Facebook Security Tips

Hace unos días me encontré con lo impensable, ese familiar que solo utiliza el teléfono para llamar y mandar "eseemeeses", se quería hacer mi amigo y que le explicara todo eso, ¿por qué la gente ve mis fotos?, ¿que hago para que no me etiqueten?, ¿que es el muro?, como creo que a todos os ha pasado y seguramente queréis ahorraros el quebradero de cabeza, me he ido al menú principal y opción por opción, este es un fast hardening dentro de lo que la red social permite:

1 – El nombre.

¿Seguro que te llamas como quieres llamarte?, fíjate en que será muy fácil para cualquier persona localizarte si utilizas tu nombre real, si te inventas otro nombre lo que ocurrirá será lo contrario, quien quiera encontrarte no lo hará. ¿Qué hacer?, yo siempre prefiero no utilizar el nombre real pero si uno parecido o que pueda generar dudas, en todo caso si configuras tu privacidad correctamente no debería ser un problema que tengas tu nombre real. También podemos utilizar nuestro mote, apodo o nick que sea familiar para nuestros amigos y conocidos para que nos busquen por él, Facebook lo permite:

2.- E-mail, password, cuentas asociadas:

Aquí llega la primera opción importante para conservar tu privacidad, quizás no te importe tener 1 millón de amigos, pero que alguien que no conoces pueda asociar tu cara, tu nombre y tu correo electrónico le puede dar muchas facilidades para contactar contigo. Desactiva la visibilidad de tu dirección de e-mail en cuanto puedas, así solo la tendré quien tu quieras.

Con respecto al password Factbook no es muy restrictivo, 6 caracteres y una recomendación de no compartirla con otras cuentas. Las contraseñas de menos de 8 caracteres son fácilmente rotas aunque hables en suajili, si no te lo crees te remito a las pruebas, finalmente no te recomiendo asociar ninguna cuenta a la de Factbook, sino cada vez que abras sesión por ejemplo en Yahoo la abrirás en Facebook, con los dolores de cabeza que eso puede originar.

3. Privacidad – Conectarse a Facebook:

Aquí gestionas lo que puede verse de ti y quien lo hará. Es sencillo, las distintas opciones pueden verlas todo el mundo, amigos de tus amigos o solamente amigos. Lo ideal salvo que seas un comercio y quieras publicitarte es que solo tus amigos puedan ver tus “detalles”, siendo incluso algo más estrictos con respecto a direcciones físicas, teléfonos, etc. Esto yo lo restringiría a familiares y amigos o directamente no lo pondría, total quien te conoce de verdad ya lo sabe. Una opción no demasiado paranoica es la siguiente:

4. Privacidad – Compartiendo en Facebook:

Volvemos al menú principal, aquí salen las 4 opciones de las que hablamos antes, seleccionamos “Custom” y editamos manualmente que compartimos y con quien según nos parezca. Si pulsamos en editar las opciones vemos varios apartados:

- Cosas que yo comparto: Seleccionamos amigos solo. Muy importante no habilitar “Gente aquí ahora”, pues puede revelar tu ubicación física a terceros.

- Cosas que otros comparten: Aquí editas lo que la gente puede ver de un amigo que haya escrito de ti, lo suyo (y para eso es una red social) es que tus amigos vean lo que tus amigos dicen de ti o si te etiquetan, ahí está la gracia, pero si no se la ves pues impedirlo aquí. Muy importante deshabilitar que otros puedan ubicarte físicamente:

- Información de contacto: Mejor prevenir que curar, seleccionar “solo yo” puedo ver mi información de contacto.

Antes de pasar al siguiente apartado hay una opción para previsualizar nuestro perfil, si la pulsamos sabremos como “quien no nos conoce” nos ve en Internet (cualquiera), te aconsejo revisarlo para que tengas la total certeza de que solo se ve lo que tu quieres que se vea (al fin y al cabo es Internet, nunca saldrá de ahí).

5 – Privacidad - Aplicaciones y sitios Web.

Dentro del menú de privacidad, en la parte inferior hay una opción de configuración para aplicaciones y sitios web. En Facebook como sabéis hay un montón de aplicaciones graciosillas como la granja, la galleta de la obviedad y miles de millones con las cuales pasar el tiempo. Lo mismo ocurre con los sitios web de publicidad que pululan por la red social. Lo que mucha gente no sabe (quizás por que no se advierte muy bien) es que al utilizar cualquier aplicación le das derecho a que ésta vea de ti y extraiga cualquier dato, eso significa que por ejemplo detrás de una aplicación de un concurso de cerveza haya una campaña encubierta para extraer datos de marketing de potenciales consumidores (TUS datos). Yo no recomiendo utilizar ninguna aplicación pero, leñe, hay que divertirse de vez en cuando. Entonces aplicaciones SI pero…

- Deshabilítalas después de utilizarlas. Hay un botón para “apagarlas” todas que viene la mar de bien, aunque quizás hay algunas como el calendario de cumpleaños que quieras dejar…

- Información visible a través de tus amigos. Las aplicaciones son tan peligrosas que incluso el hecho de que un amigo juegue a la granja puede significar que, aprovechando los permisos de tu amigo, la aplicación extraiga también tus datos (¡!). Deshabilítalo todo:

- Hay otras opciones como la personalización instantanea que ahora mismo no se pueden deshabilitar en España. En el momento que se pueda conviene hacerlo ya que influye en la experiencia de navegación en tus páginas web, que aprovecharán el contenido de Facebook para adaptar su publicidad y ofertas.

6 – Privacidad – Listas de bloqueo.

Por desgracia en Internet igual que en la vida real hay personas pesadas, cansinas, al estilo de Jose Mota:

Si queremos que alguien no nos moleste, nos mande mensajes, nos cansinee, sea usuario, aplicación, grupo en el que entramos por error. Este es el lugar:

Con respecto a la privacidad por ahora no hay más, aunque si queréis leeros los manuales de Facebook están aquí .

7 – Seguridad de la cuenta.

Aquí hay una opción básica, activar el http-s para que al menos no sea trivial capturar tus conversaciones en Facebook con herramientas como Bogorove. Las notificaciones cada vez que alguien abra una sesión en tu cuenta de Facebook también son imprescindibles.

8 – Network: Aquí podemos integrar nuestra red de contactos profesionales con facebook, por ejemplo si trabajamos en Accenture introduciendo una dirección de correo “válida” mezclaremos ambos mundos. Totalmente desaconsejable, para eso hay cosas como Linkedin o Yammer.

9 – Notificaciones: Aquí no hay nada que sea principalmente de seguridad, las notificaciones por SMS en España no funcionan (¿?). Yo recomiendo solo recibir notificaciones ante solicitudes de amistad o mensajes personales, para todo lo demás ante una conversación enrevesada que quizás ni te importe se te puede desbordar la bandeja de entrada, convirtiéndose en SPAM.

10 – Pago: ¿De verdad vas a comprar algo a través de facebook?, por favor, ni te lo plantees (aunque si lo haces la plataforma que ofrecen cumple con los objetivos).

11 – Publicidad de Facebook: ¿Te gusta que utilicen tu cara para hacer publicidad?, a mi tampoco. Aquí se deshabilita:

Y esto es todo, perfectamente extrapolable a Tuenti o la red social que utilicéis, ahora, socializaros de forma segura :D

Un saludo.

PD: ¡Cumplimos 200 entradas!,, quien me lo iba a decir hace unos años…

¡Luchamos contra el fraude!... a nuestra manera.

Como supongo que todos vosotros, de vez en cuando compro por internet, es cómodo, ágil, rápido y requiere de un esfuerzo físico cercano a 0. ¿Por qué no hacerlo?, además si eres un consumidor responsable que sigue los consejos básicos de seguridad y precaución, o no se, te gusta jugar a las 7 diferencias con páginas de phishing por que estás aburrido ya de darle a la granja del Facebook pues, mejor que mejor. Incluso si tu negocio está en Internet hay muchas guías básicas para decirte como tienes que proteger los datos de tus clientes, como cumplir con los requisitos de seguridad que las normativas internacionales exigen, por ejemplo esta guía de INTECO es de mucha utilidad, aunque los propios emisores de tarjetas de crédito / débito tienen sus propias guías también, más o menos la referencia es el Payment Standard Industry (PCI-DSS) del cual se publicó la versión 2.0 en Octubre del año pasado y que ya adelantamos por aquí.

En definitiva, Internet es algo bueno, cómodo, con la sensibilidad y responsabilidad conveniente con respecto a las distintas amenazas puede ser tan seguro como ir a la tienda física real. Entonces, ¿por qué los comercios lo vuelven inseguros?, lo mejor de todo es que lo hacen para cumplir con directrices que en teoría vienen impuestas por MasterCard, Visa, etc. Y nos plantan clausulas como las siguientes:

“Para evitar fraudes con tarjetas que hayan sido captadas en establecimientos físicos, XXXXX puede solicitar documentación adicional que certifique la identidad del comprador.”

Es decir, que aparte de pedirte todos tus datos personales, los datos de tu tarjeta de crédito y número de seguridad, luego te solicitan más datos. Fue en una conocida casa de apuestas la primera vez que me ocurrió esto, no había problema para iniciarte en el mundo de la ludopatía, metías tus 30€, te daban otros 30 de bienvenida y a volverse rico. Sin embargo, oh sorpresa, te disponías a retirar tus cuantiosos beneficios y te lo prohibían bajo esta condición:

“Debido a la política de MasterCard, ya no es posible realizar reintegros de fondos en una tarjeta MasterCard (crédito o débito) registrada fuera del Reino Unido. Como resultado, su tarjeta debe ser "validada" antes de que usted pueda realizar cualquier reintegro de sus ganancias mediante un sistema de pago alternativo tal como una transferencia bancaria. Esto se indica mediante S (validada) o N (no validada) debajo de su tarjeta. Su tarjeta se valida automáticamente después de su primer depósito, o manualmente si envía prueba de titularidad de la tarjeta.”

¡Pardiez!, ¿Qué es esto?, cegado por mis múltiples ganancias accedí a lo que un señor amablemente me pidió por correo electrónico: DNI escaneado por las dos caras y Tarjeta escaneada (solo por delante).

No le di más importancia, paranoia de estos ingleses, vete tu a saber. Hace 1 mes sin embargo fue el fin de semana “SIN IVA” en múltiples establecimientos, la competencia hizo que algunos superaran ese 18% de descuento llegando incluso a ofrecer un 20% en primeras marcas de tecnología (ejem, apple). Cual es mi sorpresa cuando tras comprar un portátil y cargármelo en mi cuenta bancaria en escasas horas, 3 días más tarde, me piden “verificar mis datos” por correo electrónico. Esta fue mi respuesta, un poco en caliente y poco técnica como se ve:

“Disculpen mi insistencia pero no veo sentido a que por un procedimiento de seguridad se solicite información para confirmar un pedido cuando ustedes ya lo han cobrado, supongamos que efectivamente estoy suplantando la identidad de una persona, ¿le van a devolver el dinero?. No quisiera poner en duda sus procedimientos pero es efectivamente la solicitud de esta información la que levanta sospechas sobre un presunto phising, scam, etc.

Les remitiré la información que solicitan pero por favor, revisen este procedimiento que en lugar de facilitar al cliente recibir el producto en su casa lo entorpece. Si hubiese venido especificado en la página web habría ido al local comercial de XXXXXX sin dudarlo o habría realizado mi compra en otro lugar.”

A lo que me remitieron a la página de condiciones donde lo ponía bien grande y en negrita:

“Pago con Tarjeta de Crédito :

Aceptamos el pago con las principales tarjetas de crédito (Visa, Mastercard, 4B, American Express). En el proceso de compra se le pedirá tres datos, Número de tarjeta, Fecha de caducidad y su número identificativo o CVC2. En determinados casos, y para evitar fraudes con tarjetas que hayan sido captadas en establecimientos físicos, XXXXX solicitará documentación adicional que certifique la identidad del comprador.”

Nada que objetar, como buen consumidor, no leo las clausulas (prometo mejorar). Ahora bien, como consultor de seguridad me irrita, ¿introduce este procedimiento más seguridad?, ¿genera nuevos riesgos?, la respuesta es SI a ambas preguntas. ¿Por qué?, por que estás enviando tus datos personales y tu información bancaria a través de un canal inseguro (Internet), con todo lo que ello supone y que no explicaré aquí. Ahora centrémonos en alguna de las cosas que estas compañías deben cumplir para gestionar, almacenar y tratar esos datos:

- L.O.P.D.

- PCI-DSS

La LOPD y en concreto su reglamento de medidas de seguridad dice en su artículo 104:

”La transmisión de datos de carácter personal a través de redes públicas o redes inalámbricas de comunicaciones electrónicas se realizará cifrando dichos datos o bien utilizando cualquier otro mecanismo que garantice que la información no sea inteligible ni manipulada por terceros.”

Lo que ocurre es que esto solo aplica a datos de nivel alto (lo que podríamos discutir largo y tendido, pero “es lo que hay”), así que con esto en principio cumplen ya que sería difícil sacar datos de salud, vida sexual, etc. de una casa de apuestas o de una tienda de informática. Eso si, en caso de hacer compras en un sex-shop, encargar un Corán en Amazon o meter todos los dias 200€ en la casa de apuestas podremos deducir algo de eso. Pero supongamos que la AEPD les da la razón en esto último, DNI y tarjeta de crédito, todo junto, son datos de nivel medio pues suponemos que entran dentro de los datos financieros que indica la LOPD, si nos ponemos quisquillosos quizás de nivel básico. Con todo ello seguiremos teniendo un artículo que indica dos requisitos de seguridad:

- Mecanismos que eviten el acceso a datos o recursos con derechos distintos de los autorizados.

- Concesión de permisos de acceso sólo por personal autorizado.

¿Se puede asegurar esto en datos enviados a través de líneas públicas?, NO.

Ahora nos vamos al PCI-DSS 2.0, un solo requisito nos hace falta:

"Encrypt sensitive traffic over public Networks."

Está claro que con este requisito se cumple cuando utilizas la aplicación de compra, normalmente y dependiendo de la tienda surgirá un pop-up (seguro) de una tercera aplicación que hará de pasarela entre tu banco y el de la tienda, si es 3D Secure te pedirán un password y fin de la historia. Si no lo es y para luchar contra el fraude te pedirán que confirmes los datos, pero no te ofrecerán un mecanismo seguro para hacerlo, bastaría con que en tu perfil de usuario de la tienda se disponga de la capacidad de cargar los ficheros de tus datos escaneados, sobre HTTP-S por ejemplo, autenticando que el servidor al que estamos escribiendo es quien dice ser. Pero no, se valen del robusto protocolo SMTP para pedirte que les mandes todo, ¿así se lucha contra el fraude?, ¿a consta de quien?

La mayor de mis críticas a este tipo de procedimientos de seguridad que hacen flaco favor a su nombre y a la seguridad del comercio electrónico, además bajo un dudoso cumplimiento de la legislación actual y los estándares de pago electrónico.

Salu2

Y ahora que soy CEH...

Han pasado varias semanas desde que tuve el examen de Certified Ethical Hacking en uno de los muchos centros Prometic que hay en España y, por fortuna para mi, pude aprobarlo. Tal y como os contaba en Agosto del año pasado esta certificación está bastante bien para no perder de lado el área más técnica de la Seguridad Informática, en sus 67 (al final son 67) módulos ves desde SQL Injection hasta las nociones básicas del desarrollo de exploits, como y en que consisten los buffer overflow (y como aprovecharlos para inyectar código propio), fingerprinting, detección de vulnerabilidades, XSS, cyberterrorismo, bluejacking, etc. etc. El temario como digo es bastante atractivo, pero como ocurre con todas las certificaciones no es necesario ser un verdadero experto para sacársela, de hecho hay una vía rápida:

1. Pida usted el temario del CEH (versión 6.1, la última por favor) a alguno de sus miles de amigos mediante programas bittorrent o similares.
2. Ignore el susodicho temario.
3. Acuda a www.examcollection.com, realice una búsqueda de CEH Exam Test.
4. Memorice las preguntas.
5. Pague el examen, preséntese a hacerlo, el 80% de las preguntas coincidirán.

Que como pueden imaginar no es muy gratificante intelectualmente pero obtiene el mismo resultado que:

1. Obtenga el temario.
2. Comience por el tema 1, muera usted en el tema 2 cuando repase la legislación internacional sobre seguridad informática.
3. Anímese, ya le quedan 65 temas.
4. Pruebe las más de 2000 herramientas referenciadas en el material, móntese su laboratorio, aprenda, aprenda, aprenda, aprenda, vuelva al paso 3 y temas --;
5. Hago los test disponibles en Internet. Descubra que no sabe realmente mucho ya que no pasa de un 65%, memorice.
6. Preséntese al examen y obtenga su título.

No os diré que camino seguí yo, pero lo cierto es que el título está bastante chulo (subiré una foto en cuanto pueda), tras aprobar y acreditar tu experiencia de 2 años en seguridad de la información (necesitaréis que vuestro responsable realice un escrito a EcCouncil) te mandarán una carpetita desde Hong Kong (menuda cara puso el cartero de mi pueblo) con vuestra merecida recompensa. El examen requería de un 70% de aciertos para aprobar, en la media de todas las certificaciones, se hace por ordenador y aunque tienes 4,5 horas para terminarlo en 2 te da tiempo repasando. Todo en perfecto inglés, eso sí.

Y ya está, con la alegría y gozo que proporciona el conocimiento lo siguiente que uno tiene derecho a preguntarse es, ¿le puedo sacar provecho económico a esto?, recuerdo que en EcCouncil, en la sección FAQ había una pregunta,,, ¿cuanto puedo cobrar por tarea?,,, donde respondían que dependiendo del trabajo entre 15.000 y 45.000 $, que no está mal, pero esto es España y bueno,,, somos distintos (aquí hay muchos dires y diretes que nos alejarían de lo interesante), volvamos al tradicional método de búsqueda y comparemos de paso con otras certificaciones:

Infojobs

• CEH: 3 ofertas encontradas.
• CISA: 32 ofertas encontradas.
• CISM: 24 ofertas encontradas.
• CISSP: 21 ofertas encontradas.
• CHFI: 2 ofertas encontradas.
• Lead Auditor: 3 ofertas encontradas.
• ITIL: 221 ofertas encontradas.
• COBIT: 23 ofertas encontradas.

Tecnoempleo:

• CEH: 0 ofertas encontradas.
• CISA: 10 ofertas encontradas.
• CISM: 10 ofertas encontradas.
• CISSP: 5 ofertas encontradas.
• CHFI: 0 ofertas encontradas.
• Lead Auditor: 0 ofertas encontradas.
• ITIL: 126 ofertas encontradas.
• COBIT: 9 ofertas encontradas.

Monster:

• CEH: 0 ofertas encontradas.
• CISA: 2 ofertas encontradas.
• CISM: 2 ofertas encontradas.
• CISSP: 4 ofertas encontradas.
• CHFI: 0 ofertas encontradas.
• Lead Auditor: 1 ofertas encontradas.
• ITIL: 8 ofertas encontradas.
• COBIT: 2 ofertas encontradas.

Bueno parece que el CEH no es la certificación más famosa en España, a pesar de que la demanda de servicios de hacking ético ha subido (aunque esto es una opinión personal),,, eso sí, el movimiento se demuestra caminando. En el Top 3 se mantienen CISA, CISM y CISSP, que muchas veces son solicitadas de forma similar cuando no tienen nada que ver, pero esa es otra historia..

¿Como véis el mercado de la Seguridad en España?, ¿Igual, mejor, peor que el año pasado? En el 2009 nos hicimos la misma pregunta.. podéis comparar.

Salu2

PlayStation 3 Hacked

Que mejor forma de comenzar el año que con un "Epic Fail", y es que en el pasado congreso de Berlín "Chaos Communication Congress" el grupo de hackers fail0verflow le dio un pequeño repaso a la consola de SONY. La charla comenzó analizando el estado actual de todas las consolas del mercado y las distintas medidas de seguridad que cada una tiene implementadas, desde la Wii que fue hackeada prácticamente al ponerse a la venta a la Playstation 3, que 4 años más tarde sigue (seguía) sin ser comprometida verdaderamente.

Entonces este grupo de hackers comienzan a repasar cada medida de seguridad y como puede verse comprometida, muchas de ellas están basadas en el Hyipervisor, que en la arquitectura de la PS3 es el componente encargado de regular las llamadas al core de OS, y de como engañándolo mediante la manipulación de la memoria RAM se puede conseguir ejecutar código, etc. A partir de ahí se desencadenan una serie de ataques que tienen su cúspide en la rotura de la "Cadena de confianza", en el acceso a la infraestructura de clave pública, que utiliza AES como algoritmo simétrico y SHA-1 para las firmas sobre ECDSA , lo mejor de todo viene cuando en la investigación descubren que la función HMAC de firma suman a la clave un número que no es aleatorio, sino que se encuentra fijo en una posición de memoria, aquí es cuando viene el "Epic Fail":

Por que con este "pedazo" fallo de seguridad tienen la capacidad de firmar cualquier cosa como si fueran SONY, y esto significa que cualquiera puede distribuir aplicaciones, sistemas operativos, por supuesto juegos, etc. como si fuera SONY. Mejor todavía, si SONY distribuye un parche que cambie las claves y la forma de firmar el código todo lo que ya está distribuido pasará a ser incompatible. Es decir, ahora si no tienen nada que hacer contra la piratería en PS3, y si quieren que la PS4 esté más protegida difícilmente mantendrán la compatibilidad hacia atrás.

Efectivamente, un Epic Fail. El pdf con las slides lo tenéis aquí.

Salu2

(Not) Advanced Encryption Standard

Esta mañana me he levantado, aparte de con un frío de perros y la resaca de las filtraciones de Wikileaks, con una de esas noticias de bombo y platillo. El AES de 128 bits ha caído, o esa era la cabecera de un mail que he recibido con el siguiente link.

Arduo y veloz me he puesto a devorar el documento, el cual os resumo por aquí. La IACR o Asociación Internacional de Investigación Criptográfica está formada por un grupo de gente que investiga sobre nuevos algoritmos criptográficos o como reventar los actuales, por ejemplo la semana pasada publicaban una propuesta con nuevos algoritmos para tecnologías móviles y, unas semanas antes, publicaban este paper que mostraba como romper el AES en escasos 3 minutos.

La curiosidad del ataque es que no emplean debilidades de los algoritmos matemáticos utilizados para cifrar, esto es, un algoritmo de sustitución por bloques con 10, 12 o 14 rondas según el tamaño de la clave. En este caso se utiliza el llamado "side channel attack", que son un tipo de ataques distintos basados en las vulnerabilidades de la infraestructura que soporta un criptosistema. Estos ataques se basan en la observación y comparación de como un algoritmo utiliza recursos de un sistema, por ejemplo por los tiempos de consumo de procesador, por como varía la memoria caché o por los cambios en la radiación electromagnética (el ataque TEMPEST del cual hicimos un simulacro hace unos meses ).

El Side Channel Attack en este caso se basa en la observación, se requiere que un proceso "espía" visualice como otro proceso realiza hasta 100 operaciones de cifrado, esto se consigue con apenas 2 KB de datos. No es necesario conocer el texto cifrado ni la clave (obviamente), en ese proceso de cifrado lo que hace el programa espía es ir visualizando el trozo de memoria utilizado por la librería de OpenSSL y el planificador de tareas de Linux, el "Completely Fair Linux Scheduler", a partir de ahí con una red neuronal especialmente enseñada para la ocasión lanza un pequeño proceso en background que calcula la clave (y 1 millón de cosas más) en no más de 3 minutos.

Cierto es que el ejemplo en Laboratorio es con un kernel de Linux y específico para OpenSSL, pero ello no quita que a partir de este estudio se pueda migrar a otros sistemas operativos (sobretodo de tipo Linux / Unix) con relativo esfuerzo. En el paper también se comenta que la implementación de este ataque para 192 o 256 bits es posible pero no se ha demostrado.

¿Qué supone este ataque? AES se había consolidado este último año como el algoritmo de cifrado simétrico de facto, organizaciones como el NIST o la NSA le aseguraban una robustez con 128 bits más allá del año 2015 (2030 para 256 bits ¬¬), muchos procesadores del mercado incorporan un juego de instrucciones dedicado para agilizar estas operaciones y a día de hoy no existe un algoritmo de cifrado que pueda ser considerado igual de robusto (¿3DES?). ¿Qué contramedidas implementar?, bueno en el paper se habla de no utilizar la memorica cache en los procesos de cifrado / descifrado(¿?), aunque delegar los cálculos a la RAM solo implicaría ajustar el timing de CPU, no permitir a un proceso saber el tiempo de CPU que consume otro (lo que puede complicar la planificación de tareas para el CFS u otros). Mi apuesta personal es que un sistema operativo basado en Sandboxies como Qubes podría proporcionar el aislado suficiente entre procesos para evitar este tipo de ataques "de entorno" del criptosistema. Por supuesto un buen antivirus, etc. para evitar el troyano de turno que ataque AES también ayuda.

Y eso es todo por hoy, ¡buena semana a todos!

Salu2

Hacking y publicidad: Kawasaki

Desde que Angelina Jolie protagonizara la película “Hackers” allá en 1995, (enganchándome definitivamente en el mundillo de la informática - quien iba a decir que 15 años después, sería considerada una de las mujeres más bellas del mundo), la utilización de los piratas informáticos en la gran pantalla ha sido una tónica habitual, nunca olvidaré como nos salvó la vida un virus informático en la película de Will Smith “Independence Day” o como utilizaban el Nmap para desenvolverse por los mundos de Matrix:

Y es que los hackers siempre han sido esas personas misteriosas y extrañas, a las cuales das la mano mientras se vuelcan la agenda de tu teléfono y piratean la tragaperras del bar. La historia desde los tiempos de Kevin Mitnick hasta el Zar de Internet de Obama no ha desvelado ese halo místico que sigue rodeando a los hackers. Eso quieras que no siempre nos ha venido bien a los que nos dedicamos a esta profesión (en mayor o menor medida), nos hace sentirnos como John Wayne y decir de vez en cuando un, “no te preocupes nena, yo te rompo ese candado y tienes Interné gratis”, (para acabar haciendo un downgrade de Windows Vista o peores, ejem, pero esa es otra historia).

La publicidad y el marketing no son ajenas a esta moda, surgiendo términos como urban hacking que viene a ser algo así como utilizar la ciudad para cosas que no fue diseñada (yo siempre lo entendí como ser de mente abierta, o creativa...). Si bien las grandes marcas de Seguridad deben emplear la publicidad para hacerse mercado, normalmente los resultados son bastante pobres y no suelen atraer al consumidor medio (en mi humilde opinión), más bien provocar risillas o comentarios entre el personal del sector (todavía recuerdo el video de SOPHOS de kill a zombie, por que al fin y al cabo todos los antivirus te venden un 100% de seguridad (já).

Fuera de nuestra industria hoy os traigo un ejemplo de publicidad + hacking que nos brinda Kawasaky en su aniversario, lo podéis ver aquí http://www.kawaniversario.com/

Donde un supuesto hacker se carga la web conforme entramos,, yo me he quedado con las ganas de ver motos :-(

Curiosidad matinal, un saludo!

Qubes-OS

¡Hola!, vuelvo tras unas semanas de ausencia con una noticia fresquita fresquita. Hace escasos días ha sido presentado el sistema operativo Qubes, sus creadores, The Invisible Things Labs (los mismos que apadrinaron al hombre invisible :-p) nos lo presentan como "open source operating system designed to provide strong desktop computing", hay quien lo ha tildado ya como el sistema operativo más seguro del mundo (una de esas frases rimbombantes para animar el cotarro), veámoslo brevemente por encima:

Qubes está basado en Linux, concretamente en la distribución Fedora 12, ahora mismo está diseñado para funcionar en procesadores de 64 bits y, aunque puedes hacerlo, no se recomienda su instalación como máquina virtual, y esto es por que Qubes se basa principalmente en la defensa por "aislamiento", extrapolando el concepto de virtualización que vimos en Sandboxie a todas las aplicaciones del Sistema Operativo. Si repasamos el documento de arquitectura de Qubes veremos esta virtualización con claridad. Fedora 12 + Xen hypervisor, a partir de ahí una serie de dominios virtualizados clasificados en categorías (de hecho, podremos saber que categoría tiene una aplicación por el color que la rodea en el escritorio) y que extienden el aislamiento de procesos típico de los sistemas operativos otorgándole un nivel mayor de seguridad y robustez ante amenazas:

Qubes generará tantas AppVM o "mini máquinas virtuales" como aplicaciones hayamos lanzado, asegurándose de que no existen recursos compartidos entre ellas o si existen es por que el usuario lo ha autorizado, ¿como?, a través del "Copy Paste Seguro" (flipa). Las aplicaciones no tienen acceso al clipboard y solo el usuario es quien puede "autorizar" a que un trozito de memoria sea accedido por una tercera aplicación. ¿Cuantas AppVM podemos tener?, los autores dicen que muchas, señalando que el consumo de recursos del sistema no es excesivo, estando a la altura de otros sistemas operativos actuales.

Sobretodas estas capas de virtualización y dominios hay uno que los gobierna a todos, uno en el que corre el core del sistema operativo y cuya comunicación con los "gestores de dominio" se ha disminuido al máximo, tanto que se está estudiando si este dominio 0 no debería estar ubicado "en la nube" (aquí ya sería cuando se juntaría la virtualización y la nube en una elegante solución tecnológica). Para más inri, Qubes aprovecha toda la tecnología Intel de Trusted Execution que vimos hace unos meses, haciendo uso de las instrucciones, sistemas criptográficos asimétricos y beneficios que supone la implantación de instrucciones de seguridad y aislamiento desde el mismo procesador.

He de reconocer que sobre el papel tiene muy buena pinta, espero poder montarme mi "mini laboratorio" y poder hacer cositas con este nuevo sistema operativo que, si bien puede ser demasiado incómodo para los usuarios de la calle (sobretodo aquellos que maldecían el UAC de Windows Vista) puede tener mucho sentido en ambientes donde la seguridad es crítica. Estaremos atentos a la evolución de este proyecto que, sin aportar grandes novedades, mezcla muchos de los conceptos y tecnologías que hay en el mercado ofreciendo un producto que deja buenas vibraciones.

Salu2!!

PD: Discúlpenme mis lectores por la poca frecuencia de entradas, lamentablemente va a ser la tónica general a partir de ahora y es que, como en la vida, nuevos proyectos se avecinan para sustituir a los anteriores.

(Millones de) recursos gratuitos de seguridad.

Cerramos el mes con un capítulo dedicado a material de auto-formación. Mientras leía el Metasploit Toolkit E-Book de SYNGRESS me he dado cuenta de que desde esta página debía de haber mucho más recursos de seguridad. La decepción ha sido que ya no comparten los libros enteros, solo capítulos sueltos que eso sí, muchas veces vienen de perlas si quieres aprender algo muy concreto (por ejemplo análisis forense de un router).

Este listado ha sido extraído directamente de la página de Free E-booklet de Syngress, son capítulos sueltos de libros (que también se pueden comprar):

Certification

• Security+ Study Guide & Practice Exams
• The Real MCTS/MCITP Exam 70-620 Prep Kit
• The Real MCTS/MCITP Exam 70-648 Prep Kit
• Security+ Study Guide, 2nd Edition
• The Official CHFI Study Guide (Exam 312-49)
• The Real MCTS/MCITP Exam 70-649 Prep Kit

Cybercrime

• Behind the Crime
• Incident Response - Live Forensics and Investigations
• Router Forensics
• Windows Memory Analysis
• Analysis of a Suspect Program - Linux
• Initial Triage and Live Response - Data Analysis

Firewalls

• Configuring Check Point NGX
• Cisco PIX Firewalls
• Defining a VPN
• Realms, Roles and Resources
• Advanced VPN Concepts and Tunnel Monitoring
• Deploying SonicWALL Firewalls

IT management

• No Place like Home - Creating an Attack Lab
• Having Fun with Sysinternals
• Handheld Forensics
• Business Continuity/Disaster Recovery Plan Development
• Controls and Safeguards
• Trademarks and Domain Names

Microsoft

• Managing Recipients in Exchange 2007
• Using Intelligent Application Gateway 2007
• Thin Clients and Digital Independence
• Examining Network Traffic and Performance Logs with Log Parser
• Microsoft Windows Server 2008 - An Overview
• Network Security Basics

Open Source Security

• Architecture, Environment and Installation
• Introducing Nmap
• Vulnerability Assessment
• Kismet Menus
• Introduction to Netcat
• Add-ons and Enhancements

Security Tactics

• Introducing Network Analysis
• Layer 1 - The Physical Layer
• Perl Scripting and Live Response
• Advanced Operators
• Dumpster Diving
• When Insiders and/or Competitors Target a Business's Intellectual Property

Pero claro, haciendo una búsqueda un poco más refinada y sin tirar de torrents / programas p2p también podemos encontrar muchos más libros completos de seguridad, esta página en concreto ofrece un montón, la librería de libros electrónicos dbeBooks en su apartado de Seguridad y Criptografía también es de mucha ayuda.

Para terminar y en un apartado más alineado con el día a día os dejo una revista de seguridad más enfocada a la gestión de la misma y sus buenas prácticas, se llama Red Seguridad:

Echadle un ojo y juzgad vosotros mismos.

Y esto es todo por hoy, no hay excusas para no seguir aprendiendo :)

Privacidad de Google Buzz

La plataforma social de Google viene con premio: la privacidad. Si ya habeis probado Buzz habréis visto que por defecto los comentarios que vas realizando, las cosas que compartes son publicas para todo el mundo. Esto excede con creces a tu red de contactos (y a los amigos de tus amigos), siendo público en Internet.

Eso significa que hay un montón de personas que, por defecto, están contando su vida a medio mundo sin darse cuenta. Una sencilla búsqueda en http://www.google.es/profiles os lo puede demostrar, además si tu has escrito algo en un comentario público de esa persona también ser verá. Para asegurar una completa trazabilidad con un poquito de ingeniería social y "googleando" puedes saber quien es la persona que está detrás de un blog en blogspot, así como en el resto de servicios de Google. La comunidad no ha tardado mucho en reaccionar y ya ha sido denunciado en USA, destacando otras cosas no menos importantes como que aprovechen tus listas de contactos de gmail (algo que por ejemplo facebook no lo hace, a menos que tu se lo indiques claro).

En fin, una pequeña puñalada a esa privacidad que tanto ha traído de cabeza a Facebook, MySpace, etc. Andad con cuidado. ^^

Salu2

Cursos de Seguridad gratuitos

Un año más el CEIM ha publicado su lista de cursos disponibles para formación en este 2010, al igual que ocurría en el 2009 son varios los cursos centrados en Seguridad de la Información, los más interesantes son los siguientes:

Laboratorio de Seguridad en Red (40 h)

1.Conceptos TCP/IP.

1.1.Pila de protocolos TCP/IP.

1.2.Direccionamiento.

1.3.Sockets.

2.Hacking Ético.

2.1.Rol de un Hacker Ético.

2.2.Qué puedes realizar dentro de la legalidad.

2.3.Qué no se puede realizar dentro del marco de la legalidad.

2.4.Actividades previas a la realización de un ataque.

2.5.Escaneos ( herramientas Sam Spade, SuperScan).

3.Tipos de ataques.

3.1.Ataques de DoS (Smurf, SYN FlOOD, Detour, DDOS.).

3.2.Ataques de reconocimiento Prácticas con wireshark.

3.3.Ataques de Spoofing (Replay, Man in the Middle, TCP Hijacking).

3.4.Código Malicioso (Virus, Troyanos y Gusanos).

4.Mecanismos de Protección.

4.1.Introducción y configuración del Firewall PIX.

4.2.Zonas desmilitarizadas.

4.3.Securización con IPS.

4.4.Identificación de equipos conectados a las red (NAC).

5.Securización de equipos de red.

5.1.Seguridad en dispositivos Cisco.

5.2.Deshabilitar Servicios de Red e Interfaces no empleadas.

5.3.Configuración correcta de los protocolos de gestión.

5.4.Mitigación de ataques con ACL.

5.5.Mitigación de ataques de Nivel 2.

6.Redes privadas virtuales.

6.1.Protección a nivel de transporte SSL, TLS.

6.2.Protección a nivel de red IPSEC.

7.AAA.

7.1.Qué es la Autenticación. Métodos de Autenticado.

7.2.Qué es la Autorización.

7.3.Qué es la Auditoria.

8.Buenas Prácticas y resumen.

Seguridad en Equipos Informáticos 90(h)

Módulo 1. Gestión de la seguridad y de los riesgos.

1.1. Objetivo de la seguridad.

1.2. Plan de implantación. Amenazas.

1.3. Atacante externo e interno.

1.4. Tipos de ataque.

1.5. Mecanismos de protección.

1.6. Proceso de gestión de riesgos.

1.7. Métodos de identificación y análisis de riesgos.

1.8. Reducción del riesgo.

Módulo 2. Seguridad Física y lógica del sistema.

2.1. Protección del sistema informático.

2.2. Protección de los datos.

2.3. Sistemas de ficheros.

2.4. Permisos de archivos.

2.5. Listas de control de acceso (ACLs) a ficheros.

2.6. Registros de actividad del sistema.

2.7. Autentificación de usuarios.

Módulo 3. Acceso remoto al sistema.

3.1. Mecanismos del sistema operativo para control de accesos.

3.2. Cortafuegos de servidor.

Seguridad en las WLAN (25 h)

1.Objetivos de la seguridad en el sistema de información.

2.Sistema de seguridad robusto: RSN.

3.Métodos de autentificación.

3.1.EAP

3.2.IEEE 802.1X.

3.3.RADIUS.

3.4.Protocolo IEEE 802.11i.

4.Arquitectura.

5.Jerarquía de claves.

5.1.RC4

5.2.TKIP

5.3.AES

5.4.CCMP

6.Cifrado de los datos

6.1.RC4-TKIP

6.2.AES-CCMP

También hay cursos más orientados a la gestión de la seguridad como IT Gobernance o ITIL v3. Si estáis pensando en reciclar conocimientos no dudéis en solicitar estos cursos gratuitos que, por otra parte, los pagamos todos con un pequeño porcentaje de nuestro salario.

Volvemos pronto, ¡Salu2!

Rooted Con

Como a estas alturas ya casi todo el mundo sabe, se va a celebrar un importante congreso de seguridad en España (no, no es la Blackhat de Barcelona) donde irá lo mejor del panorama nacional y como no podía ser de otra forma desde este pequeño blog quisiera aplaudir esta iniciativa que está levantando cada vez más expectación.

Será del 18 al 20 de Marzo, pillará puente en varias comunidades autónomas y el precio actual (hasta el 31 de Enero) es de 75 € (40 si eres estudiante), aunque puedes consultarlo aquí. Conforme se acerque el evento la presencia en los medios puede ser importante, y es que es la primera vez (que a mi me conste) que se monta algo así, y tiene muy buena pinta. Gente como Eduardo Abril y Pedro Sanchez harán un análisis forense en sus ponencias, el Maligno (que nunca se pierde una) presenta la versión 2 de su herramienta favorita de captura de metadatos en documentos de ofimática, la foca. Además habrá cositas que casi nadie ha visto hasta ahora, como el zero-day que presentará Ruben Santamarta.

La idea inicial es hacer un congreso donde se vean cosas chulas del mundo de la seguridad, donde se aprendan que ataques se pueden hacer pero también como ponerlos en práctica, viendo casos reales. Veremos como sale esta primera edición, a priori la relación precio / calidad es muy buena por lo que no hay excusa para perdérselo.

Volvemos pronto, salu2!!

¡Feliz Navidad y Feliz Año Nuevo!

No está bien comenzar una felicitación navideña con una pequeña disculpa, pero estas dos últimas semanas han tenido demasiado ajetreo como para plantearme escribir algo medianamente interesante. Tanto trabajo se alinea con unas fechas en las que al menos a mí solo me apetece estar con la familia, disfrutar del hogar y los amigos y aprovechar el tiempo libre que estas mini-vacaciones y fiestas permiten.

Todo ello significa que voy a tener que hacer una mini-pausa en el blog y hasta mediados de Enero no volveréis a verme, lo siento, sé que me vais a echar de menos (sobretodo algunos compis del tiger-team que tantas veces me inspiran), pero,,, ¡descansad de tanto blog y daros una alegría!, aunque solo sea por que se acabó el año de LaPalabraQueNoVolverémosAPronunciar. Y es que parece que llevásemos toda la vida con esa palabreja, y si no me creeis mirad estos vídeos de Cruz y Raya:

Pero el 2009 se acaba, ¿que decíamos en 2008?, si recordais este año íbamos a hablar de virtualización, de protección antivirus,,, no íbamos mal encaminados. Personalmente creo que a nivel de blog se han conseguido los objetivos, con esta serán 94 entradas, lo que hacen unas 8 de media al mes, más o menos 2 a la semana. Destacaría especialmente tres en este año que creo han sido las que más han gustado:

- Proxy Joking.

- Data Carving Challenger.

- Forensic Analisys of a Network Scan.

También ha habido otras cositas que para mí al menos han sido importantes, como la serie dedicada a cuando conseguí sacarme el CISSP "Caminando al CISSP" o la serie de entradas de OWASP que tengo a medias. Un año bastante productivo en líneas generales, ¿de qué hablaremos en 2010?, aquí os traigo una mala noticia, sé que para vosotros es más aburrido, pero hay que hablar más de teoría, la parte de gestión y organización de la seguridad es muy importante y creo que el mercado resultante de LaPalabraQueNoVolverémosAPronunciar es muy consciente de ello, más regularización, más SOX, más PCI, más MIFID, etc. Ahora bien, las entradas "diver" son las de pen-test y análisis forense, por lo que intentaremos no dejarlas de lado (de hecho son con las que más aprendo).

¿Un reto para el 2010?, llevo varias semanas dándole vueltas a dos certificaciones, el Certified Ethical Hacker (CEH) del EC-Council y o el Computer Hacking Forensic Invectigator (CHFI) me interesan bastante, por lo que quizás en unos meses os esté hablando de esas experiencias. También me quiero regalar algún libro de seguridad estas navidades, por ejemplo de análisis Malware aunque hay otros focos que pueden ser interesantes, como la Belleza de la Seguridad. También hay algún que otro proyecto que requerirá refrescar conocimientos de programación (algo que siempre me acaba dando pereza, pero luego resulta satisfactorio), en resumen, muchas ideas para un 2010 que está a la vuelta de la esquina y que pinta muy bien para los Expertos en Seguridad (como ha publicado el Whashington Post) mientras este 2009 que tantas cosas inesperadas nos ha traído (léase Gripe A, léase el sexteto del Barça, la muerte de Michael Jackson, la agresión a Silvio Berlusconi o lo que queráis) se va apagando.

¡Es Ley de Vida!, disfrutad de esta Nochebuena, ¡será la primera del resto de vuestra vida! :-D

Feliz Navidad.

3 Propósitos Seguros para el 2010

¡Hola!

Seamos sinceros, el año está finiquitado. Si estáis a punto de apuntaros al gimnasio, reservad vuestras energías. Si acabáis de adquirir el último curso de Inglés, no os preocupéis, todavía tenéis tiempo (maybe later), con el tabaco ocurre algo parecido, de aquí a cuatro días no se podrá fumar en bares y discotecas, esperad un poquito más y “disfrutad” de vuestras últimas caladas. Guardar todas vuestras energías para empezar el año que viene como un toro, o como una botella de gaseosa, o sencillamente comenzad ya a hacer lo que realmente os gusta, dentro de 20 días tu y yo no recordaremos este post por que estaremos buscando uvas, pensando donde hacer el cotillón, buscando un disfraz de Ramón García, etc. Pero hasta que ese futuro llegue vamos a hacer unas cuantas cosas, son buenas prácticas, recomendaciones que estáis hartos de escuchar, consejillos de la abuela, todo eso que sabes que tienes que hacer y nunca haces, ahí va:

BACKUP

Este viejo concepto, antes lo llamábamos copia de seguridad, que pereza, ¿Verdad? Anda, no es para tanto, clasifica en tu equipo aquella información que realmente has generado tú, los apuntes y prácticas de la Universidad, las tablas Excel con tus cuentecillas, las fotos de las vacaciones y esas 4 cosejas más que todo usuario tiene. Instálate un programa de Backup, pero uno bueno, que permita cifrado, control de versiones, programación de tareas, etc. algo como AceBackup te puede valer, bájatelo, es gratis. Lo instalas, te creas un proyecto:

Y a hacer backup:

Si, puede tardar bastante pero,,, ¿no dejas el equipo toda la noche encendido para bajarte una peli compartir tus archivos? Luego lo vuelcas a un DVD (o 2), lo dejas en una tarrina y te aseguras de memorizar bien la contraseña (¡Invéntate Algún Truquillo De Memorización 2009! IATDM09). Tu disco duro se romperá el 1 de Enero de 2010, el Confincker en su versión Z reaparecerá más maligno y destructivo que nunca, lo perderás todo, si, TU.

PASSWORD

Sé sincero contigo mismo, no sabes ni cuantas contraseñas tienes. Te has dado de alta en tantos sitios que el botón de “forgot passord?” es un “must click” para ti. Haz un pequeño inventario, la del trabajo, la de Windows live, la de gmail, la de Facebook, la de tuenti, la de la universidad, la de tu equipo de casa, la del portátil, el PIN del movil, el de la tarjeta de crédito, tu contraseña de Amazon y Dios sabe que más,,, ¿ya las tienes todas? ¡Bien!, ¡Destrúyelas!, Ahora genera una contraseña robusta, nadie tiene cabeza para tantas cosas. Utiliza una fuertote (12 caracteres alfanuméricos, etc.) y cámbiala en todas tus aplicaciones, espera, este es un blog de Seguridad, no te puedo decir eso, no sería seguro. Vale, hagamos una cosa, utiliza un gestor de contraseñas que haga de memoria intermedia para ti, pero ya que lo utilizas cambia las que realmente te importen y llega al compromiso de hacerlo cada X tiempo, pero ya sabes, sin mezclar el trigo y la paja, ni confundir las churras con las merinas.

PRIVACIDAD

Parece que estamos en los años privados, todo el mundo está muy preocupado por sus datos, a cada semana surgen cuestiones en las noticias relacionadas con la privacidad, las redes sociales, nuestra presencia en Internet, teorías de la conspiración, etc. Y tu, ¿sabes lo que compartes en Internet?, date una vueltecita por 123people, o Yasni o si tienes algo de tiempo libre (quien no se pilla unos días ahora,,,) dale al Google. Sorpréndete, los detectives privados lo tienen chupado contigo, filtra, limpia, borra cosas, quéjate o comparte tu vida entera, pero tienes que saber que es lo que hay por ahí de ti, no por curiosidad, es por tu seguridad.

¿Has visto lo que ha ocurrido estos días con Facebook? Mark Zuckberg anunció que las políticas de privacidad cambiaban, ahora todo el mundo se regirá por las mismas normas:

“as Facebook has grown, some of these regional networks now have millions of members and we've concluded that this is no longer the best way for you to control your privacy. Almost 50 percent of all Facebook users are members of regional networks, so this is an important issue for us. If we can build a better system, then more than 100 million people will have even more control of their information.

The plan we've come up with is to remove regional networks completely and create a simpler model for privacy control where you can set content to be available to only your friends, friends of your friends, or everyone.”

Esto se traducía en que cuando entrabas te decía, “las políticas de privacidad de Facebook han cambiado, configura tus políticas de privacidad”, y te comparaba las “viejas” y las nuevas, ¡cuidado!, por defecto vas a compartir mucho más que antes (no tengo ningún pantallazo para enseñaroslo), así que leete cosas como esta y configúralo todo a tu gusto bajo esta sencilla regla:

Fijaros con qué poquito uno se toma las uvas mucho más tranquilo,,,

,,, una sencilla entrada mitad offtopic / mitad humor / mitad realidad para remover alguna conciencia, espero que os haya gustado :)

Salu2!

Cajeros ATM "Inseguros"

Hoy os traigo una pequeña curiosidad, si cuando os acercáis a los cajeros automáticos os gusta practicar la seguridad extrema:

Tengo una mala noticia para vosotros, no es suficiente. Como sabéis las autoridades siempre recomiendan cubrir el teclado con una mano u objeto al introducir vuestro PIN, he encontrado unas imágenes del departamento de policía de la Universidad de Texas en EE.UU. (si, yo también me he quedado a cuadros) que definen muy bien el por qué:

Metemos el lector de tarjetas de crédito...

Hay que fijarse bien para notar la diferencia, pero como nunca llevamos prisa no hay problema.

Unos pocos folletos informativos siempre ayudan.

Y ya estamos preparados para comenzar a capturar PINs.

Cuidado en estas fechas de alto consumo ^^

Salu2

Black Screen Of Death

Hay días -muy pocos por suerte- en que es peor el remedio que la enfermedad. Esto también se aplica en el mundo de la Informática y concretamente en el Software no puede ser obviado. Parece ser que el último boletín de parches de Microsoft provoca un Black Screen,,, pero sin death (BlSoD), es decir si el usuario hace Ctrl + Alt + Sup puede acceder al administrador de tareas y ejecutar algunas acciones. Esto obviamente puede ser un dolor de cabeza para los técnicos de microinformática, administradores, etc.

Al parecer en la publicación de parches de seguridad del 10 de Noviembre se modifican reglas ACL de Windows que impiden el acceso al registro e invalidan determinadas entradas del mismo, estos parches tenían como objetivo corregir la vulnerabilidad MS09-065 donde se detectaba un bug en el kernel de Windows (XP, Vista, 7, Server 2003, Server 2008), ahora bien el parche provoca el temido BlSoD en algunos equipor por lo que llega el eterno dilema, ¿actualizar o no actualizar?, ¿tapamos unos agujeros para que nos salga un fuego?

Está claro que la única solución es alcanzar un equilibrio aristotélico, asumimos los riesgos durante un pequeño periodo de tiempo equivalente a probar las actualizaciones en un entorno aislado, comprobar que no existen incompatibilidades con nuestro software, etc. Después parcheamos y carretera.

Si por casualidad habéis tenido este problema la empresa que lo denunció (Prevx) ha publicado un pequeño parche que lo soluciona (¡antes que Microsoft!), yo no lo he probado (quizás no actualizo tan a menudo :-( ) pero si os animáis está aquí.

Adjunto imagen del comentado BISOD, no confundir con las típicas postales de “Cuenca de noche” o “Tenerife de noche” -->

Salu2!

NdA: Como habréis visto a través de meneame parece ser que al final la "culpa" de estos pantallazos no la tenían las actualizaciones, tal y como relata la gente de Prevx tiene que ver con la manera en que Windows almacena los Strings en el registro de Windows, requiriendo un carácter Null para finalizar el string, si ese carácter no aparece pueden surgir errores al leer los datos y no poder determinar cuando finaliza la cadena, de ahí el BlSoD. Las actualizaciones no están directamente relacionadas, lo que no significa que cierto software que acceda de forma incorrecta al registro provoque estos errores, lo que sí se ha demostrado es que el parche de Prevx funciona,,, en SysInternals tenéis un programa-demo de este error.