Seguridad archivos - Pablo Alejandro Fain

Usando CSP para incrementar la seguridad de tu sitio web

enero 4, 2019enero 3, 2019 por Pablo Alejandro Fain

Hacía ya algún tiempo venía manejando la idea de implementar CSP en mi blog de WordPress. CSP -o Content Security Policy, por sus siglas en inglés- es un estándar que define un conjunto de orígenes pre-aprobados desde los que un navegador puede cargar recursos cuando visita un sitio web. Ayuda a prevenir ataques de Cross Site Scripting (XSS), data injection, entre otros. Cuando el navegador visita un sitio web tiene que cargar fuentes, hojas de estilo, imágenes, scripts, etc. Por ejemplo, este blog utiliza la fuente Open Sans de Google por lo que cada vez que alguien lo visite su navegador estará haciendo una llamada hacia el dominio fonts.googleapis.com. También utiliza las fotos de perfil de Gravatar, a través de secure.gravatar.com. Y así con el resto de los recursos. Para habilitar CSP, el sitio web debe enviar un encabezado HTTP especial llamado Content-Security-Policy (también conocido como X-Content-Security-Policy). Como alternativa al encabezado HTTP se puede implementar CSP utilizando la etiqueta <meta>. Por ejemplo: Podríamos decir que CSP es una suerte de lista blanca de orígenes y, por ende, una forma de prevenir ataques por inyección de código malicioso. Cada plataforma web tiene su forma de manejar los encabezados HTTP. Para WordPress, por ejemplo, …

Atacantes lograron eludir la autenticación multifactor

diciembre 19, 2018diciembre 19, 2018 por Pablo Alejandro Fain

Cuando de buenas prácticas para la protección de nuestra presencia en línea se trata, ustedes saben que mi principal recomendación es habilitar la autenticación multifactor (doble factor de autenticación, o autenticación de dos pasos). Pero los atacantes siempre se las ingenian, y esta vez lograron engañar a los usuarios para hacerse del código temporal (token) necesario para completar la autenticación multifactor. Un reporte publicado hace apenas algunas horas por Aministía Internacional muestra en detalle cómo se dieron estos ataques a cuentas de usuarios de Gmail y Yahoo, incluso a aquellos con autenticación multifactor habilitada. Las víctimas eran dirigidas a un sitio apócrifo, idéntico al de inicio de sesión de Gmail o de Yahoo, técnica conocida como phishing. Una vez que el usuario ingresaba su dirección de e-mail y contraseña, la misma infraestructura en la que el sitio falso estaba almacenada realizaba el intento de inicio de sesión en el servicio real. Si éste requeria la utilización de un factor adicional, lo notificaba al sitio apócrifo para que éste se lo requiriera al usuario. Una vez que la víctima ingresaba el token, el atacante obtenía acceso a la cuenta real. En algunos casos se detectó incluso que el atacante había generado …

Las cuentas Microsoft ahora soportan autenticación sin contraseña mediante dispositivos FIDO 2

diciembre 6, 2018noviembre 24, 2018 por Pablo Alejandro Fain

Microsoft y Yubico anunciaron esta semana que los usuarios de cuentas Microsoft (aquellas con dominio terminado en msn.com, hotmail.com, outlook.com, etc.) podrán iniciar sesión sin necesidad de ingresar una contraseña. Simplemente deberán insertar un dispositivo compatible con el estándar FIDO2/WebAuthn, como la YubiKey 5. Los usuarios de Office 365 deberán esperar unos meses más. Hace ya algunos años que Microsoft viene trabajando en su estrategia de inicio de sesión sin contraseñas -passwordless-. La aprobación de inicio de sesión a través de las notificaciones push de su aplicación Microsoft Authenticator son un gran ejemplo. El usuario ingresa su dirección de e-mail, presiona Siguiente y aprueba el inicio de sesión desde su teléfono o wearable. Pero ahora le llegó la oportunidad a las llaves de autenticación. En este post hablaba sobre las diferentes formas de autenticación multifactor y mencionaba las dos llaves de autenticación más populares, la YubiKey y la Titan -de Google-. Estas llaves trabajan con el estandar U2F, entre otros. Cuando conectamos por primera vez una llave U2F -o Universal Second Factor, por sus siglas en inglés- para asociarla con un sitio, ésta genera una clave pública y una privada (encriptada). La clave pública es enviada al proveedor de autenticación …

Por qué no es una buena idea reutilizar contraseñas (el caso HSBC)

enero 4, 2019noviembre 12, 2018 por Pablo Alejandro Fain

Hace pocos días uno de los bancos más grandes el mundo, HSBC, confirmó que algunos de sus clientes en los Estados Unidos fueron víctimas de un ataque conocido como credential stuffing. Este tipo de ataque utiliza nombres de usuario y contraseñas previamente comprometidos para obtener acceso a otros servicios. En respuesta a la BBC, el banco informó: HSBC lamenta este incidente, y tomamos la responsabilidad de proteger a nuestros clientes muy en serio. Hemos notificado a los clientes cuyas cuentas han podido ser víctimas de este acceso no autorizado, y les hemos ofrecido un año de servicio de monitoreo de crédito –credit monitoring- y protección de robo de identidad -identity theft protection-. HSBC confirmó que las cuentas de los clientes fueron accedidas durante los primeros quince días del mes de Octubre, y que la violación de datos incluyó nombres y apellidos de los clientes, su dirección postal, números de teléfonos, direcciones de e-mail, fecha de nacimiento, número y tipo de cuenta, historial de transacciones y saldo de sus cuentas. Responsabilidad compartida Podríamos culpar al usuario por haber reutilizado las contraseñas, pero también al banco por no haber implementado los mecanismos de seguridad necesarios para prevenir este tipo de hechos (autenticación …

¿Cómo funciona la autenticación multifactor?

enero 11, 2019agosto 18, 2018 por Pablo Alejandro Fain

Esta es la tercera de una serie de entregas dedicadas a temas de seguridad en Internet y cómo incrementar nuestro escudo protector cuando estamos en línea. En la primera hablamos sobre los administradores de contraseñas y en la segunda sobre las -cada vez más populares- violaciones de datos. Hoy vamos a hablar sobre el doble factor de autenticación, también conocido como two factor authentication, 2FA, o MFA -multi factor authentication-, por sus siglas en inglés. El concepto de doble factor de autenticación (aunque algunos lo llaman autenticación de dos pasos, pero eso lo vamos a hablar más adelante) dice que el usuario debe ser “desafiado” a utilizar dos mecanismos de autenticación entre los siguientes tres: Algo que sabés Algo que tenés Algo que sos Algo que sabés suele ser tu contraseña, y este es el primer factor de autenticación que usamos en todos lados. Algo que sos podría ser tu huella digital, reconocimiento facial, de retina, entre otros. Pero vamos a hablar del segundo mecanismo de autenticación más utilizado en el mundo: algo que tenés. Algo que tenés puede ser una tarjeta inteligente –smart card-, una llave de autenticación (como las YubiKey) o un token (físico o virtual). Para que …

¿Alguna vez te preguntaste si tu e-mail podría estar comprometido por culpa de una violación de datos a terceros?

enero 4, 2019junio 28, 2018 por Pablo Alejandro Fain

Esta es la segunda de una serie de entregas dedicada a temas de seguridad en Internet y cómo incrementar nuestro escudo protector cuando estamos en línea. En la primera hablamos sobre los administradores de contraseñas. Las violaciones de datos (data breach, por sus siglas en inglés) son cada vez más comunes y no solo afectan a usuarios domésticos, sino a empresas de todo tipo y hasta a organismos de gobierno. Definamos violación de datos Una violación de datos es una situación en la que información sensible, confidencial y que debería haber estado protegida cae en manos de terceros quienes, en la mayoría de los casos, tienen propósitos malintencionados. Las violaciones de datos pueden incluir información personal (nombre y apellido, números de identificación (como es el caso del DNI en Argentina), números de tarjetas de crédito, contraseñas, entre otros. Las últimas violaciones de datos de público conocimiento han afectado a gran cantidad de usuarios: Trik Spam Botnet (2018): Más de 43 millones de direcciones comprometidas. Ticketfly (2018): Más de 26 millones de direcciones comprometidas. Taringa (2017): 28 millones de direcciones comprometidas. MySpace (2008): 360 millones de direcciones comprometidas. LinkedIn (2016): 165 millones de direcciones comprometidas. Adobe (2013): Más de 150 millones …

Todos necesitamos un administrador de contraseñas

enero 4, 2019febrero 24, 2018 por Pablo Alejandro Fain

Esta es la primera de una serie de entregas dedicada a temas de seguridad en Internet y cómo incrementar nuestro escudo protector cuando estamos en línea. No es nada nuevo que quienes trabajamos en IT, y en especial aquellos que nos enfocamos en cuestiones de ciberseguridad o seguridad informática insistamos en la necesidad de usar un administrador de contraseñas. Siempre que hablo con alguien sobre ciberseguridad y cómo proteger los sistemas de una organización (aunque aplica perfectamente a la computadora que Mabel, de 80 años, usa para hablar por Skype con sus nietos que viven en el interior), insisto en que la responsabilidad principal recae sobre el usuario. El usuario que está frente a su computadora o celular es, en una gran cantidad de casos, la primer barrera que debe atravesar un atacante para obtener acceso a los sistemas. Suplantación de identidad (phishing), ingeniería social, malware, y la lista podría seguir. Todos tienen como principal punto de interés al usuario. Pero algo que muchos pasan por alto es el tema de las contraseñas. Tenemos tan asimilado el proceso de iniciar sesión en los sitios que utilizamos a diario que nos olvidamos de la importancia de las contraseñas. La contraseña es …

Por qué es importante DMARC en una estrategia de e-mail

enero 10, 2019diciembre 5, 2016 por Pablo Alejandro Fain

DMARC (o Autenticación de mensajes, informes y conformidad basada en dominios, por sus siglas en inglés), es un mecanismo de autenticación de correos electrónicos relativamente joven que permite a los remitentes garantizar a sus destinatarios que los mensajes que han recibido fueron originados por su organización. Fue establecido mediante el RFC7489 y publicado por primera vez en Marzo de 2012. Si bien DMARC depende de los mecanismos SPF y DKIM, existen grandes diferencias entre ellos. Mientras que SPF y DKIM están enfocados en lo que conocemos como “SMTP MAIL-FROM” (también llamado envelope-from o 5321.MailFrom, quien especifica la dirección para devolución de mensajes al remitente), DMARC verifica que el dominio del 5321.MailFrom y el de 5322.From (la dirección de correo que vemos en el campo “DE“) se encuentren alineados. Pongámoslo en un ejemplo: Mail-From: [email protected] De: “Frank” <[email protected]> Para: “Andrew” <[email protected]> Asunto: Vencimiento de nombre de dominio – Acción requerida Si el dominio dominiofalso.com tiene correctamente configurado su registro SPF, el servidor de correo de example.com lo tratará como un mensaje “sano” y pasará la prueba de seguridad. Dado que el cliente de correo de Andrew solo le mostrará la dirección en el campo “From“, Andrew creerá que el mensaje proviene de un origen seguro. Sin embargo, si miempresa.com tuviese configurado el registro _dmarc.miempresa.com con …

Conectando Internet mediante Puntos de Intercambio

enero 4, 2019febrero 13, 2016 por Pablo Alejandro Fain

Tiempo atrás les hablaba de BGP, el protocolo de intercambio de rutas de interconexión entre proveedores de Internet. Hoy vamos a hablar de los IXP (Internet Exchange Points) o Puntos de Intercambio, que cumplen un papel central en la transferencia de datos de Internet. Los IXP son centros de datos físicos donde proveedores de servicios de Internet, universidades, organismos estatales y otras empresas conectan sus redes entre sí en beneficio mutuo. Al día de publicada esta nota existen más de 490 IXP alrededor del mundo, siendo los principales: DE-CIX (ubicado en Alemania, con un promedio de transferencia de datos diario de 2.7 Tbps y picos de 4.9 Tbps), AMS-IX (ubicado en los Países Bajos, con un promedio de transferencia de datos diario de 2.48 Tbps y picos de 4.2 Tbps) y LINX (ubicado en Londres, con un promedio diario de 2.1 Tbps y picos de 3 Tbps). No debemos olvidar el NAP de las Américas (ubicado en Miami, Estados Unidos), que debe ser el que mayor intercambio de tráfico realiza a nivel Global pero que no publica información por cuestiones de seguridad y privacidad. BGP utiliza como decisión principal de enrutamiento la cantidad de sistemas autónomos que debe atravesar y no la cantidad de saltos (o …

OpenSSL recibe una importante actualización de seguridad

enero 4, 2019marzo 20, 2015 por Pablo Alejandro Fain

Los responsables del proyecto OpenSSL, paquete de herramientas de administración y bibliotecas que suministran funciones criptográficas a otros paquetes como OpenSSH, y pieza fundamental de las implementaciones de protocolos de transferencia seguro (como SSL o TLS), han publicado hace pocas horas una serie de actualizaciones de seguridad, incluyendo algunas de caracter crítico. Las versiones 1.0.1, 1.0.0 y 0.9.8 de OpenSSL deben ser actualizadas inmediatamente a 1.0.1k, 1.0.0p y 0.9.8zd respectivamente. Por su parte, la versión 1.0.2 debe ser actualizada a la 1.0.2a. Entre las actualizaciones se soluciona una vulnerabilidad que podría permitir que atacantes intercepten comunicaciones seguras (“man-in-the-middle attack”) y otra que podría permitir ataques de denegación de servicio (DDos). Se recomienda a todos los administradores de sistemas actualizar OpenSSL a la última versión disponible para evitar que usuarios malintencionados puedan aprovecharse de las vulnerabilidades del software desactualizado. ¡Hasta la próxima! Fuente de la imagen: http://gapcommunity.com/