SHOWING POSTS WITH THE LABEL "ElevenPaths Blog" Show All

sábado, 7 de abril de 2018

Carlos Gutierrez

Eventos en abril para estar al día en Seguridad Informática

abril 07, 2018

¿Preparados para este mes? Abril viene cargado de actividades y eventos de hacking de lo más interesantes, dejad de lado las ferias y el buen tiempo (que debería de llegar ya) y apuntaros estas citas que no os podéis perder.

Empezamos con nuestras dos series de webinars: los ElevenPaths Talks y los Code Talks for Devs.

ElevenPaths Talks - Nueva temporada

Para empezar, acabamos de dar de alta en la web la cuarta temporada de los ElevenPaths Talks, webinars dirigidos para todos aquellos amantes de la ciberseguridad. En esta nueva temporada, traemos un formato novedoso que rompe con las anteriores ediciones. Además de contar con nuestros CSAs, también participarán expertos importantes del sector. Recuerda que los talks de esta nueva serie los vamos a publicar una vez al mes, en primicia, en la web de ElevenPaths a las 17:30h (CET).

ElevenPaths Talks- Un poco de DDoS y herramientas para detener los ataques

El próximo jueves, 12 de abril, os traemos el primer webinar de la nueva temporada en el que nuestros CSAs y varios expertos del sector hablarán sobre diferentes técnicas de ataque y las estrategias de defensa que se utilizan. Sabemos que los ataques de denegación de servicio continúan siendo una constante preocupación tanto para cualquier entidad pública, como organización empresarial cuyos procesos de negocio se sustenten en la red y por ello hemos decidido crear este webinar para profundizar en estos temas. ¡Estate atento el jueves a las 17:30h (CET) a la web de ElevenPaths!

Code Talks for Devs - Las 'Hidden Networks' que se crean gracias a los USB

Desde nuestro equipo de developers, presentamos el segundo webinar de la temporada en el que Fran Ramírez, investigador de ElevenPaths, hablará sobre las redes o interconexiones entre equipos aislados llamadas 'Hidden Networs'. Estas se crean mediante dispositivos USB que se van insertando entre diferentes máquinas dentro de una red corporativa. El miércoles, 18 de abril, no te pierdas esta cita en nuestra comunidad. El webinar estará disponible a partir de las 15:30h y si tienes preguntas, no dudes en dejarlas en la comunidad para que nuestros expertos y otros usuarios puedan responderte. Let's hack!

Dejamos de lado los webinars para presentaros todos los eventos en los que participan nuestros expertos y CSAs:

FIDAE 2018

El pasado miércoles, 4 de abril, nuestro CSA Gabriel Bergel participó en esta feria Internacional del Aire y del Espacio, la exhibición Aeroespacial, de Defensa y Seguridad más importante de América Latina, con su ponencia "¿Ciberguerra?, ¿Ciberdefensa?, WannaCry!". Este evento tiene una larga y exitosa trayectoria, convirtiéndose en la principal plataforma de negocios de la región. Accede a la página web para conocer más sobre el evento.

Jornadas de Ciberdefensa de la EMACOT

El 5 de abril, dos de nuestros expertos, Pablo González y Sergio de los Santos, participaron en este evento organizado en el Museo del Aire, en Madrid. Hablaron sobre los ataques de Ingeniería Social y amenazas en Internet, profundizando en los ataques sobre los equipos Windows y dispositivos móviles. Unas jornadas de lo más interesantes que esperamos que se vuelvan a repetir.

HITBSECCONF2018: HackInTheBox Security Conference

El CSA manager, Claudio Caracciolo, participará en este evento que se organiza en Amsterdam, junto a nuestra hacker Sheila Berta, hablando sobre "Backdooring y el control remoto con The Bicho", el 13 de abril. Esta misma ponencia fue la que dieron en las conferencias anuales más importantes en seguridad; DefCON y BlackHat. Para el que no pueda asistir a la capital de Holanda, puede ver el evento retransimido en directo por YouTube,

ITLA: Instituto Tecnológico de las Américas

Nuestro experto, Pablo González, participará mediante videoconferencia en unas jornadas organizadas por ITLA para resolver dudas sobre pentesting a todos los espectadores el próximo 17 de abril. Si tú también quieres disfrutar de su charla, accede a la web y disfruta en streaming el día de la sesión. Iremos dando más información de la ponencia a medida que nos vayamos acercando a la fecha vía Twitter. ¡Síguenos y estate al día en ciberseguridad!

Technology Festival URJC 2018

Este evento sobre tecnología y ciberseguridad se llevará a cabo el próximo 20 de abril en la Universidad Rey Juan Carlos de Madrid. Una vez más, nuestro experto Pablo González asistirá para hablar sobre el mundo de la ciberseguridad y de cómo poder acceder a ella. A todos los estudiantes de Ingeniería Informática o aquellos amantes de la seguridad, ¡este es vuestro evento! Además, los asistentes podrán pedir créditos para que los puedan convalidar en la universidad. ¿A qué esperas para registrarte futuro hacker?

Foro de Industrias Inteligentes 2018

Dejamos España de lado para viajar a El Salvador. Uno de nuestros CSAs, Fabián Chiera, asistirá el 25 de abril al Hotel Vista Real para participar en este foro y dar una ponencia sobre "Blockchain y Smart Contracts". Este foro tiene como objetivo generar un espacio de diálogo e información que incentive a las empresas guatemaltecas a participar y aprovechar el crecimiento del comercio electrónico a nivel mundial. Si quieres saber más sobre el tema, no te pierdas esta cita.

#CONPilar18

Presentamos estas jornadas de ciberseguridad informática en las que el experto Pablo González participará, el próximo 28 de abril, en Zaragoza. Uno de los objetivos principales de esta jornada es la difusión de conocimiento y concienciación en ciberseguridad, de la mano de expertos, hackers, abogados y miembros de los cuerpos y fuerzas de seguridad del estado, extendiendo la cultura de la prevención y el control de los riesgos a los que nos enfrentamos en nuestra vida digital. Accede a la página web del evento y regístrate, las entradas son limitadas.

Y esto es todo por este mes, seguiremos informando sobre más eventos en nuestro perfil de Twitter y en nuestra comunidad. Nos vemos el mes que viene hacker, ¡buen fin de semana a todos!

Leer mas

jueves, 5 de abril de 2018

Carlos Gutierrez

Acelerando la ciberseguridad europea entre el Reino Unido y Telefónica (Wayra) - Parte 1 de 2

abril 05, 2018

El GCHQ (Government Communications Headquarters) es relativamente poco conocido fuera del Reino Unido. Esta organización gubernamental casi centenaria (cumplirá 100 años el próximo año), se fundó como la escuela de códigos y cifrado del gobierno (Government Code & Cypher School) en 1919 y no fue hasta 1946 que cambió su nombre al actual.

La labor del GCHQ es mantener la seguridad de Gran Bretaña a través del aseguramiento de la información (information assurance) y de la inteligencia de señales (SIGINT).

El GCHQ se fundó tras la primera guerra mundial y tuvo un papel importante durante la segunda guerra mundial desde su famoso centro de Bletchley Park, desde donde se trabajaba en la ruptura de los códigos Enigma alemanes y también durante la guerra fría.

Bletchley Park ©GCHQ

El centro cuenta en la actualidad con dos componentes principales, la Organización de Señales Compuestas (CSO), que es responsable de la recopilación de información, y el Centro Nacional de Ciberseguridad (NCSC), que es responsable de asegurar las comunicaciones propias del Reino Unido.

El edificio principal del GCHQ es una original construcción que se conoce como ‘El Donut’ y está ubicado a las afueras de la ciudad de Cheltenham (Reino Unido) desde donde realizan gran parte de su actividad colaborando con sus socios, el Servicio Secreto de Inteligencia (MI6) y el MI5.

El Donut, cuartel general del GCHQ

El Centro Nacional de Ciberseguridad (NCSC) se creó para ayudar a que el Reino Unido fuera el lugar más seguro para vivir y hacer negocios online protegiendo los servicios críticos ante ciberataques, gestionando incidentes importantes y mejorando la seguridad subyacente de Internet en el Reino Unido a través de mejoras tecnológicas y asesoramiento a ciudadanos y organizaciones.

El GCHQ Cyber Accelerator es una colaboración entre el Departamento Gubernamental del Reino Unido para Digital, Cultura, Medios y Deportes (DCMS), el Centro Nacional de Seguridad Cibernética (NCSC) y Wayra UK, parte de Telefónica Open Future, como parte del programa nacional de ciberseguridad del gobierno valorado en £1.9bn, que impulsa la innovación en el sector de la ciberseguridad y ayuda a mantener a las empresas y consumidores británicos a salvo de ataques y amenazas online.

El programa, que ya está en su segunda convocatoria, ha recibido en su última convocatoria más de 100 solicitudes de start ups especializadas en ciberseguridad entre las cuales se han seleccionado 9 (RazorSecure, Warden, Intruder, TrustElevate, Secure Code Warrior, Cybershield, Ioetec, Elliptic y ExactTrack) que están siendo aceleradas durante 9 meses para permitirles ampliar sus capacidades, mejorar sus ideas y diseñar productos de vanguardia.

Un grupo de mentores de GCHQ y el grupo Telefónica, incluidos de O2 y ElevenPaths, brindan su apoyo a estas nuevas empresas que también reciben una subvención financiera y acceso a un espacio de trabajo en la ciudad de Cheltenham.

En la próxima entrega explicaremos en detalle las start ups seleccionadas y su tecnología para entender como aplican la innovación para superar las amenazas actuales y emergentes.

Rames Sarwat

Director de Alianzas Estrategicas y Partnerships ElevenPaths

rames.sarwatshaker@telefonica.com

@ramessarwat

Leer mas

lunes, 2 de abril de 2018

Carlos Gutierrez

Encuentra su nombre y gana 111 euros #retoElevenPaths

abril 02, 2018

Para aquellos que no lo sepáis, este año cumplimos cinco años en Telefónica y, para celebrarlo, el área de Innovación y Laboratorio de ElevenPaths te propone encontrar la solución al siguiente misterio.

Tenemos nueva compañera en la oficina. Nos da la sensación de que haremos un buen equipo con ella. Habla al menos cuatro idiomas y afirma que ha vivido en seis países diferentes… Pero el resto de compañeros y yo tenemos un problema: nunca nos acordamos de su nombre. Parece que se ha enterado y, poco a poco, vamos descubriendo también su genio. Ha escondido su nombre y un mensaje en un lugar verificable donde quedará para siempre a la vista de todos, y nos ha retado a encontrarlo. Solo nos ha dado una pista:

12307db0fc8524816531a1b6537368c30c967c426ac6a3838724e12275375d1e

Estamos un poco desesperados, así que aquella persona que consiga decirnos la frase exacta escondida, y explique cómo ha llegado hasta ahí, debe ponerse en contacto con nosotros lo antes posible en innovationlab@11paths.com. La recompensa para el primero que lo resuelva será de 111 euros en premios. ¿Nos ayudas?

Innovación y laboratorio
innovationlab@11paths.com

ElevenPaths

Leer mas

jueves, 29 de marzo de 2018

Carlos Gutierrez

Biohackers, biohackers everywhere

marzo 29, 2018

Así tal cual, últimamente ya no soy sólo yo. En muchos países, medios, conferencias, sitios web, etc. están hablando de biohacking. De hecho, nosotros también lo hemos hecho en un #11PathsTalks que, si aún no lo has visto, te recomiendo hacerlo. Pero, ¿qué es el biohacking?

Compuesto por las palabras “biología” y “hacking”, es una "práctica cuyo propósito es el acercamiento de la ciencia a la ciudadanía; trasladando los laboratorios de investigación a los garajes u hogares del público general(1)".

Hay muchos conceptos asociados, pero el más importante es “DiYBio (Do it yourself Biology)”. Se trata de una nueva practica “científica” en la que los que formamos parte de ella convertimos nuestros organismos o el de otros seres vivos en auténticos laboratorios. El objetivo no es otro que ampliar las capacidades del ser humano, tanto físicas como mentales, y poner la ciencia al alcance de todos. Hay una definición de Ellen Jorgensen (Bióloga Molecular) que se convirtió a Biohacker que dice así:

“Es un movimiento que defiende hacer la biotecnología accesible para todos, no únicamente para científicos y gente en los laboratorios del gobierno. La idea es que si se comparte la ciencia y se les permite participar a diversos grupos, esto podría estimular la innovación. Poner la tecnología en las manos de los usuarios finales es en general una buena idea, porque ellos tienen la mejor idea de lo que son sus necesidades. Y aquí tenemos esta tecnología muy sofisticada encaminándose, todas estas preguntas asociadas sociales, morales y éticas, y nosotros los científicos no servimos para tratar de explicar al público qué es exactamente lo que estamos haciendo en esos laboratorios. Entonces, ¿no sería maravilloso si hubiera un sitio en tu barrio dónde pudieras ir a aprender sobre estas cosas, mediante la experiencia?”

Conceptos asociados al biohacking

Partiendo de la base de que el organismo es una máquina, por supuesto, puede mejorarse o “hackearse”, desde la secuenciación de genomas a la implantación de dispositivos electrónicos sub-dérmicos, o incluso poniendo a prueba el organismo con ensayos físicos directos como la exposición o inyección de elementos químicos (por ejemplo cloro E6).

Para mí y siempre que me lo preguntan lo explico así, el biohacking es “ciencia” porque, la verdad, no es una práctica científica, ya que se basa en la metodología DiYBio. En simples palabras, es hacerlo en la casa con amigos, “ciencia” que tiene por objetivo mejorar las capacidades del cuerpo humano usando la tecnología.

Un poco de historia

Los primeros experimentos y Cyborgs (que la RAE define como un “ser formado por materia viva y dispositivos electrónicos”) se remontan a los años 60.

En animales, el pionero fue el Dr. Joseph A. Gengerelli (1957), con su Ratón Cyborg. Una antena de radio conectada al cerebro permitía al roedor seguir instrucciones que le provocaban pequeñas convulsiones debido a las señales.

Ratón Cyborg del Dr. Gengerelli (1957)

Unos años mas tarde, se realizaba la primera investigación sobre aplicaciones de biohacking en rehabilitación de personas, y se realizó en el Case Institute of Technology, a principios de la década de 1960. Un exoesqueleto motorizado, fijado al piso, se controlaba a través de una fuente de luz montada en la cabeza, que activaba sensores de luz en el ambiente. Este dispositivo podía realizar tareas preprogramadas o ser movido directamente por el individuo. Este trabajo condujo al brazo Rancho 'Golden', desarrollado en el Rancho Los Amigos Hospital, en 1969. Una órtesis (según definición de la Organización Internacional de Normalización (ISO), es un apoyo u otro dispositivo externo (aparato) aplicado al cuerpo para modificar los aspectos funcionales o estructurales del sistema neuromusculoesquelético). Estaba accionada por seis grados de libertad que usaba siete conmutadores de lengua, en un modo secuencial, para maniobrar con éxito un brazo mecánico en el espacio. Este primer prototipo dio vida al The Rancho Electric Arm (REA), en 1972, que era un brazo mecánico con más prestaciones y que termino en un proyecto en la NASA.

The Rancho Electric Arm (REA)

Esos fueron los principios, sin embargo, el auge de este movimiento fue durante la segunda mitad del año 2000 gracias a varios factores. Uno de ellos es el desarrollo de una red de hackerspaces, donde a partir de 2005 se empezaron a realizar experimentos demostrativos de técnicas biotecnológicas en Estados Unidos. No fue hasta el periodo entre 2008 y 2010 en que la biología DIY comenzó a desvincularse de la biotecnología corporativista y de competiciones académicas como iGEM, hasta llegar a diversificarse e internacionalizarse.

Los laboratorios de biología DIY están presentes en al menos 21 países en el mundo, sin contar con los individuos u otro tipo de organismos que la practican. Los principales laboratorios están concentrados en América del Norte y Europa, aunque también existen en Asia. También destaca el abaratamiento en los últimos años del material de laboratorio para realizar experiencias de biología, así como la posibilidad de creación de alternativas de bajo costo o de recuperar material usado de laboratorios profesionales y académicos. En este sentido, la biología DIY utiliza las posibilidades del movimiento de código abierto, a través de internet, para la transmisión de información sobre métodos y materiales de laboratorio.

Las analogías entre la informática y los sistemas vivos son muy frecuentes en este movimiento, aunque éstas podrían revelarse como limitadas al cabo del tiempo ya que la complejidad de la vida es muy superior a la de la informática. (fuente: Wikipedia)

En la actualidad

Aluciné con esta “ciencia” cuando vi el 2013 un TeDx llamado “biohacking -You can do it, too” de Ellen Jorgensen. Me permitió conocer lo importante que era y el gran potencial que tenia para la humanidad. Fue entonces cuando me puse a estudiarlo durante 3 años hasta hoy.

Actualmente, vemos la palabra biohacking en muchos sitios web, noticias, conferencias, etc. Y casi todos somos biohackers. Yo, personalmente, tengo 2 implantes de chip en mis manos: en la mano izquierda un chip RFID que me implantó Amal Graafstra en la Villa de biohacking de Def Con24 y con el que puedo abrir la barrera de acceso a mi condominio. Además, me permitió realizar mi primer proyecto de biohacking llamado “Abrir la barrera de acceso como Magneto, aumentando la seguridad”. Por otro lado, en la mano derecha tengo un chip NFC que me implantó Janine Medina en 8.8 Resistencia, y un par de proyectos pendientes.

Probando el implante de chip RFID en mi mano izquierda

Hoy, ya existen cumbres o congresos como el Biohacker Summit que se organiza en Estocolmo este año. o la primera conferencia de Body Hack que se lleva a cabo en Austin, Texas (EEUU) llamada BDYHAX. El año pasado, en Def Con25, en vez de ir a los tracks de las conferencias principales, tomé la decisión de ir a la Villa de Biohacking, y como dicen mis amigos españoles, ¡flipé! Este año lo volveré hacer, las charlas fueron increíbles, pero la que más me gusto, fue la keynote llamada “The Moral Imperative of Biohacking” de Tim Cannon, donde nos planteó que el biohacking puede tener consecuencias mucho más serias que las tecnologías tradicionales y que es fundamental que como comunidad analicemos e intentemos abordar las implicaciones éticas del biohacking. En Chile, el destino me hizo conocer a Rodrigo Quevedo y su proyecto Overmind que permite a una persona discapacitada controlar una silla de ruedas a través de ondas cerebrales.

Otro experimento y cortometraje que los invito a ver es el de Josiah Zayner, un ex científico de investigación en biología sintética de la NASA, que ingresó en una habitación de hotel y en el transcurso de cuatro días, realizó un experimento extremadamente arriesgado en sí mismo. El objetivo fue reemplazar por completo todas las bacterias que estabans dentro de su cuerpo.

El último caso y quizás el más polémico que ocurrió, fue justamente en BDYHAX2018, en febrero de este año, donde Aaron Traywick, biohacker y CEO de la compañía Ascendance Biomedical, se subió al escenario, se bajó los pantalones, y se inyectó en el muslo una vacuna con un tratamiento de herpes experimental frente a una audiencia en directo. El experimento fue transmitido en Facebook Live el 4 de febrero.

Como ven, ya no somos pocos, los invito a investigar mas sobre biohacking y DiYBio, que, en mi opinión, innegablemente irá en aumento y será parte de nuestro futuro, ¿te quieres quedar fuera?

Mientras tanto, los invito a conocer más sobre los #11PathsTalks y cualquier tema relacionado con la seguridad de la información en nuestra comunidad.

Gabriel Bergel

CSA - Chief Security Ambassador

@gbergel

gabriel.bergel@global.11paths.com

(1) Contenido de www.muyinteresante.es

Leer mas

miércoles, 28 de marzo de 2018

Carlos Gutierrez

¿Cómo nos preparamos para la RSA Conference 2018?

marzo 28, 2018

2018 es un año singular para nosotros. Volvemos a emprender la unión con la gran comunidad de la seguridad para combatir conjuntamente las amenazas venideras que acechan el sector. En ElevenPaths, hemos estado trabajando un nuevo enfoque de Telefónica y lo presentaremos oficialmente al mundo entero en el gran evento anual sobre seguridad, la RSA Conference.

Este evento se celebrará la semana del 16 al 20 de abril, en California (USA) y queremos contártelo desde allí, desde San Francisco, por eso te facilitamos toda la información que necesitas para que no te pierdas las novedades que presentaremos y los detalles de nuestra participación.

Desde el lunes 16 te esperamos en la zona de expositores del Moscone Center. Podrás visitarnos de forma gratuita en nuestro booth situado en South Hall #2207. Para ello, tienes que registrarte en la página oficial de la RSA Conference usando este código de acceso: X8ETELEF (fecha límite para canjear el código: 19 de abril 2018).

Después de tres años de asistencia, sabemos que la RSA Conference es el lugar ideal para progresar y compartir nuevas perspectivas y conocimientos, obteniendo inspiración para superar los nuevos desafíos cibernéticos que afectan a nuestros clientes en ecosistemas del mundo empresarial. Por eso, como parte de la comunidad global inteligente, hemos programado reuniones, conferencias y conversaciones con los principales líderes y pioneros de la seguridad, con el fin de exponerles nuestra visión de seguridad integral como MSSP inteligente (Intelligent Managed Security Service Provider).

En los últimos años de participación en el evento, cientos de visitantes han acudido a nuestro stand y han disfrutado de sesiones de demostración de muchos de nuestras soluciones. En esta ocasión, presentaremos un enfoque que hace frente a los desafíos de seguridad actuales con un espíritu resiliente y un enfoque holístico. Estamos yendo mucho más allá de la seguridad tradicional y queremos que lo compruebes, por eso hemos preparado una serie completa de demostraciones sobre todas las áreas temáticas de nuestro portfolio que presentaremos en el stand. Estas demostraciones responden a 6 mensajes principales de la propuesta que lanzamos:

Más allá de la gestión de riesgos
Más allá de la disolución
Más allá de la protección
Más allá de la gestión de log
Más allá de la tecnología
Más allá de la complejidad

Además, este año, tú también puedes vivir la RSA, desde casa, porque hemos preparado una sección en nuestra web de ElevenPaths donde encontrarás toda la información sobre toda nuestra participación, incluyendo un listado de expertos y ejecutivos que asistirán y, por supuesto, todo el paquete completo de soluciones que vamos a presentar. Accede aquí para visitarla. Una vez se acerque la fecha del evento, notificaremos la actualización de nuestra web para que puedas visualizar las demostraciones de productos y soluciones presentadas. Esperamos tus dudas o comentarios en rsaconference@telefonica.com.

¿Quieres saber más sobre nuestro nuevo enfoque? Estate atento a los perfiles sociales Twitter y Facebook en los que daremos cobertura de toda nuestra actividad durante los días del evento.

Quizás, te puede interesar cómo fue la edición del año pasado:

Leer mas

martes, 27 de marzo de 2018

Carlos Gutierrez

Los autores de Wannacry también quieren sus Bitcoin Cash

marzo 27, 2018

Leer mas

lunes, 26 de marzo de 2018

Carlos Gutierrez

¿Cómo trata (o tratará) Certificate Transparency la privacidad de los dominios?... Mal

marzo 26, 2018

Primero fue octubre de 2017 y después abril de 2018, aunque ahora parece que va en serio. En breves, Certificate Transparency será obligatorio en Chrome. ¿Están preparados los actores? Respuesta corta: no. Y algo muy importante no resuelto es qué ocurre con la privacidad de los dominios. Tema espinoso que intentamos aclarar.

Antes de empezar, recordad qué es eso de Certificate Transparency. Ya era improbable que estuvieran listos todos los "actores" para octubre. Lo confirmó la propia Google con la "patada hacia adelante" anunciada hasta abril de 2018. En la Rooted de Valencia de 2017, presentamos una investigación que analizaban todos estos aspectos que parecían justificar el "retraso". Y no solo eso, en esa investigación, conseguimos pasar desapercibidos para ciertos monitores de Certificate Transparency y "colarnos" en dos logs de confianza. Pero eso no era ni siquiera lo más relevante. Cabeceras como "Expect-CT" diseñadas para prepararse para octubre de 2018 y "entrenar" los certificados y escenarios, no fueron realmente puestas en producción hasta septiembre de ese mismo año… No es mucho margen cuando se supone que servían de entrenamiento para un evento que se lanzaría en octubre, ¿verdad? Igualmente, el código relativo a Certificate Transparency en Chrome parecía estar en desarrollo, con líneas que parecían más a una zona de DEBUG y funciones que siempre devuelven que todo está bien en las cabezas de los logs...

Implementación Certificate Transparency imagen

Implementación actual en Chrome sobre algunos aspectos de Certificate Transparency
que no ofrece demasiada confianza sobre su madurez

También quizás resulte curioso saber que existe una versión 2 de la API Certificate Transparency desde hace muchísimo tiempo… que nadie usa todavía, y CT saldrá a producción apoyado principalmente en la primera versión que ya se detectó como obviamente mejorable. Lo curioso es que, hoy por hoy, a pocos días de pasar a producción... siguen así. Quizás no sean vitales, y no impedirán que el funcionamiento sea correcto, pero desde luego no ofrecen justo lo que pretenden: una sólida confianza.

¿Y qué pasa con la privacidad?

En el informe que recientemente hemos redactado, se demuestra que se puede mejorar hasta un 10% la fase de reconocimiento de un pentesting gracias a Certificate Transparency. Quizás este no sea el único problema, sino que también se desvelen dominios que no se desean. Nadie espera que sus subdominios privados se almacenen en los logs. Esto no tiene una fácil solución, ni siquiera una fácil explicación de todas las variantes posibles, por ello iremos paso a paso.

Certificate Transparency (CT) se basa en probar que el certificado esté incluido (en principio, parece que tres serían suficientes, aunque luego descendieron a dos) en logs de confianza. El navegador deberá hacer su trabajo a partir de abril y no dejar pasar a los certificados que no se encuentren en los logs. Con los certificados con subdominios privados que provengan de CAs privadas incrustadas a mano en el sistema operativo, no habrá excesivo problema. CT no aplica sobre ellas (para estar en los logs, la cadena debe validar sobre las CA de confianza típicas que puede contener y elegir el log). Pero para los dominios "secretos" que vengan de CAs públicas, existe un doble aspecto de privacidad a tener en cuenta.

Para el usuario, porque el navegador, para "chivarse" de algún problema en CT, podría enviar el SCT (la prueba de inclusión, falsa o no) del certificado al propio "fabricante" del navegador para que compruebe si algo falla en sus logs. O sea, se podría enviar a terceros la información de por dónde navega el usuario. Esto ya ocurría con HPKP y su "report-uri" pero tampoco es que le dieran demasiada importancia.

Para el dueño de los certificados, que acaba publicitando o necesitando incluir en un log dominios con, potencialmente, subdominios que no quiere que sean conocidos.

Para paliar estos problemas, se han propuesto soluciones de protocolos sobre las especificaciones actuales de CT, que ni siquiera han sido implementadas por ahora.

¿Entonces, cómo oculto los subdominios?

Tema que todo el mundo se pregunta. En noviembre de 2017 todavía se andaba dando vueltas al asunto en discusiones y recontra-argumentaciones públicas de todos los involucrados. Un debate "apasionante" que ha llevado horas y horas de discusión… y todavía sigue sin estar resuelto. De hecho, solo parece existir un draft que aborde el problema, además del RFC, (una tiempo, estuvieron estas ideas incluidas pero se separaron en un borrador aparte). El draft ha expirado a mediados de 2017, y la discusión, como mencionábamos arriba, sigue viva.

Las grandes CA ya se planteaban el problema en 2016… ya ofrecían la posibilidad (la más simple de todas) de no incluir por defecto en los logs los subdominios que el dueño no deseara. Pero, por aquel entonces, se temía incluso que Chrome diera por erróneos sus certificados (así lo indicaron públicamente). Desde entonces, el asunto tampoco ha avanzado tanto. De parte de Mozilla, lo más reciente que encontramos es este draft analizando pros y contras de cada solución, pero sin llegar a ofrecer ninguna solución concreta o dirección.

En cualquier caso, repasemos desde el punto de vista técnico las propuestas "oficiales" de la IETF para lidiar con la privacidad de los subdominios:

Usar wildcard *.ejemplo.com. Obviamente, no es la mejor solución, nunca lo ha sido pero ahora impide el uso de dominios de tercer nivel, por ejemplo, y no sería válido (no lo son por definición) para certificados EV.
Revivir y reutilizar un viejo truco que pocos usan: las CA intermedias "limitadas". Se ha propuesto añadir a este truco un "flag" OID 1.3.101.76 que indique que los certificados emitidos por esta CA intermedia tienen permitido no estar en logs. Para listar dentro del certificado de la CA intermedia cuáles están exentos, además del flag, se utilizarían las extensiones X.509 permittedSubtrees y excludedSubtrees. Funcionan como una especie de wildcards más específicos, con los que se crea una serie de reglas blancas y negras que hay que satisfacer para indicar qué subdominios de un dominio podrían llegar a estar exentos de Certificate Transparency, y ser emitidos por esa subCA. En principio, se usaban antes de CT para limitar el poder de una subCA pero con el flag mencionado se ha pensado que pueden solucionar esto. Por supuesto, aunque buena idea, está lejísimos de ser soportada por los navegadores. Por si tenéis curiosidad, aquí está el código Python para realizar pruebas de estas cabeceras en el motor de Chronium. Esto tiene más complejidad de la que parece ya que luego, esta modificación en los certificados debe venir acompañada de cómo los navegadores entienden y notifican a los logs de esta exención.
Ocultar directamente los subodminios en los precertificados. Como sabéis, CT incluye el "precertificado" como método de inclusión del SCT en la petición de firma. Durante este proceso, se podría crear una extensión específica para X.509 que sea redactedSubjectAltName y que tendrá "ofuscado" los dominios. Se trata de "hashear" ciertos dominios e incrustarlos en el certificado y esto es lo que quedaría en los logs. En el certificado real, habría un subjectAltName con el mismo número de dominios en claro, y el cliente (navegador) podría comprobar el hash de cada uno. Por cierto, estaría codificado en base32 y la función de hash está el aire aún, lo que podría ser inseguro por la facilidad que podría llevar un ataque por diccionario, fuerza bruta o por la posibilidad de deducir dominios (suelen tener pocas letras). ¿Os resulta complejo todo esto? En la propia especificación aclaran que todo el ecosistema podría dañarse si se usa mucho esta opción.

Certificado de prueba creado por nosotros mismos con las extensiones (poco comunes) de organizaciones con restricciones

Pero entonces, ¿qué hago como administrador de certificados?

En el aspecto más mundano, leer a fondo no solo esta entrada de blog, sino todas sus referencias para ver cuál de las múltiples posibilidades se ajusta a cada necesidad. Después, escoger alguna de estas estrategias:

Implementar CAs propias
Usar CAs públicas pero confiar en que no se envíen los certificados con dominios privados a los logs, por ejemplo desactivando en los empleados la función
Usar política de wildcards…
Armarte de esperanza y/o palomitas y esperar

El problema que subyace de fondo, realmente, es que al ocultar subdominios sensibles se pretende y espera en realidad crear una capa de "ocultación" en un sistema transparente por definición. Ahí está la controversia y el problema fundamental del asunto, y precisamente, por tratarse de un problema "radical" y opuesto a la solución inicial (la raíz del problema), es difícil de solucionar.

A todo esto, ya podréis usar nuestro plugin para FireFox (puesto que aunque están en ello, no llegarán a tiempo) que permite comprobar el SCT incrustado en los dominios.

Sergio de los Santos
Innovación y Laboratorio

ssantos@11paths.com

@ssantosv

Leer mas

jueves, 22 de marzo de 2018

Carlos Gutierrez

GDPR, la importancia de esta nueva normativa

marzo 22, 2018

GDPR: el futuro de los datos más allá del 25 de mayo

El Reglamento General de Protección de Datos (GDPR, por sus siglas en inglés) es el marco jurídico armonizador del que, en materia de privacidad, nos hemos dotado los 28 estados miembros de la Unión Europea persiguiendo, cuanto menos, tres importantes objetivos:

Crear en Europa un entorno que haga posible el desarrollo de una sociedad digital de la que participen los ciudadanos y que impulsen las empresas.
Asegurar en esa sociedad la coherencia entre el desarrollo simultáneo de los servicios digitales más avanzados y, al mismo tiempo, los derechos a la privacidad y la seguridad de los datos personales que reconoce a todos los ciudadanos la Carta de Derechos Fundamentales de la Unión Europea.
Asegurar un marco idéntico de derechos y libertades en materia de privacidad y seguridad para todos los ciudadanos europeos en los (todavía) 28 estados que conformamos la Unión Europea.

El resultado deseado de la materialización de estos objetivos no es otro que dar lugar a que los ciudadanos europeos perciban la digitalización de nuestra sociedad como un anhelo mucho antes que como una amenaza.

El Reglamento establece su piedra angular en el principio de soberanía digital o autodeterminación digital individual. Se reconoce al ciudadano como dueño y soberano de su privacidad y, así, de todos los tratamientos de su información de carácter personal. Y ello es así independientemente del origen de esa información personal que: ya sea la información que ese ciudadano deja conocer a un tercero a través de medios como son las propias redes sociales; la que entrega el propio cliente a una compañía para la prestación de un determinado servicio; o la generada durante el ciclo de vida del tratamiento del dato como consecuencia de la prestación del servicio.

El Reglamento y su aplicación a partir del 25 de mayo es una realidad que Telefónica saluda como una buena noticia. Por ello, durante los dos últimos años, nos encontramos inmersos en un proceso de transformación que haga de una realidad tangible el principio de soberanía digital sobre su información de carácter personal para cada uno de nuestros clientes, empleados, y todos aquellos ciudadanos que nos ofrecen la posibilidad de tratar sus datos de carácter personal. El cumplimiento puntual del nuevo marco ha sido un incentivo para impulsar un proceso en el que, en todo caso, las empresas del Grupo Telefónica estaban comprometidas.

Juan Montero Rodil

Director de Competencia, Regulación y Privacidad en Telefónica España

juan.monterorodil@telefonica.com

Leer mas

miércoles, 21 de marzo de 2018

Carlos Gutierrez

Dirtytooth en el Mobile World Congress 2018

marzo 21, 2018

El pasado 28 de febrero, tuve el honor de dar una charla en el MWC 2018, durante uno de los seminarios de la GSMA llamado “IoT Security And Drones – Creating a Connected And Secure Future”. En él, también participó Carlos Carazo (Global CTO de Telefónica) y otros ponentes como Ian Smith (IoT Security Lead), Apostolos Malatras (Network and Information Securtity Expert) y Kat Megas (Program Manager) entre otros.

Acceso al terminal y el backend de DirtyTooth durante la demo de funcionamiento

La primera parte del seminario estuvo dedicado a analizar el futuro de la seguridad IoT y las buenas prácticas, así como las regulaciones y certificaciones actuales, tanto en la EU como en US. La segunda parte estuvo orientada a los drones y su auge en el sector del IoT, donde también se analizaron las diferentes posibilidades de estos dispositivos para mejorar la calidad de vida en las ciudades.

Fran Ramírez y DirtyTooth en el MWC2018

Más tarde, durante mi charla, comenzamos analizando algunos de los casos más conocidos en el mundo de la seguridad IoT como el hack a los coches Jeep Grand Cherokee, Mirai Botnet o el caso de SpiralToys y sus juguetes. Para demostrar lo sencillo que puede ser comprometer un dispositivo IoT de los que utilizamos día a día, decidimos llevar nuestro querido DirtyTooth y hacer una demo en directo.

Para la demo utilizamos un iPhone con una versión de iOS inferior a la 11.2 (a partir de esta versión Apple solucionó la característica que explota DirtyTooth) y de esa forma comprobar en directo cómo es capaz de obtener información relevante del usuario del teléfono.

DirtyTooth de ElevenPaths

Quiero agradecer a mis compañeros Pablo González, Carmen Torrano y Jorge Rivera su gran ayuda y apoyo para que la charla fuera lo mejor posible. Por otro lado, quiero dejaros algunos vídeos de referencia con Dirtytooth en los que podéis ver a mis compañeros Chema Alonso, Pablo González y Jorge Rivera.

Os esperamos por la Comunidad de ElevenPaths para hablar de tecnología y que podáis sacarle el máximo provecho al mundo de la iberseguridad y la tecnología.

Leer mas

martes, 20 de marzo de 2018

Carlos Gutierrez

#CyberSecurityPulse: Olimpiada de PyeongChang: ¿Un nuevo ataque de falsa bandera?

marzo 20, 2018

Un nuevo análisis de las muestras de malware identificadas en las pasadas olimpiadas de PyeongChang revela un intento deliberado de los atacantes de poner pistas falsas en cuanto a atribución se refiere, según investigadores. Días después del ataque a las redes de los Juegos Olímpicos de invierno, expertos de seguridad lo atribuyeron a rusos, iraníes, chinos y a grupos como Lazarus, un grupo relacionado con Corea del Norte. Sin embargo, expertos en seguridad ahora creen que un nuevo threat actor estaría sembrando cierta confusión entre aquellos que intentan asignar la atribución al ataque. "Quizás ningún otro malware ha tenido tantas hipótesis en cuanto a la atribución como el de las Olimpiadas", dijo Vitaly Kamluk, investigador de Kaspersky Lab y coautor de un informe publicado sobre los ataques. "Dada la reciente politización del ciberespacio, una atribución errónea podría tener graves consecuencias y los actores podrían empezar a tratar de manipular la opinión de la comunidad para influir en la agenda geopolítica".

En los días posteriores al ataque surgió un flujo constante de teorías que más tarde fueron desacreditadas y consideradas inconclusas. "La respuesta de la industria fue un desastre", dijo Kamluk. "Había demasiados dedos señalando sin certeza". Más allá de la falsa bandera de Lazurus, los investigadores dijeron que el grupo de habla rusa Sofacy (también conocido como Fancy Bear y APT28) también estuvo implicado en el ataque. Otros trozos de código malicioso vincularon a los grupos afiliados a China como APT3 (Gothic Panda), APT10 (MenuPass Group) y APT12 (IXESHE).

En realidad, este es solo un ejemplo más. Según Kamluk, el tiempo es una herramienta poderosa para determinar la atribución de un incidente. Verdad. Sin embargo, en la mayoría de las ocasiones no podremos esperar un tiempo indefinido para tomar decisiones.

Más información en ThreatPost

Noticias destacadas

Empresas de criptomonedas en el foco de la Comisión de Valores y Bolsa

La Comisión de Valores y Bolsa envió citaciones en las últimas semanas a docenas de compañías de tecnología e individuos que están involucrados con criptodivisas, según The Wall Street Journal. Los objetivos de las citaciones incluyen empresas que han lanzado ofertas iniciales de monedas (ICOs), así como sus abogados y asesores. Se dice que las citaciones incluyen solicitudes de información sobre cómo se estructuran las ventas y preventas de ICO, dijeron las fuentes anónimas a WSJ. Asimismo, la SEC también está solicitando las identidades de los inversionistas que compraron tokens digitales.

Más información en The Wall Street Journal

Herramientas de la NSA que identifican PCs previamente infectados para retirarse de ellos

Las herramientas filtradas el pasado año y que se creen que pertenecían a la Agencia de Seguridad Nacional de Estados Unidos (NSA) contenían una utilidad para detectar la presencia de malware desarrollado por otros grupos de ciberespionaje. Esta utilidad, denominada "Territorial Dispute" (conflicto territorial), tiene por objeto alertar a los operadores de la NSA sobre la presencia de otros grupos de espionaje en un equipo comprometido y retirarse de una máquina infectada para evitar una mayor exposición de las herramientas y operaciones de la NSA por otros actores estatales.

Más información en Bleeping Computer

Noticias del resto de la semana

Facebook actualiza automáticamente los enlaces a HTTPS para aumentar la seguridad

Facebook anunció el pasado 5 de marzo que está activando una nueva función que dirigirá automáticamente a los usuarios a HTTPS sobre un determinado enlace, si éste se encontrara disponible. La característica conocida como HTTP Strict Transport Security (HSTS) preloading está siendo implementada en facebook.com e Instagram. Con la precarga de HSTS, un link que un usuario haya publicado como un enlace HTTP se redirigirá automáticamente a un enlace HTTPS para una determinada web.

Más información en Eweek

Microsoft lucha contra el brote masivo de malware de Cryptocoin

Microsoft ha bloqueado un brote de malware que se está extendiendo rápidamente y que podría haber infectado a casi 500.000 equipos Windows en cuestión de horas el pasado 6 de marzo. El troyano, conocido como Dofoil o Smoke Loader, fue diseñado para distribuir payloads. Sin embargo, en este caso, ponían a minar criptodivisas en los PCs infectados, con el fin de ganar aquellos que están detrás del troyano monedas Electroneum a partir las CPU de las víctimas.

Más información en ZDnet

El grupo TEMP.Periscope pone foco en las industrias de ingeniería y marítimas de Estados Unidos

La mayoría de los ataques realizados por el grupo grupo TEMP.Periscope se han focalizado contra institutos de investigación, organizaciones académicas y empresas privadas en los Estados Unidos. Los investigadores de FireEye han confirmado que las tácticas, técnicas y procedimientos (TTP) y los objetivos de grupo TEMP.Periscope se superponen con los grupos TEMP.Jumper y NanHaiShu APT.

Más información en Fireeye

Otras noticias

Plugins de los editores de texto más populares podrían ayudar a elevar privilegios

Más información en The Hacker News

Tratan de causar una explosión en una planta petroquímica saudí

Más información en Security Affairs

Expertos descubren una vulnerabilidad de tipo buffer overflow en MikroTik RouterOS

Más información en Security Affairs

¡Regístrate a la newsletter!

Leer mas

lunes, 19 de marzo de 2018

Carlos Gutierrez

Nuevos plugins para la FOCA: HaveIBeenPwned y SQLi

marzo 19, 2018

Desde la publicación de la Foca OpenSource, hemos recibido comentarios positivos sobre la iniciativa de liberarla. Muchos se encuentran entusiasmados por la idea de agregar plugins nuevos o mejorar los existentes. Presentamos en esta ocasión dos nuevos plugins para sacar aún más provecho a la FOCA.

En un trabajo conjunto entre el equipo del Laboratorio y el equipo de los CSA, principalmente de la mano de José Sperk y Carlos Ávila, nos hemos puesto manos a la obra para mejorar un plugin en especial que ha sido muy demandado: el de SQLinjection. Para ello, hemos decidido interactuar con una de las herramientas de hacking más utilizadas del mercado, el famoso SQLMap. A partir de esto, hemos avanzado en el desarrollo de un plugin que permita detectar y explotar vulnerabilidades de inyección de SQL en aplicaciones web, a través del uso del REST-JSON API de SQLMap pero desde un entorno gráfico bastante más amigable y conocido, como el de la FOCA.

En el siguiente vídeo podemos ver cómo descargar y utilizar el plugin de la FOCA OpenSource (SQLi.dll), teniendo en cuenta que previamente debes descargar e instalar SQLMap en tu equipo para desde allí lanzar los escaneos.

Si prefieres o tienes instalado otro equipo con SQLMap, también puedes seleccionar "API Server Remoto" y conectarte desde la FOCA OpenSource a él para lanzar los escaneos remotamente.

Por si fuera poco, hemos creado también otro nuevo plugin de la Foca OpenSource (haveibeenpwned.dll) que interactúa a traves de las APIs con https://haveibeenpwned.com/ y con http://hesidohackeado.es/. De esta forma, las direcciones de correo que encuentres analizando metadatos con FOCA OpenSource, podrán ser consultadas directamente desde la aplicación contra esas dos bases de datos. A su vez, si tienes un archivo con una lista de direcciones de correo que deseas verificar, puedes hacerlo directamente desde este plugin. En el siguiente video podemos ver cómo funciona.

Y, finalmente, hemos liberado el código fuente de PluginApi.dll, encargado de comunicar los plugins con FOCA, proporcionando diferentes opciones para aprovechar al máximo los resultados de los análisis que realicemos.

Recuerda que si deseas sumar nuevos plugins, hemos puesto a disposición un plugin de ejemplo que contiene todo lo necesario para desarrollar uno nuevo. Todo esto está disponible en nuestro market de la FOCA al que te invitamos a participar con tus propuestas.

Claudio Caracciolo
Team Leader of the CSA and the Bs. As. Research Office at ElevenPaths
Innovación y Laboratorio

claudio.caracciolo@11paths.com

@holesec

Leer mas