Etiqueta | "escanear"

Dispositivos cotidianos con altavoces serían potenciales armas sónicas, revela un estudio

Los alcances de los dispositivos que tenemos a nuestro alrededor siempre parecen mostrarse con caras distintas, revelando zonas oscuras de lo que parecería un objeto de consumo cotidiano. A diario estamos conectados a la red, y asimismo nuestros dispositivos lo han ido haciendo por un tiempo. Lo que llaman el Internet de las cosas es cada vez más tangible, y la experiencia de lo virtual ha invadido con creces nuestros espacios físicos, por ende, también haciéndose vulnerable para aquellos con intenciones diferentes al uso común de algun gadget.

Tal es lo que sucede con los dispositivos que usamos normalmente para reproducir audio, en nuestros teléfonos personales, o a través de altavoces, en redes WiFi y Bluetooth, pues resulta que, según reporta la BBC, un nuevo estudio ha arrojado un aviso importante: el peligro de que sean hackeados los altavoces para emitir sonidos perjudiciales para la salud, es cada vez más alto.

Según cuenta el reportaje, el investigador en seguridad Matt Wixey,  halló una serie de dispositivos que tienen poca protección para no ser convertidos en una suerte de arma sónica cibernética. Esto incluye ordenadores, teléfonos móviles, auriculares, parlantes inalámbricos, sistemas PA, o prácticamente todo aquello que tenga un altavoz y se conecte a la red.

En un estudio para su doctorado en seguridad informática, Wixey probó la idea de usar malware para manipular a distancia el volumen y reproducción de diversas frecuencias en dispositivos con altavoces, hallando la posibilidad de lograr diversos troyanos y virus que puedan emitir sonidos peligrosos por largos períodos de tiempo.

“Algunos ataques sacaron provecho de vulnerabilidades conocidas en un dispositivo en particular, lo que podría hacerse local o remotamente en algunos casos”, le comentó a la BBC. “Otros ataques requerirían proximidad o acceso físico al dispositivo.” También habla de un caso concreto de usar un programa que utilizó para escanear redes de Blueooth y WiFi para hallar altavoces vulnerables que estuviesen conectados en la misma zona, de los cuales pudo tomarse algunos para reproducir sonidos “maliciosos”, como tonos con frecuencias molestas o ruidos en alto volumen que pueden afectar radicalmente el oído. Incluso en una de las pruebas, la destrucción del altavoz de uno de los dispositivos.

Si bien no es un asunto alarmante en un futuro cercano, a medida que son cada día más los altavoces que aparecen en la red, se irá mostrando más sobre el peligro real de estos aparatos, y si de alguna manera las empresas deberán comprometerse a “blindarlos” de posibles ataques como los mencionados por Wixey, quien habla de malestar físico y desorientación resultantes de armas sónicas tanto a nivel individual como colectivo.

De hecho, el asunto de los ciberataques mediante el audio y el riesgo que representa estar expuestos a señales indeseadas emitidas por las llamadas armas sónicas, es no solo una preocupación del hábitat virtual, sino de aquel físico, en el que caminamos a diario. Por ejemplo, el año pasado, hubo gran revuelo por supuestos ataques sónicos en la embajada de EE.UU. en Cuba.

Por ahora quedará esperar a que se vayan cada día haciendo más sólidos los dispositivos, que probablemente estarán más y más conectados, en protocolos de transferencia que incluso aún ni conozcamos. En lo que respecta al estudio, Wixey planea dialogar con fabricantes y desarrolladores para seguir avanzando en su investigación y posibles métodos de protección que puedan incorporarse en dispositivos de audio.

Fuente: hispasonic.com

Publicat a General, Gestión Documental

El Hisense D6 es un rugerizado smartphone recién certificado con 5400 mAh

Hisense, junto con Vivo, es un fabricante chino que suele introducir teléfonos inteligentes en la plataforma de TENAA con frecuencia. Este se mantiene activo en el mercado de smartphones de manera ocasional y su última novedad fue el F30S, un terminal que lanzará dentro de poco tiempo con la plataforma móvil Tiger T310.

Pero ahora hacemos énfasis en un nuevo dispositivo, uno que es rugerizado y ha sido listado en la plataforma de TENAA, el ente certificador y regulador chino. Este ha aparecido en la base de datos como Hisense D6, y lo que más sorprende es la enorme batería que equipa.

El Hisense D6 es un teléfono portador de un diseño y resistencia robusta. Por lo tanto, se espera que llegue a las manos del consumidor para soportar todo tipo de pruebas extremas, así como golpes, vibraciones y otros maltratos. Sin embargo, no deja a un lado la bonita estética, pues, tal y como se puede apreciar en sus imágenes, pese a que su apariencia no es la más estilizada y tiene un grosor y peso muy por encima de la media, se muestra como una opción llamativa.

De acuerdo a lo que TENAA ha desvelado sobre las especificaciones de este rugerizado móvil, tiene una pantalla de 5.99 pulgadas de diagonal con resolución FullHD+ de 2,160 x 1,080 píxeles, una cámara selfie de 16 MP, un sensor trasero de 12 MP y un escáner de huellas dactilares montado en su espalda, ubicado debajo del flash LED.

En sus entrañas se encuentra un SoC octa-core de 1.8 GHz y 3/4/6 GB de memoria RAM junto con 64/128/256 GB de memoria interna, respectivamente. A su vez, presume de una pila de 5,400 mAh de capacidad, la cual nos proporcionará hasta dos días de autonomía sin carga alguna, muy probablemente.

Por otro lado, pesa 235 gramos y mide 167.8 x 81.3 x 12.3 milímetros, además de estar solo en la opción de color negro. A su vez, como algo decepcionante, ejecuta Android 8.1 Oreo. También hay que mencionar que su fecha de lanzamiento y los detalles de disponibilidad y precio aún no se han revelado. Esperamos por estos datos y más información sobre el Hisense D6.

Fuente: androidsis.com

Publicat a General, Gestión Documental

LA BIBLIOTECA MUNICIPAL DE LLERENA PONE EN MARCHA UNA CAMPAÑA DE VERANO PARA LA LECTURA DIGITAL

La Biblioteca Municipal Arturo Gazul quiere aumentar el interés de los lectores por el préstamo digital mediante la compra de novedades editoriales de plena actualidad en formato digital. Además, la biblioteca garantiza con este programa la lectura concurrente para que sean muchas las personas que puedan acceder a la misma obra al mismo tiempo.

En esta nueva campaña, es la segunda tras la realizada en primavera, se añaden 39 nuevos títulos en formato de libro electrónico y/o audiolibro. Se han incorporado un total de 292 licencias que permiten la lectura concurrente y que suman la cantidad de 6.978 préstamos potenciales.

Para su difusión se han creado una serie de carruseles con estas novedades que se pueden encontrar en el portal Nubeteca, al cual se accede desde la página web de la biblioteca. Estos mismos carruseles también se han incorporado al portal de Youtube  con el fin de que cualquier lector pueda descargarse los libros electrónicos y los audiolibros en su teléfono móvil.

Esta campaña está además respaldada por numerosos carteles que se han colocado por toda la ciudad con todos los libros ofertados junto con sus códigos qr para que cualquier persona con sólo escanear dicho código puedan descargarse directamente los libros deseados en su dispositivo móvil. Para ello, basta con que acuda una sola vez a la Biblioteca para recoger sus credenciales. Dichas credenciales también pueden adquirirse por teléfono 924870923 o bien solicitarlas por email: biblioteca@llerena.e.telefonica.net.

Fuente: infoprovincia.net

Publicat a General, Gestión Documental

Almassora será administración de ‘papel cero’ a partir de octubre

El registro escanea la documentación y la devuelve a los vecinos

El Ayuntamiento de Almassora se convertirá en administración de papel cero a partir de octubre. Así lo anunció ayer la alcaldesa en funciones, Merche Galí, después de que comenzara la prueba piloto que consiste, entre otros aspectos, en escanear la documentación que llevan los vecinos y devolverla para que todos los expedientes queden almacenados telemáticamente, para que el papel se reduzca hasta el punto de que el archivo municipal deje de recibir material desde otoño.

La primera edila destacó que, a través de esta medida, el consistorio pretende ampliar la seguridad de la protección de datos y reducir el consumo de papel para contribuir a mejorar el medio ambiente. De esta manera, los documentos confidenciales quedarán registrados en las bases de datos internas y el volumen de hojas caerá sustancialmente.

Al mismo tiempo, cada expediente electrónico que abra el personal del Ayuntamiento irá incorporando progresivamente los diferentes escritos on line, de forma que no exista riesgo de pérdida o destrucción.

Fuente: elperiodicomediterraneo.com

Publicat a General, Gestión Documental

La UPO estrena un nuevo espacio de trabajo colaborativo, de innovación y aprendizaje

La ‘Innovateca’ se sitúa en la Biblioteca/CRAI de la Universidad Pablo de Olavide.

La Universidad Pablo de Olavide (UPO) estrena un nuevo espacio de trabajo colaborativo, de innovación y aprendizaje situado en la Biblioteca/CRAI. Se trata de la ‘Innovateca’, un proyecto del Vicerrectorado de Tecnologías de la Información e Innovación Digital en colaboración con el Vicerrectorado de Estrategia, Empleabilidad y Emprendimiento y la Dirección General de Infraestructuras, y en el que han participado activamente el Centro de Informática y Comunicaciones, el Área de Infraestructuras, Mantenimiento y Eficiencia Energética y la Biblioteca/CRAI.

Según un comunicado, la ‘Innovateca’ consta de dos nuevas salas modulares que ocupan el lugar liberado por las revistas impresas de la Hemeroteca, convertidas ahora en una colección digital de más de 40.000 títulos. Estos espacios coworking, orientados a grupos de emprendimiento e innovación, están dotados con pantallas digitales táctiles, mesas digitales, tabletas, pizarras, impresora y escáner 3D y mobiliario flexible. Los tabiques móviles que separan las dos salas permiten su adaptación a distintos aforos, siendo el modelo susceptible de ampliarse con nuevos módulos en función de la demanda.

El rector de la UPO, Vicente Guzmán, ha inaugurado en la mañana de este viernes este espacio de coworking e innovación en un acto en el que ha destacado el importante papel que desempeña la Biblioteca de esta universidad. “Estamos ante una de las mejores bibliotecas universitarias de España, de hecho, ocupa el cuarto puesto en eficiencia en el ranking de bibliotecas universitarias españolas, y el primero en Andalucía, según Secaba-Rank-Universitarias, índice elaborado por el laboratorio de investigación Secaba-Lab de la Universidad de Granada”.

El rector ha estado acompañado por Alicia Troncoso, vicerrectora de Tecnologías de la Información e Innovación Digital; José Manuel Feria, vicerrector de Estrategia, Empleabilidad y Emprendimiento, y Carmen Baena, directora de la Biblioteca/CRAI de la UPO.

En palabras de Alicia Troncoso, “la Innovateca, cuya finalidad es facilitar el emprendimiento y el trabajo colaborativo, supone para la Biblioteca y para la Universidad un paso más en su estrategia de transformación digital, y para los usuarios, la oportunidad de contar con instalaciones y equipamientos que faciliten la innovación”.

Por su parte, Carmen Baena, directora de la Biblioteca/CRAI, señala que “la ubicación de la Innovateca en el edificio de Biblioteca supone para los grupos de trabajo la ventaja añadida de contar con facilidades complementarias como las salas de grado, área de exposiciones, zonas de descanso y un acceso privilegiado a los recursos y servicios de información y formación de la propia Biblioteca/CRAI”.

FORMACIÓN Y EMPRENDIMIENTO

Tras la inauguración ha dado comienzo el primero de los talleres gratuitos organizados por Facebook, denominados ‘Workshop Progresa Digitalmente’, gestionados por el Área de Empleabilidad y Emprendimiento de la Fundación UPO. Se trata de talleres de cuatro horas de duración en los que se trabajan tres módulos: Innovación y creatividad, presencia web y ciber seguridad, y que cuenta con 32 participantes.

El objetivo es dotar a los asistentes de competencias digitales básicas para la empleabilidad y el emprendimiento, despertando la curiosidad de las personas asistentes en las materias propuestas, y fomentar el trabajo en equipo y la cooperación como modelo a seguir en el nuevo tejido empresarial sostenible.

Además de otras ediciones de los talleres ‘Progresa Digitalmente’, se celebrarán actividades que requieran de una metodología disruptiva y dinámica que dicho espacio facilita.

Fuente: lavanguardia.com

Publicat a General, Gestión Documental

Hace cuatro años, un historiador usó láser para hacer mapas digitales de Notre Dame; su trabajo podría ayudar a salvar la catedral

Aunque partes de la Catedral de Notre Dame ahora están en ruinas, la gente aún puede experimentar, con un detalle notable, cómo lucía la mayoría de sus rincones y grietas gracias a un historiador de arte estadounidense.

Andrew Tallon, profesor de Arte en el Vassar College, usó láseres para escanear minuciosamente la catedral en 2015, y nos dio una réplica digital casi perfecta de la estructura gótica. Su trabajo podría ayudar a los arquitectos e ingenieros a reconstruir Notre Dame después del incendio del 15 de abril.

Tallon estudió arquitectura gótica y trató de comprender cómo los constructores medievales erigieron algunas de las grandes catedrales de Europa. Así que creó un mapa espacial de Notre Dame usando más de mil millones de puntos medidos con láser.

Aunque Tallon murió en diciembre de 2018, su modelo digital será crucial para los esfuerzos de restauración porque detalla exactamente cómo se veía la iglesia antes de la destrucción del incendio.

“Si (los restauradores) tienen alguna pregunta sobre cómo se construyó antes, pueden examinar el escaneo y medir cada cosa”, dijo Dan Edleson, director de la empresa de modelado de información de edificios STEREO. Los escaneos son una “representación muy precisa al nivel que hasta hace unos años nadie podía hacer”.

La Catedral de Notre Dame ha sido modificada repetidamente durante casi siete siglos, lo que hace que la historia arquitectónica del edificio sea difícil de seguir. Pero a través del escaneo láser 3D, Tallon reveló las decisiones de los constructores y las características previamente desconocidas de la majestuosa estructura. Por ejemplo, sus exploraciones mostraron que las columnas interiores en el extremo occidental de la catedral no se alinean.

Los datos pueden ayudar a los arquitectos

La restauración llevará años, pero los datos de escaneo de Tallon serán invaluables en el proceso.

Tallon instaló un trípode con un rayo láser en más de 50 lugares diferentes alrededor de la catedral para reunir puntos de datos y obtener una comprensión espacial de la estructura. Es la misma tecnología que usan los autos que conducen por sí mismos para identificar los objetos que los rodean, dijo Edleson.

La parte más grande de la reconstrucción será el techo de la catedral, gran parte de la cual fue destruida en el incendio.

“Los datos de escaneo … los ayudarán a recrear las medidas de las vigas y la estructura general”, dijo Krupali Uplekar Krusche, quien dirige un equipo en la Universidad de Notre Dame que usa el escaneo 3D para documentar monumentos históricos.

Los datos pueden mostrar “cómo se construye el edificio … y se pueden ver cada esquina, cada detalle digitalmente”, agregó Krusche.

El nivel de detalle —que es exacto hasta un par de milímetros— será útil cuando se trata de restaurar la aguja de la catedral, que fue intrincadamente hecha, dijo Krusche.

Sin embargo, los datos de Tallon por sí solos no son suficientes para llevar a cabo una restauración. Los arquitectos también deberán incorporar información de restauraciones anteriores, como materiales de construcción, así como fotografías, medidas y dibujos.

En estado de deterioro

Antes de morir el año pasado, Tallon había expresado su preocupación por el estado de deterioro de Notre Dame. En un video de 2017, caminó a lo largo de su techo, señalando piezas faltantes, gárgolas en deterioro y daños por agua en las piedras.

El académico cofundó una organización, Amigos de Notre Dame de Paris en Estados Unidos, que recauda fondos para reparar la amada catedral.

“Entonces, lo que espero que puedas ver al caminar por este bosque de piedras es que están sufriendo”, dijo Tallon en el video. “Con la exposición al agua, con la exposición a la contaminación atmosférica, necesitan atención … mucha atención”.

Fuente: cnnespanol.cnn.com

Publicat a General, Gestión Documental

Hackers logran instalar una puerta trasera en el software de ASUS e infectan miles de ordenadores

Cientos de miles de ordenadores ASUS se han visto comprometidos después que hackers hayan infectado el software de la compañía y utilizado los servidores de la marca para distribuir malware, según adelantó la firma de seguridad Kaspersky y medios como Motherboard y Techcrunch han confirmado.

Los atacantes habrían infectado la herramienta ASUS Live Update para distribuir malware en al menos un millón de usuarios, según informan los investigadores de la firma de seguridad. Estos atacantes habrían instalado una puerta trasera en ese software y la habrían hecho pasar por la oficial después de utilizar el certificado de firma de la propia ASUS, utilizado para verificar que el código nuevo es legítimo.

ShadowHammer golpea a ASUS a través de su software de actualización

ShadowHammer es el nombre que ha puesto Kaspersky a este ataque, indicando una posible relación con ShadowPad, una investigación que ya mostraron en 2017.

¿Cómo lograron los hackers instalar una puerta trasera en el software de ASUS y pasar los controles? Según Kaspersky, los atacantes se habrían basado en una actualización de ASUS real fechada en 2015 y la habrían modificado ligeramente para enviarla en la segunda mitad de 2018.

El software ASUS Live Update se utiliza para renovar las aplicaciones oficiales de ASUS, así como actualizar la BIOS y los controladores del ordenador. Un software principal que habría permitido a los atacantes instalar todo tipo de aplicaciones.

En el caso del incidente con ASUS, según describe Motherboard, los atacantes aprovecharon esta puerta trasera en al menos unos 600 ordenadores para escanear direcciones MAC, conectarse con un servidor a distancia e instalar malware adicional en esas máquinas.

Desde otra firma de seguridad como es Symantec, se ha confirmado también este problema descrito como un ataque a la cadena de suministro del software de ASUS.

Según las estimaciones de Kaspersky, del millón de afectados la mayoría de usuarios estaría en Rusia. Aunque afectaría a una gran variedad de países, entre ellos España.

La mayoría de usuarios de ASUS no notarán ningún problema, ni en el corto ni en el largo plazo. Pero todavía no está claro que pasó con esos 600 ordenadores infectados donde los atacantes sí habrían aprovechado la puerta trasera.

Por el momento, se desconoce la identidad de los atacantes y cuáles son sus motivaciones.

Cómo saber si mi portátil ASUS está afectado

Si tienes un portátil ASUS, es posible que tu ordenador haya sido comprometido con el fallo en este software de actualización. La nueva versión Live Update 3.6.8 implementa según ASUS varios mecanismos de verificación de seguridad y un nuevo sistema de cifrado.

Respecto a los ordenadores que sí fueron infectados y atacados, Kaspersky ha creado una herramienta web donde se puede añadir la dirección MAC para comprobar si fue una de las que los hackers aprovecharon. La firma de seguridad ha creado esta herramienta no solo para ayudar a los usuarios, también para identificar qué tipo de víctima han sido elegidas por los atacantes e intentar descubrir alguna relación.

Otra opción es descargar la herramienta de diagnóstico que ofrece la propia ASUS, para comprobar los sistemas afectados.

Según Kaspersky, se notificó a ASUS de este problema el 31 de enero de 2019. En respuesta a esta situación, ASUS ha catalogado al problema como una Amenaza Persistente Avanzada (APT), un tipo de ataque llevado a cabo por un par de países y dirigido hacia organizaciones, no individuos.

ASUS confirma la existencia de este ataque y explica que su departamento de servicio al cliente ya se ha puesto en contacto con los usuarios afectados para ayudarles a eliminar los riesgos de seguridad asociados.

Fuente: .xataka.com

Publicat a General, Gestión Documental

Cómo mejorar los sistemas de defensa para controlar la seguridad informática

Partimos de una máxima. La mejor defensa es aquella que aun siendo robusta, es transparente para el usuario.

Sin embargo, no en todos los casos es posible alcanzarla, pero por supuesto una defensa en la que el usuario no pueda trabajar por su rigidez no es efectiva, porque se pierde el primer objetivo, la productividad.

La defensa perfecta o máxima es difícil de conseguir porque es muy cara. Pensemos en la seguridad de una casa. La máxima resultaría excesivamente cara. Es por ello que como en otros ámbitos de la vida se debe estudiar la relación coste/beneficio y rentabilidad/riesgo para tomar la mejor decisión y adaptarla así al sistema. Para ello, nos podemos basar en un conjunto de políticas y sistemas que mejoren la información para la toma de decisiones:

–Monitorizar la red: es una política basada en escuchar el tráfico de datos para poder intervenir en el menor tiempo posible ante un ataque. Esa monitorización de red se suele hacer con programas llamados sniffer.

–La política de directorio: se basa en un punto desde el cual se controla o dirige los accesos de una persona a diversos recursos. En la actualidad un usuario se identifica mediante usuario y clave al inicio, y luego quiere acceder a un conjunto de recursos atendiendo a un nivel de seguridad definido. Que dicha función se pueda hacer de una forma sencilla, es gracias a la política de directorios que lo definen y da acceso a los sitios.

Un directorio es una base de datos de usuarios o recursos con información de los mismos. Como la estructura de información es siempre la misma (usuarios y recursos en un sistema) se establece un modelo de datos en forma de árbol que permite una rápida localización de los mismos y un intercambio de éstos de una manera sencilla. Se define por tanto un conjunto de reglas, de protocolos para la transferencia de información y hablamos así de directorio activo. Existen un conjunto de estándares en directorio activo, como LDAP definido por Microsoft u OpenLDAP como proyecto abierto, pero no profundizaremos en ellos al no ser un ámbito de los fundamentos.

El principal sistema de defensa es la “clave”, y para determinar una correcta política de claves debemos definir:

–Tamaño de clave. Se debe exigir una longitud mínima, a tener obligatoriamente clave en todas las cuentas, a realizar combinaciones lógicas de letras y números, etcétera.

–Renovación de clave. Una clave es efectiva mientras no sea perenne. Debe ser obligatorio cambiarla con una periodicidad definida.

–Bloqueo de cuentas. Para evitar intentos masivos, debe ser bloqueada una vez superado el número de reintentos definidos. Por ejemplo cinco.

–Claves aleatorias. Es la mejor forma de realizar una clave pero dificulta enormemente su recordatorio. Puede ser utilizada como primera clave de usuario.

–Frases de paso. Es una buena opción para ayudar a recordar la contraseña y así poner claves más complejas en los sistemas.

Con los avances tecnológicos existen nuevas formas de identificación de seguridad. Son los conocidos como sistemas biométricos. Por ejemplo, acceder al sistema mediante huella digital, escáner de iris, etcétera. Cada vez son más habituales y empiezan a ser usados incluso por teléfonos móviles.

Fuente: esemanal.mx

Publicat a General, Gestión Documental

Riesgos de los certificados SSL gratuitos modernos y registros DNS obsoletos

Los certificados SSL han sido adoptados por muchos sitios web, pero en los últimos cuatro años, la adopción de SSL ha crecido enormemente. Una de las principales razones de ese crecimiento gigante es el hecho de que Google y otras compañías como Let’s Encrypt alientan a los usuarios a proteger sus sitios web encriptando la información mediante un certificado SSL.

A pesar de haber existido durante más de dos décadas, los certificados SSL (HTTPS) comenzaron a crecer en popularidad en el 2014 y en el año 2018 se terminó convirtiéndose en uno de los temas de la seguridad más populares de todo Internet.

En la actualidad casi todos los usuarios quieren implementar un certificado SSL debido a que están en un principio creando un entorno seguro para sus visitantes, pero muchos ignoran los riesgos que pueden suponer los registros dns obsoletos.

Los origines del uso de los certificados SSL

En los últimos años, no era tan importante si tu sitio no estaba usando un certificado SSL. Solo los sitios web que operaban con tarjetas de crédito o que realizaban un procesamiento de datos confidenciales eran los únicos que debían usar certificados SSL. De hecho, nunca obtendría una certificación PCI válida para su tienda en línea si no instaló un certificado SSL.

En ese momento, los certificados SSL gratuitos no eran una opción, y la mayoría de los usuarios tenían que confiar en los populares proveedores de SSL, como las soluciones de Symantec, Trustwave o Comodo.

Antes del 2014, tener un sitio web con HTTPS era una tarea bastante complicada, ya que seguramente incluiría un certificado SSL caro, así como características de alojamiento adicionales para tener una IP dedicada, o el pago de certificados CDN SSL.

Pero los problemas de mover un sitio web a HTTPS no se notaban solo por el gasto económico que requiere. Realizar la configuración de una dirección IP dedicada para una web requería tiempo de propagación para los DNS, para que el administrador del sitio web pueda comenzar a generar los códigos de CSR para enviarlos a su proveedor de SSL. Una vez que los proveedores aprueben el SSL, le responderían con un código de CRT; el que finalmente instalaría en su sitio para tener la configuración SSL activa.

Hoy en día las cosas han cambiado, el SSL gratuito está disponible para todos, las IP dedicadas ya no son necesarias, y el proceso de instalación se puede realizar con unos pocos clics por personas que no tengan conocimientos técnicos en tan solo unos segundos.

La historia detrás de la adopción masiva de SSL

Desde principios de los años 90 hasta 2014, la adopción de SSL fue bastante lenta y solo fue utilizada por sitios web que trabajaban con información sensible como con las tarjetas de crédito o banca en línea.

Una de las primeras compañías que comenzó a ofrecer certificados SSL gratuitos fue Cloudflare, que anunció su SSL gratuito universal en 2014. En marzo del 2016, Google anunció su objetivo de una Internet segura, mostrando sus planes para hacer de Internet un lugar más seguro.

Let’s Encrypt nació más tarde por varias compañías que fundaron el Internet Security Research Group (ISRG). Este fue el primer paso para que los certificados SSL estén disponibles gratuitamente para todos.

Otras compañías como Comodo y cPanel se unieron para ofrecer certificados SSL gratuitos, haciendo que la configuración SSL sea aún más fácil y casi 100% automatizada.

Ahora que los certificados SSL gratuitos están disponibles para cualquier persona, la adopción se ha vuelto masiva para casi todos los propietarios de sitios web y proveedores de servicios basados en Internet

La mayoría de las grandes compañías de TI usan cifrados ssl ofreciendo una mejor seguridad para todos sus usuarios. Un buen ejemplo de esto es cómo Google comenzó a migrar casi todos sus servicios y plataforma (93~95% en este momento) para usar el cifrado SSL:

Además de ofrecer certificados SSL gratuitos, también ayudó a esta gran adopción de los certificados SSL fue la automatización de las validaciones de dominio en el proceso de instalación de SSL. La instalación de un SSL no es difícil en absoluto, pero requiere que el registrador/proveedor de SSL se asegure de ser el propietario del dominio antes de aprobar su certificado.

Los nuevos SSL gratuitos ofrecidos por empresas populares como Let’s Encrypt o Comodo funcionan de forma automática, lo que evita el proceso de espera eterno hasta que el registrador le envíe el código CRT para que pueda instalarlo en su sitio web.

En lugar de eso, usan procesos de validación de dominio automatizados que aceleran mucho la propiedad del dominio. Sin embargo, las recientes investigaciones de seguridad descubrieron nuevos riesgos de este tipo de validación de dominio cuando se combina especialmente con registros obsoletos del DNS.

Validaciones SSL basadas en dominio y registros DNS obsoletos

Investigadores de seguridad de TU Delft, UT Dallas y UC Santa Barbara publicaron un documento que muestra los riesgos de utilizar dominios SSL basados en la confianza lo puede permitir sufrir ataques dominios de adquisición explotando la reutilización de direcciones IP en los dos proveedores públicos más grandes de la nube en el mundo (Microsoft Azure y Amazon AWS). Los registros DNS obsoletos también son uno de los puntos clave en esta investigación.

¿Qué es un registro DNS obsoleto?

Un registro DNS obsoleto es solo un registro que señaló a una IP específica hace tiempo y que ahora mismo ya no dispone de la misma.

Supongamos que compra un servicio en la nube para la base de conocimientos en línea de su empresa definida en el subdominio: kb.suempresa.com, y lo señala a una IP predefinida como 123.123.23.23.

Al final, usted termina en el servicio en la nube que compró originalmente. Pero no elimina el registro DNS que creó para cd.domain.com. Ese es un registro DNS obsoleto es registro que aún existe para un servicio en la nube descontinuado.

Los atacantes pueden usar registros DNS obsoletos para generar nuevos vectores de ataque

Al escanear los registros DNS a través del historial de DNS, un atacante podría notar fácilmente los registros DNS obsoletos presentes en su nombre de dominio. Un atacante podría asignar direcciones IP a las que apuntan los registros DNS obsoletos, suplantar el servicio y luego instalar un certificado SSL validado.

Imagine que se despierta una mañana y descubre que el subdominio que usa como base de conocimientos (recuerde el ejemplo de cd.domain.com) que usaron sus clientes en el pasado ahora está en línea, funciona con un certificado HTTPS completo y probablemente se usa para realizar ataques maliciosos de phishing, malware o spamming.

En sus pruebas, los investigadores de seguridad encontraron que este tipo de ataques podrían ejecutar el ataque en menos de 70 segundos (tiempo más lento que la mayoría de la configuración TTL en registros DNS), permitiendo a los atacantes incluso interrumpir los servicios normales sin registros DNS obsoletos durante el tiempo de migración de un servicio a otro.

¿Hay alguna manera de mitigar este tipo de ataques?

La mejor forma de evitar la validación de este dominio y los ataques basados en registros obsoletos de DNS es introducir un nuevo método de autenticación en el proceso de validación de dominio.

Básicamente, la mitigación propuesta incluye el nuevo llamado “Desafío de validación de identificador resistente a adquisición de dominio” en el protocolo ACME (actualmente utilizado por Let’s Encrypt para automatizar el proceso de emisión de certificación SSL), específicamente al introducir la nueva fase de validación dentro de ACMEv2 RFC.

Una cosa buena de este nuevo método de mitigación es mantener el proceso de validación del dominio SSL lo más simple posible para el usuario final, que a menudo no es técnico.

En este caso, este cambio es 100% transparente, ya que no se necesita una solicitud de certificado adicional: la misma solicitud de certificado se utilizará en el proceso de emisión del certificado SSL.

¿Como funciona?

  1. El cliente envía una solicitud de certificado para el nombre de dominio, por ejemplo, coma una autoridad de certificación que valida el dominio.
  2. La autoridad de certificación verifica si ya existe un certificado SSL para el dominio o no.
  3. Quién solicita el SSL debe superar la comprobación de los DNS o basado en whois si un certificado anterior ya existe.
  4. Una vez que la URL ha sido verificada, la CA autorizará que se emita el certificado SSL.

La fase de transición del modelo de validación actual al nuevo no debería ser difícil para los proveedores de SSL actuales, ya que hay muchas validaciones ya utilizadas en las configuraciones actuales.

Reanudar: agregar la nueva capa de autenticación y mitigación no causaría ningún problema adicional, sino que ayudaría a prevenir nuevos problemas de seguridad.

Para un análisis completo y profundo de cómo funciona esta solución técnica, puede encontrarla en la investigación original, “Cloud Strife: Mitigating the Security Risks of Domain-Validated Certificates“, en el capítulo IV. MITIGATION (página 08).

Además de este nuevo desafío de autenticación, los autores sugieren recomendaciones generales de seguridad para propietarios de dominios y proveedores basados en la nube para reducir su exposición y la de sus clientes a problemas de DNS para evitar ataques de control de dominio como la asignación de direcciones IP y operaciones de liberación de direcciones IP, reforzando DNS seguridad, implementación de DNSSEC, entre otros.

Conclusión

Como puede ver, estos riesgos pueden reducirse adoptando nuevas tecnologías de mitigación por parte de los proveedores de SSL, pero también por la mayoría de los proveedores de Cloud necesitan seguir las mejores prácticas desde los servidores TCP/IP y DNS, así como cambiar los modelos de asignación de IP.

Fuente: tecnonucleous.com

Publicat a General, Gestión Documental

Una universidad emite 1200 certificados en blockchain

Estos certificados son accesibles con un código QR que no solo almacena sus calificaciones, sino también su registro de asistencia, proyectos y portafolio

La tecnología blockchain llegó para quedarse, ahora también a la educación. La escuela de negocios india SP Jain School of Global Management concretó un hito en esta materia: emitió por primera vez 1189 certificaciones educativas en blockchain.

Según Business World, estos estudiantes marcaron un antes y un después dentro del ámbito educativo.Nitish Jain, presidente de SP Jain School of Global Management, explicó que es la primera vez que esta iniciativa se completa con éxito: “Los certificados digitales son el futuro. Ha habido varios intentos globales para emitir certificados en la cadena de bloques. Pero hasta ahora nadie ha capturado el ciclo de vida completo de la certificación. La asistencia de los estudiantes y otros datos privados se almacenan de forma segura en la cadena de bloques privada de la escuela y solo los datos relacionados con la certificación se exponen a la cadena de bloques pública de Ethereum”.

Cabe destacar que estos certificados permitirán que posibles empleadores, empresas o instituciones puedan verificar los datos de los títulos de los egresados sin necesidad de conectarse con la escuela.

Otro dato importante es que estos certificados no solo almacenan las certificaciones con sus calificaciones, sino que tiene un registro de asistencias, proyectos y portafolio.

Para acceder, los empleadores pueden escanear un QR desde una credencial. Asimismo, pueden encontrar la información registrada en blockchain, todo sin comprometer la privacidad de los profesionales.

De esta forma, la SP Jain School of Global Management da un paso al frente en el uso de blockchain en campos particulares y así luchar para reducir los fraudes relacionados con las credenciales educativas.

Fuente: iproup.com

Publicat a General, Gestión Documental

Calendario

agosto 2019
L M X J V S D
« Jul    
 1234
567891011
12131415161718
19202122232425
262728293031