Usando CSP para incrementar la seguridad de tu sitio web

Hacía ya algún tiempo venía manejando la idea de implementar CSP en mi blog de WordPress. CSP -o Content Security Policy, por sus siglas en inglés- es un estándar que define un conjunto de orígenes pre-aprobados desde los que un navegador puede cargar recursos cuando visita un sitio web. Ayuda a prevenir ataques de Cross Site Scripting (XSS), data injection, entre otros. Cuando el navegador visita un sitio web tiene que cargar fuentes, hojas de estilo, imágenes, scripts, etc. Por ejemplo, este blog utiliza la fuente Open Sans de Google por lo que cada vez que alguien lo visite su navegador estará haciendo una llamada hacia el dominio fonts.googleapis.com. También utiliza las fotos de perfil de Gravatar, a través de secure.gravatar.com. Y así con el resto de los recursos. Para habilitar CSP, el sitio web debe enviar un encabezado HTTP especial llamado Content-Security-Policy (también conocido como X-Content-Security-Policy). Como alternativa al encabezado HTTP se puede implementar CSP utilizando la etiqueta <meta>. Por ejemplo: Podríamos decir que CSP es una suerte de lista blanca de orígenes y, por ende, una forma de prevenir ataques por inyección de código malicioso. Cada plataforma web tiene su forma de manejar los encabezados HTTP. Para WordPress, por ejemplo, …

Read moreUsando CSP para incrementar la seguridad de tu sitio web

Qué pasa cuando la autenticación multifactor falla

El lunes 19 de Noviembre, alrededor de las 04:39 UTC, usuarios de los servicios de Office 365 y Azure alrededor del mundo comenzaron a experimentar problemas para iniciar sesión en sus cuentas. Al intentarlo, luego de ingresar la dirección de e-mail de la organización y la contraseña, se podía observar la clásica página de inicio de sesión aguardando la aprobación multifactor o el ingreso del token de seis dígitos. Para el caso de la aprobación, el pedido nunca llegaba a la aplicación Microsoft Authenticator. Los tokens, por su parte, directamente no funcionaban, y los SMS no llegaban al usuario. La página de estado de Office 365 informó acerca de la situación mediante la notificación de servicio MO165510 -que llegó unas cuantas horas más tarde de lo esperado– en la que confirmaban que los usuarios con MFA (autenticación multifactor, por su nombre en inglés) habilitado podrían tener problemas para iniciar sesión. Y esto es lo que se veía en la página de estado de los servicios de Azure alrededor de las 10 AM hora Argentina. ¿Deshabilitar o no deshabilitar MFA? Es un tema complejo. Definitivamente los administradores de Office 365 y Azure AD debieron haberse visto presionados por los usuarios -especialmente por los high-profile– …

Read moreQué pasa cuando la autenticación multifactor falla

Larga vida a la neutralidad de red

Esta tarde la comunidad de Internet perdió una gran batalla. Desde hace más de dos años, la Neutralidad de Red ha estado en boca de todos. Inclusive le dediqué un post bastante extenso que aun pueden leer acá. Pero… ¿Qué significa realmente la Neutralidad de Red? Antes de hablar de la definción precisa, veamos un poco cómo se maneja el tráfico en Internet. Supongamos que somos clientes del proveedor A. El proveedor B aloja en su red el diario que leemos todas las mañanas. Sin embargo, estos dos proveedores no tienen un “acuerdo de peering” o conectividad, por lo que el proveedor A le pagará al proveedor C para que le permita llegar hasta el B. Para evitar el uso de estas “redes intermedias”, se diseñaron los puntos de interconexión. Éstos permiten al proveedor A conectarse al equipamiento que lo llevará directamente al proveedor B y a muchos otros, sin necesidad de firmar un acuerdo con cada uno de ellos. De esta manera, el tráfico del proveedor A será enrutado directamente hacia el proveedor B sin pasar por el C. En la siguiente imagen podemos ver en detalle el ejemplo anterior. El proveedor local A (ISP-A) debería “transportar” el tráfico de …

Read moreLarga vida a la neutralidad de red

Qué es KRACK, la vulnerabilidad de la que todos hablan

Hace algunos días comenzaba a circular por Internet la noticia de que hoy, 16 de Octubre, se daría a conocer públicamente una vulnerabilidad que afecta practicamente a todas las implementaciones de redes inalámbricas Wi-Fi. Y digo “practicamente todas”, porque la vulnerabilidad afecta a aquellas redes que utilizan el protocolo WPA2 para cifrar las comunicaciones entre el router/AP y el dispositivo cliente (laptop, celular, etc). KRACK, acrónimo de “Key Reinstallation Attack” o “Ataque por reinstalación de clave”, es un ataque al protocolo WPA2, que fue descubierto este mismo año por el investigador Belga Mathy Vanhoef, y aprovecha una vulnerabilidad en el mecanismo de enlace de 4 vias (four-way handshake), que utilizan los routers Wi-Fi y los dispositivos cliente a la hora de establecer una conexión entre ellos. El protocolo WPA2 ejecuta el mecanismo de enlace de 4 vias cada vez que un cliente intenta “unirse” a una red Wi-Fi protegida, y lo utiliza para confirmar que tanto el cliente como el router/AP poseen la contraseña adecuada (pre-shared key o clave pre-compartida). Como resultado de la ejecución del mecanismo de enlace de 4 vias, se genera una clave de cifrado nueva que será utilizada para encriptar el tráfico intercambiado entre el cliente …

Read moreQué es KRACK, la vulnerabilidad de la que todos hablan

Conectando Internet mediante Puntos de Intercambio

Tiempo atrás les hablaba de BGP, el protocolo de intercambio de rutas de interconexión entre proveedores de Internet. Hoy vamos a hablar de los IXP (Internet Exchange Points) o Puntos de Intercambio, que cumplen un papel central en la transferencia de datos de Internet. Los IXP son centros de datos físicos donde proveedores de servicios de Internet, universidades, organismos estatales y otras empresas conectan sus redes entre sí en beneficio mutuo. Al día de publicada esta nota existen más de 490 IXP alrededor del mundo, siendo los principales: DE-CIX (ubicado en Alemania, con un promedio de transferencia de datos diario de 2.7 Tbps y picos de 4.9 Tbps), AMS-IX (ubicado en los Países Bajos, con un promedio de transferencia de datos diario de 2.48 Tbps y picos de 4.2 Tbps) y LINX (ubicado en Londres, con un promedio diario de 2.1 Tbps y picos de 3 Tbps). No debemos olvidar el NAP de las Américas (ubicado en Miami, Estados Unidos), que debe ser el que mayor intercambio de tráfico realiza a nivel Global pero que no publica información por cuestiones de seguridad y privacidad. BGP utiliza como decisión principal de enrutamiento la cantidad de sistemas autónomos que debe atravesar y no la cantidad de saltos (o …

Read moreConectando Internet mediante Puntos de Intercambio

Puntos clave de la ley “Argentina Digital”

Photo by Markus Spiske on Unsplash

Durante la mañana del día de ayer,  el jefe de Gabinete (Jorge Capitanich), el ministro de Planificación (Julio de Vido), el ministro de Economía (Axel Kicillof) y el Secretario de Comunicaciones (Norberto Berner), anunciaron el envío al Congreso del proyecto de ley Argentina Digital. Este proyecto busca regularizar la normativa vigente sobre los servicios de telecomunicaciones en el ámbito de la República Argentina, que actualmente se rige por la Ley de Telecomunicaciones N° 19.798 que data del año 1972. Si solo contempláramos los últimos cuatro o cinco años, deberíamos decir que esta legislación es totalmente obsoleta. Los puntos clave Declara de interés público el desarrollo y la regulación de las tecnologías de la información, las comunicaciones y sus recursos asociados, garantizando la completa neutralidad de sus redes. Garantiza el acceso de todos los habitantes a las telecomunicaciones, independientemente de la ubicación geográfica en la que se encuentren dentro de la República Argentina. Considera al correo electrónico como un derecho inviolable, al igual que ya lo es la correspondencia postal, y plantea que su interceptación solo podrá ser posible mediante requerimiento oficial de un juzgado. Declara como servicios de Tecnologías de la Información y las Comunicaciones (TIC) a aquellos de transmisión de información como voz, datos, texto, video e imágenes. Incorpora …

Read morePuntos clave de la ley “Argentina Digital”

Efecto 512k ¿El fin de Internet?

Photo by Markus Spiske on Unsplash

De acuerdo, reconozco que el título suena aterrador. Pero déjenme contarles de qué se trata.

Ya he mencionado en notas anteriores el rol que cumplen los proveedores de nivel 1, aquellos que “sostienen” a la red de redes. Éstos, mediante un protocolo llamado “BGP”  (Border Gateway Protocol, por sus siglas en inglés), intercambian información de enrutamiento de datos con otros proveedores.

Dicho de un modo más sencillo, cuando enviamos un correo electrónico desde Buenos Aires a, por ejemplo, un proveedor de Estados Unidos, los equipos de conmutación de nuestro proveedor de Internet buscarán el camino más rápido para llegar a destino. Esto implica leer lo que conocemos como “Tablas de enrutamiento”, las cuales almacenan la información relativa a las direcciones IP de cada proveedor. Pongamos el siguiente ejemplo:

El proveedor A opera con el rango de direcciones IP 100.100.100.1 al 100.100.100.255, mientras que el proveedor B lo hace con el 200.200.200.1 al 200.200.200.255.

El proveedor C debe encaminar un correo electrónico de uno de sus clientes hacia la dirección IP 100.100.100.20. Mediante la información disponible en las tablas de enrutamiento de sus equipos, transmitirá los paquetes por Internet hasta llegar al proveedor A (el dueño de la dirección IP de destino). En su camino, estos paquetes pudieron haber pasado por las redes de otros proveedores, quienes los llevarán finalmente a destino.

La causa raíz

Read moreEfecto 512k ¿El fin de Internet?

Cómo proteger mi sitio de WordPress con SSL

Photo by Markus Spiske on Unsplash

Hace algunos días anunciábamos los cambios que está implementando Google en su motor de búsqueda, relacionados con la idea de “subir” el ranking de los sitios que trabajen bajo un protocolo de navegación seguro (SSL/TLS) en los resultados de búsqueda.

Esto, sumado a los acontecimientos que en los últimos meses han demostrado la necesidad de tomar mayores recaudos a la hora de hablar de seguridad en Internet, nos lleva a evaluar diferentes alternativas para proteger nuestra información. En este post les ayudaré a implementar un certificado de seguridad (SSL/TLS) en un sitio de WordPress self-hosted.

WordPress.com no soporta el uso del HTTPS en dominios personalizados. Sin embargo, sí lo permite en aquellos blogs con dominio finalizado en wordpress.com. Más info aquí.

TLS (Transport Layer Security, por sus siglas en inglés) es uno de los protocolos de cifrado de información comunmente utilizados en Internet para proteger los datos enviados entre dos equipos. Más conocido como “HTTPS” o “HTTP con candado”, TLS y SSL, su antecesor, permiten a los usuarios asegurarse que los datos que intercambian en un sitio web viajan de manera segura y no puedan ser interceptados por usuarios malintencionados.

Hosting y SSL

Read moreCómo proteger mi sitio de WordPress con SSL

“The Pirate Bay” nuevamente accesible desde Argentina y Paraguay

Photo by Markus Spiske on Unsplash

Ayer les acercábamos la primicia, de la mano de algunos usuarios de internet en Paraguay, quienes nos hicieron saber que el bloqueo a The Pirate Bay (TPB) en Argentina los estaba afectando a ellos también.

Y es que Paraguay, por tratarse de un país sin salida al mar, se abastece de internet mediante acuerdos de peering con proveedores de Argentina y Brasil, quienes fueron intimados por la Comisión Nacional de Comunicaciones a bloquear el acceso al sitio en el marco de una medida cautelar dictaminada en favor de CAPIF.

La interconexión, conocida como peering, permite a los proveedores de internet (ISP) intercambiar tráfico (datos) entre ellos. Existen acuerdos de peering del tipo libre, en el que dos proveedores se ponen de acuerdo en beneficio propio; o pagos, en el que un proveedor compra ancho de banda a otro del mismo nivel o de nivel superior (por ej. un ISP local o nacional contrata a uno regional para permitir a sus usuarios acceder a contenido alojado fuera del país). Internet es, en esencia, una red de redes interconectadas.

Hace unos instantes, los mismos usuarios que reportaron a primeras horas del día de ayer el inconveniente, nos confirman que el acceso a los dominios de TPB ya habría sido normalizado. Mientras tanto, del lado argentino podemos confirmar que a las 17:55 del jueves 3 de julio el acceso también se encontraría restablecido en las redes de Telefónica, CPS e IFX.

Desconocemos si se trata de un restablecimiento temporal para evitar algún tipo de litigio con el país vecino, de un error de configuración por parte de los ISP de Argentina en un intento por liberar a Paraguay del bloqueo o de un levantamiento de la medida cautelar.

Los mantendremos al tanto de las novedades.

Read more“The Pirate Bay” nuevamente accesible desde Argentina y Paraguay

El bloqueo a “The Pirate Bay” afecta también a Paraguay

Photo by Markus Spiske on Unsplash

Hace algunos días dábamos cuenta de la noticia sobre el bloqueo impuesto por la justicia Argentina al sitio The Pirate Bay.

Hoy nos informan desde Paraguay que los usuarios de internet del país vecino también están siendo afectados por el bloqueo. Sucede que Paraguay, al igual que Bolivia y otros países alrededor del mundo, no tienen salida al mar por lo que deben alquilar su salida a internet a otros países.

En el caso de Paraguay, la inter-conexión es brindada por proveedores de Argentina y Brasil (ambos con estaciones de amarre de fibra óptica submarina). Sin esta interconexión, los habitantes de Paraguay solo podrían acceder a contenido que se encuentre hosteado físicamente dentro del país.

La interconexión, conocida como peering, permite a los proveedores de internet (ISP) intercambiar tráfico (datos) entre ellos. Existen acuerdos de peering del tipo libre, en el que dos proveedores se ponen de acuerdo en beneficio propio; o pagos, en el que un proveedor compra ancho de banda a otro del mismo nivel o de nivel superior (por ej. un ISP local o nacional contrata a uno regional para permitir a sus usuarios acceder a contenido alojado fuera del país). Internet es, en esencia, una red de redes interconectadas.

Entre los proveedores paraguayos afectados por el bloqueo se encuentran Personal, Tigo y Copaco. Juan Baez Rojas (@juanbaezr) nos envía una captura de pantalla de una traza hacia el dominio thepiratebay.se, en la que se puede observar que la comunicación pierde su curso en la red de Telecom Argentina.

https://twitter.com/juanbaezr/status/484385121219674112

Por el momento no hemos tenido reportes de afectación de los usuarios de Uruguay, aunque resulta lógico que el bloqueo también los afecte ya que el vecino país se llega a internet mediante el cable de fibra óptica Bicentenario, que une las ciudades de Maldonado (del lado uruguayo) y Las Toninas (en Argentina).

Los mantendremos informados de las novedades.

Read moreEl bloqueo a “The Pirate Bay” afecta también a Paraguay