Dominios archivos - Pablo Alejandro Fain

Agregar un alias a las direcciones de e-mail de Teams

enero 19, 2019enero 19, 2019 por Pablo Alejandro Fain

Teams ofrece la posibilidad de enviar un e-mail directamente a un canal. Para ello, primero debemos obtener la dirección de nuestro canal, haciendo clic en los tres puntos al lado del nombre, y seleccionando Obtener dirección de correo. Luego de algunos segundos Teams nos brindará la dirección de e-mail de ese canal. Tengan en cuenta que si seleccionan Quitar correo electrónico, al configurarlo nuevamente obtendrán una dirección diferente. Dentro de configuración avanzada podemos restringir quiénes tienen permitido enviar e-mails al canal (cualquier persona, solo miembros de este equipo, solo dominios específicos). Si el mensaje es enviado desde una dirección o dominio no permitidos, recibiremos un mensaje de rechazo como el que se ve a continuación. Por el contrario, si el mensaje es aceptado, aparecerá automáticamente en el canal de Teams. Pero como habrán notado, la dirección de e-mail del canal no es fácil de memorizar. Al momento de publicado este post, Teams no soporta la personalización de las direcciones de e-mail de los canales. Hay una conversación abierta en los foros de Teams sobre esta funcionalidad. Crear un contacto en Office 365 Sin embargo, hay una alternativa. Desde el centro de administración de Exchange Online podemos crear un contacto dentro de la organización, y asignarle un …

Usando CSP para incrementar la seguridad de tu sitio web

enero 4, 2019enero 3, 2019 por Pablo Alejandro Fain

Hacía ya algún tiempo venía manejando la idea de implementar CSP en mi blog de WordPress. CSP -o Content Security Policy, por sus siglas en inglés- es un estándar que define un conjunto de orígenes pre-aprobados desde los que un navegador puede cargar recursos cuando visita un sitio web. Ayuda a prevenir ataques de Cross Site Scripting (XSS), data injection, entre otros. Cuando el navegador visita un sitio web tiene que cargar fuentes, hojas de estilo, imágenes, scripts, etc. Por ejemplo, este blog utiliza la fuente Open Sans de Google por lo que cada vez que alguien lo visite su navegador estará haciendo una llamada hacia el dominio fonts.googleapis.com. También utiliza las fotos de perfil de Gravatar, a través de secure.gravatar.com. Y así con el resto de los recursos. Para habilitar CSP, el sitio web debe enviar un encabezado HTTP especial llamado Content-Security-Policy (también conocido como X-Content-Security-Policy). Como alternativa al encabezado HTTP se puede implementar CSP utilizando la etiqueta <meta>. Por ejemplo: Podríamos decir que CSP es una suerte de lista blanca de orígenes y, por ende, una forma de prevenir ataques por inyección de código malicioso. Cada plataforma web tiene su forma de manejar los encabezados HTTP. Para WordPress, por ejemplo, …

Atacantes lograron eludir la autenticación multifactor

diciembre 19, 2018diciembre 19, 2018 por Pablo Alejandro Fain

Cuando de buenas prácticas para la protección de nuestra presencia en línea se trata, ustedes saben que mi principal recomendación es habilitar la autenticación multifactor (doble factor de autenticación, o autenticación de dos pasos). Pero los atacantes siempre se las ingenian, y esta vez lograron engañar a los usuarios para hacerse del código temporal (token) necesario para completar la autenticación multifactor. Un reporte publicado hace apenas algunas horas por Aministía Internacional muestra en detalle cómo se dieron estos ataques a cuentas de usuarios de Gmail y Yahoo, incluso a aquellos con autenticación multifactor habilitada. Las víctimas eran dirigidas a un sitio apócrifo, idéntico al de inicio de sesión de Gmail o de Yahoo, técnica conocida como phishing. Una vez que el usuario ingresaba su dirección de e-mail y contraseña, la misma infraestructura en la que el sitio falso estaba almacenada realizaba el intento de inicio de sesión en el servicio real. Si éste requeria la utilización de un factor adicional, lo notificaba al sitio apócrifo para que éste se lo requiriera al usuario. Una vez que la víctima ingresaba el token, el atacante obtenía acceso a la cuenta real. En algunos casos se detectó incluso que el atacante había generado …

Las cuentas Microsoft ahora soportan autenticación sin contraseña mediante dispositivos FIDO 2

diciembre 6, 2018noviembre 24, 2018 por Pablo Alejandro Fain

Microsoft y Yubico anunciaron esta semana que los usuarios de cuentas Microsoft (aquellas con dominio terminado en msn.com, hotmail.com, outlook.com, etc.) podrán iniciar sesión sin necesidad de ingresar una contraseña. Simplemente deberán insertar un dispositivo compatible con el estándar FIDO2/WebAuthn, como la YubiKey 5. Los usuarios de Office 365 deberán esperar unos meses más. Hace ya algunos años que Microsoft viene trabajando en su estrategia de inicio de sesión sin contraseñas -passwordless-. La aprobación de inicio de sesión a través de las notificaciones push de su aplicación Microsoft Authenticator son un gran ejemplo. El usuario ingresa su dirección de e-mail, presiona Siguiente y aprueba el inicio de sesión desde su teléfono o wearable. Pero ahora le llegó la oportunidad a las llaves de autenticación. En este post hablaba sobre las diferentes formas de autenticación multifactor y mencionaba las dos llaves de autenticación más populares, la YubiKey y la Titan -de Google-. Estas llaves trabajan con el estandar U2F, entre otros. Cuando conectamos por primera vez una llave U2F -o Universal Second Factor, por sus siglas en inglés- para asociarla con un sitio, ésta genera una clave pública y una privada (encriptada). La clave pública es enviada al proveedor de autenticación …

¿Cómo funciona la autenticación multifactor?

enero 11, 2019agosto 18, 2018 por Pablo Alejandro Fain

Esta es la tercera de una serie de entregas dedicadas a temas de seguridad en Internet y cómo incrementar nuestro escudo protector cuando estamos en línea. En la primera hablamos sobre los administradores de contraseñas y en la segunda sobre las -cada vez más populares- violaciones de datos. Hoy vamos a hablar sobre el doble factor de autenticación, también conocido como two factor authentication, 2FA, o MFA -multi factor authentication-, por sus siglas en inglés. El concepto de doble factor de autenticación (aunque algunos lo llaman autenticación de dos pasos, pero eso lo vamos a hablar más adelante) dice que el usuario debe ser “desafiado” a utilizar dos mecanismos de autenticación entre los siguientes tres: Algo que sabés Algo que tenés Algo que sos Algo que sabés suele ser tu contraseña, y este es el primer factor de autenticación que usamos en todos lados. Algo que sos podría ser tu huella digital, reconocimiento facial, de retina, entre otros. Pero vamos a hablar del segundo mecanismo de autenticación más utilizado en el mundo: algo que tenés. Algo que tenés puede ser una tarjeta inteligente –smart card-, una llave de autenticación (como las YubiKey) o un token (físico o virtual). Para que …

¿Qué es y cómo funciona el nuevo registro DNS CAA?

enero 7, 2019abril 17, 2017 por Pablo Alejandro Fain

En Enero de 2013, Rob Stradling propuso y formalizó la implementación de un estándar para la Autorización de Entidades de Certificación (Certification Authority Authorization, por sus siglas en inglés) mediante el RFC 6844. El propósito de los registros CAA es “designar” una o más entidades de certificación a emitir certificados SSL/TLS a un dominio o subdominio específicos. Los dueños de dominios podrán, además, declarar una dirección de correo electrónico para recibir notificaciones en caso que alguien solicite un certificado a una entidad de certificación no autorizada. De no existir un registro CAA, cualquier entidad está autorizada a emitir certificados para ese dominio o subdominio. Si bien el estándar data del año 2013, no fue hasta hace algunos meses que los proveedores de DNS y las entidades de certificación comenzaron su implementación. Algunos de ellos aun no aceptan registros del tipo CAA y otros aun no verifican la existencia del registro antes de emitir sus certificados, pero están gradualmente modificando sus infraestructuras para hacerlo. En mi caso utilizo DNS Made Easy desde hace algunos años y, además de soportar este tipo de registros, siempre he tenido estupendos resultados. En lo que respecta a la creación de registros CAA, están compuestos por tres elementos. Demos un vistazo a su topología: flag: Un entero entre 0 …

Por qué es importante DMARC en una estrategia de e-mail

enero 10, 2019diciembre 5, 2016 por Pablo Alejandro Fain

DMARC (o Autenticación de mensajes, informes y conformidad basada en dominios, por sus siglas en inglés), es un mecanismo de autenticación de correos electrónicos relativamente joven que permite a los remitentes garantizar a sus destinatarios que los mensajes que han recibido fueron originados por su organización. Fue establecido mediante el RFC7489 y publicado por primera vez en Marzo de 2012. Si bien DMARC depende de los mecanismos SPF y DKIM, existen grandes diferencias entre ellos. Mientras que SPF y DKIM están enfocados en lo que conocemos como “SMTP MAIL-FROM” (también llamado envelope-from o 5321.MailFrom, quien especifica la dirección para devolución de mensajes al remitente), DMARC verifica que el dominio del 5321.MailFrom y el de 5322.From (la dirección de correo que vemos en el campo “DE“) se encuentren alineados. Pongámoslo en un ejemplo: Mail-From: [email protected] De: “Frank” <[email protected]> Para: “Andrew” <[email protected]> Asunto: Vencimiento de nombre de dominio – Acción requerida Si el dominio dominiofalso.com tiene correctamente configurado su registro SPF, el servidor de correo de example.com lo tratará como un mensaje “sano” y pasará la prueba de seguridad. Dado que el cliente de correo de Andrew solo le mostrará la dirección en el campo “From“, Andrew creerá que el mensaje proviene de un origen seguro. Sin embargo, si miempresa.com tuviese configurado el registro _dmarc.miempresa.com con …

Cómo planea bloquear el acceso a Uber el gobierno argentino

enero 4, 2019abril 19, 2016 por Pablo Alejandro Fain

En la tarde de ayer, lunes 18 de abril, el Ministerio Público Fiscal solicitó al Ente Nacional de Telecomunicaciones (ex CNC) que ordene a los operadores de telefonía móvil y de servicios de Internet el bloqueo de todas las plataformas digitales de la compañía estadounidense. Esta medida se efectua, según el diario local La Nacion, en el marco de una investigación que acusa a Uber por el uso indebido del espacio público con fines de explotación comercial. Pero… ¿Cómo se bloquea el acceso a un sitio o aplicación en un país entero? Existen dos mecanismos que se utilizan habitualmente para estos casos. El primero está relacionado con el bloqueo a nivel DNS. La infraestructura de DNS, por sus siglas en inglés de Domain Name System, es la encargada de “traducir” las direcciones URL que escribimos en nuestros navegadores en direcciones IP. Para ponerlo en un ejemplo práctico, imaginen que si no existieran los DNS deberíamos escribir 64.233.169.99 en lugar de www.google.com para realizar una búsqueda, o 132.245.70.98 en lugar de www.outlook.com para acceder a nuestro correo electrónico. Cada vez que escribimos alguna dirección URL en nuestro navegador, o cada vez que utilizamos una aplicación en el teléfono móvil, nuestro dispositivo realiza una “consulta” a los servidores de DNS que tiene configurados y …

BGP, uno de los pilares de Internet

enero 4, 2019junio 19, 2015 por Pablo Alejandro Fain

Internet es una gran red de redes interconectadas entre sí que funciona gracias a tres pilares fundamentales: los cables de fibra óptica, el protocolo BGP y el protocolo DNS. Los cables de fibra óptica submarinos son su pilar principal. A través de ellos viaja gran parte de la información que circula por Internet y, como se observa en la siguiente imagen, atraviesan mares y océanos conectando las principales ciudades del mundo. Mapa del cableado submarino global. Fuente: submarinecablemap.com. El protocolo DNS es una suerte de “libreta de direcciones”. Se encarga de “traducir” los nombres de dominio (por ej. www.facebook.com) en una dirección IP, que será la que nuestro dispositivo deberá buscar para llegar a destino. En otras palabras, evita que tengamos que recordar las direcciones IP de los sitios que visitamos a diario. Podrán encontrar más detalles en un artículo que escribí hace algunos años, aquí. Como hemos visto anteriormente, en Internet existen tres tipos de ISP (o Proveedores de Servicios de Internet, por sus siglas en inglés). Los proveedores de nivel 3 son aquellos que brindan servicio a usuarios hogareños o empresas y que “compran” mediante acuerdos de peering el acceso a las demás redes a proveedores de nivel 2 (normalmente regionales). Estos últimos, a su vez, celebran acuerdos de peering con los de nivel 1 (como Level 3 …

Office 365 agrega soporte para DKIM y DMARC

enero 4, 2019enero 20, 2015 por Pablo Alejandro Fain

Así lo anunciaron Terry Zink y Shobhit Sahay del equipo de producto de Office 365 en este artículo, en el cual aseguran que ambas funcionalidades obedecen a la necesidad que tienen las compañías que decidieron confiar sus correos electrónicos a Microsoft de mantener a sus usuarios seguros. Hasta hoy, Exchange Online ofrecía soporte para DKIM a los mensajes recibidos desde direcciones IPv6. Pero finalmente el equipo de Microsoft ha decidido extender la verificación a los mensajes recibidos desde direcciones IPv4 también. Este proceso, que se espera esté finalizado hacia mediados de 2015, garantizará a los usuarios de Office 365 que todos los correos electrónicos que reciban habrán pasado previamente por una verificación de DKIM. DKIM (o DomainKeys Identified Mail, por sus siglas en inglés) es un mecanismo de autenticación que permite a las organizaciones certificar que los correos electrónicos enviados desde sus dominios fueron procesados por servidores de correo en los que ellos confían. De alguna manera, DKIM protege contra la manipulación del correo electrónico, proporcionando integridad de extremo a extremo. De acuerdo a lo establecido en la RFC 6376, se inserta una firma DKIM en la cabecera del mensaje, y el módulo de comprobación (en los servidores de correo del receptor del mensaje) valida la firma obteniendo la clave pública del firmante …