Visual Basic 2008: Security Features

La vuelta de las vacas este año ha sido un poco más dura de lo habitual, es de esas veces donde desconectas del mundo de la Seguridad al 99% y olvidas casi casi a lo que te dedicas haciendo que el dia de vuelta te apetezca realizar Ctrl + Alt + Sup mental. Mientras que el año pasado aproveché para realizar “experimentos” de diversa índole en esta ocasión he tenido otras tareas. Por razones familiares tuve que crear una pequeña aplicación Cliente – Servidor para una clínica.

Haciendo flash—back recordé la agilidad con la que allá por el 2000 me desenvolvía en Visual Basic 5.0 y me dije, ¿Cuánto habrá podido cambiar? Y me decidí a bajarme el Visual Studio Express Edition, concretamente el Visual Basic (que ya va por la versión 9.0). Lo cierto es que no me llevé muchas sorpresas, en su esencia sigue siendo tremendamente cómodo, intuitivo y ágil. Eso sí, hay muchas novedades y utilidades para aplicar Seguridad desde los albores de un proyecto:

Permisos de aplicación: UAC

Dentro del explorador de soluciones en las propiedades del proyecto podemos cambiar los privilegios que requiera la aplicación así como las posibles llamadas al UAC. Como es obvio debemos tratar de trabajar con los menores de los permisos, así evitaremos por ejemplo que ante un “crash” de nuestra aplicación tiremos el sistema.

Código XML con el que definimos la seguridad UAC de la aplicación

Seguridad ClickONCE

Las aplicaciones que desarrollamos en VB se apoyan en la infraestructura .NET Framework y estarán sujetas a restricciones de código. Dentro de las propiedades del proyecto también podremos habilitar o deshabilitar restricciones según los permisos que requiera nuestro código, esto puede incluir transferencia de ficheros, cuadros de diálogo, permisos de impresión, generación de sockets, etc. etc.

Configurando permisos ClickONCE

Firma de Código: Generación de certificados

Es cierto, podremos garantizar a nuestros clientes que el software distribuido es nuestro a través de la firma digital. Para ello disponemos de una utilidad de generación de certificados que en cierta forma me recuerda al PGP y que a buen seguro aumentará la confianza a nuestros clientes:

Acceso a BBDD

También me ha llamado la atención la gestión de BBDD que hay disponible, si bien a priori podemos tirar “solo” de Microsoft Access y SQL Server (en el Wizard de Agregar Conexión), próximamente disponemos de opciones de autenticación de usuario al realizar las consultas, restringido eso sí a usuarios de SQL Server o de Windows (supongo que se podrán utilizar usuarios de Dominio, pero no lo he probado). También podremos crear y cifrar BBDD basadas en SQL Compact Server así como incluir o no en los argumentos de nuestras cadenas de conexión y consultas SQL el usuario y password con el que nos conectamos (no recomendable ya que viajará en claro).

Agregamos la cadena de conexión a nuestra BBDD

Creamos nuestra BBDD con el cifrado que permita la plataforma host.

Login Form

Todavía recuerdo esos viejos días en que independientemente del texto que introdujeras en el TextBox debías mostrar asteriscos para que ataques por shoulder surfing no fuesen un problema (algo que todavía no está limado del todo en plataformas como el Iphone [^^!]), en la última versión de VB tenemos los formularios predefinidos más comunes disponibles a un par de clicks (Proyecto à Agregar), entre ellos el Login Form, una gozada :D (que por supuesto he usado).

Formulario por defecto para hacer "Login"

Y tras haber trasteado con esta plataforma y tener casi terminada mi aplicación no he utilizado ni visto mucho más, aunque a buen seguro habrá muchas más opciones, solo hace falta explorar un poquito. La esencia de Visual Basic no ha variado un ápice en estos 9 años, sin embargo el abanico de facilidades no ha dejado de crecer (incluso para nosotros).

Salu2 y,,, ¡cuidado con la vuelta!

Security Sessions

De charlas y conferencias va el tema, si recordáis mañana tenemos el Up to Secure de Microsoft :

Technet & Security: Up to Secure (Madrid)

09:00 – 09:30 Registro y Presentación.

09:30 – 10:15 Business Integration. El reto de proteger la Información como activo crítico en la empresa. Los datos que tiene una empresa son parte fundamental de su activo y hay que tratarlo como es, como una de las mayores fuentes de riqueza almacenadas por una empresa. La experiencia adquirida, los conocimientos desarrollados o la criticidad de los datos hacen que haya que poner especial cuidado en protegerlos. Sin embargo, esta no es una tarea sencilla y debe asumirse ese reto con profesionalidad y cuidad. Javier Fernández Martín, Especialista Senior Seguridad en Buiseness Integration nos dará algunas claves.

10:15 – 11:00 D- Link: Redes Wifis. Problemas y Soluciones. Los problemas de seguridad en redes Wifis se multiplican en las redes mal configuradas. En la presente podrás ver algunos ataques Wifi en tiempo real y cómo securizar las redes Wireless con tu empresa o tu casa con tecnologías Microsoft y D-Link.

11:00 – 11:45 Quest Software: Auditoría de Seguridad y Forense. En la presente sesión Quest Software presentará como realizar auditorías de seguridad análisis forense en entornos Microsoft. Cómo auditar un Directorio Activo, un servidor Microsoft Exchange o un servidor de ficheros y también para entornos de red e interoperables con otras technologías utilizando InTrust. http://www.quest.com/intrust/

11:45 – 12:15 Café

12:15 – 13:00 Microsoft: Plataforma de Seguridad Integrada de Microsoft. En esta sesión veremos el tipo de seguridad que integra Microsoft en todos sus productos.

13:00 – 13:45 Informática64: Metadata Security. Los documentos publicados deben estar limpios de metadados, información oculta o información perdida. Esta sesión mostrará cómo un atacante puede realizar un mapa de red de una organización utilizando los documentos públicos de la empresa. Después veremos se verá como este problema puede ser solucionado con la limpieza de documentos y utilizando los filtros de Windows Server 2008 e Internet Information Services 7.0 para proteger la información.

13:45 – 14:00 Ruegos y preguntas.

Pero ahí no queda la cosa por que el jueves de la semana que viene vuelven las charlas FIST , esta vez contaremos con:

- 18:00 "ISSA España" - Vicente Aceituno-

- 18:10 "La jungla de las redes Wifi" - Alejandro Martín (Informatica64)-

- 19:10 "Seguridad en Windows Mobile" - Alberto Moreno (AMT)

- 20:00 Descanso

- 20:10 "Network Access Control" - David Carrasco (Heroes Certificados)-

- 21:00 Despedida

Estaremos por aquí para poder contároslas, salu2!

PD: Ambos cursos dan créditos CPE (:

Caminando al CISSP (1)

El ISC2 (International Information Systems Security Certification Consortium, Inc) es una organización internacional que permite certificarse como expertos en Seguridad de la Información. Para ello disponen de varias certificaciones, siendo las más famosas el CISSP y el nuevo CSSLP (Certified Secure Software Lifecycle Professional). Estas certificaciones (sobretodo CISSP) junto con CISA y CISM ofrecen al experto en Seguridad de la Información de títulos reconocidos a nivel internacional que gozan de cierto prestigio.

CISA es una certificación encarada a auditores de seguridad, mientras que en CISM se escuchan más voces relacionadas con el buen Gobierno de la Información, a grosso modo una es para auditores y otra para gerentes, directores de seguridad, etc. Aunque si no es tu empleo directamente, no significa que no te convenga tenerlas.

CISSP (Certification Information Systems Security Professional) es quizás la certificación que mejor encaja con mi perfil, o que más me gusta a priori, y digo a priori por que dentro de 3 meses igual me gusta un poquito menos ;-) Esta certificación tiene lo que ellos llaman “dominios de conocimiento”, en total son 10:

• Seguridad de la información y Gestión de riesgos (Information Security and Risk Management)
• Sistemas y metodología de control de acceso (Access Control Systems and Methodology)
  Criptografía (Cryptography)
• Seguridad física (Physical Security)
• Arquitectura y diseño de seguridad (Security Architecture and Design)
• Legislación, regulaciones, cumplimiento de las mismas e investigación (Legal, Regulations, Compliance, and Investigation)
• Seguridad de la red y las telecomunicaciones (Telecommunications and Network Security)
• Continuidad de actividad y Planificación de recuperación de desastres (Business Continuity and Disaster Recovery Planning)
• Seguridad de aplicaciones (Applications Security)
• Seguridad de operaciones (Operations Security)

Repartidos convenientemente en un libro de unas 1100 paginas en perfecto inglés. Por suerte el examen tiene la opción de hacerse en los dos idiomas en lugar de solo inglés, dura unas 6 horas y en España solo puede hacerse en Madrid y Barcelona, ciudad esta última donde ya han publicado las fechas del examen, que serán el 28 de Marzo. En Madrid la convocatoria será presumiblemente en Octubre, igual que ocurrió el año pasado.

Voy a iniciar mi andadura hacia esta certificación, la cual os iré contando poco a poco, y vosotros, ¿sois ya CISSP?, ¿Qué se siente? ;-)

Salu2!