la securización del servidor web Apache
Guía básica para la securización de WordPress
Guía de introducción a la Web 2.0: aspectos de seguridad y privacidad en las plataformas colaborativas
Guía de Pentest: Recolección de información (Information Gathering)
Guía de Pruebas OWASP 3.0 en castellano
Guia de Seguridad en servicios DNS
Guía de toma de evidencias en entornos Windows
Guía legal en materia de identidad digital y dni electrónico
Guía legal sobre la protección del derecho al honor, a la intimidad y a la propia imagen en Internet
Guía legal sobre las redes sociales, menores de edad y privacidad en la Red
Guía Legal sobre Privacidad en Internet
Guía para el uso seguro del DNI electrónico en Internet
Guía para empresas: cómo adaptarse a la normativa sobre protección de datos
Guía para empresas: identidad digital y reputación online
Guía para empresas: seguridad de los sistemas de monitorización y control de procesos e infraestructuras (SCADA)
Guía para empresas: seguridad y privacidad del cloud computing
Guía para entidades locales: cómo adaptarse a la normativa sobre protección de datos
Guía para entidades locales: cómo ahorrar costes y mejorar la productividad con cloud computing
Guía para la gestión de sesiones web: ataques y medidas de seguridad
Guía para la protección legal de los menores en el uso de Internet
Guía para la Seguridad en áreas críticas en Cloud Computing
Guía para padres y madres sobre uso de videojuegos por menores
Guía para proteger la red inalámbrica Wi-Fi de su empresa
Guía para proteger la red inalámbrica Wi-Fi de su hogar
Guía para proteger y usar de forma segura su móvil
Guía para usuarios: identidad digital y reputación online
Guía práctica para PYMES:cómo implantar un Plan de Continuidad de Negocio
Guía práctica sobre cómo activar y configurar el control parental de los sistemas operativos
Guías de ayuda para la configuración de la privacidad y seguridad de las redes sociales - Facebook
Guías de ayuda para la configuración de la privacidad y seguridad de las redes sociales - Flickr
Guías de ayuda para la configuración de la privacidad y seguridad de las redes sociales - HI5
Guías de ayuda para la configuración de la privacidad y seguridad de las redes sociales - LastFM
Guías de ayuda para la configuración de la privacidad y seguridad de las redes sociales - Linkedin
Guías de ayuda para la configuración de la privacidad y seguridad de las redes sociales - MySpace
Guías de ayuda para la configuración de la privacidad y seguridad de las redes sociales - Orkut
Guías de ayuda para la configuración de la privacidad y seguridad de las redes sociales - Tuenti
Guías de ayuda para la configuración de la privacidad y seguridad de las redes sociales - Twitter
Guías de ayuda para la configuración de la privacidad y seguridad de las redes sociales - Windows Live Space
Guías de ayuda para la configuración de la privacidad y seguridad de las redes sociales - Xing
Guías de ayuda para la configuración de la privacidad y seguridad de las redes sociales - Youtube
Guía sobre adolescencia y sexting: qué es y cómo prevenirlo
Guía sobre almacenamiento y borrado seguro de información
Guía sobre análisis de tráfico con Wireshark
Guía sobre ciberbullying y grooming
Guía sobre Comercio Electrónico y eConfianza
Guía sobre contratación pública electrónica
Guía sobre la respuesta jurídica a los ataques contra la Seguridad de la Información
Guía sobre las tecnologías biométricas aplicadas a la seguridad
Guía sobre la utilización de las tecnologías de la información en el ámbito laboral
Guía sobre privacidad y secreto en las telecomunicaciones
Guía sobre riesgos y buenas prácticas en autenticación online
Guía sobre seguridad website
Guía sobre seguridad y privacidad de las herramientas de geolocalización
Guía sobre seguridad y privacidad de la tecnología RFID
Guía sobre seguridad y privacidad en el Comercio Electrónico
Guía sobre Videovigilancia
Guía sobre videovigilancia y protección de datos personales
Guía Software Exploitation
Guías para la gestión de fuga de información
Identificación y reporte de incidentes de seguridad para operadores estratégicos: Guía básica de protección de Infraestructuras Críticas
INFORME DE VULNERABILIDADES Y AMENAZAS EN DISPOSITIVOS IPHONE E IPAD
INTECO presenta la segunda edición de la Taxonomía de Soluciones de Seguridad TIC
INTECO presenta la segunda edición del Catálogo de Empresas y Soluciones de Seguridad TIC
INTECO presenta la tercera edición del Catálogo de Empresas y Soluciones de Seguridad TIC
PENTEST: RECOLECCIÓN DE INFORMACIÓN (INFORMATION GATHERING)
Primer Monográfico del Catálogo: Seguridad Perimetral
Publicación del 5º Monográfico de Seguridad: seguridad en dispositivos móviles
Quién es quién en el mercado de la seguridad TIC en España
Segundo monográfico del Catálogo: Protección del Puesto de Trabajo
SEGURIDAD WEB: AUDITORÍAS Y HERRAMIENTAS
Tercer monográfico del Catálogo: Gestión de la Seguridad



Pudiendo ser descargadas todas en un archivo comprimido de:
No tienes permitido ver los links. Registrarse o Entrar a mi cuenta


O de su sitio oficial, (sin necesidad de registro previo), visitando una por una:
No tienes permitido ver los links. Registrarse o Entrar a mi cuenta


Os parecen pocas??
No os preocupéis porque también disponen de un blog, donde publican interesantes artículos, en
No tienes permitido ver los links. Registrarse o Entrar a mi cuenta


Enlace a INCIBE: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta


Así mismo, os dejo unos enlaces, (relacionados con Incibe), que considero de interés visitar, (y registrarse o seguir):


Oficina de Seguridad del Internauta:No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
Redes:No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
Rediris:No tienes permitido ver los links. Registrarse o Entrar a mi cuenta


Y para terminar... a mirar la Wikipedia, que también contiene enlaces interantes:
No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Eso es todo... Y siento el tostón, pero creía necesario mostrar la cantidad de recursos de los que dispone INCIBE.

Saludos Cordiales.
#11
Debates, Reviews y Opiniones / El "Factor Humano"
Abril 12, 2015, 01:25:21 PM
Estimada Familia.

NO me quedé tranquilo en el debate de los Antivirus y el tema del "Factor Humano", (y por no mezclar temas), creo este nuevo.

Como NO me quedé tranquilo, he estado tirando de archivos hasta dar con el que quería.

Se trata de la "GUÍA DE SEGURIDAD DE LAS TIC (CCN-STIC-400)":


Descarga desde: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta


Que dicta:

"El factor humano es el elemento más vulnerable en el marco de la seguridad de las tecnologías de la información y comunicaciones (STIC). La ingeniería social es tan efectiva que raras veces hay que recurrir a un ataque técnico, además constituye el ataque más fácil y menos complejo.
¿Qué es más fácil?... pasar días o semanas probando la robustez de una red buscando sus debilidades con la posibilidad de ser detectado por un sistema detector de intrusos o por el contrario convencer al administrador de la red de que necesitas un acceso a la misma. Un "hacker" amateur se decantaría por la primera opción y atacaría directamente al Sistema, mientras que un "hacker" profesional aprovecharía las vulnerabilidades que presenta la persona.
No todos los ataques con éxito basados en ingeniería social son debidos a la ingenuidad de los empleados, la mayoría de los casos se debe a la ignorancia de buenas prácticas de seguridad y a la falta de concienciación por parte de los usuarios del Sistema. Cuanto más sofisticadas son las tecnologías empleadas para proteger la información, los ataques se van a centrar más en explotar las debilidades de la persona.
El usuario del Sistema constituye el mejor aliado para la seguridad ya que puede detectar problemas y totalizan de largo más de la mitad de la información del Sistema. El problema es que los usuarios necesitan ser formados/mentalizados y hay que saber como hacerlo.
De lo contrario, el usuario se erige como el peor enemigo por el desconocimiento de buenas prácticas de seguridad, por su afán de modificar las cosas y ser un componente inconformista.
Como conclusión, no hay que olvidar que los usuarios son la principal razón para tener un sistema de información pero sin perder de vista que estos constituyen una amenaza significativa y poco considerada. Se percibe que los agentes internos serán responsables de la mayoría de las pérdidas económicas de una Organización sin poder ser anulados de forma completa."


De ahí mi insistencia en que "el Factor Humano es el primer y el último eslabón en la cadena de Seguridad"

Ahora os toca a vosotros. ¿¿Qué opináis??

Saludos Cordiales.
#12

Estimada Familia.

Aún hoy día, se confunde la Seguridad de la Información con la Seguridad Informática. Así que voy a exponer sus diferencias.

Primero tiro de Wikipedia:


No tienes permitido ver los links. Registrarse o Entrar a mi cuenta


No tienes permitido ver los links. Registrarse o Entrar a mi cuenta



Ahora empecemos:

Por un lado...

A primera vista "Seguridad Informática" y "Seguridad de la Información" pueden parecer exactamente lo mismo, sobre todo si se tiene en cuenta que el desarrollo y la evolución de la tecnología tiende hacia el modelo de "digitalizar" y "manejar" cualquier tipo de información mediante un sistema informático. No obstante, aunque están destinados a vivir en armonía y trabajar conjuntamente, cada uno de las áreas de Seguridad tiene objetivos y actividades diferentes.

La Seguridad Informática (IT Security) se describe como la distinción táctica y operacional de la Seguridad, mientras la Seguridad de la Información (Information Security) sería la línea estratégica de la Seguridad.

Seguridad Informática, "esta disciplina se encargaría de las implementaciones técnicas de la protección de la información, el despliegue de las tecnologías antivirus, firewalls, detección de intrusos, detección de anomalías, correlación de eventos, atención de incidentes, entre otros elementos, que articulados con prácticas de gobierno de tecnología de información establecen la forma de actuar y asegurar las situaciones de fallas parciales o totales, cuando la información es el activo que se encuentra en riesgo."
Seguridad de la Información, "es la disciplina que nos habla de los riesgos, de las amenazas, de los análisis de escenarios, de las buenas prácticas y esquemas normativos, que nos exigen niveles de aseguramiento de procesos y tecnologías para elevar el nivel de confianza en la creación, uso, almacenamiento, transmisión, recuperación y disposición final de la información."


Texto sacado de: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta



Por otro lado...

Existen muchas definiciones del término seguridad. Simplificando, y en general, podemos definir la seguridad como: "Característica que indica que un sistema esta libre de todo peligro, daño o riesgo." (Villalón)

Cuando hablamos de seguridad de la información estamos indicando que dicha información tiene una relevancia especial en un contexto determinado y que, por tanto, hay que proteger.

La Seguridad de la Información se puede definir como conjunto de medidas técnicas, organizativas y legales que permiten a la organización asegurar la confidencialidad, integridad y disponibilidad de su sistema de información.

Hasta la aparición y difusión del uso de los sistemas informáticos, toda la información de interés de una organización se guardaba en papel y se almacenaba en grandes cantidades de abultados archivadores. Datos de los clientes o proveedores de la organización, o de los empleados quedaban registrados en papel, con todos los problemas que luego acarreaba su almacenaje, transporte, acceso y procesado.

Los sistemas informáticos permiten la digitalización de todo este volumen de información reduciendo el espacio ocupado, pero, sobre todo, facilitando su análisis y procesado. Se gana en 'espacio', acceso, rapidez en el procesado de dicha información y mejoras en la presentación de dicha información.

Pero aparecen otros problemas ligados a esas facilidades. Si es mas fácil transportar la información también hay mas posibilidades de que desaparezca 'por el camino'. Si es mas fácil acceder a ella también es mas fácil modificar su contenido, etc.

Desde la aparición de los grandes sistemas aislados hasta nuestros días, en los que el trabajo en red es lo habitual, los problemas derivados de la seguridad de la información han ido también cambiando, evolucionando, pero están ahí y las soluciones han tenido que ir adaptándose a los nuevos requerimientos técnicos. Aumenta la sofisticación en el ataque y ello aumenta la complejidad de la solución, pero la esencia es la misma.

Existen también diferentes definiciones del término Seguridad Informática. De ellas nos quedamos con la definición ofrecida por el estándar para la seguridad de la información ISO/IEC 27001, que fue aprobado y publicado en octubre de 2005 por la International Organization for Standardization (ISO) y por la comisión International Electrotechnical Commission (IEC).

"La seguridad informática consiste en la implantación de un conjunto de medidas técnicas destinadas a preservar la confidencialidad, la integridad y la disponibilidad de la información, pudiendo, además, abarcar otras propiedades, como la autenticidad, la responsabilidad, la fiabilidad y el no repudio."

Como vemos el término seguridad de la información es mas amplio ya que engloba otros aspectos relacionados con la seguridad mas allá de los puramente tecnológicos.



Texto sacado de: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta



Considero que con estas dos referencias quedan claros lo términos y sus diferencias.

Saludos Cordiales.
#13
Cursos, manuales y libros / Conociendo a Windows
Abril 12, 2015, 12:13:47 PM

Estimada Familia.

En esta ocasión os traigo una pequeña colección de libros del SO Microsoft Windows, con la finalidad de conocerlo un poco mejor.

La lista de títulos es esta:

Conceptual Kings - Windows 10 A Beginner's Guide - Jacob Gleam
Dynamic Learniing - Introduction to Windows 8.1: Learn All About Windows 8
Future - Windows 8 Expert Tips and Tricks
Hungry Minds - Windows XP Bible
McGraw-Hill - HARDCORE WINDOWS® THE STEP-BY-STEP GUIDE TO ULTIMATE PERFORMANCE
McGraw-Hill - Windows Security: Portable Reference
McGraw-Hill - Windows Server 2003: The Complete Reference
Microsoft - Configuring Windows 8 - Training Guide
Microsoft - Installing and Configuring Windows Server 2012 - Exam 70-410
Microsoft - Introducing Microsoft System Center 2012 R2 - Technical Overview
Microsoft - Introducing Windows 8.1 - For IT Professionals - Technical Overview
Microsoft - Introducing Windows 8® - An Overview for IT Professionals
Microsoft - Introducing Windows Server 2012 R2 - Technical Overview
Microsoft - Introducing Windows Server 2012 - RTM Edition
Microsoft - Microsoft Solutions for Security: Windows Server 2003 Security Guide
Microsoft - Microsoft Windows Server 2003
Microsoft - Microsoft Windows Server 2012
Microsoft - Microsoft Windows Server Inside
Microsoft - Microsoft Windows Small Business Server 2003
Microsoft - Microsoft Windows XP Inside
Microsoft - Microsoft Windows XP Registry Guide
PACKT - Windows Server 2012 Hyper-V: Deploying Hyper-V Enterprise Server Virtualization Platform
PC Magazine® - Guide to Windows XP Media Center Edition 2005
Premier - Microsoft® Windows® XP Professional - Administrator's Guide
Sybex - Mastering TM Windows® Server 2003
Sybex - Mastering Windows XP Registry
Syncfusion - More Windows 8.1 Succinctly
Syncfusion - Windows 8.1 Succinctly
Syngress -  Windows Server 2003
Wiley - Cleaning Windows XP® FOR DUMmIES
Wiley - Windows 7 Secrets
Wiley - Windows Server 2003 for Dummies
Wiley - Windows® Server 2003 Weekend Crash Course®
Wiley - Windows XP for Power Users: Power Pack
Wiley - Windows XP GIGABOOK FOR DUMmIES




Descarga: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta



Siento que estén comprimidos y que no podáis bajaros sólo el título que os interese, pero por razones de "peso", ni puedo poner toda mi colección, ni subirlos sin comprimir.

Saludos Cordiales.
#14
Galería / Nueva firma. Qué os parece??
Abril 11, 2015, 05:56:28 PM
Estimada Familia.

He hecho esta nueva firma. Más sencilla, por lo que hace bastante menos daño a la vista. Andaré retomando mis escasos conocimientos de Photoshop.

Qué os parece??


Saludos Cordiales.
#15
Android / CCNDroid Wiper
Abril 11, 2015, 12:28:35 PM
Estimada Familia:

Me gustaría compartir con vosotros esta herramienta.

CCNDroid Wiper: Herramienta para el borrado seguro de ficheros





Sitio Oficial: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Es sólo para usuarios registrados pero, si lo deseáis, lo podéis descargar de:

Sitio de descarga: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
SHA: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
Firma: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Saludos Cordiales.
#16
Android / CCNDroid Crypter
Abril 11, 2015, 12:22:16 PM
Estimada Familia:

Me gustaría compartir con vosotros esta herramienta.

CCNDroid Crypter: Herramienta para el cifrado de ficheros con distintos algoritmos





Sitio Oficial: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Es sólo para usuarios registrados pero, si lo deseáis, lo podéis descargar de:

Sitio de descarga: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
SHA: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
Firma: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Saludos Cordiales.
#17

Estimada Familia:

Con el fin de conocernos un poco mejor, (y tirar de estadística  ;) ;)), me he tomado la libertad de hacer esta encuesta, (espero que no le moleste al Staff), que estará vigente durante 30 días.

¿Cómo ordenáis vuestra biblioteca digital?

Yo por ejemplo la ordeno:

Primero por editorial y luego por tema.

Saludos Cordiales
#18
Galería / Qué os parece esta firma??
Abril 10, 2015, 08:20:35 AM
#19
Galería / Experimentando chorraditas
Abril 10, 2015, 05:16:19 AM
Estimada Familia:

Esta mañana, (mientras dejaba haciendo mis labores), me he puesto un ratito a tocar un poco el PhotoShop, que hace unos cuantos años que no lo tocaba, para hacer esta chorradita.

Y ya que está hecha, pues pregunto por vuestras opiniones. No seais muy duros.


Saludos Cordiales
#20
Estimada Familia:


Qué hacer ante el "secuestro" de tu ordenador
miércoles, 08 abril 2015
El CCN-CERT ha actualizado y hecho público su Informe de Amenazas CCN-CERT IA-21/14 Medidas de seguridad contra Ransomware en el que da a conocer determinadas pautas y recomendaciones de seguridad para ayudar a prevenir y gestionar los incidentes de este tipo, cada día más numerosos y agresivos.

Tal y como recoge el informe, en los últimos años, las acciones dañinas de este tipo de malware han ido evolucionando dando lugar a una nueva generación de ransomware denominados "file encryptors", cuyo principal objetivo es cifrar la gran mayoría de documentos del equipo. En este caso, la principal herramienta de extorsión será el pago de cierta cantidad de dinero a cambio de la clave que permitirá recuperar (descifrar) los ficheros originales. Las acciones ofensivas de ciertos tipos de ransomware pueden resultar muy dañinas y en un entorno corporativo pueden ser devastadoras, con consecuencias que pueden agravarse aún más si se cuenta con dispositivos de backup directamente conectados con el equipo infectado, ya que algunos tipos de ransomware comprueban cada una de las unidades montadas así como recursos compartidos de red para cifrar también su contenido.



El informe del CCN-CERT cuenta con siete interesantes capítulos:

1. Vías de infección

2. Medidas preventivas

3. Restauración de ficheros: Shadow Volume Copy

4. Restauración de ficheros: Dropbox

5. Análisis de Ransomware:



a. Cryptolocker

b. Cryptowall

c. Cryptodefense

d. Torrentlocker

e. Cryptographic Locker

f. Bat_cryptor

g. CTB-Locker

h. Zerolocker

i. Cryptofortress



6. Tabla resumen

7. Referencias


CCN-CERT (7-04-2015)

Fuente de la noticia: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

El PDF, con el informe citado, se encuentra en la fuente.

Fuente del informe:No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Saludos cordiales.
#21
Estimada Familia:


TrueCrypt está libre de puertas traseras
martes, 07 abril 2015
La auditoría de seguridad del software de cifrado de disco TrueCrypt se ha completado sin evidencia de vulnerabilidades de diseño críticos o puertas traseras deliberadas en su código. TrueCrypt es una herramienta que se ha ganado una merecida fama por su capacidad para proteger de forma efectiva unidades o archivos esenciales, con una tecnología de cifrado que va más allá de otras medidas de seguridad como antivirus o cortafuegos.
TrueCrypt es software gratuito de código abierto, multiplataforma disponible para Windows, OSX y Linux, y que es usada por millones de entusiastas de privacidad y seguridad. Una herramienta potente, rápida y transparente que utiliza una combinación de distintos algoritmos de cifrado como AES, Serpent y Twofish, y una interfaz simple pero muy potente. En respuesta a las preocupaciones de que la Agencia de Seguridad Nacional estadounidense (NSA) pudiera haber alterado su código de acuerdo con un documento clasificado filtrado por Edward Snowden, ha sido auditada en los últimos dos años por un equipo de investigadores de seguridad.


La primer fase de la auditoría encontró fallos menores que no afectaban a su capacidad de cifrado seguro. La segunda fase también encontró varias vulnerabilidades pero ni fallos críticos ni puertas traseras:


"TrueCrypt parece ser una pieza relativamente bien diseñado de software criptográfico. La auditoría de NCC Group Cryptography Services no encontró evidencia de puertas traseras deliberadas, o cualquier defecto de diseño grave que haga el software inseguro en la mayoría de los casos"


TrueCrypt cerró misteriosamente su desarrollo el pasado año debido supuestamente a fallos de seguridad. La auditoria no ha mostrado fallos críticos que impidan que otros desarrolladores pudieran continuar el gran trabajo realizado por los autores de TrueCrypt.


Muy Seguridad (4-04-2015)

Fuente de la noticia: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Saludos Cordiales
#22
Estimada Familia:

Medidas de seguridad contra Ransomware

Ante el incremento continuado de este tipo de ataques, el CCN-CERT ha actualizado y publicado su Informe de Amenazas IA-21/14 Medidas de seguridad contra Ransomware cuyo objeto es dar a conocer determinadas pautas y recomendaciones de seguridad que ayuden a prevenir y gestionar incidentes derivados de un proceso de infección a través de Ransomware, así como el método de desinfección de cada espécimen o los pasos necesarios para recuperar los ficheros afectados.

El informe del CCN-CERT cuenta con siete interesantes capítulos:
· Vías de infección

· Medidas preventivas

· Restauración de ficheros: Shadow Volume Copy

· Restauración de ficheros: Dropbox

· Análisis de Ransomware (Cryptolocker, Cryptowall, etc.)

· Tabla resumen

· Referencias

Pueden descargarse el informe en el siguiente enlace:

No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Fuente de la noticia: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Saludos Cordiales
#23
Estimada Familia:

Como primer aporte a esta comunidad, quiero compartir una pequeña colección de libros sobre mi tema, (Análisis Forense), un tema del que no se habla mucho, pero que da mucho de sí.

Los títulos que contiene el archivo son estos:


File System Forensic Analysis.chm

Internet Forensics - OReilly 2005.chm

Android Forensics.epub

Auditing Information Systems - Jack J. Champlain.epub

EnCase Computer Forensics The Official EnCE EnCase Certified Examiner Study Guide, 3rd Edition.epub

Advances in Digital Forensics IX.pdf

Analisis Forense de Sistemas Informáticos.pdf

A Practical  Guide To Computer Forensics Investigations.pdf

CD and DVD Forensics - Paul Crowley & Dave Kleiman.pdf

Computer Aided Forensic Facial Comparison - M. Evison, et al., (CRC, 2010) WW.pdf

Computer and Intrusion Forensi - George Mohay & Alison Anderson.pdf

Computer Evidence Collecting and Preserving.pdf

Computer Forensics - Computer Crime Scene Investigation.pdf

Computer Forensics For Dummies.pdf

Computer Forensics - Investigating Data and Image Files - EC Council.pdf

Computer Forensics- Investigating Wireless Networks and Devices - EC-Council.pdf

Computer Forensics with FTK.pdf

Cyber Forensics - A Field Manual for Collecting, Examining, and Preserving Evidence of Computer Crimes - Albert J. Marcella & Robert S. Greenfield.pdf

EnCase Computer Forensics The Official EnCE EnCase Certified Examiner Study Guide, 3rd Edition.pdf

EnCase Computer Forensics The Official EnCE - EnCase Certified Examiner Study Guide.pdf

Evidence Collection Preservation.pdf

FBI Handbook of Forensic Science.pdf

FBI - Handbook of Forensic Services (2007 edition).pdf

First Responders Guide to Computer Forensics.pdf

Forensic Computer Crime Investigation.pdf

Forensic Computing - A Practioners Guide 2nd Edition.pdf

Gray Hat Hacking the Ethical Hackers Handbook - Allen Harper & Shon Harris & Jonathan Ness &
Chris Eagle & Gideon Lenkey & and Terron Williams.pdf

Hacking Exposed - Computer Forensics Second Edition Reviews.pdf

Handbook of Digital and Multimedia Forensic.pdf

Handbook of Fingerprint Recognition - Davide Maltoni & Dario Maio & Anil & K. Jain & Salil Prabhakar .pdf

Herramienta de Apoyo para el Análisis Forense de Computadoras.pdf

Imaging for Forensics.pdf

Incident Response & Computer Forensics, Second Edition - Chris Proside & Kevin Mandia.pdf

Incident Response -  Computer Forensic Toolkit - Douglas Schweitzer.pdf

Investigative Computer Forensics - Erik Layrin & Chfi & Ceds.pdf

iOS Forensic Analysis.pdf

La Biblia del Footprinting.pdf

Malware Forensics Field Guide For Windows Systems.pdf

Malware Forensics - James M. Aquilina & Eoghan Casey & Cameron H. Malin.pdf

Scene of the Cybercrime Computer Forensics Handbook - Debra Littlejohn &  Shinder Ed Tittel.pdf

Toma Evidencias Análisis Forense.pdf

Understanding Forensic Digital Imaging - Herbert Blitzer & Karen Stein-Ferguson & Jeffrey Huang.pdf

Un Forense Llevado a Juicio.pdf

UNIX & Linux Forensic Analysis DVD Toolkit.pdf

Violent Python A Cookbook for Hackers, Forensic Analysts, Penetration Testers and Security Engineers.pdf

Windows Forensic Analysis DVD Toolkit.pdf

Windows Forensic Analysis - Second Edition.pdf

Windows Forensic Analysis Toolkit - Advanced Analysis Techniques for Windows 7 - Syngress 3rd Edition.pdf

Wireless Crime and Forensic Investigation - Gregory Kipper.pdf


Y porqué jugar con la criptografía sólo con crypters??
El conocimiento no conoce de precios... pero vamos a trabajar un poco esa deliciosa masa gris.

Pass: ynN1u8QFZpILk

Decimal > Reverse > Base64 > Des

Offset 00=37



No tienes permitido ver los links. Registrarse o Entrar a mi cuenta


Espero que sea de vuestro agrado este pequeño material.

Saludos Cordiales.
#24
Yo soy Orlok. El Conde Orlok, conocido también como el Bibliotecario, en mis círculos más estrechos.
Yo trabajo solo. No me habéis visto... No me veréis.
Yo sí os he visto. He hablado con vosotros, escondido, acechando, escondido entre las cumbres escarpadas, en un rincón perdido, envuelto en sombras.
Os preguntareis porqué he decidido unirme a vuestra Familia. No. No vengo a hacer daño alguno, no. Vengo a infestaros. A infestar de conocimiento a esta Familia, y alimentarme del vuestro, si osais admitirme en ella.
Pero esos conocimientos que os ofrezco... no son gratuitos. Tienen un coste...
Yo soy Orlok, (El Bibliotecario), el amo de muchas criaturas de pesadilla.