martes, octubre 09, 2012
miércoles, octubre 03, 2012
Security at Work! --> Real Cloud Security
Por Antonio Villalón, 2 de octubre de 2012 |
Acto I: La nube
(En una pequeña sala están reunidos el Director General, el Director de Seguridad y el Director de Marketing. Éste viene con la PC Actual debajo del brazo)
CMO: Blablablabla Cloud blablabla costes blablabla disponibilidad blablablabla Google.
CSO: Blablabla SLA blablabla, blablabla LOPD, deslocalización, blablabla blablabla privacidad, blablabla.
CEO: Blablablabla euros, blablabla personal, IT blablabla servidores. ¿Seguridad? Blablablabla.
CSO: Blablabla, blablabla LOPD, sanciones, blablabla robo de datos, blablabla prensa. Blablabla impacto y riesgo.
CMO: ¿Inseguro? Jajajajaja, blablabla, blablabla y blablabla. CSO blablabla, desconfianza. Blabla, blabla, Gartner, ¿blablabla? Blablablabla. Eso no pasa.
CEO: Blablablabla CIO, blablabla IT blablabla presupuesto.
CSO: Alea jacta est.
Acto II: Miel sobre hojuelas
(Mientras el Director General observa el tablet del Director de Marketing ven pasar al Director de Seguridad, quien acelera el paso pero es interceptado en pleno pasillo)
CMO: Blablabla acceso, blablabla iPad, iPhone. ¿Blablabla? ¿CSO? Blablabla, estos de seguridad blablabla. Acceso, blablabla, password blablabla, blablabla SSL.
CEO: Blablabla cómodo, blabla, blablabla acierto. Blablablabla razón, costes blabla, blablabla empresa 2.0.
CSO: Pater Noster qui es in caelis, sanctificétur nomen Tuum…
Acto III: Un pequeño problema
(Ha pasado algo en las Islas Marshall que ha inutilizado la conexión con el proveedor de cloud y, no se sabe aún, puede haber ocasionado pérdida de datos)
CEO: Blablabla corte, blabla borrado, blablabla acceso. ¡¡Blablablabla datos, blablabla nube!!
CMO: Blablablabla probabilidad, blabla Gartner blablablabla CIO, blabla CSO.
CSO: Blablabla riesgo, blablabla impacto, blabla calidad de servicio, blablabla Google.
CEO: Blablabla reputación, blablabla negocio, ¡blablabla Google!
CMO: …
CSO: …
Acto IV: Elige tu propia aventura
(¿Os acordáis de estos libros? Pues en este post lo mismo ;)
Opción #1
CSO: Blablabla backup, blabla ignífuga, blablablabla recuperación, sistema blablabla.
CEO: Muacs.
Opción #2
10 CEO: …
20 CMO: …
30 CSO: …
goto 10
Opción #3
CSO: Blablablabla ¿CIO?
CIO: Blablabla, Terms of Service, blablablabla denuncia, blablabla compensación, blablablabla.
CEO: Blablabla datos, blablabla disponibles blablabla por mis #@!*& blablabla diez euros.
¿Qué, cómo ha acabado la aventura en la nube?
Por cierto, si has sido capaz de seguir esta conversación, quizás te interese este vídeo que ha localizado nuestro compañero Adrián:
martes, septiembre 25, 2012
@unaaldia: El virus de la policía "evoluciona" e impide el ac...
@unaaldia: El virus de la policía "evoluciona" e impide el ac...: Puesto que parece que sigue la " moda ", vamos a hablar un poco más de este malware que está afectando a tanta gente en España en los último...
jueves, septiembre 06, 2012
Cassette To iPod Converter
Cassette To iPod Converter:
Un iPod Touch y una cinta de cassette, más juntitos que nunca. El Cassette To iPod Converter se parece un poco al mítico Sony Walkman original, pero tiene la peculiaridad de que, además de la cinta de cassette, se le puede insertar un iPhone o un iPod Touch.
El objeto de este extraño maridaje es permitir "rescatar" en formato digital las viejas grabaciones en cinta, y guardarlas automáticamente en el iPod. Por supuesto, para que todo funcione, has de tener la suerte de que el paso del tiempo no haya degradado mucho la calidad de la información almacenada analógicamente.
Además de esa funcionalidad, también se puede usar como un Walkman tradicional; se le conectan unos cascos o altavoces y se reproduce directamente la cinta.
Visto en Likecool
Ver más: cassettes, iphone, ipod, música
Seguir @NoPuedoCreer - @QueLoVendan
martes, junio 12, 2012
Vulnerabilidad grave en MySQL/MariaDB - CVE-2012-2122
FUENTE: de Security By Default
Vulnerabilidad grave en MySQL/MariaDB - CVE-2012-2122:
No es el día de los Santos Inocentes, ni de aquí (28 de Diciembre) ni internacional (April's Fool). El sábado 9 de Junio Sergei Golubchik, coordinador de seguridad de MariaDB publicaba un post en la lista OSS-SEC sobre una grave vulnerabilidad que afectaba a diferentes versiones de MySQL y MariaDB.
Se evidencia la posibilidad de autenticarse como usuario con máximos privilegios (root) únicamente realizando conexiones simultáneas, con CUALQUIER contraseña introducida como parámetro y contra un servidor vulnerable. Al cabo de un número indeterminado de intentos fallidos, el servidor aceptará la conexión y se realizará la autenticación de forma satisfactoria. Sin más. Sin shellcodes raras, sin casuísticas extrañas: únicamente tenemos que tener delante un servidor vulnerable, que cumpla con las siguientes versiones:
- Son vulnerables todas las versiones de MariaDB y MySQL hasta la 5.1.61, 5.2.11, 5.3.5 y 5.5.22
- NO SON vulnerables las versiones de MySQL 5.1.63, 5.5.24 y 5.6.6
- NO SON vulnerables las versiones de MariaDB 5.1.62, 5.2.12, 5.3.6 y 5.5.23
Con la siguiente línea en shell script, teniendo instalada una base de datos vulnerable en el sistema local, y contando con el cliente 'mysql', se podría realizar una autenticación como usuario root sin conocer la contraseña:
for i in `seq 1 1000`; do mysql -u root --password=blablabla -h 127.0.0.1 2>/dev/null; done
Básicamente, se ejecutará la sentencia de autenticación mediante cliente por consola (comando mysql) como usuario root (-u root) y cualquier contraseña (--password=blablabla) contra el servidor vulnerable presente en el mismo sistema donde se ejecuta este script (-h 127.0.0.1), sin mostrar ningún mensaje de error por pantalla (2>/dev/null).
Vamos a ver el ejemplo real. Las siguientes pruebas se han realizado sobre una Fedora Core 16, con MySQL versión 5.5.21:
En primer lugar, y para este ejemplo, cambiaremos la contraseña original de MySQL para el usuario root, que antes la teníamos establecida a 'password', para que ahora sea 'SuperPassWordDeLaMuerte':
Seguidamente, salimos de la sesión de root, y nos quedamos como usuario sin privilegios, y ejecutamos la secuencia anterior, que realizará conexiones como usuario root y cualquier contraseña, programando un total de 1000 intentos. A continuación se ejecutará la consola de mysql satisfactoriamente:
Comprobamos el usuario con el que estamos autenticados mediante la sentencia select current_user(), obteniendo como resultado 'root@localhost'
Obviamente, este "ataque" ya se encuentra integrado como exploit de Metasploit Framework, permitiendo además el volcado de hashes de todos los usuarios, todo ello con el módulo mysql_authbypass_hashdump:
Enhorabuena desde SecurityByDefault a los descubridores de este bug, verlo para creerlo...De momento, ¡una de las vulnerabilidades descubiertas favoritas para este año 2012!
[+] Security vulnerability in MySQL/MariaDB sql/password.c (oss-sec)
miércoles, junio 06, 2012
domingo, junio 03, 2012
iPhone / iPad: ¿Donde deja Installous las aplicaciones descargadas?
Uno de los problemas habituales en las aplicaciones del Apple Store, es que los programadores no suelen hacer una versión lite o de prueba de forma que puedas probar si es lo que necesitas, esto es muy habitual en juegos, pero en aplicaciones profesionales es más raro. Lo que suele ocurrir es que lees las descripciones y piensas que es lo que tu buscas, pero cuando pagas y la descargas la descripción no se parece a lo que realmente es y/o no te soluciona lo que tu creías. La cosa es que por varios motivos he tenido que probar ciertas aplicaciones para asegurarme que eran las que necesitaba antes de comprarlas.
Para ello he utilizado el Installous, la herramienta de descarga de aplicaciones fuera del Apple Store.
Para ello primero hay que hacer el jailbreak, instalar Cydia, añadir la repo de Hackulo.us he instalar todo lo que esta repo contiene. Luego abrimos Installous y buscamos la aplicación que queremos y la descargamos al terminal… pero una vez descargada ¿donde se queda el fichero IPA dentro de nuestro dispositivo?
Pues bueno estos IPA se quedan en /private/var/mobile/Documents/Installous/Downloads
Por lo menos en iOS 5.x con Installous 4.x
jueves, mayo 31, 2012
lunes, marzo 12, 2012
España empieza por 84
No imagináis el cambio económico que sería para España que realmente consumiéramos principalmente alimentos y artículos de aquí, de la gente que trabaja aquí y ve como se importan productos extranjeros a bajo coste... para que mucha de la gente de aquí se arruine.
Mira la etiqueta: ESPAÑA se escribe con 84 al principio
El Fondo Monetario Internacional, pronostica que este año y el que viene entraremos en recesión, es decir, que decrecerá nuestra riqueza nacional, en pocas palabras: SEREMOS MAS POBRES.
¿Qué podemos hacer como ciudadanos?: CONSUMIR PRODUCTOS ESPAÑOLES. Es la mejor forma de mantener la pequeña y mediana empresa de nuestro país, que es la que soporta más del 80% del empleo.
Los miles de millones que genera esta decisión, quedarán en todo el tejido productivo y además generarán impuestos y sueldos que permanecerán aquí.
Recuerda, algo tan sencillo como mirar las etiquetas en la compra, comprar un coche fabricado en España o no salir al extranjero durante los dos próximos años, a lo mejor mantiene tu empleo, el de tus hijos, familiares, amigos...el de todos.
Reenvíalo a cuantos más, mejor. Todos salimos beneficiados.
Suscribirse a:
Entradas (Atom)
Entradas
