(cc) Wikipedia

El voto electrónico en Brasil es una realidad desde hace más de una década. No es que se emita un sufragio vía internet, sino que los electores deben marcar su preferencia en un dispositivo de lo más moderno, que posee Linux e incluso permite dejar el voto en blanco. Lo único que no permite hacer son figuras fálicas en la manifestación democrática.

Este sistema es muy útil para el recuento de votos en un país tan extenso y agreste. Además, viéndole el lado VeoVerde al asunto, evita que miles de árboles se talen para crear los votos, los lápices y las cajas de madera en que se suelen recolectar los sufragios. Todo muy lindo hasta que algunos partidos pequeños reclamaron. “No puede ser que saquemos tan pocos votos. Las máquinas no son 100% seguras y algún señor hacker nos quiere perjudicar”, dijeron.

Ante tamaña insolencia a la tecnología, el tribunal superior electoral (TSE) convocó a expertos en seguridad informática, conocidos también como hackers, para ver si eran capaces de violar las urnas a través de distintos mecanismos. El resultado fue siempre el mismo: un rotundo fracaso.

Un especialista de la policía federal intentó cambiar las tarjetas de memoria, modificando los votos antes de que se escogieran. Falló. Otro grupo trató de alterar el comprobante que emite la máquina, pero el sucedáneo no se parecía al original. Mal. Otros intentaron modificar la distribución de Linux que usan las urnas. ¿Le habrán querido poner Windows Vista? (Procesando su voto. Por favor espere)

Con todas esas pruebas superadas, los partidos chicos deberán modificar sus estrategias de campaña y no echarle la culpa al terreno de juego. Al final, estas urnas demostraron ser muy confiables y una excelente alternativa (aunque un poco más cara que el lápiz y el papel) para otros países de la región.

Link: Terminam os testes de segurança sem violações ao sistema (TSE vía FayerWayer Brasil)

(cc) LoopZilla

La compañía Novell presentó hace algunos días los resultados preliminares de su encuesta Threat Assessment, en la que queda en evidencia que muchas compañías actualmente siguen siendo vulnerables a sufrir ataques de seguridad que perfectamente podrían ser evitados.

Los resultados fueron obtenidos en base a las respuestas entregadas por los administradores de TI a la herramienta Novell Threat Assessment Tool, un test en línea que permite evaluar las políticas de seguridad al interior de las empresas.

De las conclusiones entregadas por Novell destacan:

• Un 71% de las compañías señaló que no tiene políticas de encriptación de los datos contenidos en computadores portátiles, mientras que un 73% de las compañías no encripta la información almacenada en dispositivos removibles
• El 72% de los encuestados indicó que no mantiene ningún tipo de control sobre los datos que son copiados en dispositivos el almacenamiento removibles o unidades ópticas, mientras que un 78% no mantiene un registro detallado de la información que se graba en este tipo de dispositivos (No tienen una política que restringa su uso ni tampoco se registra la información que es copiada en ellos)
• En el 90% de los casos los encuestados señalaron que los trabajadores de su compañía acceden a redes inalámbricas inseguras cuando se encuentran fuera de la oficina, por lo que sus equipos portátiles podrían ser vulnerados por atacantes malintencionados
• Un 76% de las empresas no puede asegurar la integridad de los equipos utilizados por sus empleados cuando se encuentran fuera de la oficina
• Un 53% de los encuestados señaló que no se encuentran capacitados para bloquear el tráfico P2P al interior de la red de la compañía
• Un 65% no está capacitado para evitar que accedan a la red corporativa si no poseen algún tipo de herramienta de verificación de la integridad del sistema, como podría ser un software antivirus. Además, un 73% de los encuestados no podría impedir que un dispositivo inseguro logre propagar algún tipo de infección al interior de la red corporativa o ser infectado por otro dispositivo al interior de la red

Grant Ho, Senior Solution Manager para Endpoint Management de Novell, señaló

Las amenazas de seguridad están evolucionando a paso acelerado, cada día datos vitales de los clientes se pierden por culpa del uso de políticas de seguridad débiles. La encuesta de Threat Assessment está diseñada para darle a las empresas una mejor idea de sus vulnerabilidades de seguridad y además, entregarles una guía para que corroboren si están haciendo todo lo que pueden para asegurar sus equipos y proteger la información corporativa y la de sus clientes

Claramente estos resultados demuestran la necesaria importancia que deben entregarle las grandes corporaciones al tema de la seguridad informática. A diario nos enteramos de problemas de este tipo que generan importantes pérdidas de información (y dinero), así como también la filtración de información que debería estar a resguardo.

Link: Research Shows Enterprises Are At Significant Risk From Common Endpoint Device Security Gaps (Novell)

En las IV Jornadas de Software Libre de Catamarca, dos desarrolladores, Lisandro Lazaeta y Daniel Godoy, relacionaron a Torres con los sitios UniversoMSN.com y MSNsinAdmision.com, webs de phishing de MSN, que están alojadas en los mismos servidores donados para el proyecto Tuquito.

De acuerdo a los descubrimientos de ambos (que hackearon el servidor de Tuquito), se habrían robado unas 100.000 cuentas de correo con sus contraseñas. Los desarrolladores subieron un video con su descubrimiento – aunque si el servidor fue vulnerado una vez para hacer esta prueba, puede que haya sido vulnerado anteriormente para alojar el phishing.

Esto se apoya además en que el servidor de Tuquito tenía muchas fallas de seguridad. Como lo plantea Lazaeta: “el experto no pone password de root a mysql, el experto hacer correr apache con suid (root), el experto sube shells sin contraseña para administrar sus servidores y encima las sube con nombres sencillos como “cmd.php” o “shell.php”.

Hoy el sitio de Tuquito aparece como caído, y Torres no se ha pronunciado sobre el incidente.

Link: Líder del proyecto Tuquito acusado de Phishing (Viva Linux – Gracias Daniel)

Así que si el jueves piensas cambiarte al nuevo sistema operativo de Microsoft, ya necesitarás bajar la primera actualización de seguridad.

Microsoft descubrió 34 fallas que afectaban a Windows XP, Vista y la versión final de Windows 7, que intentó arreglar rápidamente. Pese a que Windows 7 presentó problemas, la cantidad de fallas es menor a lo que registraron XP (24 de 34, con 18 de ellas marcadas como críticas) y Vista (19 de 34, 11 críticas).

De acuerdo a los expertos, la presencia de fallas en Windows 7 se debería al uso de código reciclado heredado de sus antecesores. Por lo menos éstas ya están solucionadas, aunque no se descarta que una vez que aparezca, se descubran otras más.

Link: Microsoft issues first Windows 7 patches (ComputerWorld)

Give me a Break

En Febrero de este año Microsoft publicó una actualización del framework .NET (pasando a la versión 3.5 SP1), que contenía una vulnerabilidad que permitía a un atacante instalar y ejecutar aplicaciones sin requerir permiso alguno.

La actualización en cuestión incluía un componente que garantizaba la compatibilidad con Windows Presentation Foundation, por medio de la tecnología ClickOnce. Dicha tecnología no sólo se instalaba en Internet Explorer, sino que también en Firefox sin que el usuario recibiera algún tipo de aviso al respecto, provocando que la vulnerabilidad también afectara al navegador de Mozilla.

El tema es que ahora Mozilla decidió salir al paso del problema creado por Microsoft, bloqueando el plugin de Microsoft luego de llegar a un acuerdo entre ambas compañías (como para que aprendan la lección).

Ahora los medios son los que han salido a apuntar a Microsoft con el dedo, no sólo por el hecho de que pasaran a llevar a los usuarios instalando una actualización que incluía una grave vulnerabilidad sino que también por hacerla extensiva a otros navegadores, sin siquiera advertirle a los usuarios y sin que estos tuvieran alguna alternativa para desinstalarla.

Otros apuntan a la compañía por el hecho de que sólo hace algunas semanas desde Microsoft salieron a criticar el plug-in Google Chrome Frame, complemento ideado para que Internet Explorer utilizara el mismo motor de Chrome, señalando que este hacía a su navegador más inseguro.

Link: Microsoft exposes Firefox users to drive-by malware downloads (Vía CHW)

(c) Tony Maro

No es secreto que todo el mundo dedica unos pocos minutos del día laboral a revisar el correo, ver que hay de nuevo en Facebook, mirar los updates de Twitter y leer el diario (y también FayerWayer), lo que está bien y sirve para despejarse la mente entre tanto que hacer – ¿cierto?

Pues bien, el tiempo son exactamente 50 minutos en promedio al día en Latinoamérica, según un estudio de la compañía de seguridad informática Websense, que entrevistó a 700 personas entre gerentes de TI hasta empleados en empresas de Argentina, Brasil, Chile, Colombia, México, Perú y Centroamérica.

El ranking del “sacado de vuelta” (sin contar las salidas a fumar y las idas a buscar café) queda así:

1. México (84 minutos)
2. Argentina (58 minutos)
3. Chile (56 minutos)
4. América Central (51 minutos)
5. Perú (43 minutos)
6. Colombia (40 minutos)
7. Brasil (23 minutos)

En general, los sitios más visitados son medios de comunicación (85%), bancos (79%) y sitios de gobierno (75%).

Otro dato interesante es que el 21% de los empleados latinoamericanos confiesa haber hecho click en un pop-up, estando los más mensos ingenuos en Colombia (32%), Chile (30%), América Central (26%), Argentina (20%), Perú (16%), Brasil y México (12%).

Link: Websense

Hace algunas semanas, Tomás había hecho el anuncio a través de Twitter: un ladrón había “caído en la trampa” de Prey y estaba siendo rastreado por el software. El dueño del PC que había sido hurtado estaba recibiendo reportes por parte del programa, incluyendo pantallazos del ladrón.

“El computador desapareció un día y me avisaron”, cuenta Tomás, aunque asegura que no conocía al dueño de la máquina perdida. El software sólo envía reportes al dueño del computador y no a los desarrolladores de Prey, aunque en este caso, “el dueño nos pidió que tuviéramos ojo y para eso nos dio la llave identificadora del PC”, con lo que Tomás pudo seguir la persecución al computador robado.

Por cada reporte que llega, llega una foto del individuo sacada con la webcam y un pantallazo del computador, o sea, quién está haciendo qué cosa. En el primer pantallazo sólo se veía el escritorio, pero nos corroboraba el hecho de que este computador era de la persona que nos contactó. Ahí tuitié cuando nos llegó la foto y mucha gente pidió que la pusieramos en Internet, pero es complicado, decidí no publicarla por un tema de privacidad y para que no se chacreara la investigación.

Con esos datos, los desarrolladores de Prey se pusieron a investigar quién era este tipo gracias a Google y la multitud de redes sociales de las que cualquier persona (hasta un ladrón) es parte hoy día. “Para mí validó el hecho que los ladrones no formatean el computador en el primer instante”, dice Tomás. Sin embargo, el asunto se puso un poco peligroso.

En un rato más vuelve a llegar un reporte y aparece otro personaje, que parece que sabía un poco más, que estaba como buscando claves y se mete a sitios de avisos clasificados. Pero después taparon la webcam y llega un pantallazo de que está metido en la página de Prey. Y yo me asusté, porque ahí aparece mi nombre.

Esperamos que la investigación tenga éxito y el dueño del notebook pueda recuperarlo. Si aún no lo tienes, puedes descargar Prey aquí (funciona en Windows, MacOS y Linux).

Link: Prey

Estamos en el festival de los datos perdidos esta semana. Si hace algunos días les contamos de la falla del servicio asociado a los equipos Sidekick de T-Mobile y con las cuentas de invitado en Snow Leopard, ahora es Facebook el que hace noticia por la pérdida de información de sus usuarios.

Según la información que ya fue reconocida por la compañía, se perdieron unos 150.000 perfiles de usuario (un 0,05 % del total) en Facebook producto de un problema técnico con una de sus bases de datos.

La compañía habilitó una página de información sobre el incidente, con el objeto que los afectados conozcan el procedimiento a seguir para recuperar sus cuentas. De hecho Facebook reconoció que sólo algunas fotografías, comentarios y videos podrán ser recuperados.

Esto nuevamente pone en el tapete la seguridad de la información almacenada en la nube, sobre todo a la hora de hacerse cargo de toda la información personal (audio, video, notas, etc.) que a diario suben los usuarios.

Tal vez es hora de que alguien ofrezca algún tipo de solución que nos permita respaldar, en formal local, la información que a diario subimos a este tipo de servicios

Link: Facebook database outage cut off about 150,000 (CNET vía FayerWayer Brasil)

(c) mrdehoot

Parece ser que Snow Leopard seguirá siendo objeto de fuertes críticas por parte de algunos usuarios y especialistas. Si hace algunas semanas eran los expertos en seguridad quienes lo calificaban como más inseguro que Windows 7, ahora son los usuarios quienes han comenzado a reclamar por los problemas que han debido enfrentar luego de actualizar sus equipos.

En los foros de soporte de Apple son innumerables los casos de usuarios que han visto cómo Snow Leopard les borra toda la información de su cuenta personal, luego de iniciar sesión con la cuenta de invitado después de actualizar sus equipos desde Leopard a Snow Leopard.

De momento la compañía no ha entregado información oficial respecto al problema, pero algunos ya han comenzado a entregar sus propias soluciones (que consisten básicamente en acudir a un respaldo).

Los primeros indicios respecto a este problema surgieron días después del lanzamiento de Snow Leopard, pero en la medida que han pasado las semanas se han ido sumando más usuarios afectados. Esperemos que Apple tome cartas en el asunto y entregue una solución en el menor tiempo posible, no vaya a ser que sus fieles usuarios comiencen a mirar para el lado.

Link: Guest Account Bug Resets User Accounts and Deletes Files on Snow Leopard (Gracias Can)

Moxie Marlinspike, catalogado por el sitio The Register como un “hacker bueno” (White Hat), ofrece en su sitio web software para hackers que permite burlar las conexiones seguras SSL. Como retribución por estos programas, Moxie pide una donación voluntaria a través de … Paypal!

Bajo las políticas de uso, PayPal no puede ser usado para enviar o recibir pagos por objetos que muestren información personal de terceros violando la ley”, explicó la compañía en un mail al hacker, que tenía USD$500 en su cuenta.

Marlinspike dictó una conferencia en julio sobre las vulnerabilidades de los pagos en línea en el evento Black Hat de Las Vegas, donde varios expertos cuentan sus hallazgos en materia de seguridad informática.

En resumen, Paypal afirmó que desbloqueará la cuenta de Moxie cuando éste retire los íconos de su sitio web, que piden una cooperación a través del sistema de pagos. “Soy el único que he tratado de advertirlos de este problema”, explicó contrariado el hacker.

Link: Man banished from PayPal for showing how to hack PayPal (The Register vía FayerWayer Brasil)

(cc) Simon Lieschke

Hace pocos días supimos de un masivo ataque de phishing, en el que algunos bandidos recolectaron datos de miles y miles de cuentas de correo de Hotmail, Gmail y Yahoo mail que fueron publicados online.

Tan tremenda base de datos provee una buena fuente para conocer algunas tendencias entre las personas. Eso es lo que pensó Bodgan Calin de Acunetix, quien pudo descargar los datos antes de que fueran eliminados e hizo un completo análisis de las 10.000 cuentas que se conocieron el lunes.

Y sí, la contraseña más repetida (64 veces de un total de 10.028) fue el archi-común, nada creativo, 123456 junto con otras variaciones de estos números.

Los 10 passwords más comunes:

1. 123456 (64 apariciones)
2. 123456789 (18)
3. alejandra (11)
4. 111111 (10)
5. alberto (9)
6. tequiero (9)
7. alejandro (9)
8. 12345678 (9)
9. 1234567 (8)
10. estrella (7)

La cantidad de nombres y palabras en español hace suponer que la mayoría de las víctimas son latinos (y que la gente tiende a usar el nombre de personas que conoce como contraseña).

Otros datos interesantes que se encontraron fueron que casi 2.000 del total de passwords tiene sólo 6 letras, mientras que el más largo de la muestra llegó a 30 letras.

Pese al trabajo de este último en crear un password tan largo (”lafaroleratropezoooooooooooooo”), el que su clave esté publicada muestra que en realidad no le sirvió de nada.

Link: The Most Popular Password Is 123456 (Just Like Spaceballs) (Gizmodo)

Está claro que el negocio de las empresas de seguridad informática es vender licencias y que para ello, a veces, caen en el “alarmismo digital” y pueden llegar a agrandar algunas amenazas. Sin embargo, este gráfico de la empresa Panda muestra que los países latinos son más propensos a estar infectados de malware.

Aunque en los tres primeros lugares aparecen dos países asiáticos y un euroasiático, entre las 15 primeras naciones en computadores contaminados por virus, troyanos y spyware, ocho son latinos, entre los que destacan España, Argentina y Brasil.

En el otro lado de la estadística, aparecen países con altos niveles de inclusión digital, como Finlandia, Suecia y Noruega.  Una de las explicaciones posibles es que los internautas en nuestros países son menos expertos y se exponen a muchos riesgos, ya que los nuevos malware precisan de una “ayuda” de los usuarios para llegar a su objetivo final.

Link: España, cuarto país en el mundo en ordenadores infectados (RTVE vía FayerWayer Brasil)

Lo anterior parece que no cayó nada de bien en Microsoft, quienes han salido a criticar el complemento aduciendo que pone en serio riesgo la seguridad de Internet Explorer. En concreto desde Redmond aconsejan a sus usuarios que no lo utilicen porque

pone en peligro la seguridad del navegador, aumentando la posibilidad de recibir malware y script maliciosos

Lo que queda claro es que definitivamente a Microsoft no le gustó ver a su navegador funcionando con otro motor que lo hace mucho más rápido, dejando en evidencia la urgente necesidad de cambiarlo. No sólo por el hecho de que es demasiado lento, sino porque no se apega a muchos de los estándares que se están utilizando actualmente en la red.

Veremos si Microsoft pasa de las palabras a las acciones, lanzando algún tipo de actualización en su navegador que bloquee el plug-in de Google.

Link: Microsoft: Google Chrome Frame makes IE less secure (Ars Technica)

(c) NeoWin.net

Microsoft plantea lanzar su nueva suite de seguridad llamada Microsoft Security Essentials (MSE) en las próximas semanas.

Recordemos que esta aplicación (cuyo nombre en clave era Morro) busca proteger a los equipos contra virus, spyware, rootkits y troyanos. Siendo absolutamente gratuita para los dueños de una licencia original del Sistema Operativo Windows (a partir de XP en adelante).

MSE viene a reemplazar a Windows Live OneCare y espera formar parte de una completa solución de seguridad junto con Windows Defender.

La versión beta de esta aplicación fue probada por más de 400.000 usuarios, con el objeto de probar sus funcionalidades y detectar posibles errores en ella. Los que deberían ser resueltos antes de su publicación oficial.

Link: Final Microsoft Security Essentials due in ‘a few weeks’ (ZDNet)

Miiaauuuu....

Algunos expertos en seguridad y reconocidos hackers alertan que el último Sistema Operativo presentado por la manzana blanca, Snow Leopard, es menos seguro que el próximo Sistema Operativo de Microsoft, Windows 7.

Estas afirmaciones se basan en el hecho de que Snow Leopard trae desactivado por defecto el cortafuegos (aunque el usuario lo puede volver a activar), que las actualizaciones no sean totalmente automáticas y que Safari incluye un sistema antiphising muy débil.

A lo anterior se debe agregar el hecho de que Apple incluyó en Snow Leopard una versión de Adobe Flash que era vulnerable a ataques, aunque esto último fue solucionado con la primera actualización del Sistema Operativo.

El reconocido hacker Charlie Miller ha criticado que Snow Leopard no incluya ninguna modificación relacionada con la forma como el sistema asigna la memoria disponible en forma aleatoria, una debilidad que ya era conocida en versiones anteriores de Mac OS y que en este último Sistema Operativo sigue igual. Es por esta razón que es mucho más fácil para los hackers realizar un ataque contra Snow Leopard que contra Windows 7.

Claro que no todo han sido críticas, porque Miller reconoce las mejoras de seguridad introducidas en QuickTime X (el que fue re-escrito completamente) y la efectiva implementación del sistema de prevención de ejecución de datos (DEP), un sistema que protege el uso de la memoria y que se encuentra integrado en Windows 7.

Link: Hacker: Apple’s Snow Leopard Protections Weaker Than Windows 7’s (DailyTech)

Para los programadores de troyanos, mantener un mecanismo de control confiable es un aspecto prioritario.  Cuando este mecanismo de control se basa en el uso de medios de comunicación confiables, se hace altamente complejo identificar y luego eliminar esos mecanismos de control.

El mecanismo usado en esta ocasión es bastante simple y efectivo.  El troyano es una DLL para Windows que al activarse, se conecta a Google Groups y accede a un grupo de noticias privado.  En este grupo de noticias se van subiendo instrucciones como si fueran artículos, por lo tanto el troyano las descarga y ejecuta.

De acuerdo a las estadísticas que el troyano registra en el mismo grupo de noticias y producto de la revisión de su código, ha sido posible deducir los motivos del atacante.  Se puede ver que es una implementación de prueba, para comprobar la factibilidad de usar un grupo de noticias como mecanismo de control.  Además el troyano está programado para actuar con gran sigilo, de tal forma que pueda recolectar información de cada computador sin que el usuario detecte nada anormal.

Link: Google Groups Trojan (blog de Symantec)

Hace más de un mes se divulgó una falla de seguridad en Linux que hasta el día de hoy se discute desde varios puntos de vista: La reacción de los desarrolladores, la forma en que se manejan estos problemas, y las decisiones de diseño que pueden ayudar a que éstas ocurran.

El problema en sí es bastante sencillo, y es fácil de entender para todo aquél que alguna vez haya tenido que programar en lenguajes cercanos a la máquina como es el caso del lenguaje C.  Uno de los problemas comunes es el uso de variables no inicializadas, específicamente referencias a la dirección 0, también conocida como null.

Esto ocurre cuando se usa una variable que debería apuntar a un objeto válido en memoria, pero al no ser inicializada apunta a la dirección 0 (null pointer dereference).  Esto podría provocar resultados indeterminados, pero en Linux se usa una característica del hardware para que este tipo de errores se detecte inmediatamente.  Lo que se hace es que en la dirección cero no se mapea ninguna página de memoria, por lo tanto cualquier intento de acceder a esa zona provocará una excepción de hardware indicando que no hay nada en esa ubicación, lo que el usuario ve como un Segmentation Fault.

Los programadores, confiando en este sistema de detección pueden asumir que estos casos serán manejados siempre de esta forma, con un resultado conocido.  Pero qué pasa si alguien efectivamente pone código en esa zona para que un error de este tipo no provoque una excepción de hardware, sino que la ejecución de código malicioso.

El kernel impide que esto se pueda hacer, estableciendo un límite inferior de dirección de memoria mapeable.  Pero cuando se da mayor privilegio al código, estos límites no son considerados, y es ahí en donde se puede abusar del sistema.

Un usuario mostró que este caso es posible, y que las referencias a null podrían ser abusadas si se lograba poner código en la zona prohibida.  La demostración la hizo con PulseAudio, que permite cargar bibliotecas indicadas por el usuario, si el ejecutable de PulseAudio se ejecuta con privilegios de root, como lo hacen algunas distribuciones, y se usa SELinux en donde los límites no son considerados, se puede cargar código que se activará cuando se use un puntero no inicializado.

Aunque parezca contradictorio, en este caso en particular, el sistema de seguridad SELinux originado en la National Security Agency (NSA) dejaba al sistema vulnerable frente a esta falla de seguridad.

Las correcciones no tardaron (tanto) en llegar, aunque este tipo de problemas son igual que los accidentes, se debe dar una compleja combinación de factores para que ocurran, pero eventualmente ocurrirán.

¿Qué es lo que falló?  ¿Las auditoría son insuficientes? ¿Problemas de diseño? Es la naturaleza imperfecta del humano, manifestada en el software.  Se generó una gran discusión respecto a aumentar los niveles de control y revisión, y es aquí en donde nuevamente Linus enseña algo importante en la lista de correo del kernel:

La buena memoria no se trata de recordar todo.  La buena memoria se trata de olvidar lo irrelevante, de tal forma que las cosas importantes permanezcan y se puedan recordar.  Pero el asunto es que: Sí, debes olvidar cosas. Y eso significa que vas a perder los detalles – pero se espera que se pierdan aquellos detalles que no son importantes.  Aquí las palabras claves son “se espera”.  La mayor parte del tiempo funciona, pero todos sabemos que a veces somos capaces de olvidar detalles que resultan ser cruciales después de todo.

Link: Null pointers, one month later (LWN.net)

El portal ChileCompra nació como una forma de transparentar las adquisiciones que realiza el estado chileno, en el que todas las empresas proveedoras pudieran participar en las licitaciones del Estado de forma transparente y sin que existiera algún tipo de corrupción en el proceso.

El sistema funciona de una manera muy simple: el Estado publica una licitación para la adquisición de un determinado producto, las empresas proveedoras envían sus ofertas (sin que puedan conocer las ofertas de los otros) para, finalmente, el Estado adjudicar aquella que le resultaba más conveniente.

Hasta ahí todo bien pero el Ingeniero Informático Gino Rojas Tilleman descubrió un importante error en el portal, bastaba con cambiar la ID de una licitación en curso (por lo tanto confidencial), por una correspondiente a una licitación cerrada. Con esto se lograba acceder a toda la información de las distintas ofertas presentadas en una licitación, por lo que cualquier proveedor que conociera de esta falla podía presentar una oferta mucho mejor a la de sus competidores.

Rojas se puso en contacto con los encargados del portal para denunciar este hecho, advirtiendo que si el problema no era corregido lo haría público.

Como suele suceder en estos casos los encargados del portal no tomaron muy en cuenta la denuncia, por lo que Rojas decidió hacerla pública por medio de un video que colgó en la red.

Fue en ese momento que el ministerio público decidió entrar en acción, claro que no investigando el problema que originó toda esta teleserie sino que enjuiciando a Rojas por el supuesto hecho de que se estaba beneficiando del error y que, además, pretendía chantajear al estado.

En Octubre de 2008 se inició el juicio respectivo y esta semana la jueza Claudia Brugueño anunció su veredicto, en el cual se liberó a Rojas de los cargos relacionados con el chantaje pero encontrándolo culpable de violar Ley de Delitos Informáticos (bajo el argumento que Rojas se apoderó o accedió a información confidencial mediante la explotación de errores de un sistema).

Con esto queda claro que si cualquier persona en Chile encuentra un error en los sistemas informáticos del Estado, debe quedarse callado y aguantarse las ganas de hacerlo público. De lo contrario podría llegar a pasar hasta cinco años tras las rejas, el mismo castigo que podría recibir Rojas una vez que se haga pública su condena.

Links:

• HACKER DE CHILECOMPRAS ES CONDENADO POR DENUNCIAR FALLA CRÍTICA DE SEGURIDAD(Vía CHW)
• Declaración Pública (ChileCompra)

(c) superfem

Un grupo de investigadores japoneses han desarrollado un procedimiento por medio del cual, en sólo 60 segundos, pueden vulnerar el cifrado WPA que se utiliza actualmente en la mayoría de las redes inalámbricas.

Recordemos que hacia fines del año pasado, investigadores ya habían logrado romper este sistema de cifrado, pero tardaban 15 minutos en lograr su objetivo.

Los investigadores Toshihiro Ohigashi (de la Universidad de Hiroshima) y Masakatu Morii (de la Universidad de Kobe), publicaron un paper donde dan a conocer algunos detalles de la forma como logran vulnerar el sistema.

Ambos investigadores realizarán una demostración práctica de esta vulnerabilidad en una conferencia que se realizará el próximo 25 de Septiembre en la ciudad de Hiroshima.

Link: Crack breaks WPA-encrypted Wi-Fi in 1 minute (Vía CHW)

Querámoslo o no, el carbón sigue siendo una de las principales fuentes de energía, y los problemas que esto genera no son únicamente ambientales; sino que también se relacionan con los riesgos derivados de su extracción para sus trabajadores que deben lidiar con deslizamientos de tierra, peligrosos gases, pequeñísimas partículas que al ser respiradas producen daños irreversibles, etc.

No obstante, la empresa coreana KOCOAL se ha unido a otras tres empresas e instituciones en el desarrollo de robots inteligentes capaces de minar y transportar carbón, gracias a sistemas autónomos y servoasistidos con control a distancia gracias a scanners tridimensionales.

Estos robots, incrementarían la productividad hasta en un 30%, podrán adentrarse a mayores profundidades, reemplazando a los humanos en estas peligrosas, y más de alguna vez fatales, faenas. Estos robots estarán listos para el 2013 luego de un periodo de pruebas de unos seis meses.

Link: Korea to introduce coal-mining robots to reduce the risk of human losses from conventional mining (Fareastgizmos)

Link: Juanelo

¿Que hacen Jackie Chan y Yevgeny Kaspersky en televisión? Contarte que internet es un mundo muy muy peligroso y que debes andar en Segway con casco. Lelos.

(¡Gracias InCuerdo!)

(cc) por Francesco Lodolo

GatewayCDI, empresa que provee la infraestructura de Mozilla Store, se ha visto afectada por un problema de seguridad que puso en riesgo los datos confidenciales de sus clientes.

Mozilla Store es una tienda en línea en donde se pueden encontrar artículos relacionados con el proyecto Mozilla como poleras, bolsos, tazas de café, etc.  GatewayCDI es un distribuidor de productos promocionales que en este caso actúa como proveedor de la tienda para Mozilla.

Por el momento, Mozilla Store ha suspendido sus operaciones mientras no se determine exactamente el alcance de este problema.  GatewayCDI indica que no se ha tenido acceso a información acerca de tarjetas de crédito de sus clientes, pero si la de los nombres de usuario y contraseñas registrados.  La compañía se encargará de contactar a todos los clientes afectados.

Mozilla tiene un compromiso con la privacidad de sus usuarios, y la tienda sólo será reabierta una vez que se termine la investigación respecto al ámbito del problema y se asegure que puede operar bajo los estándares esperados.

También se han detenido las operaciones de International Mozilla Store, sólo por precaución, ya que ésta es operada por una empresa diferente.  Por otra parte la Mozilla Community Store se mantiene abierta ya que se maneja con otro sistema totalmente independiente.

Links :
- Mozilla Store Vendor secutiry breach (blog de Mozilla)
- Mozilla Store security breached (InformationWeek)

Usted, no lo diga

Después de borrar varias cuentas de spammers y crackers, Twitter continúa con su batalla para hacer de la red social un lugar más agradable. Ahora, el incomprendido (por muchos usuarios) servicio presentó una práctica funcionalidad, que evita que los usuarios publiquen links que llevan a sus seguidores a sitios con malware.

F-Secure destacó en su blog esta gracia, que aún no ha sido presentada oficialmente por Biz Stone. “Le recomendamos a Twitter que comience a filtrar su tráfico para evitar los gusanos, spams y suplantación de identidad”, escribió Mikko Hypponen, investigador de la compañía.

¿Qué tan bueno es el nuevo filtro? Muy deficiente todavía, ya que no reconoce las URL maliciosas acortadas con Tinyurl o Bit.ly. Habrá que esperar algún anuncio oficial para ver si esta función va a ser perfeccionada y cómo es que detecta los sitios dañinos. Igual, es mejor que no tener nada.

Link: Twitter Starts Filtering Malicious URLs (ReadWriteWeb vía FayerWayer Brasil)

Justo cuando los más reconocidos expertos en seguridad se preparaban para realizar sus presentaciones en la conferencia de seguridad Black Hat, salen a la luz 29.000 líneas de códigos detallando los ataques realizados por hackers para tomar el control de servidores y sitios web de dichos expertos, entre los que se encontrarían Dan Kaminsky y Kevin Mitnick.

En el archivo también venía un documento donde se detalla que se había logrado obtener importantes datos de Kaminsky de los últimos cuatro años, revelando partes de sus conversaciones en correos electrónicos, mensajes instantáneos, entre otras comunicaciones. Por si fuera poco revelaron sus contraseñas y configuraciones utilizadas en su página, la que aún permanece fuera de línea.

La información filtrada también detallaba los ataques realizados a la web de Kevin Mitnick, quien confirmó el ataque señalando que los atacantes obtuvieron acceso root a los servidores donde se hospeda.

También se filtraron datos de una investigación aún sin publicar realizada por Kaminsky, sobre diversas vulnerabilidades críticas existentes. Entre esta información se encuentra un script escrito en Perl que explota una vulnerabilidad relacionada con el DNS.

Esta no es la primera vez que gente relacionada con la seguridad en internet sufre este tipo de ataques, cuyo objetivo pareciera ser el poner en evidencia a los afectados más que buscar alertar sobre la vulnerabilidad de los sistemas.

Link: Real Black Hats Hack Security Experts on Eve of Conference (Wired)

El lamentable accidente sufrido por el piloto de Fórmula 1 Felipe Massa, durante las pruebas de clasificación para el gran premio de Hungría; reflotó el tema de la seguridad y los peligros que corren los pilotos que participan de este tipo de carreras.

El accidente lo produjo una pieza proveniente de la suspensión trasera del coche conducido por su compatriota (Rubens Barrichello), la que se mantuvo en la pista rebotando y que dio de lleno en el casco de Massa (justo en los bordes de la visera).

La pieza -un amortiguador transversal- tiene un tamaño de unos cinco centímetros y un peso aproximado de un kilógramo. Al momento del impacto Massa transitaba por la pista a una velocidad de 230 Kilómetros por hora.

¿Cómo pudo sobrevivir el piloto ante tamaño impacto?

Tal vez para muchos la suerte jugó un papel importante en este caso, pero lo que verdaderamente le salvó la vida al piloto fue su casco integral fabricado por la compañía alemana Schuberth.

La compañía Schuberth se dedica a la fabricación de distintos tipos de cascos de seguridad, incluyendo algunos de uso militar.

En el caso del casco utilizado por Massa (que también utilizan otros pilotos de la F1), se trata del modelo RF 1.7 fabricado con fibra de carbono y con un peso de 1,4 kilos. En su construcción se utilizan tres componentes principales:

• Fibra de carbono: Un total de 17 capas de este material son utilizados en la fabricación del casco, con el objeto de dotarlo de la mayor resistencia posible.
• Aramida: Fibra sintética compuesta de Kevlar (chalecos antibalas) y Twaron. Posee una buena resistencia a los choques, la abrasión, disolventes orgánicos y el calor (fuego).
• Polietileno: Polímero con memoria que sirve como aislante y que hace al casco una estructura casi impenetrable.

Existen otros elementos que forman parte del casco, como algunas espumas aislantes y otros componentes que ayudan a absorber la fuerza de los impactos, con el objeto de reducir las lesiones que se producen por el choque del cerebro con el cráneo, luego de una brusca desaceleración.

Para que un casco pueda ser utilizado por los pilotos de la Fórmula 1, debe pasar una serie de test de seguridad especialmente diseñados para este tipo de competición por la Federación Internacional de Automovilismo (FIA). Estos test fueron reforzados luego de la trágica muerte del piloto Ayrton Senna.

En el caso del casco de Massa la compañía fabricante lo somete a pruebas de fuerza que duplican la que recibiría en carrera. Para ello se comenta que incluso es sometido a pruebas que incluyen el uso de armamento de guerra.

Si te interesa adquirir uno de estos cascos, lamentamos decirte que su precio alcanza los USD$30.000.

Links:

• Schuberth Formula 1 (Schuberth)
• Helmets (Formula 1)
• F1 Safety – Helmets and Clothing (Sidepodcast)
  

Veiled usando Chrome y Firefox para comunicación privada

Los investigadores de HP, Billy Hoffman y Matt Wood desarrollaron un una darknet basada en navegador llamada “Veiled” que planean demostrar en Las Vegas durante la conferencia de seguridad Black Hat USA 2009 (25-30 de julio).

Una darknet es una red privada utilizada principalmente para comunicaciones dentro de un grupo cerrado, con la ventaja del anonimato y el uso compartido de archivos, ya que son redes encriptadas peer-to-peer. Normalmente se utiliza software para establecer una darknet (GNUnet, Freenet, etc) pero en este caso gracias a la última generación de motores Javascript (Mozilla TraceMonkey, V8 de Chrome), los navegadores con soporte de HTML5 permite a las darknets que pueda establecerse mediante un navegador en un PC o teléfonos móviles y sobre todo el cifrado en el navegador.

Las empresas podrían utilizar darknets basada en navegador para crear grupos de trabajo para el intercambio de información comercialmente sensible (como los detalles técnicos de los 9 prototipos del iPhone) o de tener un medio para hacer sugerencias a una dirección anónima. La darknet Veiled usa un sistema criptográfico con clave pública RSA.

Link: HP researchers develop browser-based darknet (Cnet)

Los libros eliminados son Animal Farm y 1984 de George Orwell, debido a que Amazon no contaba con los derechos para publicar esos títulos. Sin embargo, esto no es una razón habilitante para sobrepasar los derechos de los consumidores, sobre su propiedad y privacidad. Esperemos que las informaciones se desmientan o, al menos, que Amazon rinda cuentas e indemnice; lo que de por sí es muy difícil.

Link: Amazon deletes Kindle books, vows never again (Electronista)

Update: Amazon ha confirmado el hecho y se ha comprometido a su no repetición. sin embargo no hay palabra alguna relativa a reparaciones para los usuarios que habían pagado por el libro, ni tampoco se ha anunciado que se eliminarán los sistemas de acceso remoto.

Con una velocidad asombrosa, la comunidad de la fundación Mozilla solucionó el problema y publicó en su sitio web la edición 3.5.1. Este nuevo modelo promete ser más estable y soluciona un problema para Windows, donde el browser se demoraba más de la cuenta en cargar. Un detalle negativo es que la versión actual de Google Gears ya no será compatible con el navegador.

Para los usuarios de Firefox basta con ir a “Ayuda” para buscar la actualización necesaria. Para el resto, pueden obtener el 3.5.1 directamente en www.getfirefox.com. La versión en español chileno también fue actualizada y ya se encuentra disponible.

Link: Mozilla closes security hole with Firefox 3.5.1 (Cnet News vía FayerWayer Brasil)

Nuevamente la espuma aislante del tanque de combustible de los transbordadores vuelve a causar preocupación en la NASA.

Durante el lanzamiento del transbordador Endeavour realizado el Miércoles, una serie de fragmentos correspondientes a la espuma aislante del tanque se desprendieron, causando preocupación entre los ingenieros de la NASA.

Los ingenieros vieron cómo algunos de estos fragmentos golpeaban el escudo protector del transbordador, por lo que de inmediato comenzaron a analizar las imágenes grabadas del lanzamiento.

Una vez que el transbordador entró en órbita y como viene siendo de costumbre, se realizó un chequeo completo del escudo protector, en especial de las áreas que se vieron afectadas por los golpes de la espuma protectora.

Si bien la conclusión de los ingenieros es que el escudo no presenta daños que puedan generar algún tipo de peligro durante el reingreso, el encargado del programa del transbordador (John Shannon) señaló que se debe entender lo que esta sucediendo con la espuma aislante, sobre todo ahora que los desprendimientos se originaron en lugares donde nunca antes había sucedido.

Por lo anterior adelantó que no se realizarían nuevos lanzamientos hasta tener claridad respecto al origen del problema, ya sea por un problema del material con que esta construida la espuma aislante o por un problema en los procedimientos durante el ensamblaje del mismo.

La NASA tiene programados el lanzamiento de otras siete misiones de transbordadores, con el objeto de completar la construcción de la Estación Espacial Internacional; por lo que no se sabe la forma como una suspensión prolongada de los lanzamientos podría afectar al programa.

Link: NASA probes new space shuttle fuel tank problem (Reuters)