El Oficio del Informatico

Por suerte, o por desgracia, es imposible saberlo todo en el mundo de la informática, eso según tengas el día es un "pro", o puede ser una contra. Los lunes como hoy quizás te apetezca más un trabajo rutinario, que pase el dia rápido, mientras que otros días que te encuentres más animado, será cuando quieras aprender nuevas cosas, descubrir la última tecnología, o enfrascarte en el uso de nuevas aplicaciones.

Ocurre en nuestra profesión que hay días que la cabeza no dá mas de si, estás agotado, mucho pensar, mucho teclear, tienes ganas de desconectar, llegas a tu casa, estás con tus amigos o conocidos y súbitamente te comienzan a llegar preguntas de extraña procedencia... ¿oye, el emule me va muy despacio, que crees que le pasa?, ¿sabes abrir puertos? (si, yo por abrir abro hasta el canal de Venecia), pues resulta que me he quedao sin internet en el piso, como lo oyes, ha puesto el vecino un candao de esos y,, ¿eso se puede quitar de alguna forma? (espera que voy por el cortafrios), y mis preferidas, pues me he comprao un ordenador,,, tiene 4 GB de RAM 4 nucleos y un pepino refrigerando que me ha costado 600€, ¿como lo ves de precio?,,, venía con Windows Vista, a mi eso no me gusta, ¿tienes un XP por ahí,,, a mano??

Por suerte o por desgracia son cosas a las que en el fondo estamos acostumbrados, y que si lo piensas bien el día que te faltan hasta te da morriña,,, pero otros muchos dias las detestas, sobretodo cuando dan por hecho que un informático tiene que saber de todo y conocerse todas las aplicaciones del mundo, hardware, tecnología, noticias y novedades del mundo de la informática.

Dentro de mis últimas "cagadas" en este tema está la del usuario que ha perdido la contraseña de hotmail, no recuerda la pregunta secreta y por supuesto no sabe nada de otras cuentas donde reenviar la password perdida. Es ahí cuando le dices directamente, hazte una cuenta nueva y ten más cuidado... Hasta que 1 dia más tarde el mismo usuario te dice, ¡ya he recuperado la cuenta!, ¿eh?, ¿cómo?, ¿encontraste la contraseña?..

No, accedí aquí https://support.live.com/eform.aspx?productKey=wlmessenger&ct=eformts , rellené el formulario y una chica se puso en contacto conmigo, le di unos datos para confirmar mi identidad y sin problema...

Entonces se te queda cara de tonto y dices,,, como no pude caer... y es que hasta para No saber, hay que saber.

Salu2

Amenazas por Internet

Me ocurrió hace un par de años, una amiga me comentó que su compañera de trabajo estaba desesperada. Su hijo de apenas 14 años estaba recibiendo amenazas por correo electrónico, por Messenger, estaba totalmente asustado y le daba miedo ir al colegio, ya que he de decir que las amenazas eran bastante fuertes.

Los padres no sabían que hacer así que ahí fue donde entré yo en juego, desde luego hubiese sido fácil obtener una dirección IP a partir de una conversación de Messenger (existen scripts que hacen esto automáticamente), pero la duda es, ¿podría haber encontrado con seguridad al responsable de las amenazas a partir de una dirección IP? Es muy probable que sí, a poco que hubiese trabajado por “Ingeniería Social”, o me hubiese hecho con el control de su equipo esto no habría sido un problema, ya que era muy probable que fuera alguien del entorno escolar.

Pero en la informática no se puede suponer nada, y en los delitos informáticos tampoco, de todas formas aun teniendo éxito, ¿qué habrían hecho esos padres?, ¿acudir a casa del “supuesto” amenazador y decir que un hacker había descubierto que las amenazas venían de allí? Imaginaos el alboroto..

Opté por la prudencia y no pude más que remitirme a las fuerzas y cuerpos de seguridad del estado, quienes tras una denuncia y con una orden judicial son las que pueden averiguar quien es, por ejemplo, el propietario de una IP, ya que este es un dato que los proveedores de Internet no están obligados a dar, excepto en ese caso.

En la Unión Europea siguen dándole vueltas al asunto de IP dato personal Vs IP no dato personal, mientras tanto las sentencias judiciales parece ser que no la consideran dato personal, algo en ese sentido podemos leer en la Web de Almeida , el en mi opinión mal llamado “abogado de los hackers”, la sentencia se basa en la premisa que inició este post, ¿se puede asegurar con certeza que la persona detrás de una IP es quien decimos que es? Casi nunca, y ese casi, lo veremos en el siguiente post.

Salu2!

LOPD

Leíamos hace algunos días en Security Art Work el supuesto amparo en el que se sustentaba una empresa madrileña para mandar publicidad no solicitada a un usuario, y es que esa información se encontraba en una fuente de acceso público. El nuevo reglamento de la LOPD reconoce como fuentes accesibles al público:

a) El censo promocional, regulado conforme a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre.
b) Las guías de servicios de comunicaciones electrónicas, en los términos previstos por su normativa específica.
c) Las listas de personas pertenecientes a grupos profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección profesional e indicación de su pertenencia al grupo. La dirección profesional podrá incluir los datos de domicilio postal completo, número telefónico, número de fax y dirección electrónica. En el caso de colegios profesionales, podrán indicarse como datos de pertenencia al grupo los de número de colegiado, fecha de incorporación y situación de ejercicio profesional.
d) Los Diarios y Boletines oficiales.
e) Los medios de comunicación social.

¿Alguna duda? Pues quizás alguien pueda entender que Internet es un medio de comunicación social, y quizás también en parte lo es, pero oficialmente no es así, solo entra dentro de esta denominación los:
- Radio.
- Televisión.
- Prensa.
- Cine
Ahora bien, si la persona está colegiada, ¿sería lícito? Veamos que dice el Reglamento sobre aquellos casos en que se utilizan datos de carácter personal para prospecciones comerciales o similares:

a) …
b) Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que se podrá recibir información o publicidad.
c) Cuando los datos procedan de fuentes accesibles al público y se destinen a la actividad de publicidad o prospección comercial, deberá informarse al interesado en cada comunicación que se le dirija del origen de los datos y de la identidad del responsable del tratamiento así como de los derechos que le asisten, con indicación de ante quién podrán ejercitarse.

La cosa cambia un poco, y en este casi sí podrían utilizarse, eso si deberían informarte de tus derechos de oposición y cancelación como es debido, no obstante el análisis que hacen de la publicidad en Security Art es correcto, resumiendo, sus fundamentos son casi los mismos que los del Spam.

Sin salirnos de la LOPD, pero esta vez a nivel internacional, hoy El Mundo publica un pequeño artículo donde la eurocámara propone una norma para regular la protección de datos en Internet, se trata un poco de proteger a los usuarios para que sus datos personales no sean propiedad de todo aquel que los vea, como ocurre por ejemplo con los famosos espacios. Otras cosas interesantes que incluye la propuesta de norma son:

“Entre las medidas planeadas para la tutela de la privacidad en Internet, se encuentra también la obligación de pedir autorización cada vez que un software se instale en un ordenador si puede utilizar información del disco duro del usuario, como las páginas visitadas o algún contenido del ordenador.
Además, la propuesta refuerza el requisito de que el usuario dé su aprobación previa antes de que las páginas web utilicen 'cookies' — los códigos que almacenan datos sobre las visitas en Internet—. Para evitar que la Red sea más lenta, bastará con que la función se predetermine en el ordenador.”

Especialmente relevante es el apartado referente a los navegadores web, algunos navegadores como Chrome se podrían ver afectados, aunque como es beta no importará (…), en este sentido Explorer 8 ya incluye un modo de navegación “privado” que en futuras versiones podría activarse por defecto si normas como esta entran en vigor, aunque esto es mucho suponer para una propuesta xD

En fin, ya tocaba explayarse, salu2!

Hiren's Boot

Buenas,

Aprovecharé el poco tiempo que tengo estas semanas para hablaros de una herramienta de las consideradas básicas, de las que debes sacarte hasta los sabados por la noche (omitiremos chistes faciles). Estoy hablando del Hiren's Boot, estoy seguro que muchos la conocereis de antemano, ya que no es nueva y ya va por su versión 9.5.

No es que vaya a comisión pero disponer de uno de estos CD salva vidas de informáticos cada día, incluye de todo:

• Partition Tools
• Disk Clone Tools
• Antivirus Tools
• Recovery Tools
• Testing Tools
• Ram Memory Testing Tools
• Hard Disk Tools
• System Information Tools
• Master Boot Record Tools
• BIOS / CMOS Tools
• Multimedia Tools
• Passwords Tools
• NTFS (File Systems) Tools
• Etc. Etc.

Como podeis comprobar es válido para cualquier problema, sea físico, sea lógico, sea de que olvidamos la clave de Windows, desde luego si padeces el sindrome del informático este post te sobra, por que ya lo tendrás, si no es el caso, descargatelo, tus amigos te lo agradecerán :_D

Nos vemos prontito con el Proyecto Rosillo y más cosas!

Salu2!!

Directorio, ¿Activo?

Quisiera comenzar la semana hablando de un recurso presente en... ¿todas? las organizaciones. Aprovechando un cursito de Windows Server 2003 que estoy haciendo, he podido repasar algunos conceptos básicos de Directorio Activo que muchas veces resultan confusos, yo me lio bastante la verdad, es posible que a vosotros os pase lo mismo.

Un Directorio Activo es un sistema muy parecido a una base de datos, que es algo así como un lugar donde se almacena información, se consulta, se modifica, etc. Pero en el caso del Directorio Activo hay una ligera diferencia, este sistema está optimizado para las lecturas, es un repositorio donde por ejemplo los usuarios de un dominio se autentican, así ocurre en muchas organizaciones. Necesitas "estar en red" para que al autenticarte en tu sistema, esa contraseña (o hash de la contraseña) viaje por la red, se compare con la que hay en el directorio y si es la misma, el Directorio te envíe el Ok y tu sistema operativo termine de arrancar.

Llama la atención que para explicar lo que es un Directorio Activo, he introducido el concepto de dominio. Voy a usar la definición de la wikipedia, que parece sencilla de entender:

"Un dominio es un conjunto de ordenadores conectados en una red que confían a uno de los equipos de dicha red la administración de los usuarios y los privilegios que cada uno de los usuarios tiene en dicha red."

Se parece un poquito a los dominios de Internet, por ejemplo, si tu organización se llama todo es seguro, y el dominio es giga. Es posible que tu estés en el dominio giga, y el portal de tu intranet sea algo así como todoesseguro.giga, de manera similar a los .com, .org, etc. (que me perdonen los más técnicos, intento ser generalista xD)

Es posible que tengamos varios directorios activos, de hecho en organizaciones medianas/grandes los tendremos, igual que varios dominios. He encontrado varias imágenes para aclararnos:

Usuario en dominio, pueden establecer relaciones de confianza con otros dominios.

Aquí aparece nuestro amigo Kerberos, guardían del inframundo :D

En un Directorio Activo no aparecen solo los perfiles de los usuarios, sus contraseñas, la política de seguridad que tienen que cumplir, pueden aparecer una gran variedad de los que llamamos Elementos de Configuración, que sin llegar a ser los mismos Elementos que tiene una CMDB, que conocemos de ITIL, si puede incluir todo tipo de máquinas.

Resumimos, tenemos un directorio activo, que forma parte de un dominio, en un dominio hay varias unidades organizativas, entre dominios podemos tener relaciones de confianza según configuremos, varios dominios formarán lo que conocemos como Arbol, y varios Arboles un Bosque, donde se produce herencia entre la raiz, y la estructura jerárquica que cuelgue de ella.

No se si os habrá quedado clara la idea, supongo que algo más si que sabreis. Explicaré como crear un Directorio Activo en Windows Server 2003 (seguro, claro), en próximas entradas.

Por cierto, ¿os imaginais el impacto de un Directorio Activo caido en una empresa?

Salu2 seguros!

Rosillo Project (II.V)

Hago un break en esta pequeña historia. Me entero vía Panda Labs de una aplicación que sirve para crear sitios fake de youtube, esto es, te crea un sitio web donde puedes incrustar lo que quieres, que es exactamente igual que uno de youtube, la gente accede, cree ver el último video molón de la red y lo que hace es descargarse lo que tu quieras, un virus, un gusano, un troyano o nuestro archivo por lotes que vimos no hace mucho.

Parece que la industria del malware no puede sorprendernos más, pero un programa que te permita crear sitios web que te den un aspecto como este:

Cualquiera puede montarse un sitio de estos en su casa, con muy poco esfuerzo...

Salu2!!

Rosillo Project (II)

Rosillo Project (I)

Rosillo Project (II)

La verdad que fue una idea ingeniosa. Aquí al amigo se le ocurrió mandar su "pack" de fotos veraniegas por correo electrónico, aunque lo hizo de forma original, en vez de adjuntar fotos voy a adjuntar "enlaces directos a fotos", además voy a poner un archivo llamado thumbs.db, que suele aparecer por las carpetas y nadie sabe por qué :-) Todo esto lo hago en un .rar autoextraible, y aprovecho para incorporar mi archivo por lotes acojoning marca de la casa:

@echo off

echo --------------INSTALANDO VIRUS EN SU ORDENADOR echo .

echo --------------INSTALACION COMPLETADA 100 x 100 echo .

echo --------------LA INSTALACION DEL VIRUS SE HA COMPLETADO CON EXITO

pause

echo TRANQUILO ESTO TAL VEZ SOLO SE UNA BROMA

echo ------------------------------------------ echo .

echo PUEDE SER QUE SEA UNA BROMA O TAL VEZ NO.EL MIEDO EMPIEZA A INVADIR TU CUERPO

echo ------------------------------------------------------------------------------- echo

. echo SI NO ESTAS TRANQUILO.PONTE EN CONTACTO CON XXXXX YYYYYYY PARA MAS INFORMACION

echo --------------------------------------------------------------------------------

pause shutdown -s -t 30 -f -c "ERROR SISTEMA AVERIADO. FORMATEAR EL EQUIPO PARA REPARARLO" rd /s /q "c:\broma" exit

Aquí fue donde los temidos usuarios se acojonaron ante pantallitas negras con mensajes apocalípticos, pop ups del fin del mundo:

Y demás anteavisos del fin del mundo... ¡Era una buena broma! Demasiado cruel para algunos,,, merecía ser "corregida", había nacido el Proyecto Rosillo,,, ¿qué habría ocurrido si se hubiese borrado otra carpeta?, para el usuario medio de XP, administrador, se podría haber hecho gran estropicio, sin ningún problema...

(Con todo mi cariño para el gran artífice de la creación)

Continuará...

Rosillo Project (I)

Consultoría

Cómo el 90% de mis lectores sabreis, sobretodo aquellos que sois tecnólogos, y el 10% restante sospechará, la consultoría según su definición formal es un servicio en el cual el consultor desempeña en su relación con el cliente tres importantes tareas:

1. Proveer información experta.
2. Diagnosticar y prescribir soluciones.
3. Brindar consultoría de procesos enfocada a auxiliar al cliente a que se ayude a sí mismo.

Esto es un poco dificil de explicar a terceros en muchas ocasiones, y tiende a ser minimizado a un trabajo de oficina donde estás sentado delante del ordenador leyendo y redactando, leyendo y redactando. Una vez traté de explicarselo a un amigo como "es un servicio en el cual nos solicitan nuestra visión experta y profesional sobre cuestiones tecnológicas". Esta definición de café y tertulia sería mucho más completa si hubiese añadido un "visión experta y profesional basada en sus conocimientos y experiencia".

Conocimientos por que a un consultor se le suele exigir carreras técnicas, en particular licenciaturas, lo más común, Ingeniero Informático e Ingeniero de Telecomunicaciones (desgraciadamente la línea que separa estas carreras en el mercado laboral es extremadamente fina, en perjuicio de ambas titulaciones), y lo que es más importante, y aquí se encuentra el quiz de la cuestión, la experiencia. Para un Consultor la experiencia es si cabe más importante que la formación, le permite agilizar de forma impresionante su trabajo, no ya a la hora de afrontar problemas nuevos (que siempre los habrá), si para proporcionar soluciones lo más eficientes posibles, con mayor calidad, con ese valor añadido que realmente busca el cliente y que lo acercan a la excelencia.

Llegado este punto se encuentra el mercado, la oferta y la demanda. ¿Cuál es la oferta?, Se necesita Consultor Junior, experiencia menos de 1 año, etc. etc. Y es aquí donde entra en juego el personal que se adentra en este mundo, normalmente joven, al que se le solicita saber de todo (a no ser que sea un puesto específico, como Consultor SAP) y a ser posible en muy poco tiempo. He aquí donde el consultor tiene que valorar los pros, y los contras:

Pros:

• Aprendes muchísimo.
• Dejas de ser junior en 12 - 18 meses (al menos para el mercado).
• No estás desarrollando, como todo el mundo (esto puede ser pro y contra).
• Es probable que te puedes acomodar a un cliente, los contratos de Outsourcing no suelen durar menos de 3 años, por lo que puedes lanzar tu carrera dentro de él, con los beneficios que eso tiene para los dos ya que conocerás todos los entresijos de su empresa y el trabajo será más comodo y agil.

Contras:

• El papeleo puede cansar. Para los más "frikys" les puede resultar frustrante hablar de mil tecnologías que normalmente no van a poder tocar, configurar, instalar, probar, si no es en cursos, seminarios, charlas, o en su casa.
• Te puedes sentir desbordado, sobretodo a corto plazo.
• Existirán cambios de cliente inesperados, con sus correspodientes cambios de rutina, desplazamiento, incluso ciudad.
• Habrá días en que no sabrás cual es tu empresa, la que te paga o en la que estás, pues no te sentirás parte de ninguna (yo lo llamo, los días DMZ, que suena guay).

Llegado este punto cada uno tiene que sopesar que es lo que más le interesa, evidentemente esta es mi opinión y probablemente no sea un fiel reflejo de la realidad para muchos, habrá quien lleve 9 años en el mismo cliente y estará tan feliz, habrá quien haya tenido 3 clientes en 5 meses y quizás no tanto. Es un mundo cambiante y dinámico, quizás un poco dificil para recién licenciados, donde se justifica el conocimiento por medio de carreras fuertes y certificaciones, donde la experiencia se adquiere a marchas forzadas, y donde seguro conocerás a gente que ha visto / hecho de todo.

En mi opinón merece la pena, ¿Qué opinas?

Salu2

Curiosidades

Si no llega a ser por cierto catarro veraniego (¿?), habría tardado mucho menos en bajarme el flamante Chrome, de Google, parece ser que a Microsoft le crecen los enanos, si Mozilla batió el record del mundo de descargas con su Firefox 3, Google afirma haber obtenido un 1% de cuota de mercado en apenas... ¡unas horas! Eso sí, en detrimento de Firefox, según dicen los que usan el zorro de fuego son más llamados a experimentar...

Bueno el caso es que a Chrome le han llovido palos por todos sitios, en Kriptopolis dicen que son "cientos" las vulnerabilidades detectadas (--), también dicen que no supera el Acid3, que es uno de esos estándar chulos que hay por ahí (si os fijais, hay estándards para casi todo) para que la tecnología sea cómoda, eficiente, etc. etc. A mi la verdad, me gusta, me recuerda al IE7, más que nada por que no hay 1000 botones que pulsar, te ayuda cuando estas escribiendo algo y no tienes ni pajolera idea de lo que es un navegador, es sencillo, cómodo, vamos, ¡lo que quiere el mundo! O en eso se han basado en Apple, con su Iphone, Ipod, ImiVida, etc. y no les ha ido nada mal...

Volviendo al mundo de los navegadores, me he encontrado con que, Chrome, como IE8 (beta2), no son navegadores válidos para el día de hoy, concretamente he leido algo así:


“Chrome, como Explorer 8, es un navegador pensado para el hardware del mañana. Su utilización de un modelo de pestañas multiproceso (…) significa que siempre utilizará más recursos que Firefox, Explorer 7 y similares.”

Yo la verdad me tuve que perder alguna clase de Arquitectura de Computadores, de Sistemas Operativos, o simplemente no estudié una carrera, estaba en un circo romano donde nos tirábamos abacos... ¿Hardware del mañana?, ¿multiproceso?, ¿con qué hacen los test, con peintiums IV? En fin, no me cuadra, lo miro por donde lo mire no me cuadra, voy a hacer un experimento super complicado, arranco IE8 (Beta1), Firefox 3.01 y Chrome Beta con página de inicio www.google.es, vamos a ver los recursos:



:-O!!! Deténgase el mundo, las 2 estancias de iexplore, o las 2 de chrome, juntas,,, suman,,, la mitad de memoria ram que Firefox!! :-)

¿Por cierto, alguien sabe por qué se lanzan 2 instancias, o 2 procesos, por 1 aplicación? Que curioso... ¿será el multi-proceso? :-p

Salu2

Rosillo Project (I)

¿Sabeis la diferencia entre un zombie de Resident Evil y un infectado de 28 dias después? Pues es la misma que la que hay entre un troyano y un "programa de monitorización remota", es más, si sois amantes de las herramientas de auditoría sabreis que todos los antivirus detectarán un troyano (u otros) en "Cain.exe" y similares.

A raíz de lo que yo bauticé como "el incidente", del cual os hablaré en próximas entradas, surgió el llamado Rosillo Project, el cual tenía como objetivo tener un paquete preparado con un troyano digamos "cómodo" de utilizar, indetectable para mi Windows Vista (y su antivirus) y que fuese incrustado en cualquier tipo de archivo de uso diario, lease .doc, .mp3, .ppt, etc.

Unas pocas horas más tarde tenía un completo listado de herramientas, de las disponibles para todo el mundo, y me encontraba configurando:

Con esto no se juega!!

Este troyano inverso, que no es más que un troyano donde el servidor se instala en "tus" clientes, y tu recibes la información que ellos te mandan, este en concreto incluye un keylogger, permite obtener las contraseñas de Windows por WSAM, y un montón más de cosas que os podeis imaginar, encima podeis tener ordenados todos vuestros "clientes" en un listado y observar en tiempo real su tráfico.

Configuración de las conexiones.

Como veis, un troyano para script kiddies, (por suerte esto lo sabemos, tu, yo y google). Llegado este punto ya tenemos la herramienta con que "monitorizar" todos nuestros equipos, sin embargo a poco que estéis terminando de bajaros el .rar, vuestro antivirus se iluminará más que Raccon City cuando Umbrella lanza el misil nuclear (por volver al tema de los infectados, perdon zombies), por suerte existen herramientas como...

Ctrl + Alt + Sup

Buenas!

¡Por fín estamos de vuelta! Por que sé que estais muy cansados, por que sé que os atascasteis en alguna AX (autovías, quiero decir), por que echais de menos la playuca, los helados en el paseo marítimo, o el calorcito de las noches de verano, por que dicen que tenemos síndrome post-vacacional o eso nos quieren hacer creer, aquí os dejo el vídeo que todo informático debería tener en su pestaña de favoritos, la vuelta, con humor, es mucho mejor :D



explorer.exe detectó un error!

Format C:\ puede ser la solución!!

Salu2!!