Seguridad En Aplicaciones WEB 2.0

Funcionamiento habitual de las aplicaciones que utilizan autenticación basada en cookies de sesión:

Sin entrar en las implicaciones de seguridad que tiene, una aplicación que basa el control de acceso de sus usuarios en cookies de sesión suele actuar de la siguiente forma:

1. Se crea una sesión vacía. (Sin datos asociados.)
2. Se le asigna esta sesión a un cliente que accede a la aplicación.
3. En este momento se pueden o no almacenar en la sesión unos datos iníciales sencillos. (Por ejemplo hora de acceso, dirección IP de origen, versión del navegador, etc.)
4. Se realiza el proceso de autenticación del usuario. (Mediante la solicitud de nombre de usuario y contraseña o mediante otro tipo de mecanismos de autenticación.)
5. Se almacenan en la sesión los datos relativos al usuario. Su nombre de usuario, su contraseña (si fuese necesario), si el proceso de autenticación fue correcto o no, etc.



Posteriormente la sesión será utilizada para distinguir al usuario legítimo de otros y mantener las variables asociadas a su trabajo con la aplicación.



Como hemos visto, la sesión puede tener varios estados (autenticado y no autenticado). Por tanto la posesión de una cookie de sesión no implica que el usuario se encuentre correctamente autenticado en la aplicación. Ni siquiera indica si el usuario ha pasado ya por el proceso de autenticación.



En muchas aplicaciones, la cookie de sesión se le asigna al usuario en la primera página que visita en el servidor, aunque el momento de la asignación de la cookie puede establecerse en otro punto. Posibles puntos de asignación de la cookie se sesión:

* En la primera pagina que visite el usuario. (Sea cual sea dentro de la aplicación.)
* En un punto concreto de la aplicación. (Por ejemplo una página de bienvenida.)
* Al iniciar el proceso de autenticación. (Por ejemplo en la página del formulario login.)
* Cuando ha finalizado el proceso de login. (El identificador de sesión se mantiene oculto hasta el último momento. Esta suele ser la opción más segura.)



Otra característica habitual de las aplicaciones basadas en cookies de sesión es que normalmente utilizan un API externo para el control de sesiones. La mayoría de lenguajes orientados al entorno web (PHP, ASP, Java) cuentan con un API específico para el control de sesiones.



También la mayoría de servidores de aplicaciones ofrecen APIs de este tipo, bien propias o bien derivadas del lenguaje base que utilicen.


Ejemplos de cookies estándar:

BEA WebLogic

------------

Set-Cookie: WebLogicSession=PLLHV8No5ImB2wUo2mupD49Bdo2HxEXq7OjhAAEl1EP6tMr1KbtI|-2011799079004677001/-1062729195/6/7001/7001/7002/7002/7001/-1|-3433517045111774782/-1062729194/6/7001/7001/7002/7002/7001/-1; path=/

Microsoft IIS

-------------

Set-Cookie: ASPSESSIONIDGQQGQYDC=KDGFBFGBLPNCMIIELPAINNJH; path=/

IBM WebSphere Application Server

--------------------------------

Set-Cookie: sesessionid=ZJ0DMWIAAA51VQFI50BD0VA;Path=/

PHP

---

Set-Cookie: PHPSESSID=d9d9c6a28343e74613d9a901f68c3397; path=/

Esto hace que algunos factores relacionados con la seguridad estén bastante controlados por defecto, como por ejemplo: la aleatoriedad de la cookie, la protección frente a colisiones, posibles errores en el manejo del array interno de variables, etc.



En este sentido el uso de un API centralizado es positivo, sin embargo existe un riesgo en servidores que hospedan varias aplicaciones que comparten el mismo pool de sesiones. En estas situaciones, si el programador no ha sido cuidadoso, pueden aparecer vulnerabilidades derivadas del uso de la misma sesión en 2 o más aplicaciones distintas.




Vulnerabilidades típicas en el manejo de sesiones:



Los errores que se pueden producir en una aplicación cuando se realiza una manipulación de sus cookies de sesión pueden ser muy variados, aunque los más habituales son los siguientes:



* Revelación de datos internos en la cookie: Como hemos comentado, el identificador de sesión no debe contener datos internos. Si la cookie incluye información no aleatoria, un atacante puede analizarla y sacar conclusiones sobre el estado interno de la aplicación. Todas las variables relacionadas con la sesión deben ser almacenadas internamente para garantizar su secreto.



* Identificador de sesión predecible: Si el identificador de sesión que genera el servidor es predecible, cualquier usuario puede ser suplantado (Session-hijacking) ya que el valor que lo identifica frente a la aplicación, puede ser adivinado y utilizado por cualquier otro usuario.



* Autenticación insuficiente: Se produce cuando la aplicación no comprueba correctamente el estado de la sesión del usuario. Es habitual que algunas aplicaciones para dar acceso a secciones protegidas simplemente comprueben que el usuario cuenta con un identificador de sesión, sin comprobar si se ha realizado correctamente el proceso de autenticación y sin comprobar que el estado de la sesión es correcto.



Como hemos visto, la mera posesión de un identificador de sesión no es suficiente para autorizar a un usuario ya que este puede haber conseguido el identificador en otra aplicación del mismo pool o haber obtenido una sesión en blanco.



* Reutilización de sesión: Esto se produce cuando la sesión no es correctamente borrada cuando el usuario termina su actividad. De esta forma el usuario puede seguir utilizando la sesión para volver a autenticarse o acceder a otras aplicaciones que comparten el pool de sesiones.



* Fijación de sesión (Session-fixation): Técnica de ataque consistente en obtener un identificador de sesión valido y forzar a otro usuario para que lo utilice y así poder suplantarle una vez se encuentre dentro de la aplicación.


En la próxima entrega comenzaremos a analizar los principales ataques sobre las sesiones de las aplicaciones web.

Feliz año nuevo a todos!

Los Merjores Antivirus Son GRATUITOS!!!!!!!

Numerosos expertos han coincidido en que los programas antivirus gratuitos no son, en lo absoluto, soluciones inferiores respecto de los programas comerciales. Tal apreciación es respaldada ahora por la organización SRI International.


En efecto, la entidad sitúa a tres programas antivirus gratuitos en la lista de los mejores programas de seguridad informática.

La lista está presidida por el programa Antivir, que actualmente está disponible en una versión comercial y otra gratuita. Los siguientes cuatro lugares de la lista están ocupados por los programas AVG, Ikarus, Bitdefender y Avast. En otras palabras, cuatro de los cinco principales programas de la lista están disponibles también en versión gratuita.

Los lugares sexto, séptimo y octavo de la lista corresponden a F-Secure, Sophos y Norman, respectivamente.

En la comparativa se ha considerado especialmente la capacidad de los programas de detectar nuevo malware. La soluciones fueron clasificadas según su desempeño, velocidad, precio y posibilidades administrativas.

SRI International es una organización científica sin fines de lucro.

28 De Diciembre: Dia De Los Inocentes

Programas que aseguran informar quien te ha eliminado de MSN Messenger, historias según las cuáles si pones el PIN de la tarjeta de crédito al revés la policía acudirá porque significa que te están atracando o un virus gallego.

El día 28 de diciembre es el día de las inocentadas: pequeñas bromas hechas para engañar a los demás. En Internet, sin embargo, las bromas circulan durante todo el año. Y no tienen nada de inocentes. Se trata de mentiras distribuidas, generalmente, a través de correo electrónico y que anuncian todo tipo de catástrofes, virus informáticos indetectables. Con motivo de la celebración del día de los inocentes, PandaLabs ha realizado una recopilación de algunos de los temas más curiosos y recurrentes:


Descubre quién te ama
Una de las bromas más curiosas de los últimos meses, que cuenta con distintas variaciones, es éste en que, después de un largo texto en el que se ensalza el amor y la amistad se dice al usuario que si se lo manda a 15 personas, espera 143 minutos (ni uno más, ni uno menos) y pulsa F6, podrá ver en la pantalla el nombre de quién le ama. Por supuesto, tal cosa no ocurrirá y, de hacer caso al email, lo único que conseguirá el usuario es llenar de spam la bandeja de entrada de sus contactos y perder 143 minutos de su tiempo.

El PIN de la tarjeta al revés, nuevo método para evitar atracos
Se trata de una broma según la cual, si cuando el usuario esté sacando dinero del cajero automático, le intentan atracar, tan sólo tiene que marcar el PIN de la tarjeta de crédito al revés. De ese modo, el cajero le dará el dinero, pero al mismo tiempo mandará un aviso a la policía de que está siendo atracado.

“Este tipo de broma es realmente peligroso, ya que la persona atracada puede confiar en que en realidad la policía va a acudir y no pensará en defenderse, cuando lo cierto es que nada va a ocurrir", explica Luis Corrons

Para dar más credibilidad a esta información, el correo asegura que se distribuyó también por televisión donde se aseguró que es un sistema que se está utilizando poco porque muy pocos lo conocen.

Descubre quién te ha eliminado del MSN Messenger
Este es una de las bromas más extendidas. Se trata de un tipo de servicio que generalmente se promociona por correo electrónico y que asegura a los usuarios que podrán descubrir datos como aquellos contactos que les han borrado o que les han bloqueado.

“En el mejor de los casos, la información que obtengan los usuarios será falsa, ya que no hay forma científica de conocer esos datos. Pero lo peor es que en muchos casos se trata de páginas web creadas para robar los datos del usuario ya que para su correcto funcionamiento piden a éste que introduzca su dirección de correo electrónico y su contraseña. Desde entonces, estos datos pasarán a manos de los ciberdelincuentes que tendrán acceso a esa cuenta de correo y podrán utilizarla para acciones maliciosas: envío de spam, robo de otros datos, etc.", explica Luis Corrons, director técnico de PandaLabs.

El virus gallego
Este es una las bromas más divertidas. En realidad, se trata de una pequeña broma burlándose de los correos electrónicos que difunden virus. El texto dice lo siguiente:

“Soy el primer virus gallego. Como los gallegos no tenemos experiencia en programación, este sistema trabaja basado en un sistema de HONOR. Por favor: Borre todos los archivos de su disco duro manualmente y envíe este mensaje a todos los miembros de su lista de correo. Gracias por su cooperación. Manolo".

Los 12 timos más frecuentes en navidad

El Phishing de caridad o las e-postales navideñas son algunas de las trampas más comunes que están utilizando los ciberdelincuentes en estas fiestas.

La compañía de software de seguridad McAfee ha hecho una lista con los actos más frecuentes de los hackers aprovechando el periodo navideño.

‘Los 12 timos de Navidad’ colocan en primer lugar el Phishing de caridad, utilizando como reclamo las donaciones navideñas que los consumidores más comprometidos hacen en estas fechas. Los timos de correos electrónicos procedentes de bancos son la segunda técnica de ataque, aprovechando el actual clima económico. Envían correos electrónicos que parecen oficiales, en los que se pide a los consumidores que confirmen información de su cuenta bancaria, incluyendo nombre de usuario y contraseña.

Muchos usuarios mandan e-postales navideñas para felicitar las fiestas, sobre todo n navidad. Conviene estar atentos a los mensajes mandados por remitentes desconocidos, con errores ortográficos, errores en el mensaje y con URLS de aspecto extraño. Ante la duda no la abras y no pinches en ningún link que proceda de una fuente desconocida.

Las facturas falsas de posibles regalos enviados, algo frecuente en estas fechas, son también un medio para engañar a los consumidores y para que den sus datos personales y financieros a través de ellas. Cuando el consumidor lo abre, el adjunto tiene una serie de variaciones: puede pedirte que realices o canceles una orden, puede decirte que el servicio de mensajería no pudo entregar un paquete porque la dirección es incorrecta, o pueden preguntarte por los detalles de tu tarjeta de crédito o cuenta bancaria, que son necesarios para realizar la factura o para que el cliente pueda recibir el paquete.

¡Tienes un nuevo amigo! Cuando se reciben estas notificaciones de redes sociales, al pinchar en el link el usuario corre el de descargar software malicioso que no se puede detectar, diseñado para el robo de información personal y financiera. McAfee recomienda mantenerse alejado de los amigos que no se conocen.

El sexto timo más frecuente en navidad es el relativo a los términos de búsqueda navideños. Conseguir salvapantallas de Navidad, puzles o imágenes de estas fiestas puede conllevar la descarga de adware, descargas no deseadas y spyware.

Las conexiones WiFi gratuitas de cafeterías son muy vulnerables. Los atacantes pueden asaltar las conexiones de Internet inalámbricas inseguras y conocer qué sitios Web el usuario está visitando, las contraseñas y cuentas bancarias a las que accede en ese momento. También hay que evitar los robos de contraseña, que en muchos casos es la misma para varios sitios web y servicios online.

Por último McAfee advierte de prestar especial atención a los sitios de subastas para evitar fraudes, ya que los estafadores que utilizarán el aumento de la actividad en la temporada navideña para cazar nuevas víctimas. También destaca tener especial cuidado con los correos electrónicos con spam y archivos adjuntos con temática navideña, el robo de identidad online (evitando los sitios que almacenan los datos personales) y el robo de portátil. Según el Estado del Informe de Red (2007) del FBI, las posibilidades de que te roben el portátil son de 1 entre 10, y de acuerdo con la investigación de la firma Gartner, el 97% de las portátiles nunca se recuperan.

"Ningún otro navegador tiene la fuerza de nuestra comunidad"

Cuando apenas han pasado 100 días desde el lanzamiento en pruebas del navegador de Google, Chrome , la compañía ha anunciado su versión definitiva. No sería sorprendente de no ser porque Google, experta en el lanzamiento de nuevos productos, lanzó en 2004 Gmail, su exitoso servicio de correo electrónico, y aún hoy sigue en pruebas. Imprimiendo un ritmo que no es habitual en lanzamientos de este tipo, Google demuestra el profundo interés que tiene en el mercado de los navegadores, dominado hasta el momento por Internet Explorer, de Microsoft, y Firefox, de Mozilla.

Los expertos han visto en el lanzamiento de Chrome un varapalo para el navegador de código abierto Firefox , ya que entre Google y Mozilla existía un acuerdo de colaboración. Con su propio navegador en el mercado, los analistas supusieron un cambio de modelo de Google, que se habría decidido a dar la batalla por su lado.
Google es la mayor fuente de ingresos para la Fundación que financia Firefox

El secretario general de Mozilla Europa, Pascal Chevrel, reconoce que Google es la mayor fuente de ingresos -con 80 millones de dólares al año- para la Fundación que financia Firefox, pero también especifica que no es la única. Google ha renovado su acuerdo con Mozilla hasta 2012 por lo que, por el momento, Firefox no se ha visto afectado, en este sentido, por Chrome. "Hay que ponerse en el papel de Google, que gana mucho dinero y lo consigue mediante la navegación. Lo que intenta hacer es no depender de Microsoft para que sus clientes accedan a sus aplicaciones web", especifica Chevrel para explicar el lanzamiento de Chrome.

Según datos de la consultora Xiti Monitor del pasado septiembre, el porcentaje medio de uso de Explorer en Europa es de un 60,1%. El de Firefox es de un 31,4%. Les siguen, en tercer y cuarto puesto Opera y Safari, con un 4,2% y un 2,5% respectivamente. En quinto
lugar se encuentra Chrome que, con poco más de un 1%, ha logrado hacerse un hueco entre los navegantes más experimentados.

Sólo ilusión

Chevrel trabaja para Mozilla desde que el navegador apenas tenía un 0,5% de cuota de mercado. "Sólo teníamos la ilusión", añade. Por ello, es consciente de qué supone la llegada de la versión definitiva de Chrome y cómo esta, respaldada por Google, puede ganar una cuota considerable en muy poco tiempo. "Lo ideal sería que ningún navegador tuviera más del 50% del mercado", añade.

El secretario general de Mozilla Europa considera que Chrome no representa una amenaza para Firefox. Los expertos defienden que cada navegador responde a maneras distintas de navegar por la web, algo en lo que Chevrel está de acuerdo: "Chrome es un buen navegador, pero tiene áreas muy básicas, como la gestión de favoritos. En Firefox contamos con un sistema de personalización y se pueden realizar mejoras mediante los programa de extensiones".
«Chrome ha tomado algunas ideas de Firefox, y nosotros de ellos»

Mozilla va a lanzar la versión 3.1 de Firefox en el primer trimestre de 2009. Pero Chevrel niega rotundamente que el lanzamiento de la versión definitiva de Chrome haya obligado a Mozilla a adelantar el lanzamiento de la nueva versión de Firefox. Sí reconoce, en todo caso, que se han fijado en algunos de los aspectos de Chrome para añadirlos en la nueva versión: "Chrome ha tomado algunas ideas de Firefox, y nosotros también las hemos cogido de ellos", añade.

Pascal Chevrel reconoce que la llegada de un nuevo actor puede hacerles perder cuota de mercado, pero se apresura a precisar que el número de usuarios en una tarta siempre aumenta y, con ella, las posibilidades de crecer de todos. "Chrome y Firefox están quitando usuarios a Explorer, y las cifras de los últimos meses lo demuestran", asegura, al hablar de los planes de futuro de su navegador.

Chrome sólo está disponible para Windows, aunque la compañía ya ha anunciado que próximamente lanzará versiones para Macintosh y Linux. Pero Internet Explorer está preinstalado en cada uno de los sistemas Windows, y Chrome se promociona mediante el pack de herramientas de Google y un lugar destacado en sus webs.

La única forma de distribución de Firefox es mediante una activa comunidad de usuarios que les ha llevado a alcanzar su cuota de mercado. "Nuestra comunidad es la principal fuerza. Es algo que no tiene ninguno de ellos", en referencia a los miles de voluntarios que trabajan en Firefox programando extensiones o denunciando fallos. Y por la experiencia en otro tipo de servicios de Google, no parece que la compañía vaya a centrarse en crear una comunidad en torno a Chrome.

La desmitificación del modelo de cómputo cloud

El modelo de cómputo "cloud" o Cloud Computing, no es cualquier cosa, es el futuro de las TI. Examine de cerca en qué consisten los "clouds" y lo que pueden aportar a su organización.

El término ya estaba de moda antes de ser acuñado. Pero si cree que el cómputo cloud es un concepto vacío, puede que sea el momento de empezar a tomárselo más en serio.

El cómputo cloud es eficiencia. Ofrece un medio de desplegar y obtener acceso a cualquier cosa, desde sistemas individuales hasta cantidades masivas de recursos de TI, bajo demanda, en tiempo real y a un precio asequible. Las mejores estrategias cloud se basan en conceptos y herramientas que los desarrolladores ya conocen. Por tanto, los clouds pueden redefinir la relación entre el departamento de TI, los desarrolladores y las unidades de negocio que dependen de ellos. El departamento de TI mejora la eficiencia y el control, mientras que sus clientes obtienen acceso a los servicios con niveles de simplicidad y control nunca vistos.
Qué es y no es el cómputo cloud

A continuación le explicamos lo que es y lo que no es el cómputo cloud, cómo aprovecharlo y la ayuda que Sun puede brindarle.
"El cómputo cloud es eficiencia. Ofrece un medio de desplegar y obtener acceso a cualquier cosa, desde sistemas individuales hasta cantidades masivas de recursos de TI, bajo demanda, en tiempo real y a un precio asequible."

Todos los despliegues cloud tienen los siguientes aspectos en común. Al máximo nivel, se trata de un medio de ofrecer recursos de TI en forma de servicios bien definidos. Al igual que las compañías eléctricas mejoran su eficiencia limitando sus opciones de tensión y frecuencia, los clouds la mejoran prestando una cantidad reducida de servicios. Naturalmente, algunas aplicaciones no encajarán en un cloud particular, pero en esto reside su importancia.

Otros elementos clave del cómputo cloud conducen a eficiencias adicionales. Las API de aprovisionamiento automático y programado reducen drásticamente el papel humano. El uso decidido de la virtualización optimiza los recursos físicos. Y la posibilidad de crecer y decrecer dinámicamente, unida al modelo de pago en función de las necesidades, anima a los usuarios a mejorar su eficiencia.

También hay muchas diferencias importantes entre distintos clouds. “En opinión de Sun, el cómputo cloud tiene tres dimensiones. Cada una de ellas ofrece posibilidades y oportunidades únicas”, declaró David Douglas, vicepresidente de Network.com, la iniciativa cloud de Sun.

Dimensión 1: Capas de abstracción

Al igual que se forman distintos tipos de nubes en distintas altitudes, es posible formar distintos tipos de clouds en función de la capa de abstracción. Hay tres tipos de clouds predominantes:

* La Infraestructura como Servicio (IaaS) es la capa de nivel inferior. Es un medio de ofrecer funciones básicas de almacenamiento y cálculo como servicios estandarizados a través de la red. El ejemplo comercial más conocido es Amazon Web Services (AWS), cuyos servicios EC2 y C3 ofrecen funciones básicas de cómputo y almacenamiento, respectivamente.
* La Plataforma como Servicio (PaaS) es la capa intermedia, y consiste en capacidades de las capas superiores que los desarrolladores pueden integrar en sus aplicaciones. Google App Engine y la plataforma Force.com de Salesforce.com son dos ejemplos comerciales.
* El Software como servicio (SaaS) es la capa de mayor nivel y representa una aplicación completa ofrecida en forma de servicio, bajo demanda y multipropiedad, lo que significa que una sola instancia del software se ejecuta en la infraestructura del proveedor y atiende a distintos clientes. Salesforce.com y la tienda iTunes son dos ejemplos.

Es importante tener en cuenta que los modelos IaaS y PaaS introducen nuevas interfaces y APIs que, si bien simplifican la vida a los desarrolladores en el corto plazo, también pueden hacerlos cautivos de un proveedor o cloud específico, como sucede con las plataformas tradicionales.


Dimensión 2: Tipos de despliegue

Al igual que existen varios tipos de clouds, existen distintas formas de desplegarlos, dependiendo de quién los comparta con quién. Por ejemplo:

* Los "clouds" públicos se ejecutan en terceros. Se pueden mezclar trabajos de varios clientes en los servidores, sistemas de almacenamiento y otros sistemas de la infraestructura del cloud. Los usuarios finales no saben quién está en el mismo servidor, red o disco en el que se ejecutan sus trabajos.
* Los "clouds" privados pertenecen a un cliente que controla qué aplicaciones se ejecutan en cada momento. Son propietarios del servidor, la red y el disco, y pueden decidir qué usuarios pueden utilizar la infraestructura.
* Los "clouds" híbridos” combinan ambos modelos. El usuario es propietario de algunas partes y comparte otras, aunque de forma controlada.



Dimensión 3: Dominio de aplicaciones

Dado que las aplicaciones tienen distintas características, requisitos de usuarios y exigencias para la infraestructura, ¿por qué no poner a tono clouds para específicas cargas de trabajo? De hecho, ya sucede así. Algunos clouds están optimizados para aplicaciones de cómputo de alto rendimiento (HPC), otros para ofrecer el máximo throughput Web y otros para transacciones. Sun percibe una tendencia hacia la especialización en dominios de aplicaciones tales como el pago, la seguridad, las copias de seguridad y las comunicaciones.
Por qué el cómputo cloud lo cambia todo
"El auge del modelo cloud es algo más que un nuevo cambio de plataforma que entusiasma a los apasionados por el cómputo. No hay duda de que transformará el sector de las TI, pero también cambiará profundamente la forma de trabajar de las personas y las empresas."
The Economist, "Let it Rise", 23 de octubre de 2008

A pesar de que a los departamentos de TI se les pide que controlen o reduzcan sus gastos, la empresa sigue planteando nuevas demandas: streaming de contenidos, aplicaciones de cómputo de alto rendimiento (HPC), experiencias Web cada vez más complejas. Muchas de estas cargas de trabajo consumen enormes cantidades de recursos de cálculo y almacenamiento y experimentan subidas bruscas de la demanda. En resumen, funcionan a una escala que supera a las infraestructuras de TI tradicionales.

El modelo cloud ofrece una solución. Las tecnologías en las que se fundamenta el modelo cloud pueden ofrecer recursos de TI y capacidades a una escala nunca vista hasta ahora:

* La tecnología de virtualización para servidores, sistemas de almacenamiento y otros recursos mejora drásticamente los índices de utilización y permite la consolidación de sistemas físicos.
* Los sistemas de archivos sofisticados, como ZFS, admiten capacidades de almacenamiento prácticamente ilimitadas, integración del sistema de archivos y gestión de volúmenes, snapshots y clones "copy-on-write", comprobación y reparación de integridad on-line, etc.
* Los "patrones" de arquitectura permiten el desarrollo acelerado de arquitecturas "cloud" de súper-escala aportando soluciones replicables a los problemas comunes.
* Las nuevas técnicas de gestión de datos estructurados, no estructurados y semi-estructurados permiten el crecimiento masivo de los servicios basados en datos.

Igualmente importante es el hecho de que el modelo cloud permite el desarrollo de nuevas arquitecturas de software. También está acelerando la adopción de herramientas ligeras y ágiles, como Hadoop, el entorno de software Java gratuito que permite crear aplicaciones distribuidas para gestionar grandes volúmenes de datos; memcached, un "acelerador de datos" de alta escalabilidad y MogileFS, un sistema de archivos que permite la escalabilidad horizontal del almacenamiento en cualquier número de máquinas.

El cómputo cloud también ofrece la economía de escala del modelo de servicio público (utility model). La mayoría de las organizaciones no crean sus propias centrales eléctricas y plantas de tratamiento de agua. ¿Por qué deberían adquirir y mantener todo el hardware, el software y los recursos de desarrollo que utilizan?

"Los servicios estandarizados para todos los usuarios son una marca distintiva del modelo cloud", declaró Douglas. "Nadie llama a la compañía eléctrica para pedir un suministro de 83 V. La compañía se dedica a una sola cosa y lo hace con gran eficiencia."

Para los usuarios finales, el modelo cloud significa que no hay gastos de adquisición de hardware, licencias de software o actualizaciones, no es necesario contratar nuevos empleados o consultores, alquilar instalaciones, ningún costo de inversión de ningún tipo, ningún costo oculto. Sólo una cuota de uso cuantificable.
El aspecto positivo para las TI

CEl cómputo cloud crea nuevos y atractivos modelos económicos para la prestación de servicios de TI. Éstas son las tres opciones para sacar provecho del modelo de cómputo cloud.

Utilizar el cloud
El número y la calidad de ofertas de servicio públicas y comercialmente disponibles basadas en cloud están creciendo rápidamente. El uso del cloud es una excelente opción para start-ups, proyectos de investigación, desarrolladores Web 2.0 o especialistas en nichos que desean "cargar y empezar a trabajar". Puede utilizar el cloud para:

* Descargar la infraestructura de TI sobrecargada (de forma provisional o permanente). Por ejemplo, ¿por qué comprar sistemas distintos para el desarrollo y las pruebas de software cuando ambas tareas se podrían realizar utilizando servicios cloud?
* Solucionar los picos de carga, las tareas de procesamiento diferido o los picos de demanda de servicios.
* Experimentar nuevas herramientas de software sin tener que adquirirlas.

Crear el cloud
Las opciones incluyen la creación de un cloud para uso interno, la creación de un cloud público capaz de convertirse en una nueva fuente de ingresos o la creación de un cloud público que combine ambas características.

Sun espera un crecimiento espectacular de los clouds privados. Muchas grandes empresas comprenden las ventajas económicas del modelo cloud, pero quieren comprobar la eficacia de las políticas de seguridad, el cumplimiento de la normativa y otros aspectos que puedan hacer vulnerables a los clouds en este momento.

El impulso de los clouds públicos e híbridos también aumenta a medida que las empresas y los proveedores de servicios adquieren experiencia con el modelo cloud. Los elevados índices de crecimiento de las ofertas de clouds públicos disponibles en la actualidad reforzarán sin duda este impulso.

Ser el cloud
Su organización puede convertirse en proveedor de servicios cloud o "agregador cloud" y ofrecer distintos servicios. Después de todo, la lista de servicios que permite el modelo cloud no empieza y termina en SaaS, Paas e IaaS. Las formas de cloud especializadas incluyen el pago como servicio, la seguridad como servicio, la copia de seguridad como servicio, la colaboración como servicio, etc.


Cómo puede ayudarle Sun

Al igual que el sol es esencial para la formación de las nubes en la naturaleza, Sun será una fuerza fundamental en el desarrollo del cómputo cloud. Por ejemplo:

* Sun innova en tecnologías clave fundamentales para el modelo cloud: servidores y sistemas de almacenamiento eficientes, sistemas operativos de categoría empresarial, tecnologías de virtualización y numerosas plataformas y herramientas de software.
* Sun ofrece su experiencia técnica en todas las facetas de la construcción de clouds, desde la virtualización de servidores y la tecnología Open Storage hasta el software de código abierto y la arquitectura orientada a servicios (SOA).
* Sun puede ofrecer servicios, soporte y acuerdos de nivel de servicio a los clientes que crean sus propios clouds públicos o privados.
* Sun patrocina muchas de las grandes comunidades de código abierto que innovan en el campo del cómputo cloud, como MySQL, OpenSolaris, GlassFish, etc.

'Internet Explorer Más Seguro Que Nunca', Eso Dijo Microsoft ¿Verdad?

Según se comenta durante el día de hoy en diversas fuentes de contrastada reputación, parece que existe una vulnerabilidad en Internet Explorer 7 que está siendo explotada activamente, principalmente en webs pertenecientes a China; todo apunta a que tiene que ver con el parsing de algún tag XML en la librería mshtml.dll.

Un rápido análisis del exploit parece que sólo afecta a usuarios de Windows XP y Windows 2003 que utilicen Internet Explorer 7, pero al ser la librería mshtml.dll tan usada en otras aplicaciones no se descarta que aparezcan otros objetivos y aplicaciones a ser atacadas remotamente.

En este momento parece que todas las URL que albergan el exploit son dominios pertenecientes a China, con lo que es recomendable monitorizar toda navegación a etiquetas iframe que carguen URL del ccTLD .cn. Así mismo, soluciones como NoScript en FireFox implementadas para Internet Explorer pueden proteger a los usuarios ya que los exploits hacen uso activo de JavaScript.

TELETÓN JA JA

El siguiente comentario es alusivo a la televisión, algo muy triste e indignante que ocurrió el día de ayer en la ciudad de Guadalajara, más precisamente en los foros de Televisa. Los payasos Lagrimita y Costel son originarios de Guadalajara y entre semana filman su programa vespertino de concursos infantiles, pues resulta que pasado día domingo 23 de noviembre estaban comenzando las grabaciones del programa, para ello invitan a gente del público al programa para ambientar el foro de grabación y salgan en la televisión.

Entre el público se encontraba una niña con parálisis cerebral que iba acompañada por su tía al foro del programa, pero al sentarse hasta adelante de las gradas la gente miserable de seguridad le pidió a la señora que llevara a la niña hasta la parte trasera de las gradas por que no querían que saliera en la televisión… HAZME EL CABRÓN FAVOR.
La tía de la niña no tuvo más remedio que subir cargando a la niña hasta la parte de arriba de las gradas, sin embargo la tragedia llega cuando la señora pierde el equilibrio, cae 3 metros de cabeza de las gradas y debido el golpe lamentablemente fallece. Obvio la niña llora desconsolada, pero a la vez deja descubierta una verdad indignante muy grande: TELEVISA DISCRIMINA A LA GENTE DESCAPACITADA, LUCRA CON EL CHINGADO TELETÓN,Y PARA ESO SI TENEMOS QUE AYUDAR Y NOS PONEN IMÁGENES DE LOS POBRES NIÑOS EN DESGRACIA !!! Pero no pueden dar un momento de felicidad a la pobre niña en un programa de televisión por que quedó totalmente opacado por esos cabrones, que poca madre.

Este es el tratamiento VIP que Televisa le da a los niños con capacidades diferentes en un día cualquiera, en un día sin Teletón. Esta es la verdad de una televisora que siempre ha discriminado y que pretende en un fin de semana al año redimir todos sus pecados. La realidad los delata todos los días, apaguen la televisión.

Aquí el enlace:
http://www.oem.com.mx/eloccidental/notas/n942219.htm
No olvides entrar a mi blog y dejar tus comentarios
http://www.alvarezbernardo.blogspot.com/

cada segundo que pasa, es una eternidad que jamás regresará. Bernardo Álvarez.

Ups... Otra Para Black Berry

Se ha anunciado una vulnerabilidad en el BlackBerry Desktop Software, que puede ser utilizada por un atacante para lograr el compromiso del sistema afectado.

BlackBerry Desktop Software, es un paquete de aplicaciones para el PC que gestiona la conexión entre la BlackBerry y la cuenta de correo electrónico del usuario, el organizador y otras funciones.

El problema reside en un desbordamiento de búfer en el control ActiveX DWUpdateService y puede ser explotado cuando el usuario afectado visite una página web maliciosa que haga uso de este control. Afecta a las versiones 4.2.2 a 4.7 de BlackBerry Desktop Software, y puede permitir que un atacante remoto consiga el control de los sistemas afectados.

Se recomienda instalar la actualización disponible desde:
http://www.blackberry.com/btsc/articles/749/KB16469_f.SAL_Public.html

El FBI

La eterna polémica entre lo legal y lo ilegal en la lucha contra el crimen, tiene como protagonista de esta semana la noticia de que el FBI utilizó recientemente un nuevo tipo de software espía para investigar amenazas de bombas a una escuela secundaria.

De acuerdo a las leyes vigentes en Estados Unidos, los agentes federales obtuvieron una orden judicial, para enviar el pasado 12 de junio, un spyware a una cuenta de MySpace sospechosa de ser utilizada para el envío de falsas amenazas de bombas. Una vez implantado, el software envió información de la computadora del sospechoso al FBI, incluyendo un registro de las conexiones salientes.

El propio FBI llama a este software, CIPAV, siglas de Computer and Internet Protocol Address Verifier, o verificador de la dirección IP.

Con las pruebas obtenidas, el sospechoso, un joven de 15 años llamado Josh Glazebrook, antiguo estudiante de la secundaria amenazada, fue finalmente condenado a 90 días de detención en la prisión para menores, después de haber firmado una declaración de culpabilidad por enviar las amenazas de bombas y otros cargos.

Si bien existen aún muchas especulaciones sobre la manera en que el FBI habría enviado el software espía, este caso parece ser el primero en revelar que en la práctica, esta técnica es realmente utilizada.

En 2001, el FBI ni negaba ni confirmaba la existencia de su propio caballo de Troya, creado con la excusa de combatir al terrorismo. El troyano, conocido en ese entonces como Magic Lantern (Linterna Mágica), sería enviado a cualquier sospechoso, como un adjunto a un mensaje aparentemente inocente.

Ante la prensa, el organismo declaró que no era nada nuevo que la organización estuviera trabajando con especialistas de la industria de la seguridad, para crear una herramienta que fuera eficaz en combatir tanto al terrorismo, como a otros actos delictivos. Y aunque no debería ser una sorpresa, “tampoco era apropiado que se revelaran las tecnologías que específicamente serían usadas,” explicó un vocero.

Desde entonces, el FBI nada ha dicho sobre Linterna Mágica. En otros dos casos en que se sabe que los investigadores utilizaron un software espía para obtener pruebas, en realidad se trató de keylogers (registradores de lo que se escribe en el teclado), implantados por agentes directamente en los equipos, no mediante su envío electrónico.

El caso actual es diferente, ya que se envío un troyano a una cuenta de MySpace. En la declaración jurada de la orden de allanamiento presentada a un tribunal, el FBI indica que los detalles del uso de este software “son confidenciales.”

“La naturaleza exacta de los comandos, procesos, capacidades, y la configuración del software, está clasificada como una técnica de investigación especialmente sensible. [...] Su revelación probablemente pondría en peligro otras investigaciones en curso y/o el uso futuro de dicha técnica”, dice la declaración.

Las referencias, parecen apuntar a que se trata de un software específico para Microsoft Windows. Otros datos enviados al FBI, incluyen “el tipo de sistema operativo instalado y su número de serie, el nombre del usuario conectado, y las direcciones de las páginas web a las que la computadora estuvo previamente conectada,” afirma la misma declaración.

CIPAV sería instalado “a través de un programa de mensajería electrónica de una cuenta controlada por el FBI”, lo que probablemente significa un correo electrónico o de mensajería instantánea. “Luego, durante unos 60 días, se registran las direcciones IP visitadas, pero no el contenido de las comunicaciones.”

Lo curioso, y preocupante, es que este tipo de acción involucra alguna clase de infección, y por lo tanto, debería eludir las defensas de un programa antivirus o antispyware para poder ejecutarse. En la declaración jurada del FBI no se hace mención alguna al software antivirus.

Una posibilidad manejada por algunos, es que el FBI haya convencido a todas las empresas de programas de seguridad para pasar por alto a CIPAV, y para no alertar a los usuarios de su presencia. Sin embargo, esto es fácil descartarlo, ya que claramente perjudicaría a las propias compañías y a su confianza con el público, y por lo tanto a sus ventas.

La política general en este sentido para cualquier empresa de seguridad, es que si algo quiere instalarse sin conocimiento del usuario, es un malware, y debe ser detectado. Además, muchas compañías están en países a los que una ley federal no puede afectar.

Otra teoría más plausible, es que el FBI haya descubierto (o pagado a alguien para hacerlo), vulnerabilidades desconocidas en Windows que permitirían a CIPAV instalarse.

De todos modos, la polémica de lo legal y lo ilegal para combatir el crimen informático, ha vuelto a ponerse en juego.

Le Sigue Lloviendo A Apple

Esta semana han aparecido dos amenazas para el sistema operativo de Apple, un troyano con la habilidad de descargar e instalar programas maliciosos a la elección del atacante. Además de ello una aplicación hacker para crear puertas traseras.

El troyando en cuestión es ‘OSX.RSPlug.D’ según Intego, el especialista de seguridad que descubrió la amenaza. Afirma que es una variante de un viejo programa malicioso con un nuevo instalador. “Es un downloader, y contacta con un servidor remoto para descargar los archivos e instalarlos [...] Esto significa que, en el futuro, el downloader podría ser capaz de instalar otro tipo de programas aparte del que actualmente instala“. En el resto de características el troyano es similar a las previas versiones de RSPlug, que empezó su andadura en octubre de 2007, instala un programa DNSChanger, que redirige el tráfico de Internet del usuario a través de un DNS malicioso llevando a los usuarios finales a sitios de phising o a páginas de anuncios.

Intego afirma que el troyano OSX.RSPlug.D ha llegado esta semana junto con otra amenaza distinta, OSX.TrojanKit.Malez según Intego y según Symantec y Trend Micro, OSX.Lamzev. En esta ocasión se trata de una aplicación hacker diseñada para crear e instalar puertas traseras. Sin embargo la compañía afirma que no es una amenaza seria dado que el potencial de la misma se basa en el acceso físico al sistema a infectar.

Empresas de seguridad ya llevan anunciando desde hace tiempo que la plataforma Mac no es tan segura como los usuarios creen, de momento Apple no ha respondido a dicha afirmación.

El Himno Del Hacker!

Consejos para ¿COPIAR EN UN EXAMEN?

Bueno, para empezar mis alumnos creerán que me he vuelto un poco loco pero sí, leyeron bien, 'Consejos para ¿COPIAR EN UN EXAMEN?', ¿por qué escribo esto?, bueno, es sencillo, para variar un poco al hilo de temas que he estado poniendo últimamente...

Bueno sabiendo que en el CONA se acercan cada vez más y más los exámenes finales, y como 'siempre', casi todos dejamos la preparación para los mismos hasta el final, después vemos las consecuencias, por regular FEASSSSS [jajajaja {risa maléfica}] como los exámenes extraordinarios como de 5 horas que ya son algo famosos (no sé porque ¿?¿?...)

Como solución a esto, unos chavos del viejo continente encontraron la 'solución' aunque tal vez no muy ingeniosa, pero si muy buena...



LOS ACORDEONES!!!



Sí, lo leyeron bien, 'LOS ACORDEONES!!!', los benditos acordeones, que muchos preparan y usan para poder pasar los exámenes, siempre son de gran ayuda, y en mi opinión es muy bueno hacerlos, HACERLOS, no usarlos en los exámenes porque también podría ser catastrófico (claro siempre y cuando nos descubran... :S).

Los acordeones entre más ingeniosos mejor, en mi experiencia, tanto de alumno como de PSP (Prestador de Servicios Profesionales [así es como CONALEP llama a sus docentes]) he tenido la oportunidad de conocer una gran cantidad de estos artilugios, desde pequeñas anotaciones en la pierna y ocultas por la falda (para las chica, claro está), acordeones ocultos en el mecanismo de un reloj, el llamando acordeón fantasma (jaja, ese no les digo como se hace jeje), ocultos en diversos lugares como la viga del salón, en el tacón del zapato, en un bolígrafo, en la 'bubis' (sí, en la bubis, aplica sólo para la chicas), en una ocasión me mostraron un acordeón codificado, en fin, me ha tocado ver muchas cosas así [ :S XD jaja], pero este sistema del que le voy a contar me ha parecido genial, su nombre es:


Chuletas


Actualmente, éste software-comunidad se encuentra en el sitio http://www.xuletas.es/, se trata de una comunidad de estudiantes en la que puedes crear tu propia Xuleta (acordeón) y compartirla con toda la comunidad, puedes crear círculos de estudio con tus compañeros de clases y preparar en conjuntos sus propias Xuletas; también se ofrece en el mismo sitio la versión offline del software para la creación de Xuletas, el cual es muy fácil de manejar, ofrece la posibilidad de crear pequeños documentos a doble cara, clasificarlos de acuerdo a la materia, palabras clave, impresión a doble cara, y un sin fin de posibilidades...

Espero que les sirva este pequeño artículo, me gustaría que todos dejen su comentario!!!!

AVG, Falso positivo!!

Popular programa antivirus cometió un serio error al eliminar un archivo de importancia crítica para Windows.

No es novedad que diversas soluciones antivirus presenten ocasionalmente los denominados falsos positivos. Sin embargo, es muy poco frecuente que una solución antivirus cometa un error tan grave como AVG.


Según diversos foros de seguridad informática, la solución antivirus de AVG habría comenzado a advertir que el archivo user32.dll, que en realidad es un componente de Windows XP, era un malware, en concreto, el troyano PSW. banker4.APSA.

Sin embargo, según Wikipedia el archivo user32.dll es un archivo que permite a los programas para Windows implantar un interfaz gráfico. Al eliminar el archivo, se produce un serio problema. Lo anterior no significa que se trate de un archivo que no pueda ser infectado.

El resultado para los usuarios que confiaron en la recomendación de la solución antivirus de AVG fue diversos errores de funcionamiento, e incluso problemas al intentar reiniciar el equipo.

Afortunadamente, hay varias formas de solucionar el problema. La más sencilla de ellas sería, según un usuario, reiniciar Windows XP en modo seguro y pedir al programa antivirus re instalar el archivo eliminado.

La propia compañía AVG presenta en su sitio una solución bajo el titular «1574: False positive "user32.dll"». Es una solución más compleja que implica usar el CD de instalación de Windows XP.

AVG anuncia una actualización de su base de datos de virus, donde se corregirá el error en cuestión.

Fuente: AVG, Securityandthe.net y foros de seguridad informática de Windows XP.

Consejos para proteger tu dominio

Cada cierto tiempo se escuchan historias sobre gente que pierde algún dominio importante en manos de algún sujeto sin escrúpulos. Tal vez el caso mas paradigmático sea el de tonterias.com donde un fallo en Gmail hizo posible que cayera en manos de de quien no debía.

En el post de hoy voy a recopilar unos cuantos consejos fáciles de implementar que dejaran el dominio lo mas 'hardenizado' posible.

• 1. Bloquea tu dominio : Mantener el dominio bloqueado hace que, si se intenta una transferencia de dominio aun con un AUTH code valido, sea denegada, y esta restricción es también valida para cambios en los servidores DNS. En el panel de control que ponga a tu disposición la empresa con quien tengas registrado el dominio ha de encontrarse la opción de activar el bloqueo, buscala o pregunta por ella.
  

• 2. Activa el 'Whois Privacy': Muchas empresas de gestión de dominios permiten activar lo que se conoce como 'Whois Privacy' que, básicamente, lo que significa es que a la hora de hacer un 'Whois' a tu dominio (preguntar a una base de datos PUBLICA y accesible A CUALQUIERA que gestiona la información asociada al dominio) no obtendrán información que se pueda volver contra ti. Por ejemplo, si haces accesible a cualquiera la dirección de correo electrónico que gestiona tu dominio ¿Donde irán a parar los posibles intentos de secuestro?. Un servicio de 'Whois Privacy' ampliamente usado es Privacy Protect. Consulta a la empresa donde tengas contratado tu dominio por esta opción.
  Por ejemplo si se consulta el whois de securitybydefault.com los datos asociados son estos:

Administrative Contact:

PrivacyProtect.org
Domain Admin (contact@privacyprotect.org)
P.O. Box 97
Note - All Postal Mails Rejected, visit Privacyprotect.org
Moergestel
null,5066 ZH
NL
Tel. +45.36946676

Technical Contact:
PrivacyProtect.org
Domain Admin (contact@privacyprotect.org)
P.O. Box 97
Note - All Postal Mails Rejected, visit Privacyprotect.org
Moergestel
null,5066 ZH
NL
Tel. +45.36946676

Billing Contact:
PrivacyProtect.org
Domain Admin (contact@privacyprotect.org)
P.O. Box 97
Note - All Postal Mails Rejected, visit Privacyprotect.org
Moergestel
null,5066 ZH
NL
Tel. +45.36946676

Y al final del whois aparece esta información notificando que el dominio se encuentra BLOQUEADO:

Status:LOCKED
Note: This Domain Name is currently Locked. In this status the domain
name cannot be transferred, hijacked, or modified. The Owner of this
domain name can easily change this status from their control panel.
This feature is provided as a security measure against fraudulent domain name hijacking

• 3. Defiéndete contra ataques de tipo XSS y CSRF: El caso mencionado anteriormente de tonterias.com pudo suceder debido a un fallo de tipo CSRF en Gmail. Cualquier aplicación 2.0 basada en la web es susceptible de sufrir este tipo de vulnerabilidades, sea un webmail, sea facebook o blogger. Tanto en el caso de un ataque XSS como CSRF, el escenario necesario para hacer 'diana' se basa en tener una sesión abierta en la aplicación que se pretende atacar y visualizar otra pagina que contenga el código malicioso. En este punto hacer notar un falso mito sobre el tema: SSL NO te defiende de este tipo de ataques, el hacer pasar tu sesión por SSL lo único que impide es que alguien consiga 'snifar' la cookie de acceso.
  Como primera defensa, empieza por usar una cuenta de correo para gestionar tu dominio que no sea la tuya habitual con la que gestionas otro tipo de temas. Si te planteas usar un webmail, huye de aquellos que sabes serán los que mas 'ojos maliciosos' tienen puestos encima, como Gmail o Yahoo y dale una oportunidad a sitios como Hushmail que sustancialmente es el mismo concepto de Webmail pero tiene una vocación orientada a la privacidad / seguridad.
  Y finalmente la solución mas paranoica pero la 99% mas efectiva: Usa un navegador única y exclusivamente para coger el correo electrónico de la cuenta asociada a tu dominio. Como decía antes, casi todos los bugs que permiten 'secuestrar' sesiones en webmails tienen como premisa tener una pestaña o ventana abierta en el webmail y navegar por sitios con contenido malicioso, por tanto, si empleas un navegador solo para leer esa cuenta de correo y bloqueas el resto de URLs tendrás una mas que razonable protección. ¿Como bloquear el resto 'de internet'? Muy fácil, en las opciones de tu navegador configura un proxy inexistente que apunte, por ejemplo, a 127.0.0.1 y añade como excepción para que no pase por el proxy únicamente la web de tu webmail. Puedes usar Firefox como navegador habitual y tener configurado Chrome para acceder a Hushmail.

Los Virus Tambien Festejan 'Halloween'

PandaLabs presenta un listado con los ejemplares de malware más terroríficos para la noche de Halloween.

Los grandes acontencimientos son aprovechados por los creadores de malware para atacar porque, normalmente, el usuario baja la guardia. Muchos ejemplares de malware eligen vistosos disfraces para que los usuarios los dejen entrar, pero en ellos lo que da miedo no es su disfraz, sino sus efectos. Os ofrecemos un listado elaborado por Panda Labs con los ejemplares de malware más terroríficos para esta fiesta de Halloween.

Tixcet.A: Disfrazado de archivo de Microsoft Word, este gusano intentará colarse en la “fiesta” de los usuarios con el fin de eliminar archivos de diversas extensiones (.DOC, .MP3, .MOV, .ZIP, .JPG, entre otras), convirtiendo así la noche de Halloween en una auténtica noche de terror, puesto que serán muchos los que griten con pánico al ver que han perdido todas sus fotos, vídeos, canciones y documentos.

Antivirus2008pro: Se trata de uno de los malware más ingeniosos. Para colarse en las “casas”, se disfraza de antivirus gratuito. De esta manera, consigue que muchos le abran la puerta. Sin embargo, no tardan en gritar de terror, puesto que en seguida comenzará a mostrarles infecciones que realmente no tienen y no parará hasta que, desesperados, los usuarios accedan a comprar la versión de pago del antivirus. Un buen invitado si quieres que tu noche de Halloween dé auténtico miedo.

Goldun.TB: Este ladronzuelo se disfraza de archivo adjunto en un correo electrónico que anuncia la suspensión del servicio de Internet para colarse en los ordenadores, pero una vez allí lo que realmente hace es robar contraseñas e información de sistemas de pago electrónico. Un mal invitado para la noche de Halloween, ya que puede terminar robándote todo tu dinero, por muy bien guardado que lo tengas.

Baker.LGC: También conocido como el falso Fernando Alonso, este troyano se cuela en las máquinas de los usuarios disfrazado de una falsa noticia que anuncia un accidente sufrido por el piloto español de fórmula uno. Con este disfraz, Banker.LGC se gana la confianza de los usuarios para robarles sus datos bancarios y así hacerse con su dinero.

Turkojan.I: Este troyano lleva uno de los disfraces más atractivos, puesto que se hace pasar por un capítulo nuevo de la serie de dibujos animados “Los Simpson”. Debido a esto, muchos fans le abren la puerta, sin embargo, su aspecto real es mucho más terrorífico, puesto que se trata de un código malicioso que dañará el ordenador de los usuarios. Estamos ante un dibujo animado…que da miedo.

Banbra.FXT: Haciéndose pasar por un correo electrónico del Ministerio Público Federal de Brasil, este troyano desvalijará las cuentas bancarias de aquellos usuarios que se fíen de él y se dejen engañar por su disfraz.

AutoKitty.A: Debido a su simpático icono de Hello Kitty, muchos se pueden sentir tentados a dejar pasar a estos este ejemplar de malware, sin embargo, bajo su inocente apariencia se encuentra un gusano que realiza numerosas modificaciones en el Registro de Windows, lo que imposibilita que el ordenador funcione con total normalidad. Muchos sentirán auténtico miedo cuando vean que su ordenador no funciona por culpa de este ejemplar de malware.

PHilto.A: ¿La famosa Paris Hilton en tu fiesta de Halloween? ¡No! Bajo el disfraz de vídeo de Paris Hilton, se esconde este troyano diseñado para descargar el adware detectado como NaviPromo en tu ordenador.

MeteorBot.A: ¿Qué es: un pájaro, un avión? ¿Superman? ¡No! Este backdoor llega a los ordenadores con el disfraz de Superman, pero no se trata de un superhéroe, sino de un supervillano diseñado para robar información sobre el ordenador, como dirección IP, nombre de la máquina o sistema operativo.

Robo de datos empresariales

Los ladrones de datos atacan las redes de las corporaciones porque ahí es donde están los datos, según Willie Sutton.

Un ladrón de datos empleara medios físicos, tal como buscar en basureros, Ingeniería Social o simplemente penetrar en un edificio; o vía Internet. Hoy en dia ningún negocio puede darse el lujo de quedarse atrás tecnológicamente, significando que en cada ambiente corporativo hay computadoras, redes e información almacenada electrónicamente.

Los archivos electrónicos son altamente deseados por los ladrones de datos por la gran riqueza de información personal que contienen. Hay archivos de Recursos Humanos, información financiera, clientes, lista de suplidores,etc. Todos estos tipos de registros tienen mucha información sensitiva que puede ser empleada para beneficio personal de los ladrones de datos.

Como un dueño de un negocio, usted esta consciente de como proteger su compañía de un robo físico, pero los ataques electrónicos no son tan bien entendidos o la mayoría de las compañías no se protegen de ellos. Los elementos mas atractivos para un ladrón de datos son:

No se necesita estar cerca de la victima; se puede inclusive estar en otro continente.
Muchas de las informaciones que se necesitan para cometer un robo de identidad, están en la web.

La mayoría de las compañías mantienen una gran cantidad de información sensitiva en archivos los cuales están pobremente protegidos.

Las computadoras pueden ser un punto de entrada fácil hacia tus datos, los ladrones solo necesitan encontrar un punto débil para entrar en tu sistema.
Técnicas mas comunes usadas por los ladrones de datos:

Correos electrónicos de phishing – Estos falsos correos pretenden ser de compañías legitimas pidiendo a la victima que verifique su información personal.

Spear phishing – Estos son correos enviados a empleados de una compañía pretendiendo ser de la administracion, pidiendo contraseñas o información sobre proyectos.

Computadoras zombies o redes zombies – Estas son computadoras comprometidas y redes que contienen programas que permiten a los delincuentes accesar al sistema. Estas computadoras pueden estar relacionadas entre ellas y así formar lo que se llama botnet.

Botnet – Una vez comunicadas entre si , estos botnets son usados como plataforma para lanzar ataques de denegación de servicio (DOS), pagar por clics o correo spam. En muchos casos el dueño de la computadora comprometida no sabe que su sistema esta siendo usado para estos fines.
Sitios web falsos. Sitios que pretender ser legítimos y engañan a los usuarios para obtener información personal. Estas informaciones, una vez obtenidas son usadas por los delincuentes en el sitio real.

Crackers – Son programadores y expertos en computadoras que usan sus habilidades para penetrar en redes y encontrar sus puntos débiles a explotar.
Rastreo de redes inalambricas – Cuando se usan routers inalambricos desprotegidos, tal como encontramos en cibercafés, aeropuertos y en algunas casas, los hackers pueden espiar en tu computadora.
Rastreo de galleticas (cookie sniffing) – Los hackers usaran rastreadores de galletitas para examinar todas las galletitas que has usado y enviaran esta información (útil ya que generalmente las personas usan la misma clave para diferentes sitios) a sus sistemas para usar esta informacion.
Programas maliciosos – Estos son varios tipos de programas: hijackers, adware, troyanos,etc. los cuales actúan en contra de las funciones del sistemas operativo, envían información personal a alguien fuera de tu sistema, te dirigen a sitios falsos o cualquier otro tipo de accion maliciosa.

Secuestradores de paginas web – Es un programa pequeño que redirecciona tu navegador a un sitio diferente al que querías visitar. Este puede ser un sitio web falso que atenta a capturar tu información personal o que te direcciona a un sitio pornográfico.

Acceso piggybacking – Esta es una practica de penetrar en un computador poco seguro para accesar una red externa y usando este ultimo computador como una conección legitima entre las dos redes.
Sitios de investigación de personas – Por un precio de entre USD$ 40 y $80 usted puede obtener información personal sobre casi cualquier persona.

Ataque de diccionario – Es una de las formas mas faciles de adivinar una contraseña/ Un archivo de diccionario es cargado y como ningún lenguaje tiene un numero ilimitado de palabras, este frecuentemente puede generar la clave con relativa facilidad.

Ataque hibrido – Es una variante mas sofisticada del ataque de diccionario, este tomas las palabras del diccionario y las combina con números y símbolos en un intento de romper o penetrar un sistema protegido por una contraseña.

Ataque de fuerza bruta – Este es un ataque en el cual un programa sistemáticamente trabaja con cada combinación posible de números, letras y símbolos. La cantidad de tiempo que se necesita para encontrar la clave depende del numero de caracteres usados en la misma.

Keyloggers o recolectores de teclazos – Este es un tipo de spyware el cual graba cada pulso del teclado hecho en una computadora y envía esta información a un usuario remoto. Estos programas son muy difíciles de detectar por la mayoría de los antivirus y rastreadores de spyware.

Rastreadores de redes (sniffers) – Son aplicaciones usadas para capturar el trafico de la red sin el conocimiento de los usuarios. Estos sniffers son muy útiles para los hackers para encontrar debilidades de las redes, lo cual les ayuda a planear otros ataque en una red.

Consejos para evitar robos de datos:

• Puede contratar un consultor externo de seguridad para analizar y mejorar la seguridad en su compañia.
• Mantener actualizado todos los programas en sus computadores.
• Usar programas de seguridad tales como: antivirus, firewalls,etc.
• Encriptar toda informacion sensitiva.
• Usar tokens o tarjetas de acceso a su red y estaciones de trabajo.
• Entrenar apropiadamente a cada uno de sus empleados para que sepan que cuidar y asi poder prevenir robo de informaciones.

Fuente: http://www.identidadrobada.com/site/index.php?idSeccion=19&idNota=2042

Asesinato ¡¿VIRTUAL?!

Dos recientes sucesos nos demuestran como el grado de involucración de algunos usuarios en los mundos virtuales está ya afectándolos en su vida real.

No son pocos los usuarios que adoptan una nueva identidad en mundos virtuales, chats o foros. Disfrazan su apariencia o sexo, crean toda una nueva historia en relación a su personaje e incluso, como este caso sucedido en Japón, viven turbulentas historias matrimoniales con finales más que dramáticos.

En “Maple Story”, un mundo virtual bastante popular en Japón, los usuarios pueden crear sus propios avatares con la que “viven” sus experiencias en el juego. A través del “avatar” tienen relaciones sentimentales virtuales, actividades sociales, y pelean contra monstruos y otros obstáculos.

Una profesora de piano japonesa de 43 años era una adicta a este mundo. Conoció a otro “avatar” (un oficinista de 33 años) que vivía a más de 1000 kms de distancia casándose en ese mundo virtual aunque nunca llegaron a conocerse personalmente. Tras un tiempo de feliz relación, la mujer recibió un mensaje de su pareja por el que le anunciaba la ruptura de la relación y el divorcio con efectos inmediatos.

Furiosa, la mujer utilizo la información que le había facilitado su antigua pareja para “asesinarla” en el mundo virtual, eliminando su avatar.

El hombre denuncio a su antigua pareja a la policía al descubrir que alguien había accedido el juego con su clave y había hecho desaparecer a su avatar, considerando esta acción como un asesinato virtual.

Tras ser detenida por la policía, la profesara se enfrenta a una condena de hasta 5 años de cárcel, no por asesinato pero si por usurpación de identidad.

En Holanda

Distinto es el caso de dos jóvenes adolescentes holandeses condenados a 360 horas de servicio comunitario por robar objetos virtuales del juego “MMO RuneScape”, según informó el sitio especializado GameIndustry.

La publicación afirma que los jóvenes de 15 y 14 años forzaron a otro menor, de 13 años, a transferir un “amuleto de máscara virtual” a sus cuentas virtuales en el juego.

Para ello utilizaron las viejas técnicas del mundo real como “golpear al dueño del amuleto con golpes de pies y puño mientras era amenazado con un cuchillo”.

El tribunal determinó que los bienes virtuales se consideran como “propiedad privada” en Holanda, por lo que se configura el delito de robo.

La policía holandesa informo que recibe decenas de denuncias de este tipo aunque habitualmente rehúsa actuar contra los “delincuentes” por la dificultad de encajar estos actos con la legislación penal. Tras la sentencia del tribunal, ya tienen base jurídica para atajar este tipo de delitos cibernéticos

¿Haz olvidado la contraseña de Windows Vista?…

A mucha gente le a pasado que le llama un amigo pidiendo porfavor le ayude a entrar a su Windows (vista) pues a olvidado la clave de acceso (password) y no puede entrar al sistema de ninguna forma…

Pues bien hay una solucion lo unico que se necesita es tener el Disco de Windows Vista (no importa si es pirata)…

OJO: El siguiente es un hack descarado de Windows Vista, pero si Microsoft lo ha permitido… ellos sabrán.

Comenzamos…

1) Arrancas con el CD de Windows VIsta, Eliges Idioma, pinchas abajo a la izquierda, opcion reparar. Eliges el tipo de instalacion de Vista y Siguiente.

2) En la lista que aparece, bajas abajo del todo y seleccionas “Consola”.

3) Tecleas:

c:

cd \windows\system32

4) Renombras el fichero sethc.exe como sethc.old (por ejemplo) y copiar el cdm.exe como sethc.exe, es decir:

ren sethc.exe sethc.old

copy cmd.exe sethc.exe

5) Ahora reinicias e intentas arrancar Vista desde el disco duro de modo normal.

6) En la pantalla de bienvenida pulsa 5 veces seguidas y rapido la tecla Shift (Mayusculas) -la que está justo encima de la tecla CTRL.

7) Te aparecerá una consola, en ella escribe:

control userpasswords2

8 ) Crea allí un nuevo usuario de tipo Administrador. Si no te apareciese en ese momento en la pantalla de bienvenida, reinicia y te aparecerá.

9) Entras con ese nuevo usuario y puedes hacer lo que quieras. Volver a situar la contrseña del usuario anterior tuyo o lo que sea.

10) Como paso final hay que dejar el fichero sethc.old guardado sobre el original, es decir, abres una consola (Solo simbolo del sistema) con pribvilegios (boton derecha sobre ella y “Usar como Administrador”) y ejecuta:

cd \windows\system32

del sethc.exe

ren sethc.old sethc.exe

Este Hack puede ser muy util en algun momento… espero lo usen para cambiarle la clave de acceso a las PCs de sus amigos… sera muy util sobre todo con el mortal comun (jajajajajajajajaja) que nos piden ayuda (aunque olvidar la clave de acceso a tu pc NO es de gente normal)!

Adobe Flash 10 y las vulnerabilidades "oportunas"

Flash ya va por su versión 10. En esta nueva actualización, Adobe ha potenciado sobre todo las posibilidades de explotar el sonido por parte de los diseñadores. El problema es que con esta versión, además, aprovecha para dejar sin resolver temporalmente varios problemas de seguridad en su rama 9.

Además de los antivirus "rogue" (falsos antivirus que no son más que malware) también está últimamente de moda entre los atacantes intentar que los usuarios de Windows descarguen una supuesta nueva actualización de Flash. Cuando acceden a un enlace donde se promete un apetitoso vídeo de YouTube, se pide la descarga de una nueva versión de Flash que corresponde con el malware en sí. Adobe, oficialmente, acaba de sacar su versión 10 de Flash Player y obviamente, recomienda su descarga. Es posible que esto confunda a usuarios que estén al tanto de la publicación de la nueva versión legítima de Flash, resultando así la ingeniería social más efectiva. Ante este potencial peligro, es necesario insistir en que las actualizaciones en general deben realizarse sólo a través de las páginas oficiales, además de comprobar que el archivo se encuentra firmado digitalmente por la compañía adecuada (algo que realiza Windows de forma automática por defecto).

Entre las mejoras, Flash 10 corrige la funcionalidad de versiones anteriores que permite a una web secuestrar el portapapeles. Con la función "setClipboard" de ActionScript (el lenguaje de programación de Adobe Flash) se puede modificar (pero no acceder) el contenido del portapapeles. Esto se está aprovechando actualmente para, a través de un archivo SWF, modificar a gusto del atacante el contenido del clipboard. Curiosamente, Flash 10 introduce una nueva función Clipboard.generalClipboard.getData que sí permite la lectura del portapapeles bajo ciertas circunstancias. Esto sí que podría llegar a suponer un problema grave de seguridad si se saltan las restricciones tenidas en cuenta por Adobe.

Adobe admitió el potencial peligro de estas funciones pero aun así no lo ha solucionado en las versiones anteriores a la 10. Como muchas otras compañías hacen, corregir exclusivamente en versiones avanzadas ciertos problemas (que pueden ser incluso de seguridad) sirve como excusa para fomentar una migración a su software más moderno. Por ejemplo, en estos momentos existen cinco potenciales fallos de seguridad en la rama 9 de Flash, que han sido solucionados exclusivamente en la 10. Para su versión 9, muy usada aún, se prolonga "artificialmente" la espera de la actualización hasta principios de noviembre.

Esta "técnica" es usada por muchas empresas. Algunas vulnerabilidades le son "oportunas" y aprovechan para actualizar sólo en una rama superior de su producto, forzando así una migración. Se usa la seguridad como moneda de cambio bien para obligar (como es el caso) a la conveniente actualización de un cliente gratuito (pero cuyo contenido se desarrolla con programas de pago), bien para directamente vender nuevos productos.

Un caso especialmente llamativo ocurrió con Microsoft y su Windows NT. A finales de marzo de 2003 Microsoft publicaba un boletín de seguridad para advertir de una vulnerabilidad en el servicio RCP Endpoint Mapper que podría ser aprovechada para provocar una denegación de servicio contra NT 4.0, 2000 y XP. En el apartado de actualizaciones, se informaba de que sólo estaban disponibles los parches para las versiones de Windows 2000 y XP, aun encontrándose NT en su ciclo normal de actualizaciones (no terminó oficialmente hasta enero de 2005). La excusa oficial: las propias limitaciones arquitectónicas de Windows NT 4.0, que es poco robusta en comparación con Windows 2000, y que requeriría demasiadas modificaciones para solucionar el problema. La excusa no se sostenía: La vulnerabilidad estaba ahí desde antes de ser descubierta... ¿y si hubiera salido a la luz unos años antes, cuando no existía Windows 2000? ¿Habrían dicho igualmente que es imposible de solucionar? Este incidente significaría el principio del fin para un producto que incluso hoy en día está muy arraigado en las empresas.

1104, chequen bien este escrito, trata temas que de los que hemos hablado!!!

Saludos a todos (y a los sobrinos tambien jajaja)

El Bestiario de internet.....

Nominación	Nombre
El programa nocivo más codicioso para bancos	El programa más codicioso de septiembre fue Trojan-Banker.Win32.Banker.xkz, un miembro de la misma familia que ganó esta categoría el mes pasado. Este ejemplar ataca a los usuarios de 28 bancos al mismo tiempo.
El programa nocivo más codicioso para sistemas de dinero electrónico	Otorgamos el título de esta categoría a Trojan.Win32.Agent.adtp, que declaró la guerra a cuatro sistemas de dinero electrónico al mismo tiempo.
El programa nocivo más codicioso para sistemas de tarjetas de crédito	Hace mucho tiempo no veíamos que un programa nocivo ganara en más de una categoría. Pero septiembre trajo consigo una sorpresa: Trojan-Banker.Win32.Banker.xkz, además de atacar a 28 bancos, intenta robar a los clientes de cinco sistemas de tarjetas de crédito diferentes.
El programa nocivo más empaquetado	El cambio de estación trajo un nuevo ganador en esta categoría. Backdoor.Win32.Netbus.160.e logró destronar al legendario Hupigon gracias a los nueve sistemas de compresión de ficheros ejecutables con los que está empaquetado.
El programa nocivo de menor tamaño	Trojan.BAT.MouseDisable.c se lleva el título de este mes. El programa pesa 31 bytes, igual que el ganador de agosto, pero el ataque que lanza es distinto. Su nombre lo dice todo: este troyano bloquea el ratón del ordenador de sus víctimas.
El programa nocivo de mayor tamaño	Otro Trojan-Banker recibe la corona en esta categoría: Trojan-Banker.Win32.Banbra.dkj pesa nada menos que 34MB.
La vulnerabilidad más aprovechada de Internet	En septiembre, Exploit.Win32.PowerPlay.a fue el responsable del 6% de todas las vulnerabilidades de sitios web utilizadas para propagar programas nocivos.
El programa nocivo más difundido en Internet	Trojan-Downloader.Win32.Small.aacq, se mantiene a la cabeza de esta categoría por segundo mes consecutivo. En septiembre fue el causante del 20% de las infecciones a usuarios de Internet ¡una cifra bastante alta!
La familia de troyanos más propagada	Una vez más, esta categoría está al mando de una vieja familia enemiga nuestra: Backdoor.Win32.Hupigon.c. Esta familia alcanzó las 3.072 nuevas modificaciones en el mes de septiembre.
La familia de virus y gusanos más propagada	Esta categoría también mantiene a su viejo líder. En septiembre, Worm.Win32.AutoRun dio a luz a 655 nuevas modificaciones.

Fuente: Kaspersky Labs.

Criptografía Cuántica, ROTA!!!!!!!!!!!

Vadim Makarov, estudiante de la universidad de Oslo, ha roto sin ser detectado, un cifrado cuántico que hasta ahora se consideraba “irrompible” gracias al descubrimiento de una vulnerabilidad.

La criptografía cuántica utiliza principios de mecánica cuántica permitiendo a dos personas crear una clave segura compartida, que se consideraba imposible de franquear ante la alteración del proceso si un intruso pretendía obtener la clave secreta.

Parece que hasta ahora, porque Makarov dice que en la forma en que el remitente y receptor comunican su clave privada existe una vulnerabilidad que ha descubierto usando luz láser de alta intensidad en el flujo de información. La detección se consigue sin alterar el mensaje y sin ser detectado.

El estudiante y su equipo aseguran haber desarrollado sistemas para derrotar a dos de los tres sistemas de cifrado cuántico existente. Y dicen que investigan al tercero. Este tipo de cifrado se utiliza por ejemplo en transacciones bancarias suizas.

El Ping De La Muerte!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

Una empresa finlandesa llamada Outpost 24 dice haber descubierto un fallo en el Internet Protocol (IP) que puede provocar una denegación de servicio en todo dispositivo que lo use. Teniendo en cuenta que es la base sobre la que se sustenta toda Internet, es equivalente a decir que se puede provocar la caída de cualquier aparato con comunicación en la Red. Es la tercera "gran alerta" del año. ¿Necesita Internet una puesta a punto?

En realidad ni siquiera se podría llamar "denegación de servicio" tal y como lo conocemos hoy en día. Más bien se trataría de una especie de (mítico) "ping de la muerte" en el que, con muy poco tráfico (10 paquetes por segundo) se podría llegar a colapsar cualquier dispositivo que implemente la especificación del protocolo base. Al parecer se trataría de uno de los mayores problemas detectados en la Red que la volvería insostenible de forma relativamente sencilla.

No se han ofrecido por tanto muchos más detalles. Parece que el problema surgió durante el escaneo de varios millones de sitios en Internet. Alguno de estos tests (realizados con la herramienta Unicornscan) hacía que los sistemas dejaran de responder, y tras una investigación se concluyó que existía un problema en todas las implementaciones de la pila TCP/IP. Aunque afecta de distinta manera, se supone que todas son vulnerables y que todavía no han encontrado ningún dispositivo que no puedan bloquear.

Los investigadores han conocido este problema desde 2005. Según dicen, no han podido encontrar por el momento una solución válida, pero tampoco quieren difundir los detalles por el peligro que supondría el conocimiento público. Advierten que, incluso con IPv6 el problema podría ser incluso más grave.

Darán más detalles sobre el problema el 17 de octubre, durante una conferencia en Helsinki. Afirman tener una herramienta llamada sockstress capaz de "tumbar" cualquier dispositivo. Aunque la información es confusa (y habría que tomarla con cautela mientras no se tengan detalles), parece que el problema está directamente relacionado con la técnica de las "SYN cookies". Se utilizan precisamente para evitar que un atacante pueda realizar una inundación de paquetes SYN. Básicamente se "recuerda" con esta cookie a quien ha realizado la conexión y se evita que se falsee la dirección y se perpetre el conocido ataque (abriendo conexiones a medio realizar que consumen memoria y agotando los recursos del dispositivo).

Es la tercera gran vulnerabilidad del año que pone en peligro a toda la Red. En primer lugar fue Kaminsky con su problema DNS. El 8 de julio todos los grandes y pequeños fabricantes parcheaban sus sistemas DNS. Kaminsky había descubierto meses antes un fallo que permitía falsificar cualquier IP asociada a un dominio. Poco después en agosto, durante la Black Hat, se habla de nuevo de la mayor vulnerabilidad de Internet, cuando Tony Kapela y Alex Pilosov demostraron una nueva técnica que permite interceptar el tráfico de Internet a una escala global. Cualquiera con un router BGP podría interceptar el tráfico de cualquier gran nodo y devolverlo (modificado o no) de forma transparente.

Y vuelve a ocurrir, repitiendo prácticamente el mismo escenario. En los tres casos se trata de un problema de diseño de un protocolo creado muchos años antes. En los tres casos parece haber una demostración empírica de un problema conocido pero cuyas posibilidades o puesta en práctica se suponía imposible hasta la fecha... Incluso el hecho de revelar detalles en una conferencia posterior con la que se crea una gran expectación. Como le ocurrió a Kamisky, es posible que todos los detalles del problema salgan a la luz antes de lo esperado si algún investigador decide juntar todas las pistas ofrecidas por Outpost 24.

Es más que posible que aunque los detalles fueran conocidos desde hace 3 años, haya sido precisamente lo ocurrido con el fallo DNS y con BGP lo que haya animado a los investigadores a darle publicidad precisamente ahora. Kaminsky demostró que se puede realizar una actualización masiva y coordinada entre todos los grandes fabricantes y mantener en secreto los detalles de un grave problema (siempre que no se divulgue su existencia).

Nos encontramos posiblemente también ante una nueva era en la Red en la que, a través de estos graves errores puestos sobre la mesa, estamos cuestionando su sostenibilidad tal y como la conocemos. Usamos protocolos diseñados, cuando menos, hace 20 y 30 años. Los ingenieros estaban mucho más sorprendidos por el hecho de que la Red simplemente funcionase que preocupados por la seguridad. Hacer que un trozo concreto de información digital concreta llegase de un punto a otro del planeta era algo demasiado fantástico como para complicarlo previniendo si alguien la iba a podía modificar, alterar u obtener de forma ilegítima. Posteriormente, sobre estos débiles pilares, se ha construido algo muchísimo más complejo y unido millones de personas y dispositivos con muy distintas motivaciones. Para abarcar toda esta explosión, se ha ido parcheando sobre la marcha un monstruo gigante con pies de barro que, a la vista de estos tres recientes acontecimientos (y de otras preocupaciones de largo recorrido, como el malware ganando la batalla a los antivirus), necesita una clara revisión y puesta a punto.

Criptografía Cuántica - Conceptos de Criptografía

Introducción

La criptografía cuántica es una nueva área dentro de la criptografía que hace uso de los principios de la física cuántica para transmitir información de forma tal que solo pueda ser accedida por el destinatario previsto.

Para poder llegar a explicar los detalles de la criptografía cuántica se necesitan establecer algunos conceptos básicos de criptografía y física cuántica que serán de ayuda para la comprensión del tema. Pero antes que nada se expone el problema que la criptografía cuántica intentará solucionar.

El Problema de Alice y Bob

A continuación se plantea un problema del cual participan dos caracteres principales, Alice y Bob. Alice desea comunicarse con Bob, pero como no se encuentran en el mismo lugar, lo hará a través de algún tipo de enlace.

El problema en cuestión se presenta con la aparición de un tercer personaje al que llamaremos Eve, quien intentará escuchar la comunicación entre Alice y Bob quienes al mismo tiempo no desean ser escuchados.

La criptografía presenta varios métodos para evitar que si una comunicación es escuchada por terceras personas, éstas puedan comprender su contenido.

La criptografía cuántica provee una contribución única al campo de la criptografía. La criptografía cuántica provee un mecanismo que permite a las partes que se están comunicando entre si a:

Detectar Automáticamente Escuchas

En consecuencia, proporciona un medio para determinar cuando una comunicación encriptada ha sido comprometida, es decir si se está efectuando una escucha secreta y no autorizada sobre la misma.

A partir de de este momento se hará uso de los nombres Alice, Bob y Eve para referirse respectivamente al emisor, al receptor y a quien escucha secretamente los mensajes de una comunicación.

Los nombres Alice y Bob son utilizados tradicionalmente en lugar de las letras A y B en ejemplos de comunicaciones y criptografía para hacer referencia a los participantes de una comunicación entre dos puntos. El nombre Eve proviene de la palabra inglesa Evesdropper cuya traducción es “quien escucha secretamente”.

Conceptos de Criptografía

Las técnicas de encriptación se suelen dividir en dos grupos: algoritmos de clave privada y algoritmos de clave pública. A los algoritmos de clave privada se los llama también algoritmos de encriptación simétricos o convencionales mientras que a los de clave pública también se los suelen denominar algoritmos antisimétricos.

Modelo de Criptografía Convencional o de Clave Privada

En el modelo convencional, el mensaje original que es comprensible se convierte en un mensaje que aparentemente es aleatorio y sin sentido. El proceso de encriptación consta de dos partes, un algoritmo y una clave. La clave es un valor que es independiente del texto o mensaje a cifrar. El algoritmo va a producir una salida diferente para el mismo texto de entrada dependiendo de la clave utilizada.

Una vez cifrado, el mensaje puede ser transmitido. El mensaje original puede ser recuperado a través de un algoritmo de desencriptación y la clave usada para la encriptación.

Modelo de Criptografía de Clave Pública

Los algoritmos de criptografía pública se basan en una clave para encriptación y una clave relacionada pero distinta para la desencriptación. Estos algoritmos tienen la característica de que es computacionalmente imposible determinar la clave de desencriptación (clave privada) a partir del algoritmo criptográfico y la clave de encriptación (clave pública).

Los pasos del proceso de encriptación con clave pública son los siguientes:

• Cada sistema genera un par de claves para ser usadas en la encriptación y desencriptación de los mensajes que envíen y reciban.
• Cada sistema publica su clave de encriptación (clave pública). La clave de desencriptación relacionada (clave privada) se mantiene en privado.
• Si Alice desea enviar un mensaje a Bob, encripta el mensaje utilizando la clave pública de Bob.
• Cuando Bob recibe un mensaje lo desencripta usando su clave privada. Nadie puede desencriptar el mensaje porque solo Bob conoce su clave privada.

El algoritmo RSA

Introducido por Ron Rivest, Adi Shamir y Len Adleman del MIT en 1978 el Algoritmo Rivest-Shamir-Adleman (RSA) es el único de los algoritmos de clave pública masivamente utilizados en la actualidad.

Los mensajes son encriptados en bloques que poseen un valor en binario menor o igual que un número n. Es decir en bloques de longitud menor o igual a log₂(n). La encriptación y desencriptacion se realiza de la siguiente manera, para un bloque de mensaje M y un mensaje cifrado C:

C = M^e mod n

M = C^d mod n = (M^e)^d mod n = M^ed mod n

Tanto el emisor como el receptor conocen el valor de n. el emisor conoce el valor de e, y el emisor el valor de d. por lo tanto este es un algoritmo con una clave pública {e,n} y una clave privada {d,n}

Generación de las claves

• Se seleccionan dos números primos, p y q
• Se calcula n = p x q.
• Se calcula Φ(n) = (p-1)(q-1)
• Se selecciona un entero usando: mcd (Φ(n),e) = 1 y 1 < e < Φ(n)
• Se calcula d = e^-1 mod Φ(n)
• Clave Pública KU = {e,n}
• Clave Privada KR = {d,n}

Definiciones previas

Principio de Superposición

Si se piensa al qubit como un electrón en un campo magnético. El spin[2] del electrón puede estar en alineación con el campo, o en estado “spin-up”, o alineado opuestamente al campo, o en estado “spin-down”, el cambio de un estado se logra mediante un pulso de energía, por ejemplo de un láser. Supongamos que se necesita 1 unidad de energía para cambiar de un estado. ¿Que pasa si solo le suministramos la mitad de la energía requerida y aislamos la partícula completamente de las influencias externas? De acuerdo con la ley cuántica la partícula entra en una superposición de estados donde se comporta como si estuviese en ambos estados simultáneamente.

Espín: Momento angular intrínseco de una partícula subatómica (rotación sobre su propio eje). La teoría cuántica indica que el espín sólo puede adoptar dos valores a los que se los denomina “½” y “-½”

Principio de incertidumbre de Heisenberg

La ley o principio de Heisenberg establece que en el mundo subatómico no es posible conocer al mismo tiempo los valores de dos magnitudes diferentes de una partícula elemental, ya que el hecho de medir la primera interfiere con nuestra capacidad de medir la segunda.

Teorema de No Clonación

El teorema de no clonación es un resultado de la mecánica cuántica que prohíbe la creación de copias idénticas de un estado cuántico arbitrario y no conocido. Fue introducido por Wootters, Zurek, y Dieks en 1982, y tiene fuerte implicancia en el campo de la computación cuántica.

El Bit de Shannon o Bit “Clásico”

El bit de Shannon solo puede tomar uno de dos valores posibles que generalmente se denotan con 0 ó 1, pero en ningún caso puede tomar los dos valores a la vez. Estos bits tienen la propiedad de que pueden ser copiados.

El Qubit

En computación cuántica un número de partículas elementales como los electrones o fotones son utilizadas, y sus cargas o su polarización actúan como la representación de 0 y/o 1 a estas partículas se las llama Quantum Bit o Qubit.

En contraste con el bit clásico de Shannon, por el principio de superposición de la física cuántica, el Qubit puede ser 0 y 1 a la vez. Además a diferencia del Bit de Shannon el Qubit no puede ser copiado a causa de el teorema de no clonación.

Ejemplos de Qubit

Un ejemplo de qubit es una partícula con spin ½ que puede estar en un estado spin-up al que se llama 1 o en un estado spin-down al que se lo llama 0 o en una superposición de ambos estados siendo 0 y 1 al mismo tiempo.

Otro ejemplo de qubit es el estado de polarización de un fotón. Un fotón puede estar en un estado de polarización vertical ↕ al que le asignamos un valor 1. Puede estar en un estado de polarización horizontal ↔ al que le asignamos un valor 0. O puede estar en una superposición de estos dos estados, en este caso se lo interpreta con 1 y 0 al mismo tiempo.