Redes sociales archivos - Pablo Alejandro Fain

Usando CSP para incrementar la seguridad de tu sitio web

enero 4, 2019enero 3, 2019 por Pablo Alejandro Fain

Hacía ya algún tiempo venía manejando la idea de implementar CSP en mi blog de WordPress. CSP -o Content Security Policy, por sus siglas en inglés- es un estándar que define un conjunto de orígenes pre-aprobados desde los que un navegador puede cargar recursos cuando visita un sitio web. Ayuda a prevenir ataques de Cross Site Scripting (XSS), data injection, entre otros. Cuando el navegador visita un sitio web tiene que cargar fuentes, hojas de estilo, imágenes, scripts, etc. Por ejemplo, este blog utiliza la fuente Open Sans de Google por lo que cada vez que alguien lo visite su navegador estará haciendo una llamada hacia el dominio fonts.googleapis.com. También utiliza las fotos de perfil de Gravatar, a través de secure.gravatar.com. Y así con el resto de los recursos. Para habilitar CSP, el sitio web debe enviar un encabezado HTTP especial llamado Content-Security-Policy (también conocido como X-Content-Security-Policy). Como alternativa al encabezado HTTP se puede implementar CSP utilizando la etiqueta <meta>. Por ejemplo: Podríamos decir que CSP es una suerte de lista blanca de orígenes y, por ende, una forma de prevenir ataques por inyección de código malicioso. Cada plataforma web tiene su forma de manejar los encabezados HTTP. Para WordPress, por ejemplo, …

Por qué no es una buena idea reutilizar contraseñas (el caso HSBC)

enero 4, 2019noviembre 12, 2018 por Pablo Alejandro Fain

Hace pocos días uno de los bancos más grandes el mundo, HSBC, confirmó que algunos de sus clientes en los Estados Unidos fueron víctimas de un ataque conocido como credential stuffing. Este tipo de ataque utiliza nombres de usuario y contraseñas previamente comprometidos para obtener acceso a otros servicios. En respuesta a la BBC, el banco informó: HSBC lamenta este incidente, y tomamos la responsabilidad de proteger a nuestros clientes muy en serio. Hemos notificado a los clientes cuyas cuentas han podido ser víctimas de este acceso no autorizado, y les hemos ofrecido un año de servicio de monitoreo de crédito –credit monitoring- y protección de robo de identidad -identity theft protection-. HSBC confirmó que las cuentas de los clientes fueron accedidas durante los primeros quince días del mes de Octubre, y que la violación de datos incluyó nombres y apellidos de los clientes, su dirección postal, números de teléfonos, direcciones de e-mail, fecha de nacimiento, número y tipo de cuenta, historial de transacciones y saldo de sus cuentas. Responsabilidad compartida Podríamos culpar al usuario por haber reutilizado las contraseñas, pero también al banco por no haber implementado los mecanismos de seguridad necesarios para prevenir este tipo de hechos (autenticación …

¿Cómo funciona la autenticación multifactor?

enero 11, 2019agosto 18, 2018 por Pablo Alejandro Fain

Esta es la tercera de una serie de entregas dedicadas a temas de seguridad en Internet y cómo incrementar nuestro escudo protector cuando estamos en línea. En la primera hablamos sobre los administradores de contraseñas y en la segunda sobre las -cada vez más populares- violaciones de datos. Hoy vamos a hablar sobre el doble factor de autenticación, también conocido como two factor authentication, 2FA, o MFA -multi factor authentication-, por sus siglas en inglés. El concepto de doble factor de autenticación (aunque algunos lo llaman autenticación de dos pasos, pero eso lo vamos a hablar más adelante) dice que el usuario debe ser “desafiado” a utilizar dos mecanismos de autenticación entre los siguientes tres: Algo que sabés Algo que tenés Algo que sos Algo que sabés suele ser tu contraseña, y este es el primer factor de autenticación que usamos en todos lados. Algo que sos podría ser tu huella digital, reconocimiento facial, de retina, entre otros. Pero vamos a hablar del segundo mecanismo de autenticación más utilizado en el mundo: algo que tenés. Algo que tenés puede ser una tarjeta inteligente –smart card-, una llave de autenticación (como las YubiKey) o un token (físico o virtual). Para que …

¿Alguna vez te preguntaste si tu e-mail podría estar comprometido por culpa de una violación de datos a terceros?

enero 4, 2019junio 28, 2018 por Pablo Alejandro Fain

Esta es la segunda de una serie de entregas dedicada a temas de seguridad en Internet y cómo incrementar nuestro escudo protector cuando estamos en línea. En la primera hablamos sobre los administradores de contraseñas. Las violaciones de datos (data breach, por sus siglas en inglés) son cada vez más comunes y no solo afectan a usuarios domésticos, sino a empresas de todo tipo y hasta a organismos de gobierno. Definamos violación de datos Una violación de datos es una situación en la que información sensible, confidencial y que debería haber estado protegida cae en manos de terceros quienes, en la mayoría de los casos, tienen propósitos malintencionados. Las violaciones de datos pueden incluir información personal (nombre y apellido, números de identificación (como es el caso del DNI en Argentina), números de tarjetas de crédito, contraseñas, entre otros. Las últimas violaciones de datos de público conocimiento han afectado a gran cantidad de usuarios: Trik Spam Botnet (2018): Más de 43 millones de direcciones comprometidas. Ticketfly (2018): Más de 26 millones de direcciones comprometidas. Taringa (2017): 28 millones de direcciones comprometidas. MySpace (2008): 360 millones de direcciones comprometidas. LinkedIn (2016): 165 millones de direcciones comprometidas. Adobe (2013): Más de 150 millones …

Todos necesitamos un administrador de contraseñas

enero 4, 2019febrero 24, 2018 por Pablo Alejandro Fain

Esta es la primera de una serie de entregas dedicada a temas de seguridad en Internet y cómo incrementar nuestro escudo protector cuando estamos en línea. No es nada nuevo que quienes trabajamos en IT, y en especial aquellos que nos enfocamos en cuestiones de ciberseguridad o seguridad informática insistamos en la necesidad de usar un administrador de contraseñas. Siempre que hablo con alguien sobre ciberseguridad y cómo proteger los sistemas de una organización (aunque aplica perfectamente a la computadora que Mabel, de 80 años, usa para hablar por Skype con sus nietos que viven en el interior), insisto en que la responsabilidad principal recae sobre el usuario. El usuario que está frente a su computadora o celular es, en una gran cantidad de casos, la primer barrera que debe atravesar un atacante para obtener acceso a los sistemas. Suplantación de identidad (phishing), ingeniería social, malware, y la lista podría seguir. Todos tienen como principal punto de interés al usuario. Pero algo que muchos pasan por alto es el tema de las contraseñas. Tenemos tan asimilado el proceso de iniciar sesión en los sitios que utilizamos a diario que nos olvidamos de la importancia de las contraseñas. La contraseña es …

Prácticas abusivas de spam que terminaron en una Carta Documento

enero 4, 2019febrero 20, 2018 por Pablo Alejandro Fain

Les voy a contar una bonita historia… Resulta que allá por el mes de Diciembre de 2016 hice una compra online -bueno, como casi todos los días-, pero esta era la primera vez que compraba en ese comercio. Muchos comercios asumen que una compra online -en la que tenés que dejar tu dirección de mail para registrarte y recibir actualizaciones del estado de tus pedidos- significa que tambien aceptás recibir a partir de ese momento toda clase de publicidad por e-mail. Spam, básicamente. Resulta que este comercio empezó a mandarme correo no deseado muy esporádicamente. Realmente era tan esporádico que cuando presionaba sobre Desuscribir no recordaba haberlo hecho con anterioridad. Pero en Octubre/Noviembre del 2017 la cosa cambió. Empecé a recibir estos e-mails con publicidad todos los días. Y así como llegaban, todos-los-días hacía clic en Desuscribir. Claro que la solución es mandar los mensajes a Correo no deseado y ya. Pero para alguien que trabaja en IT y que tiene algo de experiencia en este tema del envío masivo de mails, es muy dificil conformarse con mover los mensajes a correo no deseado o crear una regla que los mueva automáticamente. Decidí contactarme con el comercio por e-mail. Después …

Larga vida a la neutralidad de red

enero 4, 2019diciembre 14, 2017 por Pablo Alejandro Fain

Esta tarde la comunidad de Internet perdió una gran batalla. Desde hace más de dos años, la Neutralidad de Red ha estado en boca de todos. Inclusive le dediqué un post bastante extenso que aun pueden leer acá. Pero… ¿Qué significa realmente la Neutralidad de Red? Antes de hablar de la definción precisa, veamos un poco cómo se maneja el tráfico en Internet. Supongamos que somos clientes del proveedor A. El proveedor B aloja en su red el diario que leemos todas las mañanas. Sin embargo, estos dos proveedores no tienen un “acuerdo de peering” o conectividad, por lo que el proveedor A le pagará al proveedor C para que le permita llegar hasta el B. Para evitar el uso de estas “redes intermedias”, se diseñaron los puntos de interconexión. Éstos permiten al proveedor A conectarse al equipamiento que lo llevará directamente al proveedor B y a muchos otros, sin necesidad de firmar un acuerdo con cada uno de ellos. De esta manera, el tráfico del proveedor A será enrutado directamente hacia el proveedor B sin pasar por el C. En la siguiente imagen podemos ver en detalle el ejemplo anterior. El proveedor local A (ISP-A) debería “transportar” el tráfico de …

BGP, uno de los pilares de Internet

enero 4, 2019junio 19, 2015 por Pablo Alejandro Fain

Internet es una gran red de redes interconectadas entre sí que funciona gracias a tres pilares fundamentales: los cables de fibra óptica, el protocolo BGP y el protocolo DNS. Los cables de fibra óptica submarinos son su pilar principal. A través de ellos viaja gran parte de la información que circula por Internet y, como se observa en la siguiente imagen, atraviesan mares y océanos conectando las principales ciudades del mundo. Mapa del cableado submarino global. Fuente: submarinecablemap.com. El protocolo DNS es una suerte de “libreta de direcciones”. Se encarga de “traducir” los nombres de dominio (por ej. www.facebook.com) en una dirección IP, que será la que nuestro dispositivo deberá buscar para llegar a destino. En otras palabras, evita que tengamos que recordar las direcciones IP de los sitios que visitamos a diario. Podrán encontrar más detalles en un artículo que escribí hace algunos años, aquí. Como hemos visto anteriormente, en Internet existen tres tipos de ISP (o Proveedores de Servicios de Internet, por sus siglas en inglés). Los proveedores de nivel 3 son aquellos que brindan servicio a usuarios hogareños o empresas y que “compran” mediante acuerdos de peering el acceso a las demás redes a proveedores de nivel 2 (normalmente regionales). Estos últimos, a su vez, celebran acuerdos de peering con los de nivel 1 (como Level 3 …

Agregando perfiles sociales a los resultados de búsqueda de Google

enero 4, 2019enero 20, 2015 por Pablo Alejandro Fain

Hace algún tiempo Google publicó las instrucciones para vincular los resultados de búsqueda de los sitios en los que publicamos contenido con nuestra información de autor y foto de perfil. Tiempo más tarde, sin embargo, se arrepintió y decidió revertir este cambio ya que, según indicaron, los resultados que mostraban la información del autor vieron reducida su cantidad de clicks. Ahora han decidido dar un paso más en la personalización de los resultados de búsqueda, permitiendo agregar los perfiles de redes sociales a los resultados de búsqueda relacionados con cada usuario. El proceso es bastante sencillo, y requiere que los usuarios u organizaciones que deseen mostrar sus perfiles sociales en los resultados de búsqueda de Google agreguen un pequeño script en sus páginas/blogs. En el siguiente ejemplo podemos observar el script para una organización: { “@context” : “http://schema.org”, “@type” : “Organization”, “name” : “Nombre de la organización”, “url” : “http://www.your-site.com”, “sameAs” : [ “http://www.facebook.com/perfil”, “http://www.twitter.com/perfil”, “http://plus.google.com/perfil”] } Y a continuación el script para un usuario: { “@context” : “http://schema.org”, “@type” : “Person”, “name” : “Nombre del usuario”, “url” : “http://www.your-site.com”, “sameAs” : [ “http://www.facebook.com/perfil”, “http://instagram.com/perfil”, “http://www.linkedin.com/in/perfil”, “http://plus.google.com/perfil”] } El script puede ser ubicado en cualquier lugar de la página de la organización o el usuario, como el encabezado o el cuerpo. …

El impuesto a Netflix o cómo una mala interpretación puede causar estragos

enero 4, 2019septiembre 3, 2014 por Pablo Alejandro Fain

Hoy, como todos los días, me desperté, puse el canal de las noticias en la TV, respondí algunos mails urgentes y seguí adelante mi rutina con Twitter. Entre tweet y tweet encontré uno de la queridísima @roxe__ en el que hacía retweet al periodista Werner Pertot, quien horas atrás compartía un artículo del portal de noticias Tiempo Argentino. ¿Macri le va a cobrar un impuesto a los que tengan Netflix? ¿Es joda, no? http://t.co/2haMRvVzGZ Buen día! — Werner Pertot (@WernerPertot) September 3, 2014 El título era arrasador: “Impuesto porteño a los que consuman películas por la Web“. Y hacía referencia a la resolución número 593 de la AGIP (Agencia Gubernamental de Ingresos Públicos de la Ciudad de Buenos Aires), publicada el día de ayer en el boletín oficial número 4471, en la que se establece una retención del 3% sobre los ingresos brutos generados por la contratación de servicios de suscripción online para acceder a películas, TV y otros tipos de entretenimiento audiovisual (música, juegos, videos, o similares) transmitidos por Internet o televisión por Cable. [gview file=”https://blog.pablofain.com/wp-content/uploads/2014/09/el-impuesto-a-netflix-o-como-una-mala-interpretacion-puede-causar-estragos.pdf”] Sin embargo, Tiempo Argentino malinterpretó la resolución generando bronca en los usuarios de estos servicios. En su artículo afirma “No queda claro por qué el …