WhatsApp envía sus mensajes encriptados... pero su seguridad sigue siendo baja, pero que muy baja.

Hace poco tiempo vimos cómo WhatsApp daba pasos hacia adelante en su seguridad lanzando una nueva versión de su aplicación oficial con encriptación incluida. Antes de la actualización los mensajes se enviaban completamente al descubierto, sin ningún tipo de codificación, lo que representaba una fortísima amenaza para nuestra seguridad. Ahora llegan más malas noticias para esta plataforma de mensajería, ya que al parecer la seguridad de esa encriptación de los mensajes no es lo suficientemente buena.

Dicha seguridad varía si usamos WhatsApp en Android o en iOS. El cifrado de nuestras credenciales en Android se reduce a un simple hash MD5 del número IMEI del móvil puesto del revés, algo que se puede conseguir muy fácilmente. En el caso de iOS el cifrado se obtiene haciendo el mismo hash MD5 de la dirección MAC del terminal repetida dos veces. Para los que no lo sepan: un hash MD5 de un archivo genera un código alfanumérico que sirve para identificar o confirmar la integridad de dicho archivo.

Datos como el IMEI o la dirección MAC de un teléfono móvil son demasiado fáciles de obtener, incluso para una persona que no tenga conocimientos avanzados de hacking. Un par de búsquedas en Google pueden proporcionarte las aplicaciones necesarias para obtener estos datos. Y eso no es todo: cuando WhatsApp revisa nuestra agenda de teléfonos móviles los datos siguen enviándose en un documento XML que muestra información de un usuario como su número, su estado o su cuenta de Jabber si consta en la agenda.

En la fuente sacan una conclusión bastante clara: “No uses WhatsApp. En serio, no lo uses”. Eso no es nada fácil de conseguir si tenemos amigos y familiares acostumbrados al protocolo, así que sólo me queda recomendar que tengáis especial prudencia con WhatsApp, sobretodo si estáis en una red Wifi pública; y esperar que los desarrolladores apliquen una encriptación mucho más adecuada.

Fuente | Genbeta

Anonymous publica un fichero con más de 1.000.000 de datos relativos a UDID supuestamente robados al FBI

En una nota de prensa a través de Pastebin, el grupo Anonymous, dentro de su operación #Antisec, ha puesto a disposición pública un fichero con 1.000.001 de datos relativos a información de clientes de Apple, que contiene el UDID del dispositivo, el APN (Apple Push Notifications Token) y el nombre del dispositivo. Siempre según la nota de prensa de Anonymous, el fichero original contenía más de 12.000.000 de registros, y de él se ha quitado la información personal como el nombre del propietario, su dirección postal, el número de teléfono, etc...

La nota de prensa comienza con una explicación a la motivación de la misma que hace referencia al llamamiento que se produjo este año en Defcon, pidiendo colaboración a la Comunidad Hacker por parte del gobierno americano. Como reacción a esta petición según ellos, el grupo ha publicado este fichero que supuestamente fue robado en Marzo del 2012 de la computadora Dell Vostro utilizada por el Agente Especial Supervisor Christopher K. Stangl miembro del FBI Regional Cyber Action Team y del New York FBI Office Evidence Response Team. 

 

 

Esta máquina, supuestamente fue comprometida utilizando una vulnerabilidad Java, y se consiguió una sesión de shell, durante la cual se descargó un fichero del escritorio llamado 'NCFTA_iOS_devices_intel.csv' que resultó ser una lista de 12,367,232 Apple iOS dispositivos including Unique Device Identifiers (UDID), usuarios, nombre del dispositivo, tipo de dispositivo, Apple Push Notification Service Tokens, códigos postales, números de teléfono, direcciones, etc...

 

 

 

Las especulaciones son muchas, pero la más preocupante es que el FBI podría tener acceso a todos los dispositivos Apple, con o sin connivencia con Apple. Esto, en países como España donde todos los diputados tienen dispositivos iPad o los jueces hacen gala de ellos en los juzgados, hace que la gente se preocupe. Por su parte, el FBI a través de Twitter, ha dicho que la información es TOTALMENTE FALSA, ya que ellos jamás han tenido esos datos, así que no hay nada que discutir. ¿Lo tendría la persona motu proprio? ¿Será falsa esta afirmación del FBI? ¿Será falsa la nota de prensa de Anonymous?

  

Conseguir el fichero es bastante sencillo siguiendo las instrucciones puestas en Pastebin, pero si no quieres hacerlo, basta con que uses el sencillo buscador que ha puesto The Next Web para ver si tus datos están leakeados.... y luego saca tú tus conclusiones.

 

Visto en | Seguridad Apple

Lexmark despide a 1.700 empleados y abandona la venta de impresoras de inyección

Desde hace mucho tiempo es evidente que el negocio de las impresoras de consumo no va nada bien, principalmente porque la gente ha pasado a imprimir cada vez menos para ahorrar dinero, por no mencionar el creciente número de negocios que aceptan resguardos electrónicos. Este cambio de actitud en conjunto con otras circunstancias han hecho que Lexmark entre en un serio proceso de restructuración que incluye el despido unos 1.700 empleados. De los trabajos eliminados, unos 1.100 corresponden a la fabricación de dispositivos, entre los que se incluye la división de impresoras de inyección de tinta ubicada en Filipinas, que ha sido cerrada por completo. Para el fabricante estadounidense es el fin de una época.

Con tan drástica medida Lexmark espera ahorrar unos 95 millones de dólares al año, pero lamentablemente son muchas las personas que pierden sus trabajos en este tipo de procesos. Esperamos de todas maneras que con esto puedan mantener una contabilidad más equilibrada, con las puertas abiertas y las luces encendidas.

Fuente | engadget

Ya es oficinl, evento Apple el 12 de septiembre.

Apple ha enviado invitaciones a los medios con el día 12 de septiembre como la fecha en la que se presentará el nuevo iPhone. El evento se celebrará a las 10 de la mañana, hora local, en el habitual Yerba Buena Center, San Francisco.

Así que chicos no hagáis planes para ese día porque habrá evento. El nuevo iPhone está cerca y sólo es cuestión de días saber si también se presentará el “iPad Mini”.

Por cierto, si os fijáis en la imagen es muy curioso como la sombra del 12 muestra un 5. ¿Significa esto que seguirán con la numeración para designar el nuevo dispositivo?.

Desarrollo: Entendiendo la nube; el significado de SaaS, PaaS y laas

Cuando nos referimos a desarrollar aplicaciones en la nube tenemos que puntualizar de que manera lo vamos a hacer, ya que dentro del concepto nube existen distintas formas de hacerlo que nos permiten una mayor flexibilidad o sencillez a la hora de desplegar nuestras aplicaciones o mantenerlas. Entre estas distintas formas que puede adoptar la nube se encuentran: Software-as-a-Service (SaaS), Plataform-as-a-Service (PaaS) y Infraestructure-as-a-Service (IaaS).

Software-as-a-Service (SaaS)

El concepto de SaaS ha existido desde hace mucho tiempo, pero quizás en estos últimos años hemos definido claramente a que nos referimos. Básicamente se trata de cualquier servicio basado en la web. Tenemos ejemplos claros como el Webmail de Gmail, los CRM onlines. En este tipo de servicios nosotros accedemos normalmente a través del navegador sin atender al software. Todo el desarrollo, mantenimiento, actualizaciones, copias de seguridad es responsabilidad del proveedor.

En este caso tenemos poco control, nosotros nos situamos en la parte más arriba de la capa del servicio. Si el servicio se cae es responsabilidad de proveedor hacer que vuelva a funcionar.

Ejemplos populares de Saas son Google Docs, Salesforce, Dropbox, Gmail…

Plataform-as-a-Service (PaaS)

PaaS es el punto donde los desarrolladores empezamos a tocar y desarrollar nuestras propias aplicaciones que se ejecutan en la nube. En este caso nuestra única preocupación es la construcción de nuestra aplicación, ya que la infraestructura nos la da la plataforma.

Es un modelo que reduce bastante la complejidad a la hora de desplegar y mantener aplicaciones ya que las soluciones PaaS gestionan automáticamente la escalabilidad usando más recursos si fuera necesario. Los desarrolladores aun así tienen que preocuparse de que sus aplicaciones estén lo mejor optimizadas posibles para consumir menos recursos posibles (número de peticiones, escrituras en disco, espacio requerido, tiempo de proceso, etc..) Pero todo ello sin entrar al nivel de maquinas.

Ejemplos populares son Google App Engine que permite desarrollar aplicaciones en Java o Python desplegándolas en la infraestructura que provee Google, cosa que también hace Heroku con Rails y Django.

Para los desarrolladores que ignoran la infraestructura que deben montar y sólo quieren preocuparse de escribir software, esta es la alternativa a seguir.

Infraestructure-as-a-Service (IaaS)

En este caso con IaaS tendremos mucho más control que con PaaS, aunque a cambio de eso tendremos que encargarnos de la gestión de infraestructura,

El ejemplo perfecto es el proporcionado por Amazon Web Service (AWS) que no provee una serie de servicios como EC2 que nos permite manejar maquinas virtuales en la nube o S3 para usar como almacenamiento. Nosotros podemos elegir qué tipo de instancias queremos usar LInux o Windows, así como la capacidad de memoria o procesador de cada una de nuestras maquinas. El hardware para nosotros es transparente, todo lo que manejamos es de forma virtual.

La principal diferencia es que nosotros nos encargamos de escalar nuestras aplicaciones según nuestras necesidades, además de preparar todo el entorno en las maquinas (aunque existen imágenes de instancias preparadas con las configuraciones más comunes).

Además de AWS nos encontramos ejemplos como Rackspace Cloud o vCloud de VMWare.

Fuente | Genbetadev

Oracle la vuelve a liar: La actualización de la actualización tiene un fallo de seguridad aun más grave.

La semana pasada fue un tanto movida para los responsables de Oracle debido al grave problema de seguridad que existía en la plataforma Java, más concretamente en la versión 7.

Investigadores en seguridad han descubierto una nueva vulnerabilidad en la plataforma que ha aparecido como consecuencia de la actualización que fue publicada a finales de la semana pasada para tratar de solucionar los graves problemas de seguridad.

 

En este nuevo agujero de seguridad, el atacante puede esquivar con cierta facilidad la “SandBox” de la máquina virtual de Java.

La aparición de este nuevo problema de seguridad pocos días después de haber “parcheado” Java 7 hace ver que las cosas no se están haciendo bien por parte de Oracle.

La anterior vulnerabilidad detectada tenía tal magnitud que Oracle se vio obligada a romper su política de sacar actualizaciones cada 4 meses. Desde Oracle añadieron que en esta actualización también se solucionaron otras tres vulnerabilidades que, aunque es probable que no hayan sido explotadas por terceras personas, podrían haber agravado la magnitud del agujero al cual se ha querido dar solución.

¿Solución o chapuza?

La solución que han dado desde Oracle con la actualización ha sido la de suprimir los métodos de la clase  sun.awt.SunToolkit que eran los que permitían a una tercera persona hacerse con los permisos necesario para inyectar código malicioso en el sistema y ejecutar e instalar cualquier tipo de programa en el ordenador afectado.

A pesar de haber solucionado el problema, han creado otro nuevo agujero de seguridad ya que, ahora es mucho más fácil saltarse la SandBox de la máquina virtual de Java y poder ejecutar cualquier tipo de código o utilizar muchos exploits para tratar de dañar el equipo del usuario.

Desde Oracle no han querido entrar en comentarios.

Todavía no se sabe si esta semana también tendremos una nueva actualización de Oracle o si tendremos que esperar a la de Octubre. Se trata de un agujero de seguridad grave. Algunos investigadores han tratado de ponerse en contacto con la empresa pero ésta no ha querido verter ningún tipo de opinión acerca de este nuevo problema que se trata de un claro desacierto por parte de Oracle.

Fuente | PCWorld