Declarado culpable un hombre que logró estafar más de 100 millones de dólares a Facebook y Google con facturas falsas

Brian Acton, fundador de WhatsApp, volvió a repetir recientemente que deberías eliminar tu cuenta de Facebook“. Y es que la compañía se ha visto envuelta en los últimos años en escándalos que han provocado la pérdida de miles de usuarios. La conocida red social fundada por Mark Zuckerberg ha sido noticia ahora debido a que un hombre logró estafar más de 100 millones de dólares a Facebook y Google con

Entra en Andro4all para leer el artículo completo

Puedes unirte a nosotros en Twitter, Facebook o en Google+

¡Suscríbete a nuestro canal de YouTube!

Publicado recientemente en Andro4all

from Andro4all https://ift.tt/2uzD93V
via IFTTT

Samsung explica por qué escogió los colores de los Galaxy S10 (y no, el “amarillo Pikachu” no es casual)

A la hora de adquirir un nuevo smartphone no podemos negar que las especificaciones técnicas son una de las razones de peso para elegir uno u otro dispositivo. La memoria RAM, el procesador, los megapíxeles de la cámara o el almacenamiento interno son puntos a tener en cuanto por los usuarios. Pero no lo vamos a negar, también es verdad que gran parte de los personas que compran teléfonos lo

Entra en Andro4all para leer el artículo completo

Puedes unirte a nosotros en Twitter, Facebook o en Google+

¡Suscríbete a nuestro canal de YouTube!

Publicado recientemente en Andro4all

from Andro4all https://ift.tt/2I62YAV
via IFTTT

OpenSSH 8.0 esta disponible para probar y detectar errores antes de ser liberada

Recientemente los desarrolladores de OpenSSH acaban de anunciar que la versión 8.0 de esta herramienta de seguridad para la conexión remota con el protocolo SSH está casi lista para ser publicada.

Damien Miller, uno de los principales desarrolladores del proyecto, acaba de llamar a la comunidad de usuarios de esta herramienta para que puedan probarla dado que, con suficientes ojos, todos los errores pueden ser detectados a tiempo.

Las personas que decidan utilizarán esta nueva versión podrán no solo ayudar a probar el rendimiento y la detección de errores sin no que también podrán descubrir nuevas mejoras de varios pedidos.

En el nivel de seguridad, por ejemplo, se han introducido medidas de mitigación para las debilidades del protocolo scp en esta nueva versión de OpenSSH.

En la práctica, copiar archivos con scp será más seguro en OpenSSH 8.0 porque copiar archivos de un directorio remoto a un directorio local hará que scp compruebe si los archivos enviados por el servidor coinciden con la solicitud emitida.

Si este mecanismo no se implementara, un servidor de ataque podría en teoría, interceptar la solicitud mediante la entrega de archivos maliciosos en lugar de los solicitados originalmente.

Sin embargo, a pesar de estas medidas de mitigación, OpenSSH no recomienda el uso del protocolo scp, Porque es “obsoleto, inflexible y difícil de resolver”.

 “Recomendamos el uso de protocolos más modernos como sftp y rsync para la transferencia de archivos”, advirtió Miller.

¿Qué ofrecerá esta nueva version de OpenSSH?

En el paquete “Novedades” de esta nueva versión incluye una serie de cambios que pueden afectar las configuraciones existentes.

Por ejemplo, en el ya mencionado nivel del protocolo scp, dado que este protocolo se basa en un shell remoto, no hay una manera segura de que los archivos transferidos del cliente coincida con la del servidor.

Si hay una diferencia entre el cliente genérico y la extensión del servidor, el cliente puede rechazar los archivos del servidor.

Por este motivo, el equipo de OpenSSH ha proporcionado a scp un nuevo indicador “-T” que desactiva las verificaciones del lado del cliente para reintroducir el ataque descrito anteriormente.

En el nivel del demond sshd: el equipo de OpenSSH eliminó el soporte para la sintaxis “host / port” en desuso.

Se agregó un host / port separado por barras en 2001 en lugar de la sintaxis “host: port” para los usuarios de IPv6.

Hoy en día, la sintaxis de la barra se confunde fácilmente con la notación CIDR, que también es compatible con OpenSSH.

Otras novedades

Por lo tanto, es aconsejable eliminar la notación de barra diagonal de ListenAddress y PermitOpen. Además de estos cambios, tenemos nuevas características agregadas a OpenSSH 8.0. Estos incluyen:

Un método experimental de intercambio de claves para computadoras cuánticas que ha aparecido en esta versión.

El propósito de esta función es resolver los problemas de seguridad que pueden surgir al distribuir claves entre partes, dadas las amenazas a los avances tecnológicos, como el aumento del poder de cómputo de las máquinas, nuevos algoritmos para las computadoras cuánticas.

Para hacer esto, este método se basa en la solución de distribución de clave cuántica (abreviada QKD en inglés).

Esta solución utiliza propiedades cuánticas para intercambiar información secreta, como una clave criptográfica.

En principio, medir un sistema cuántico altera el sistema. Además, si un pirata informático intentara interceptar una clave criptográfica emitida a través de una implementación de QKD, inevitablemente dejaría huellas detectables para OepnSSH.

Por otro lado, el tamaño predeterminado de la clave RSA que se ha actualizado a 3072 bits.

De las demás novedades informadas están las siguientes:

  • Adición de soporte para claves ECDSA en tokens PKCS
  • el permiso de “PKCS11Provide = none” para reemplazar instancias posteriores de la directiva PKCS11Provide en ssh_config.
  • Se agregar un mensaje de registro para situaciones en las que una conexión se interrumpe después de intentar ejecutar un comando mientras está vigente una restricción sshd_config ForceCommand = internal-sftp.

Para obtener más detalles, una lista completa de otras adiciones y correcciones de errores está disponible en la página oficial.

Para probar esta nueva versión puedes dirigirte al siguiente enlace. 

El artículo OpenSSH 8.0 esta disponible para probar y detectar errores antes de ser liberada ha sido originalmente publicado en Linux Adictos.

from Linux Adictos https://ift.tt/2uCjhgN
via IFTTT

¿Podrá Apple TV+ comerle la tostada a la poderosa Netflix? Lo que esperamos del servicio de streaming de Apple

Cuando hablamos de plataformas de contenidos multimedia en streaming la primera que nos viene a la cabeza siempre es Netflix. Ya sea por cantidad de contenidos, por la calidad de los mismos o por haberse sabido vender la mejor, la plataforma lleva desde 2015 obteniendo más y más suscriptores en nuestro país y todo a ello a pesar de haber quitado el mes de prueba gratuita. Muchos son los que

Entra en Andro4all para leer el artículo completo

Puedes unirte a nosotros en Twitter, Facebook o en Google+

¡Suscríbete a nuestro canal de YouTube!

Publicado recientemente en Andro4all

from Andro4all https://ift.tt/2OAVqac
via IFTTT

¿Está Linux a salvo de un “ataque a la cadena de distribución”?

Una falsa actualización de CCleaner fue usada para infectar miles de computadoras mediante un “ataque a la cadena de distribución”.

La semana pasada se supo que miles de clientes de ASUS, y otras tres compañías no identificadas, habían recibido malware. Al menos en el caso de ASUS estaban disfrazados de actualizaciones de seguridad. Este tipo de ataques es conocido como “ataques a la cadena de distribución. ¿Estamos los usuarios de Linux a salvo?

Según la empresa de seguridad Kasperly, un grupo de delincuentes logró comprometer el servidor utilizado por el sistema de actualizaciones de ASUS. Esto les permitió la instalación de un archivo con malware, pero firmado con certificados digitales auténticos. La información también fue confirmada por Symantec.

¿Qué es un ataque a la cadena de distribución?

En un ataque a la cadena de distribución, el malware se inserta durante el proceso de ensamblado del hardware. También puede ocurrir durante la instalación del sistema operativo o actualizaciones posteriores. No olvidemos tampoco a los drivers o programas instalados posteriormente. Como indica el caso de ASUS, la comprobación de autenticidad mediante certificados digitales parece no dar resultado.

En 2017, CCleaner, un popular programa para Windows, sufrió un ataque a la cadena de distribución. Mediante una falsa actualización se infectaron más de dos millones de computadoras.

Tipos de ataques a la cadena de distribución

Ese mismo año se conocieron otros cuatro casos similares.  Los delincuentes se infiltraron en la infraestructura de servidores para distribuir falsas actualizaciones. Para realizar este tipo de ataques se compromete el equipo de algún empleado. Así logran acceder a la red interna y obtener las credenciales de acceso necesarias. Si trabajas en una empresa de software no abras presentaciones graciosas ni visites páginas porno en el trabajo.

Pero este no es la única forma de hacerlo.  Los atacantes pueden interceptar la descarga de un archivo, insertarle código malicioso y enviarlo al equipo de destino. Esto se conoce como interdicción de la cadena de distribución. Las empresas que no usan protocolos cifrados como HTTPS facilitan este tipo de ataques mediante redes Wi Fi y enrutadores comprometidos.

En el caso de empresas que no se tomen en serio las medidas de seguridad, los delincuentes pueden acceder a los servidores de descarga. Sin embargo, basta con que se usen certificados digitales y procedimientos de validación para neutralizarlos.

Otro foco de peligro son los programas que no descargan las actualizaciones como archivos independientes.  Las aplicaciones lo cargan y ejecutan directamente en la memoria.

Ningún programa se escribe desde cero. Muchos utilizan librerías, frameworks y kits de desarrollo provistos por terceros.  En caso de que alguno de ellos se vea comprometido, el problema se extenderá a las aplicaciones que lo utilicen.

Esa fue la forma en que se comprometió a 50 aplicaciones de la tienda de aplicaciones de Google.

Defensas contra los “ataques a la cadena de distribución”

¿Alguna vez compraste una tablet barata con Android? Muchas de ellas vienen con aplicaciones maliciosas precargadas en su firmware. Las aplicaciones preinstaladas a menudo tienen privilegios del sistema y no pueden ser desinstaladas. Los antivirus para móviles tienen los mismos privilegios que las aplicaciones normales, por lo que tampoco sirven.

El consejo es que no compres este tipo de hardware, aunque a veces no tienes opción. Otro camino posible es instalarle LineageOS o alguna otra variante de Android, aunque hacerlo requiere cierto nivel de conocimientos.

La única y mejor defensa que tienen los usuarios de Windows contra este tipo de ataque es un dispositivo de hardware. Prenderle velas al santo que se ocupe de este tipo de cosas y pedirle protección.

Sucede que ningún software de protección dedicado a los usuarios finales está en condiciones de prevenir este tipo de ataques.  O el firmware modificado los sabotea, o el ataque se hace en la RAM.

Es cuestión de confiar en que las empresas se hagan responsables de las medidas de seguridad.

Linux y el “ataque a la cadena de distribución”

Hace años creíamos que Linux era invulnerable a los problemas de seguridad. Los últimos años se demostró que no. Aunque siendo justos, esos problemas de seguridad fueron detectados y corregidos antes de que pudieran ser explotados.

Repositorios de software

En Linux podemos instalar dos tipos de software: libre y de código abierto o privativo. En el caso del primero, el código está a la vista de quien quiera revisarlo. Aunque esta es una protección más teórica que real dado que no hay las suficientes personas disponibles con el tiempo y los conocimientos para revisar todo el código.

Lo que si constituye una mejor protección es el sistema de repositorios. La mayoría de los programas que necesitas los puedes descargar desde los servidores de cada distribución. Y su contenido es cuidadosamente revisado antes de permitir la descarga.

Políticas de seguridad

El uso de un gestor de paquetes junto a los repositorios oficiales, reduce el riesgo de instalar software malicioso.

Algunas distribuciones como Debian se toman un largo tiempo para incluir un programa en su rama estable. En el caso de Ubuntu, además de la comunidad del código abierto, tiene empleados rentados verificando la integridad de cada paquete agregado. Muy pocas personas se ocupan de publicar actualizaciones. La distribución cifra los paquetes, y las firmas son comprobadas localmente por el Centro de Software de cada equipo antes de permitir la instalación.

Un enfoque interesante es el de Pop! OS, el sistema operativo basado en Linux incluido en los notebook de System76.

Las actualizaciones de firmware se entregan utilizando un servidor de compilación, que contiene el nuevo firmware, y un servidor de firma, que verifica que el nuevo firmware procede del interior de la empresa. Los dos servidores sólo se conectan a través de un cable serie. La falta de una red entre los dos significa que no se puede acceder a un servidor si la entrada se realiza a través del otro servidor

System76 configura varios servidores de compilación junto con el principal. Para que una actualización de firmware sea verificada, debe ser idéntica en todos los servidores.

Hoy en día, cada vez más programas se distribuyen en formatos autocontenidos llamados Flatpak y Snap. Dado que esos programas no interactúan con componentes del sistema, una actualización maliciosa no podrá causar daño.

De todas maneras, ni el sistema operativo más seguro está protegido de la imprudencia de los usuarios. La instalación de programas de origen desconocido, o una mala configuración de permisos puede causar exactamente los mismos problemas que en Windows.

El artículo ¿Está Linux a salvo de un “ataque a la cadena de distribución”? ha sido originalmente publicado en Linux Adictos.

from Linux Adictos https://ift.tt/2JQqjc1
via IFTTT