Seguridad En Aplicaciones WEB 2.0

0 comentarios
Funcionamiento habitual de las aplicaciones que utilizan autenticación basada en cookies de sesión:

Sin entrar en las implicaciones de seguridad que tiene, una aplicación que basa el control de acceso de sus usuarios en cookies de sesión suele actuar de la siguiente forma:

1. Se crea una sesión vacía. (Sin datos asociados.)
2. Se le asigna esta sesión a un cliente que accede a la aplicación.
3. En este momento se pueden o no almacenar en la sesión unos datos iníciales sencillos. (Por ejemplo hora de acceso, dirección IP de origen, versión del navegador, etc.)
4. Se realiza el proceso de autenticación del usuario. (Mediante la solicitud de nombre de usuario y contraseña o mediante otro tipo de mecanismos de autenticación.)
5. Se almacenan en la sesión los datos relativos al usuario. Su nombre de usuario, su contraseña (si fuese necesario), si el proceso de autenticación fue correcto o no, etc.



Posteriormente la sesión será utilizada para distinguir al usuario legítimo de otros y mantener las variables asociadas a su trabajo con la aplicación.



Como hemos visto, la sesión puede tener varios estados (autenticado y no autenticado). Por tanto la posesión de una cookie de sesión no implica que el usuario se encuentre correctamente autenticado en la aplicación. Ni siquiera indica si el usuario ha pasado ya por el proceso de autenticación.



En muchas aplicaciones, la cookie de sesión se le asigna al usuario en la primera página que visita en el servidor, aunque el momento de la asignación de la cookie puede establecerse en otro punto. Posibles puntos de asignación de la cookie se sesión:

* En la primera pagina que visite el usuario. (Sea cual sea dentro de la aplicación.)
* En un punto concreto de la aplicación. (Por ejemplo una página de bienvenida.)
* Al iniciar el proceso de autenticación. (Por ejemplo en la página del formulario login.)
* Cuando ha finalizado el proceso de login. (El identificador de sesión se mantiene oculto hasta el último momento. Esta suele ser la opción más segura.)



Otra característica habitual de las aplicaciones basadas en cookies de sesión es que normalmente utilizan un API externo para el control de sesiones. La mayoría de lenguajes orientados al entorno web (PHP, ASP, Java) cuentan con un API específico para el control de sesiones.



También la mayoría de servidores de aplicaciones ofrecen APIs de este tipo, bien propias o bien derivadas del lenguaje base que utilicen.


Ejemplos de cookies estándar:

BEA WebLogic

------------

Set-Cookie: WebLogicSession=PLLHV8No5ImB2wUo2mupD49Bdo2HxEXq7OjhAAEl1EP6tMr1KbtI|-2011799079004677001/-1062729195/6/7001/7001/7002/7002/7001/-1|-3433517045111774782/-1062729194/6/7001/7001/7002/7002/7001/-1; path=/

Microsoft IIS

-------------

Set-Cookie: ASPSESSIONIDGQQGQYDC=KDGFBFGBLPNCMIIELPAINNJH; path=/

IBM WebSphere Application Server

--------------------------------

Set-Cookie: sesessionid=ZJ0DMWIAAA51VQFI50BD0VA;Path=/

PHP

---

Set-Cookie: PHPSESSID=d9d9c6a28343e74613d9a901f68c3397; path=/

Esto hace que algunos factores relacionados con la seguridad estén bastante controlados por defecto, como por ejemplo: la aleatoriedad de la cookie, la protección frente a colisiones, posibles errores en el manejo del array interno de variables, etc.



En este sentido el uso de un API centralizado es positivo, sin embargo existe un riesgo en servidores que hospedan varias aplicaciones que comparten el mismo pool de sesiones. En estas situaciones, si el programador no ha sido cuidadoso, pueden aparecer vulnerabilidades derivadas del uso de la misma sesión en 2 o más aplicaciones distintas.




Vulnerabilidades típicas en el manejo de sesiones:



Los errores que se pueden producir en una aplicación cuando se realiza una manipulación de sus cookies de sesión pueden ser muy variados, aunque los más habituales son los siguientes:



* Revelación de datos internos en la cookie: Como hemos comentado, el identificador de sesión no debe contener datos internos. Si la cookie incluye información no aleatoria, un atacante puede analizarla y sacar conclusiones sobre el estado interno de la aplicación. Todas las variables relacionadas con la sesión deben ser almacenadas internamente para garantizar su secreto.



* Identificador de sesión predecible: Si el identificador de sesión que genera el servidor es predecible, cualquier usuario puede ser suplantado (Session-hijacking) ya que el valor que lo identifica frente a la aplicación, puede ser adivinado y utilizado por cualquier otro usuario.



* Autenticación insuficiente: Se produce cuando la aplicación no comprueba correctamente el estado de la sesión del usuario. Es habitual que algunas aplicaciones para dar acceso a secciones protegidas simplemente comprueben que el usuario cuenta con un identificador de sesión, sin comprobar si se ha realizado correctamente el proceso de autenticación y sin comprobar que el estado de la sesión es correcto.



Como hemos visto, la mera posesión de un identificador de sesión no es suficiente para autorizar a un usuario ya que este puede haber conseguido el identificador en otra aplicación del mismo pool o haber obtenido una sesión en blanco.



* Reutilización de sesión: Esto se produce cuando la sesión no es correctamente borrada cuando el usuario termina su actividad. De esta forma el usuario puede seguir utilizando la sesión para volver a autenticarse o acceder a otras aplicaciones que comparten el pool de sesiones.



* Fijación de sesión (Session-fixation): Técnica de ataque consistente en obtener un identificador de sesión valido y forzar a otro usuario para que lo utilice y así poder suplantarle una vez se encuentre dentro de la aplicación.


En la próxima entrega comenzaremos a analizar los principales ataques sobre las sesiones de las aplicaciones web.

Feliz año nuevo a todos!

Los Merjores Antivirus Son GRATUITOS!!!!!!!

0 comentarios
Numerosos expertos han coincidido en que los programas antivirus gratuitos no son, en lo absoluto, soluciones inferiores respecto de los programas comerciales. Tal apreciación es respaldada ahora por la organización SRI International.


En efecto, la entidad sitúa a tres programas antivirus gratuitos en la lista de los mejores programas de seguridad informática.

La lista está presidida por el programa Antivir, que actualmente está disponible en una versión comercial y otra gratuita. Los siguientes cuatro lugares de la lista están ocupados por los programas AVG, Ikarus, Bitdefender y Avast. En otras palabras, cuatro de los cinco principales programas de la lista están disponibles también en versión gratuita.

Los lugares sexto, séptimo y octavo de la lista corresponden a F-Secure, Sophos y Norman, respectivamente.

En la comparativa se ha considerado especialmente la capacidad de los programas de detectar nuevo malware. La soluciones fueron clasificadas según su desempeño, velocidad, precio y posibilidades administrativas.

SRI International es una organización científica sin fines de lucro.

28 De Diciembre: Dia De Los Inocentes

0 comentarios
Programas que aseguran informar quien te ha eliminado de MSN Messenger, historias según las cuáles si pones el PIN de la tarjeta de crédito al revés la policía acudirá porque significa que te están atracando o un virus gallego.

El día 28 de diciembre es el día de las inocentadas: pequeñas bromas hechas para engañar a los demás. En Internet, sin embargo, las bromas circulan durante todo el año. Y no tienen nada de inocentes. Se trata de mentiras distribuidas, generalmente, a través de correo electrónico y que anuncian todo tipo de catástrofes, virus informáticos indetectables. Con motivo de la celebración del día de los inocentes, PandaLabs ha realizado una recopilación de algunos de los temas más curiosos y recurrentes:


Descubre quién te ama
Una de las bromas más curiosas de los últimos meses, que cuenta con distintas variaciones, es éste en que, después de un largo texto en el que se ensalza el amor y la amistad se dice al usuario que si se lo manda a 15 personas, espera 143 minutos (ni uno más, ni uno menos) y pulsa F6, podrá ver en la pantalla el nombre de quién le ama. Por supuesto, tal cosa no ocurrirá y, de hacer caso al email, lo único que conseguirá el usuario es llenar de spam la bandeja de entrada de sus contactos y perder 143 minutos de su tiempo.

El PIN de la tarjeta al revés, nuevo método para evitar atracos
Se trata de una broma según la cual, si cuando el usuario esté sacando dinero del cajero automático, le intentan atracar, tan sólo tiene que marcar el PIN de la tarjeta de crédito al revés. De ese modo, el cajero le dará el dinero, pero al mismo tiempo mandará un aviso a la policía de que está siendo atracado.

“Este tipo de broma es realmente peligroso, ya que la persona atracada puede confiar en que en realidad la policía va a acudir y no pensará en defenderse, cuando lo cierto es que nada va a ocurrir", explica Luis Corrons

Para dar más credibilidad a esta información, el correo asegura que se distribuyó también por televisión donde se aseguró que es un sistema que se está utilizando poco porque muy pocos lo conocen.

Descubre quién te ha eliminado del MSN Messenger
Este es una de las bromas más extendidas. Se trata de un tipo de servicio que generalmente se promociona por correo electrónico y que asegura a los usuarios que podrán descubrir datos como aquellos contactos que les han borrado o que les han bloqueado.

“En el mejor de los casos, la información que obtengan los usuarios será falsa, ya que no hay forma científica de conocer esos datos. Pero lo peor es que en muchos casos se trata de páginas web creadas para robar los datos del usuario ya que para su correcto funcionamiento piden a éste que introduzca su dirección de correo electrónico y su contraseña. Desde entonces, estos datos pasarán a manos de los ciberdelincuentes que tendrán acceso a esa cuenta de correo y podrán utilizarla para acciones maliciosas: envío de spam, robo de otros datos, etc.", explica Luis Corrons, director técnico de PandaLabs.

El virus gallego
Este es una las bromas más divertidas. En realidad, se trata de una pequeña broma burlándose de los correos electrónicos que difunden virus. El texto dice lo siguiente:

“Soy el primer virus gallego. Como los gallegos no tenemos experiencia en programación, este sistema trabaja basado en un sistema de HONOR. Por favor: Borre todos los archivos de su disco duro manualmente y envíe este mensaje a todos los miembros de su lista de correo. Gracias por su cooperación. Manolo".

Los 12 timos más frecuentes en navidad

0 comentarios
El Phishing de caridad o las e-postales navideñas son algunas de las trampas más comunes que están utilizando los ciberdelincuentes en estas fiestas.

La compañía de software de seguridad McAfee ha hecho una lista con los actos más frecuentes de los hackers aprovechando el periodo navideño.

‘Los 12 timos de Navidad’ colocan en primer lugar el Phishing de caridad, utilizando como reclamo las donaciones navideñas que los consumidores más comprometidos hacen en estas fechas. Los timos de correos electrónicos procedentes de bancos son la segunda técnica de ataque, aprovechando el actual clima económico. Envían correos electrónicos que parecen oficiales, en los que se pide a los consumidores que confirmen información de su cuenta bancaria, incluyendo nombre de usuario y contraseña.

Muchos usuarios mandan e-postales navideñas para felicitar las fiestas, sobre todo n navidad. Conviene estar atentos a los mensajes mandados por remitentes desconocidos, con errores ortográficos, errores en el mensaje y con URLS de aspecto extraño. Ante la duda no la abras y no pinches en ningún link que proceda de una fuente desconocida.

Las facturas falsas de posibles regalos enviados, algo frecuente en estas fechas, son también un medio para engañar a los consumidores y para que den sus datos personales y financieros a través de ellas. Cuando el consumidor lo abre, el adjunto tiene una serie de variaciones: puede pedirte que realices o canceles una orden, puede decirte que el servicio de mensajería no pudo entregar un paquete porque la dirección es incorrecta, o pueden preguntarte por los detalles de tu tarjeta de crédito o cuenta bancaria, que son necesarios para realizar la factura o para que el cliente pueda recibir el paquete.

¡Tienes un nuevo amigo! Cuando se reciben estas notificaciones de redes sociales, al pinchar en el link el usuario corre el de descargar software malicioso que no se puede detectar, diseñado para el robo de información personal y financiera. McAfee recomienda mantenerse alejado de los amigos que no se conocen.

El sexto timo más frecuente en navidad es el relativo a los términos de búsqueda navideños. Conseguir salvapantallas de Navidad, puzles o imágenes de estas fiestas puede conllevar la descarga de adware, descargas no deseadas y spyware.

Las conexiones WiFi gratuitas de cafeterías son muy vulnerables. Los atacantes pueden asaltar las conexiones de Internet inalámbricas inseguras y conocer qué sitios Web el usuario está visitando, las contraseñas y cuentas bancarias a las que accede en ese momento. También hay que evitar los robos de contraseña, que en muchos casos es la misma para varios sitios web y servicios online.

Por último McAfee advierte de prestar especial atención a los sitios de subastas para evitar fraudes, ya que los estafadores que utilizarán el aumento de la actividad en la temporada navideña para cazar nuevas víctimas. También destaca tener especial cuidado con los correos electrónicos con spam y archivos adjuntos con temática navideña, el robo de identidad online (evitando los sitios que almacenan los datos personales) y el robo de portátil. Según el Estado del Informe de Red (2007) del FBI, las posibilidades de que te roben el portátil son de 1 entre 10, y de acuerdo con la investigación de la firma Gartner, el 97% de las portátiles nunca se recuperan.

"Ningún otro navegador tiene la fuerza de nuestra comunidad"

0 comentarios
Cuando apenas han pasado 100 días desde el lanzamiento en pruebas del navegador de Google, Chrome , la compañía ha anunciado su versión definitiva. No sería sorprendente de no ser porque Google, experta en el lanzamiento de nuevos productos, lanzó en 2004 Gmail, su exitoso servicio de correo electrónico, y aún hoy sigue en pruebas. Imprimiendo un ritmo que no es habitual en lanzamientos de este tipo, Google demuestra el profundo interés que tiene en el mercado de los navegadores, dominado hasta el momento por Internet Explorer, de Microsoft, y Firefox, de Mozilla.

Los expertos han visto en el lanzamiento de Chrome un varapalo para el navegador de código abierto Firefox , ya que entre Google y Mozilla existía un acuerdo de colaboración. Con su propio navegador en el mercado, los analistas supusieron un cambio de modelo de Google, que se habría decidido a dar la batalla por su lado.
Google es la mayor fuente de ingresos para la Fundación que financia Firefox

El secretario general de Mozilla Europa, Pascal Chevrel, reconoce que Google es la mayor fuente de ingresos -con 80 millones de dólares al año- para la Fundación que financia Firefox, pero también especifica que no es la única. Google ha renovado su acuerdo con Mozilla hasta 2012 por lo que, por el momento, Firefox no se ha visto afectado, en este sentido, por Chrome. "Hay que ponerse en el papel de Google, que gana mucho dinero y lo consigue mediante la navegación. Lo que intenta hacer es no depender de Microsoft para que sus clientes accedan a sus aplicaciones web", especifica Chevrel para explicar el lanzamiento de Chrome.

Según datos de la consultora Xiti Monitor del pasado septiembre, el porcentaje medio de uso de Explorer en Europa es de un 60,1%. El de Firefox es de un 31,4%. Les siguen, en tercer y cuarto puesto Opera y Safari, con un 4,2% y un 2,5% respectivamente. En quinto
lugar se encuentra Chrome que, con poco más de un 1%, ha logrado hacerse un hueco entre los navegantes más experimentados.

Sólo ilusión

Chevrel trabaja para Mozilla desde que el navegador apenas tenía un 0,5% de cuota de mercado. "Sólo teníamos la ilusión", añade. Por ello, es consciente de qué supone la llegada de la versión definitiva de Chrome y cómo esta, respaldada por Google, puede ganar una cuota considerable en muy poco tiempo. "Lo ideal sería que ningún navegador tuviera más del 50% del mercado", añade.

El secretario general de Mozilla Europa considera que Chrome no representa una amenaza para Firefox. Los expertos defienden que cada navegador responde a maneras distintas de navegar por la web, algo en lo que Chevrel está de acuerdo: "Chrome es un buen navegador, pero tiene áreas muy básicas, como la gestión de favoritos. En Firefox contamos con un sistema de personalización y se pueden realizar mejoras mediante los programa de extensiones".
«Chrome ha tomado algunas ideas de Firefox, y nosotros de ellos»

Mozilla va a lanzar la versión 3.1 de Firefox en el primer trimestre de 2009. Pero Chevrel niega rotundamente que el lanzamiento de la versión definitiva de Chrome haya obligado a Mozilla a adelantar el lanzamiento de la nueva versión de Firefox. Sí reconoce, en todo caso, que se han fijado en algunos de los aspectos de Chrome para añadirlos en la nueva versión: "Chrome ha tomado algunas ideas de Firefox, y nosotros también las hemos cogido de ellos", añade.

Pascal Chevrel reconoce que la llegada de un nuevo actor puede hacerles perder cuota de mercado, pero se apresura a precisar que el número de usuarios en una tarta siempre aumenta y, con ella, las posibilidades de crecer de todos. "Chrome y Firefox están quitando usuarios a Explorer, y las cifras de los últimos meses lo demuestran", asegura, al hablar de los planes de futuro de su navegador.

Chrome sólo está disponible para Windows, aunque la compañía ya ha anunciado que próximamente lanzará versiones para Macintosh y Linux. Pero Internet Explorer está preinstalado en cada uno de los sistemas Windows, y Chrome se promociona mediante el pack de herramientas de Google y un lugar destacado en sus webs.

La única forma de distribución de Firefox es mediante una activa comunidad de usuarios que les ha llevado a alcanzar su cuota de mercado. "Nuestra comunidad es la principal fuerza. Es algo que no tiene ninguno de ellos", en referencia a los miles de voluntarios que trabajan en Firefox programando extensiones o denunciando fallos. Y por la experiencia en otro tipo de servicios de Google, no parece que la compañía vaya a centrarse en crear una comunidad en torno a Chrome.

La desmitificación del modelo de cómputo cloud

0 comentarios
El modelo de cómputo "cloud" o Cloud Computing, no es cualquier cosa, es el futuro de las TI. Examine de cerca en qué consisten los "clouds" y lo que pueden aportar a su organización.

El término ya estaba de moda antes de ser acuñado. Pero si cree que el cómputo cloud es un concepto vacío, puede que sea el momento de empezar a tomárselo más en serio.

El cómputo cloud es eficiencia. Ofrece un medio de desplegar y obtener acceso a cualquier cosa, desde sistemas individuales hasta cantidades masivas de recursos de TI, bajo demanda, en tiempo real y a un precio asequible. Las mejores estrategias cloud se basan en conceptos y herramientas que los desarrolladores ya conocen. Por tanto, los clouds pueden redefinir la relación entre el departamento de TI, los desarrolladores y las unidades de negocio que dependen de ellos. El departamento de TI mejora la eficiencia y el control, mientras que sus clientes obtienen acceso a los servicios con niveles de simplicidad y control nunca vistos.
Qué es y no es el cómputo cloud

A continuación le explicamos lo que es y lo que no es el cómputo cloud, cómo aprovecharlo y la ayuda que Sun puede brindarle.
"El cómputo cloud es eficiencia. Ofrece un medio de desplegar y obtener acceso a cualquier cosa, desde sistemas individuales hasta cantidades masivas de recursos de TI, bajo demanda, en tiempo real y a un precio asequible."

Todos los despliegues cloud tienen los siguientes aspectos en común. Al máximo nivel, se trata de un medio de ofrecer recursos de TI en forma de servicios bien definidos. Al igual que las compañías eléctricas mejoran su eficiencia limitando sus opciones de tensión y frecuencia, los clouds la mejoran prestando una cantidad reducida de servicios. Naturalmente, algunas aplicaciones no encajarán en un cloud particular, pero en esto reside su importancia.

Otros elementos clave del cómputo cloud conducen a eficiencias adicionales. Las API de aprovisionamiento automático y programado reducen drásticamente el papel humano. El uso decidido de la virtualización optimiza los recursos físicos. Y la posibilidad de crecer y decrecer dinámicamente, unida al modelo de pago en función de las necesidades, anima a los usuarios a mejorar su eficiencia.

También hay muchas diferencias importantes entre distintos clouds. “En opinión de Sun, el cómputo cloud tiene tres dimensiones. Cada una de ellas ofrece posibilidades y oportunidades únicas”, declaró David Douglas, vicepresidente de Network.com, la iniciativa cloud de Sun.

Dimensión 1: Capas de abstracción

Al igual que se forman distintos tipos de nubes en distintas altitudes, es posible formar distintos tipos de clouds en función de la capa de abstracción. Hay tres tipos de clouds predominantes:

* La Infraestructura como Servicio (IaaS) es la capa de nivel inferior. Es un medio de ofrecer funciones básicas de almacenamiento y cálculo como servicios estandarizados a través de la red. El ejemplo comercial más conocido es Amazon Web Services (AWS), cuyos servicios EC2 y C3 ofrecen funciones básicas de cómputo y almacenamiento, respectivamente.
* La Plataforma como Servicio (PaaS) es la capa intermedia, y consiste en capacidades de las capas superiores que los desarrolladores pueden integrar en sus aplicaciones. Google App Engine y la plataforma Force.com de Salesforce.com son dos ejemplos comerciales.
* El Software como servicio (SaaS) es la capa de mayor nivel y representa una aplicación completa ofrecida en forma de servicio, bajo demanda y multipropiedad, lo que significa que una sola instancia del software se ejecuta en la infraestructura del proveedor y atiende a distintos clientes. Salesforce.com y la tienda iTunes son dos ejemplos.

Es importante tener en cuenta que los modelos IaaS y PaaS introducen nuevas interfaces y APIs que, si bien simplifican la vida a los desarrolladores en el corto plazo, también pueden hacerlos cautivos de un proveedor o cloud específico, como sucede con las plataformas tradicionales.


Dimensión 2: Tipos de despliegue

Al igual que existen varios tipos de clouds, existen distintas formas de desplegarlos, dependiendo de quién los comparta con quién. Por ejemplo:

* Los "clouds" públicos se ejecutan en terceros. Se pueden mezclar trabajos de varios clientes en los servidores, sistemas de almacenamiento y otros sistemas de la infraestructura del cloud. Los usuarios finales no saben quién está en el mismo servidor, red o disco en el que se ejecutan sus trabajos.
* Los "clouds" privados pertenecen a un cliente que controla qué aplicaciones se ejecutan en cada momento. Son propietarios del servidor, la red y el disco, y pueden decidir qué usuarios pueden utilizar la infraestructura.
* Los "clouds" híbridos” combinan ambos modelos. El usuario es propietario de algunas partes y comparte otras, aunque de forma controlada.



Dimensión 3: Dominio de aplicaciones

Dado que las aplicaciones tienen distintas características, requisitos de usuarios y exigencias para la infraestructura, ¿por qué no poner a tono clouds para específicas cargas de trabajo? De hecho, ya sucede así. Algunos clouds están optimizados para aplicaciones de cómputo de alto rendimiento (HPC), otros para ofrecer el máximo throughput Web y otros para transacciones. Sun percibe una tendencia hacia la especialización en dominios de aplicaciones tales como el pago, la seguridad, las copias de seguridad y las comunicaciones.
Por qué el cómputo cloud lo cambia todo
"El auge del modelo cloud es algo más que un nuevo cambio de plataforma que entusiasma a los apasionados por el cómputo. No hay duda de que transformará el sector de las TI, pero también cambiará profundamente la forma de trabajar de las personas y las empresas."
The Economist, "Let it Rise", 23 de octubre de 2008

A pesar de que a los departamentos de TI se les pide que controlen o reduzcan sus gastos, la empresa sigue planteando nuevas demandas: streaming de contenidos, aplicaciones de cómputo de alto rendimiento (HPC), experiencias Web cada vez más complejas. Muchas de estas cargas de trabajo consumen enormes cantidades de recursos de cálculo y almacenamiento y experimentan subidas bruscas de la demanda. En resumen, funcionan a una escala que supera a las infraestructuras de TI tradicionales.

El modelo cloud ofrece una solución. Las tecnologías en las que se fundamenta el modelo cloud pueden ofrecer recursos de TI y capacidades a una escala nunca vista hasta ahora:

* La tecnología de virtualización para servidores, sistemas de almacenamiento y otros recursos mejora drásticamente los índices de utilización y permite la consolidación de sistemas físicos.
* Los sistemas de archivos sofisticados, como ZFS, admiten capacidades de almacenamiento prácticamente ilimitadas, integración del sistema de archivos y gestión de volúmenes, snapshots y clones "copy-on-write", comprobación y reparación de integridad on-line, etc.
* Los "patrones" de arquitectura permiten el desarrollo acelerado de arquitecturas "cloud" de súper-escala aportando soluciones replicables a los problemas comunes.
* Las nuevas técnicas de gestión de datos estructurados, no estructurados y semi-estructurados permiten el crecimiento masivo de los servicios basados en datos.

Igualmente importante es el hecho de que el modelo cloud permite el desarrollo de nuevas arquitecturas de software. También está acelerando la adopción de herramientas ligeras y ágiles, como Hadoop, el entorno de software Java gratuito que permite crear aplicaciones distribuidas para gestionar grandes volúmenes de datos; memcached, un "acelerador de datos" de alta escalabilidad y MogileFS, un sistema de archivos que permite la escalabilidad horizontal del almacenamiento en cualquier número de máquinas.

El cómputo cloud también ofrece la economía de escala del modelo de servicio público (utility model). La mayoría de las organizaciones no crean sus propias centrales eléctricas y plantas de tratamiento de agua. ¿Por qué deberían adquirir y mantener todo el hardware, el software y los recursos de desarrollo que utilizan?

"Los servicios estandarizados para todos los usuarios son una marca distintiva del modelo cloud", declaró Douglas. "Nadie llama a la compañía eléctrica para pedir un suministro de 83 V. La compañía se dedica a una sola cosa y lo hace con gran eficiencia."

Para los usuarios finales, el modelo cloud significa que no hay gastos de adquisición de hardware, licencias de software o actualizaciones, no es necesario contratar nuevos empleados o consultores, alquilar instalaciones, ningún costo de inversión de ningún tipo, ningún costo oculto. Sólo una cuota de uso cuantificable.
El aspecto positivo para las TI

CEl cómputo cloud crea nuevos y atractivos modelos económicos para la prestación de servicios de TI. Éstas son las tres opciones para sacar provecho del modelo de cómputo cloud.

Utilizar el cloud
El número y la calidad de ofertas de servicio públicas y comercialmente disponibles basadas en cloud están creciendo rápidamente. El uso del cloud es una excelente opción para start-ups, proyectos de investigación, desarrolladores Web 2.0 o especialistas en nichos que desean "cargar y empezar a trabajar". Puede utilizar el cloud para:

* Descargar la infraestructura de TI sobrecargada (de forma provisional o permanente). Por ejemplo, ¿por qué comprar sistemas distintos para el desarrollo y las pruebas de software cuando ambas tareas se podrían realizar utilizando servicios cloud?
* Solucionar los picos de carga, las tareas de procesamiento diferido o los picos de demanda de servicios.
* Experimentar nuevas herramientas de software sin tener que adquirirlas.

Crear el cloud
Las opciones incluyen la creación de un cloud para uso interno, la creación de un cloud público capaz de convertirse en una nueva fuente de ingresos o la creación de un cloud público que combine ambas características.

Sun espera un crecimiento espectacular de los clouds privados. Muchas grandes empresas comprenden las ventajas económicas del modelo cloud, pero quieren comprobar la eficacia de las políticas de seguridad, el cumplimiento de la normativa y otros aspectos que puedan hacer vulnerables a los clouds en este momento.

El impulso de los clouds públicos e híbridos también aumenta a medida que las empresas y los proveedores de servicios adquieren experiencia con el modelo cloud. Los elevados índices de crecimiento de las ofertas de clouds públicos disponibles en la actualidad reforzarán sin duda este impulso.

Ser el cloud
Su organización puede convertirse en proveedor de servicios cloud o "agregador cloud" y ofrecer distintos servicios. Después de todo, la lista de servicios que permite el modelo cloud no empieza y termina en SaaS, Paas e IaaS. Las formas de cloud especializadas incluyen el pago como servicio, la seguridad como servicio, la copia de seguridad como servicio, la colaboración como servicio, etc.


Cómo puede ayudarle Sun

Al igual que el sol es esencial para la formación de las nubes en la naturaleza, Sun será una fuerza fundamental en el desarrollo del cómputo cloud. Por ejemplo:

* Sun innova en tecnologías clave fundamentales para el modelo cloud: servidores y sistemas de almacenamiento eficientes, sistemas operativos de categoría empresarial, tecnologías de virtualización y numerosas plataformas y herramientas de software.
* Sun ofrece su experiencia técnica en todas las facetas de la construcción de clouds, desde la virtualización de servidores y la tecnología Open Storage hasta el software de código abierto y la arquitectura orientada a servicios (SOA).
* Sun puede ofrecer servicios, soporte y acuerdos de nivel de servicio a los clientes que crean sus propios clouds públicos o privados.
* Sun patrocina muchas de las grandes comunidades de código abierto que innovan en el campo del cómputo cloud, como MySQL, OpenSolaris, GlassFish, etc.

'Internet Explorer Más Seguro Que Nunca', Eso Dijo Microsoft ¿Verdad?

0 comentarios
Según se comenta durante el día de hoy en diversas fuentes de contrastada reputación, parece que existe una vulnerabilidad en Internet Explorer 7 que está siendo explotada activamente, principalmente en webs pertenecientes a China; todo apunta a que tiene que ver con el parsing de algún tag XML en la librería mshtml.dll.

Un rápido análisis del exploit parece que sólo afecta a usuarios de Windows XP y Windows 2003 que utilicen Internet Explorer 7, pero al ser la librería mshtml.dll tan usada en otras aplicaciones no se descarta que aparezcan otros objetivos y aplicaciones a ser atacadas remotamente.

En este momento parece que todas las URL que albergan el exploit son dominios pertenecientes a China, con lo que es recomendable monitorizar toda navegación a etiquetas iframe que carguen URL del ccTLD .cn. Así mismo, soluciones como NoScript en FireFox implementadas para Internet Explorer pueden proteger a los usuarios ya que los exploits hacen uso activo de JavaScript.

TELETÓN JA JA

1 comentarios
El siguiente comentario es alusivo a la televisión, algo muy triste e indignante que ocurrió el día de ayer en la ciudad de Guadalajara, más precisamente en los foros de Televisa. Los payasos Lagrimita y Costel son originarios de Guadalajara y entre semana filman su programa vespertino de concursos infantiles, pues resulta que pasado día domingo 23 de noviembre estaban comenzando las grabaciones del programa, para ello invitan a gente del público al programa para ambientar el foro de grabación y salgan en la televisión.

Entre el público se encontraba una niña con parálisis cerebral que iba acompañada por su tía al foro del programa, pero al sentarse hasta adelante de las gradas la gente miserable de seguridad le pidió a la señora que llevara a la niña hasta la parte trasera de las gradas por que no querían que saliera en la televisión… HAZME EL CABRÓN FAVOR.
La tía de la niña no tuvo más remedio que subir cargando a la niña hasta la parte de arriba de las gradas, sin embargo la tragedia llega cuando la señora pierde el equilibrio, cae 3 metros de cabeza de las gradas y debido el golpe lamentablemente fallece. Obvio la niña llora desconsolada, pero a la vez deja descubierta una verdad indignante muy grande: TELEVISA DISCRIMINA A LA GENTE DESCAPACITADA, LUCRA CON EL CHINGADO TELETÓN,Y PARA ESO SI TENEMOS QUE AYUDAR Y NOS PONEN IMÁGENES DE LOS POBRES NIÑOS EN DESGRACIA !!! Pero no pueden dar un momento de felicidad a la pobre niña en un programa de televisión por que quedó totalmente opacado por esos cabrones, que poca madre.

Este es el tratamiento VIP que Televisa le da a los niños con capacidades diferentes en un día cualquiera, en un día sin Teletón. Esta es la verdad de una televisora que siempre ha discriminado y que pretende en un fin de semana al año redimir todos sus pecados. La realidad los delata todos los días, apaguen la televisión.

Aquí el enlace:
http://www.oem.com.mx/eloccidental/notas/n942219.htm
No olvides entrar a mi blog y dejar tus comentarios
http://www.alvarezbernardo.blogspot.com/

cada segundo que pasa, es una eternidad que jamás regresará. Bernardo Álvarez.

Ups... Otra Para Black Berry

0 comentarios
Se ha anunciado una vulnerabilidad en el BlackBerry Desktop Software, que puede ser utilizada por un atacante para lograr el compromiso del sistema afectado.

BlackBerry Desktop Software, es un paquete de aplicaciones para el PC que gestiona la conexión entre la BlackBerry y la cuenta de correo electrónico del usuario, el organizador y otras funciones.

El problema reside en un desbordamiento de búfer en el control ActiveX DWUpdateService y puede ser explotado cuando el usuario afectado visite una página web maliciosa que haga uso de este control. Afecta a las versiones 4.2.2 a 4.7 de BlackBerry Desktop Software, y puede permitir que un atacante remoto consiga el control de los sistemas afectados.

Se recomienda instalar la actualización disponible desde:
http://www.blackberry.com/btsc/articles/749/KB16469_f.SAL_Public.html