Hacía ya algún tiempo venía manejando la idea de implementar CSP en mi blog de WordPress. CSP -o Content Security Policy, por sus siglas en inglés- es un estándar que define un conjunto de orígenes pre-aprobados desde los que un…
Etiqueta: Redes sociales
Por qué no es una buena idea reutilizar contraseñas (el caso HSBC)
Hace pocos días uno de los bancos más grandes el mundo, HSBC, confirmó que algunos de sus clientes en los Estados Unidos fueron víctimas de un ataque conocido como credential stuffing. Este tipo de ataque utiliza nombres de usuario y…
¿Cómo funciona la autenticación multifactor?
Esta es la tercera de una serie de entregas dedicadas a temas de seguridad en línea. En la primera hablamos sobre los administradores de contraseñas y en la segunda sobre las -cada vez más populares- filtraciones de datos. Hoy vamos…
¿Alguna vez te preguntaste si tu e-mail podría estar comprometido en alguna filtración de datos?
En la primera de esta serie de entregas hablamos sobre los administradores de contraseñas. Hoy vamos a analizar las filtraciones de datos (data breach, por sus siglas en inglés). Qué son, cómo nos afectan, y por qué cada vez son…
Todos necesitamos un administrador de contraseñas
[Post actualizado al 8 de Julio de 2020 con nuevas referencias] Hasta hace algunos años utilizaba un mecanismo para almacenar contraseñas que, a mi criterio, era infalible. Pero la tecnología evolucionó, y con ella los riesgos asociados a utilizar contraseñas…
BGP, uno de los pilares de Internet
Internet es una gran red de redes interconectadas entre sí que funciona gracias a tres pilares fundamentales: los cables de fibra óptica, el protocolo BGP y el protocolo DNS. Los cables de fibra óptica submarinos son su pilar principal. A través…
Cómo proteger mi sitio de WordPress con SSL
Hace algunos días anunciábamos los cambios que está implementando Google en su motor de búsqueda, relacionados con la idea de “subir” el ranking de los sitios que trabajen bajo un protocolo de navegación seguro (SSL/TLS) en los resultados de búsqueda.
Esto, sumado a los acontecimientos que en los últimos meses han demostrado la necesidad de tomar mayores recaudos a la hora de hablar de seguridad en Internet, nos lleva a evaluar diferentes alternativas para proteger nuestra información. En este post les ayudaré a implementar un certificado de seguridad (SSL/TLS) en un sitio de WordPress self-hosted.
WordPress.com no soporta el uso del HTTPS en dominios personalizados. Sin embargo, sí lo permite en aquellos blogs con dominio finalizado en wordpress.com. Más info aquí.
TLS (Transport Layer Security, por sus siglas en inglés) es uno de los protocolos de cifrado de información comunmente utilizados en Internet para proteger los datos enviados entre dos equipos. Más conocido como “HTTPS” o “HTTP con candado”, TLS y SSL, su antecesor, permiten a los usuarios asegurarse que los datos que intercambian en un sitio web viajan de manera segura y no puedan ser interceptados por usuarios malintencionados.
Hosting y SSL
Contraseñas de usuarios de Bitly comprometidas (y van…)
Hace algunos días el equipo de seguridad de Bitly, popular servicio de acortamiento de direcciones conocido por sus dominios bit.ly o j.mp, fue alertado de un posible acceso no autorizado a sus bases de datos.
Al respecto, Rob Platzer, CTO de la compañía con sede en New York, informó mediante un comunicado de prensa publicado en su blog que el entorno productivo de Bitly no se encuentra comprometido.
Nuestro equipo de Seguridad logró determinar con un alto grado de confianza que no existieron conexiones externas hacia nuestra base de datos de usuarios de producción, asi como tampoco a nuestras redes o servidores. Sin embargo, observaron una cantidad inusual de tráfico originado desde nuestro sistema de almacenamiento externo de backup. En este punto, consideramos que el mejor camino era considerar nuestra base de usuarios comprometida y ejecutar un inmediato plan de respuesta que incluyó algunas tareas para proteger las cuentas de Facebook y Twitter conectadas a nuestros usuarios.
Las acciones ejecutadas por el equipo de Seguridad de Bitly fueron las siguientes:
Vulnerabilidad Heartbleed. ¿De qué se trata?
Quizá en los últimos días hayan oído mencionar mucho las palabras Heartbleed y OpenSSL. Pero… ¿De qué se trata todo esto?
Heartbleed es el nombre que se le dió a un agujero de seguridad (bug o vulnerabiliad) que afecta a los servidores web como Apache y Nginx que utilizan tecnología OpenSSL para procesar sus transacciones seguras.
OpenSSL, hermano de OpenSSH, es un paquete de herramientas y librerías de código abierto que permite a los administradores de sitios web encriptar las comunicaciones cliente <–> servidor mediante certificados de seguridad (el famoso HTTPS), entre otras funcionalidades. Está basado en la librería SSLeay desarrollada por Eric Young y Tim Hudson y permite su uso con propósitos comerciales y no comerciales. Es, por esto último, que se estima que dos tercios de los sitios web de Internet podrían estar o haber estado afectados por esta vulnerabilidad.
Un poco de historia
La vulnerabilidad fue introducida en Diciembre de 2011 y distribuida junto con la versión 1.0.1 y posteriores de OpenSSL, publicada a partir del 14 de Marzo de 2012.
El pasado 3 de Diciembre de 2013, Neel Mehta, del equipo de Seguridad de Google, reportó la existencia de un bug en el código de las versiones 1.0.1, 1.0.1f y 1.0.2 beta-1 que podría permitir que las comunicaciones cifradas sean interceptadas utilizando el método man-in-the-middle, en el que un atacante es capaz de leer y modificar la información intercambiada entre dos equipos sin generar ninguna sospecha. Además, la vulnerabilidad pone en riesgo las claves SSL privadas de los servidores, por lo que los sitios afectados debieron re-generar sus certificados de seguridad luego de corregir el fallo.
El nombre heartbleed (sangrado del corazón) fue elegido por un ingeniero de la firma de seguridad informática Codenomicon, quien también diseñó el logo y puso en línea el sitio oficial de la vulnerabilidad. Según información proporcionada por Codenomicon, Mehta reportó el fallo primero aunque ambos lo hicieron de manera independiente.
La vulnerabilidad quedó registrada bajo el CVE (Common Vulnerabilities and Exposures, por sus siglas en inglés) CVE-2014-0160. Considerando que fue introducida al código de OpenSSL en la versión 1.0.1, veriones anteriores también se encuentran seguras (1.0.0 y 0.9.8). Mediante el sitio oficial del proyecto, el pasado 7 de abril se publicó la versión 1.0.1g de OpenSSL que elimina la vulnerabilidad y se espera que en las próximas semanas se publique la 1.0.2-beta2 con la misma modificación.
Recomendaciones para usuarios
El robo de contraseñas o qué hacer para no perder la cabeza
Durante la tarde de ayer, Yahoo!, uno de los pioneros en servicios de internet, sufrió intentos de acceso no autorizados a un número no revelado de cuentas de su servicio de correo electrónico basado en la web Yahoo! Mail.
Según indicó mediante un comunicado de prensa Jay Rossiter, Vice Presidente Senior de Plataformas y Personalización de Productos de la compañía con sede en el Silicon Valley, no existe evidencia de que los datos de inicio de sesión (nombres de usuario y claves) hayan sido obtenidos directamente de Yahoo!. Hasta el momento la sospecha más firme es que corresponden a información robada a terceros con anterioridad.
Con el objetivo de proteger a sus usuarios del acceso no autorizado, Yahoo! decidió resetear las contraseñas de las cuentas comprometidas y activar la verificacion de doble factor.
La actualidad
Lo cierto es que cada vez predomina más el robo -o la pérdida- de datos de usuarios. Entre los casos más recientes puedo mencionar:
-
- Noviembre/2013: La compañía de seguridad informática Trustwave reveló la existencia de un virus diseminado en millones de equipos hogareños a lo largo de todo el planeta que enviaba los datos de inicio de sesión de los usuarios a servidores remotos. La totalidad de usuarios y contraseñas, que ascendió a 2 millones, estaba compuesta por 318.000 cuentas de Facebook, 70.000 cuentas de Google (incluyendo Gmail, YouTube y Google+), 60.000 cuentas de Yahoo!, 22.000 cuentas de Twitter, 8.000 cuentas de LinkedIn y 17.000 cuentas de otros servicios menos populares.
- Octubre/2013: Adobe sufrió el robo de más de 38 millones de contraseñas, entre las que se encontraban “123456”o “123456789” como las más utilizadas.
