Debido a la creciente preocupación de los padres por las amenazas a las que se ven expuestos sus hijos mientras usan las diversas aplicaciones de Internet, la empresa Trend Micro decidió publicar una "Guía de navegación segura para padres y niños", que incluye una serie de tips y consejos para dialogar en familia.
En su sitio Web, la empresa publicó una serie de documentos para la familia
Cómo principal recomendación, la empresa propone a los padres no prohibir el uso de redes sociales, ya que podrían incentivarlos a utilizarlas en otros lugares (bibliotecas, teléfonos móviles o computadoras de sus amigos). "Una alternativa positiva es enseñarles cómo pensar de forma crítica sobre lo que están viendo, leyendo, escuchando y compartiendo en línea, y pedir ayuda cuando algo no parece bien".
Las siguientes son las medidas básicas que propone la corporación para que sean implementadas por los padres y los niños en conjunto
* Mantener la computadora en un área común.
* Acordar los límites de tiempo para el uso de Internet t dispositivos de comunicación
* Mantener actualizado el software de seguridad
* Acordar qué sitios pueden visitar los chicos (sobre todo los más chicos).
* Utilizar filtro de URL
* Bajar de Internet un servicio de reputación de sitios.
* Revisar el contenido y las políticas de seguridad de los sitios que los niños frecuentan.
* Hablar con los chicos sobre el ingreso de información personal online.
* Ignorar contactos no solicitados de gente que nunca han conocido.
* Correr un escaneo manual con el software de seguridad y chequear el historial del browser
Por otra parte, la empresa publicó una serie de sugerencias para que los jóvenes tengan presente en Internet:
* Utilizar un seudónimo o nombre de código en lugar del nombre real.
* Configurar los perfiles para que estén privados de modo que sólo la gente que se invite pueda ver lo que uno publica.
* No compartir dirección, teléfono u otra información personal en línea.
* Tener cuidado de compartir fotos provocativas o detalles íntimos en línea, incluso con la gente conocida.
* Mantener actualizado el software de seguridad.
* Leer “entre líneas”. Ser consciente que, si bien algunas personas son muy agradables en línea, otras actúan de forma amable porque están tratando de obtener algo.
* Evitar las reuniones a solas.
Para conocer más sobre la iniciativa de Trend Micro, puede ingresar en www.trendmicro.com/go/safety.
Fuente: http://www.canal-ar.com.ar/Noticias/Noticiamuestra.asp?Id=6339
miércoles, 3 de septiembre de 2008
CATPCHA, más roto que nunca
Este sistema para tratar de proteger todo tipo de servicios web se ha convertido en un método inútil dada la gran cantidad de soluciones software para poder superar las barreras que impone. De hecho, superar la barrera se ha convertido casi en un deporte en la India.
En este país hay personas específicamente dedicadas a la investigación de estos sistemas y de cómo romper la seguridad que imponen, algo que les proporciona un buen fajo de billetes, más de lo que podrían ganar con sus trabajos convencionales.
El negocio de los ‘CAPTCHA-Crackers’ consiste en superar todos los tipos de CAPTCHAS que sean capaces de encontrar, algo que les proporciona más y más dinero a medida que van superando esas barreras. Muchos de los ataques se centran en MySpace, una web que sigue usando los CAPTCHAS sin que esto realmente tenga mucho sentido, puesto que está demostrado que los CAPTCHA están definitivamente acabados.
Fuente: http://www.theinquirer.es/2008/09/02/catpcha-mas-roto-que-nunca.html
En este país hay personas específicamente dedicadas a la investigación de estos sistemas y de cómo romper la seguridad que imponen, algo que les proporciona un buen fajo de billetes, más de lo que podrían ganar con sus trabajos convencionales.
El negocio de los ‘CAPTCHA-Crackers’ consiste en superar todos los tipos de CAPTCHAS que sean capaces de encontrar, algo que les proporciona más y más dinero a medida que van superando esas barreras. Muchos de los ataques se centran en MySpace, una web que sigue usando los CAPTCHAS sin que esto realmente tenga mucho sentido, puesto que está demostrado que los CAPTCHA están definitivamente acabados.
Fuente: http://www.theinquirer.es/2008/09/02/catpcha-mas-roto-que-nunca.html
El "secuestro" del portapapeles
Desde finales del mes pasado, muchos usuarios están detectando un comportamiento extraño en su portapapeles. A la hora de copiar y pegar cualquier dato, encuentran que siempre aparece almacenada en este memoria una misma dirección de Internet, que no recuerdan haber copiado nunca. Copian algún dato en su "clipboard", y cuando van a pegarlo esa información ya ha sido modificada y en su lugar se memoriza una URL. No parecen estar infectados por malware, en cuanto se visita alguna web el problema reaparece... es solo que su portapapeles ha sido secuestrado.
Según se admite en una nota publicada por el Equipo de Respuesta ante Incidentes de Seguridad en Productos de Adobe (Adobe Product Security Incident Response Team) el problema está causado por una funcionalidad en Flash Player que podría ser aprovechada por un atacante remoto para "secuestrar" el portapapeles del sistema, forzando a que devuelva siempre una misma cadena.
El problema se debe a que por medio de la función "setClipboard" de ActionScript (el lenguaje de programación de Adobe Flash) se puede modificar (pero no acceder) el contenido del portapapeles. La descripción se puede leer en la documentación de Adobe Flash citada a continuación: "El método System.setClipboard() permite a un archivo SWF reemplazar el contenido del portapapeles con una cadena de caracteres en texto claro. Esto no supone un riesgo de seguridad. Para proteger contra los riesgos que supone que contraseñas y otra información sensible sea cortada o copiada de los portapapeles, el método "getClipboard" de lectura desde el portapapeles no existe".
Si se crea un archivo SWF modificado que invoque a esta función repetidamente en bucle, cada cierto tiempo se actualizará el contenido del portapapeles para forzar que contenga la cadena elegida. Independientemente de la aplicación con la que se trabaje, siempre que se intente copiar y pegar algún dato, dará como resultado la misma cadena una y otra vez mientras el flash esté activo en una web que está siendo visitada.
El ataque (más molesto que peligroso) se está usando para secuestrar el portapapeles, pegando una URL que lleva a una página de un falso antivirus que resulta ser malware. En el caso concreto detectado en los últimos días, el código ActionScript malicioso venía incrustado en anuncios flash alojados en sitios legítimos que tienen un gran tráfico de visitas diarias, como Newsweek, Digg y MSNBC.
Este fallo no es realmente grave. Desde hace muchos años revive de vez en cuando la polémica (es una funcionalidad vs. es una vulnerabilidad) con respecto a un problema mucho más serio: El acceso al portapapeles por parte de funciones de Internet Explorer. Aunque este ataque flash en concreto es independiente del navegador, aun hoy día la configuración por defecto de la mayoría de sistemas con Internet Explorer 6 permite de forma transparente no solo modificar sino tener acceso al portapapeles. El objeto clipboardData (incorporado en la versión 5 de Internet Explorer) admite tres métodos para interactuar con los datos del clipboard, "getData" para capturar la información, "setData" para escribir, y "clearData" para borrar. Ya en 2005 Hispasec publicó una prueba de concepto disponible en el apartado de más información.
También este ataque a través de flash recuerda al que se puso de moda hace años, lo que se dio en llamar "secuestro del navegador" que consistía en la modificación persistente de la página de inicio de Internet Explorer. Mucho malware del momento era capaz de secuestrarla con más o menos destreza. Hoy en día es una práctica en desuso.
Para "liberar" el portapapeles y que vuelva a funcionar de forma normal, tan solo hace falta cerrar la pestaña del navegador con la que se está visitando en el sitio web susceptible de contener el flash especialmente manipulado.
Aviv Raff ha desarrollado una prueba de concepto que carga de forma persistente la cadena http://www.evil.com en el portapapeles, disponible desde http://raffon.net/research/flash/cb/test.htmlFuente: http://www.hispasec.com/unaaldia/3600
En Costa Rica, los bancos públicos ofrecen ‘armas’ contra el fraude electrónico
Durante este mes y el próximo, los cuatro bancos públicos empezarán a ofrecer a sus clientes nuevas “armas” contra el fraude electrónico.
En el caso del Banco de Costa Rica (BCR) y Bancrédito, el uso de estos dispositivos será obligatorio a la hora de hacer transacciones por Internet y no tienen ningún costo.
En tanto, el Banco Popular y el Nacional ofrecerán mecanismos de seguridad optativos, es decir, el usuario decide si los adquiere o no.
El primero en disponer de estas herramientas en forma masiva será el Banco Nacional con el llamado Teclado Virtual, que aparecerá en la pantalla de ingreso de Internet Banking desde este viernes.
Esta herramienta forma parte de BN Identidad Virtual, un sistema de autenticación creado por el Banco para asegurar las transacciones electrónicas. Próximamente incluirá el Token Llavero, el Token Tarjeta y el Token Celular.
El Teclado Virtual es gratuito y optativo. Sin embargo, a quienes decidan no utilizarlo, el sistema les limitará automáticamente la inclusión de cuentas favoritas y deberán hacerlo en una agencia.
El Banco Popular informó de que esta semana pondrá a disposición de sus clientes el Token, el cual funciona como una cédula de identidad en formato electrónico.
El dispositivo incluye información del cliente y su firma digital. Tiene un costo de $35 de contado y $40 a dos meses plazo.
Los afiliados a Banca Fácil que deseen adquirir el Token deben solicitarlo al teléfono: 2202-2020.
Para todos. El BCR, con un registro mensual de alrededor de 3 millones de transacciones por Internet, exigirá a los usuarios de ese servicio la tarjeta Clave Dinámica.
El dispositivo es gratuito, pueden solicitarlo en cualquier agencia del BCR y su uso es obligatorio a partir del 17 de este mes.
Mario Rivera, gerente interino del BCR, dijo que la Clave Dinámica brinda protección adicional a las transacciones de los clientes mediante una segunda autenticación, “lo cual está muy acorde con lo establecido por el reciente Código de Autorregulación Bancaria presentada por la Cámara de Bancos”.
Dicha norma establece condiciones contractuales y mecanismos de seguridad que deben aplicar los bancos para proteger a sus clientes del robo electrónico.
Arnoldo Trejos, subgerente Comercial de Bancrédito, afirmó que están en proceso de adquisición de la Multiclave Bancrédito, cuyo uso será obligatorio para los clientes que lleven a cabo transacciones en línea.
“Este proceso se finiquitará en setiembre, por lo que procederemos a entregarla a nuestros clientes a partir de octubre”, agregó.
Los fraudes por Internet llevaron a 70 personas a presentar una demanda colectiva, ante el Tribunal Contencioso-Administrativo, contra los bancos Nacional, de Costa Rica y Popular. Entre todos perdieron ¢300 millones.
Fuente: http://www.identidadrobada.com/site/index.php?idSeccion=19&idNota=1923
En el caso del Banco de Costa Rica (BCR) y Bancrédito, el uso de estos dispositivos será obligatorio a la hora de hacer transacciones por Internet y no tienen ningún costo.
En tanto, el Banco Popular y el Nacional ofrecerán mecanismos de seguridad optativos, es decir, el usuario decide si los adquiere o no.
El primero en disponer de estas herramientas en forma masiva será el Banco Nacional con el llamado Teclado Virtual, que aparecerá en la pantalla de ingreso de Internet Banking desde este viernes.
Esta herramienta forma parte de BN Identidad Virtual, un sistema de autenticación creado por el Banco para asegurar las transacciones electrónicas. Próximamente incluirá el Token Llavero, el Token Tarjeta y el Token Celular.
El Teclado Virtual es gratuito y optativo. Sin embargo, a quienes decidan no utilizarlo, el sistema les limitará automáticamente la inclusión de cuentas favoritas y deberán hacerlo en una agencia.
El Banco Popular informó de que esta semana pondrá a disposición de sus clientes el Token, el cual funciona como una cédula de identidad en formato electrónico.
El dispositivo incluye información del cliente y su firma digital. Tiene un costo de $35 de contado y $40 a dos meses plazo.
Los afiliados a Banca Fácil que deseen adquirir el Token deben solicitarlo al teléfono: 2202-2020.
Para todos. El BCR, con un registro mensual de alrededor de 3 millones de transacciones por Internet, exigirá a los usuarios de ese servicio la tarjeta Clave Dinámica.
El dispositivo es gratuito, pueden solicitarlo en cualquier agencia del BCR y su uso es obligatorio a partir del 17 de este mes.
Mario Rivera, gerente interino del BCR, dijo que la Clave Dinámica brinda protección adicional a las transacciones de los clientes mediante una segunda autenticación, “lo cual está muy acorde con lo establecido por el reciente Código de Autorregulación Bancaria presentada por la Cámara de Bancos”.
Dicha norma establece condiciones contractuales y mecanismos de seguridad que deben aplicar los bancos para proteger a sus clientes del robo electrónico.
Arnoldo Trejos, subgerente Comercial de Bancrédito, afirmó que están en proceso de adquisición de la Multiclave Bancrédito, cuyo uso será obligatorio para los clientes que lleven a cabo transacciones en línea.
“Este proceso se finiquitará en setiembre, por lo que procederemos a entregarla a nuestros clientes a partir de octubre”, agregó.
Los fraudes por Internet llevaron a 70 personas a presentar una demanda colectiva, ante el Tribunal Contencioso-Administrativo, contra los bancos Nacional, de Costa Rica y Popular. Entre todos perdieron ¢300 millones.
Fuente: http://www.identidadrobada.com/site/index.php?idSeccion=19&idNota=1923
Localizar un portátil robado
Toca ya incorporarse a la rutina laboral y por tanto, abrir de nuevo la publicación de post de seguridad. Y para volver del verano, me ha parecido interesante un nuevo servicio que he encontrado vía CanalPDA para localizar un portátil robado.
La seguridad en portátiles suele basarse en medidas preventivas para evitar la pérdida de datos o el acceso en caso de robo. Hasta la fecha, no había hallado herramientas que tratarán de recuperar el portátil en si mismo, aunque se que existen dispositivos hardware que permiten localizarlos.
Sin embargo, Adeona que es como se llama este servicio es abierto y gratuito, patrocinado por la Universidad de Washington, y permite realizar un seguimiento de la localización de un ordenador portátil perdido o robado.
Yo ya lo tengo instalado en mi ordenador aunque espero no tener nunca que probarlo.A continuación os detallo la explicación de CanalPDA.
"A diferencia de otros servicios, éste es totalmente gratuito y se basa en protocolos abiertos y documentados. Además la aplicación realiza un notable esfuerzo para garantizar la privacidad de los datos, de forma que nadie excepto el propietario del ordenador pueda acceder a la información registrada.
El funcionamiento es muy simple. Hay que instalar en el ordenador un pequeño programa agente (disponible para Windows Vista y XP, Linux y Mac OS X; en este momento las descargas no funcionan). La instalación es muy rápida y solo nos pide donde hay que ubicar el programa y la contraseña de protección de acceso a los datos.
La instalación genera un archivo de configuración, denominado adeona-retrievecredentials.ost. Esta será nuestra llave, conjuntamente con la contraseña indicada durante la instalación, para poder acceder a los datos de localización del portátil.
Este servicio registra la información de la IP y otros datos básicos acerca la conexión con Internet.
Si alguna vez perdemos el ordenador, podemos utilizar el programa de recuperación. Nos pedirá que facilitemos el archivo adeona-retrievecredentials.ost generado durante la instalación, así como la contraseña. Con esta información recuperará de los servidores donde se almacenan los datos de conexiones, lo que nos permitirá recuperar la información de donde está conectado el equipo.
Un ejemplo de información de ubicación:
Retrieved location information:Como podemos ver, además de la IP pública y la IP privada, también hay otros datos relativos a la configuración de la red donde está conectado el equipo.
update time: 07/16/2008,15:47 (RDT)
internal ip: 10.xxx.xx.x
external ip: xx.xxx.xxx.xx
access point: xxx
Nearby routers:
1 5.000ms 10.xx.xx.xx (could not resolve)
2 1.000ms 10.xx.xx.x (could not resolve)
Si el ordenador portátil utiliza el sistema operativo Mac OS X, además de la información, el cliente de Adeona también hace una foto del usuario con la webcam integrada... que también queda registrada :)"
Análisis de los ficheros de logs y blindaje del sistema
Websecutity, con esta serie de artículos de esta última semana analizan los programas utilizados para hacer los sistemas más seguros y más fiables. Se pueden ver las distintas formas de realizar un análisis de ficheros de registro, cosa muy importante a la hora de ver si ha sucedido algún tipo de ataque al sistema.
Yahoo! Lottery es un timo
Ryan Knight, administrador del servicio de correo de Yahoo!, está advirtiendo a la gente de que no caigan en el timo que está circulando por la red. Dicho timo consta de un correo donde felicita por haber sido premiado en un sorteo de lotería ficticio con una cantidad de 275.000 libras esterlinas y nos piden unos datos personales para recibirlo.
Knight afirma que además este caso en particular de phising es más vulgar que otros casos ya que además de faltas gramaticales y de ortografía, en todo el email, al final dejan un correo de contacto de GMail, competencia directa con Yahoo! Mail.
Para finalizar el administrador de Yahoo! concluye con un par de consejos para todo usuario del servicio: nunca des datos personales, pues las empresas reales no los solicitarán nunca y evitar acceder a las webs oficiales a través de enlaces de dudosa procedencia encontrados en dichos emails, accediendo directamente desde el navegador y tecleando la dirección oficial.
Fuente:
http://www.theinquirer.es/2008/09/01/yahoo-afirma-que-los-correos-yahoo-lottery-son-spam.html
http://news.softpedia.com/news/Yahoo-Lottery-Hoax-Attempt-Raises-Laughs-92716.shtml
Suscribirse a:
Entradas (Atom)