Security on my Pocket 2

Relación de temas de seguridad encontrados los últimos dos meses


Security on my Pocket 2

Continúo con mi afán de liberar mi lista de enlaces de Pocket sobre seguridad.

Como siempre, la falta de tiempo para clasificar y documentar los enlaces me ha dejado un saco bastante lleno de novedades y catástrofes. Vamos a ver si lo ponemos un poco en orden.

2018 empezó fuerte: Meltdown y Spectre nos atacaron por sorpresa a principios de año. El problema esta vez afectaba directamente a los procesadores y al sistema de acceso a memoria compartida primero de Intel y después de AMD y obligaba a parchear todos los sistemas operativos.

Aparte de las declaraciones de Linus Torvalds sobre los arquitectos de Intel:

Has anybody talked to them and told them they are f *cking insane ?

que supongo que a nadie sorprendieron, una de las mejores explicaciones que encontré sobre la vulnerabilidad fue ésta Meltdown and Spectre .

Quizá no tenga mucho que ver, pero en noviembre del año pasado Intel ya tuvo sus primeros problemas: Fallos en el firmware de Intel dejan vulnerables millones de equipos sin importar qué sistema operativo usen .

Navegadores, botnets, criptomonedas y similares

No sé si es que estos meses han sido especialmente malos para los navegadores o si comenzamos a ser mucho más críticos con este tipo de sistemas pero desde luego no nos han faltado noticias y nuevos ataques.

La estrella está siendo el minado de criptomonedas. Tras las noticias de la aparición de scripts maliciosos en algunos sitios importantes (entre ellos el de Telefónica), saltó la noticia de la aparición de este malware en la propia Web de YouTube .

Lo bueno es que basta con cerrar la pestaña del navegador para que deje de ejecutarse el script de minado. Bueno, últimamente esto tampoco sirve: Cryptocurrency Mining Scripts Now Run Even After You Close Your Browser : ya tenemos scripts que siguen ejecutando incluso cuando cerramos las ventanas.

Por supuesto, la privacidad continua siendo uno de los grandes defectos de los navegadores. En estos días que tus datos personales son tan importantes, surgen sistemas para identificar a los usuarios incluso aunque utilicen diferentes navegadores.

Continuando con los peligros de las extensiones del navegador, comienza la lucha por evitar su detección. En concreto, algunas extensiones maliciosas para Chrome y Firefox toman el control del sistema de eliminación de extensiones de forma que sean prácticamente imposibles de eliminar para un usuario sin conocimientos avanzados.

No sé si esto se convertirá en tendencia, pero comienzan a ser una norma los artículos sobre los peligros de las librerías descontroladas de JavaScript de las que hemos hablado en algunas ocasiones. Por ejemplo:

Y al hilo de las botnets y las criptomonedas, nos encontramos esto: New botnet infects cryptocurrency mining computers, replaces wallet address , que avisa de la aparición de nuevos botnets para minar este tipo de monedas, algo que por cierto ha hecho que caiga el valor de alguna de ellas como Ethereum.

Dispositivos, redes e IoT

El día de Reyes me desperté y entre mis regalos tenía una maravillosa unidad de backup de Western Digital. Desgraciadamente, también recibí por Twitter un enlace a este artículo: Critical Unpatched Flaws Disclosed In Western Digital 'My Cloud ' Storage Devices en el que desglosaban las vulnerabilidades de estos dispositivos incluyendo una de esas puertas traseras imposibles de parchear.

Lo de las puertas traseras quizá deberíamos hacérnoslo mirar, por ejemplo Lenovo incluía una para su Lector de huellas digitales que deja expuestos todos los datos almacenados del sistema.

Y siguiendo con el tema, hay quien encuentra sistemas de minería de criptomonedas con la clave por defecto root / root:

Bitcoin miners.jpg

por si acaso no nos habíamos dado cuenta que cripto y seguridad no es lo mismo.

No pensemos que todo este tipo de cosas se solucionan con una buena aplicación de mantenimiento de contraseñas. Si caemos en la tentación podemos leer este artículo: Windows 10 included password manager with huge security hole que quizá nos pasó algo desapercibido por los problemas de Apple con los usuarios root:

Entrar con el usuario root en Apple sin contraseña

Otras cosas: al parecer, después de las vulnerabilidades descubiertas en WEP, WPA y WPA2, este año se lanzará WPA3 , el nuevo estándar para los sistemas WiFi que promete ser más seguro. No sé si esto ya lo habíais escuchado antes.

Por cerrar este tema, por casualidad llegué a esta Web: Router Security que lista los errores de seguridad conocidos de muchos routers del mercado. Conviene echarle un vistazo aunque como supondréis, es kilométrica.

En cuanto a Android, he recopilado estas noticias:

El mundo físico

Hace algún tiempo leí un PoC que explicaba cómo entrar en los sistemas de navegación de un avión a partir de la red WiFi de los pasajeros. Se llegó a demostrar en simuladores pero no en aviones reales. En noviembre se reprodujo la prueba con un avión real en tierra, concretamente un Boeing 757. Podéis leer el artículo completo en Homeland Security team remotely hacked a Boeing 757 .

Una de espionaje: Is Your DJI Drone a Chinese Spy ? Leaked DHS Memo Suggests . El primer dron que conozco que envía sus datos a China, algo que también parece que ocurre con los teléfonos de OnePlus aunque la empresa ha negado las acusaciones estos últimos días.

Por supuesto, los cajeros automáticos (ATM) siguen siendo un objetivo para los ciberdelincuentes y parece que comienzan a llegar a Estados Unidos tras su gira por Europa y Asia.

Para desarrolladores

En cuanto a todas esas cosas que deberíamos tener en cuenta como desarrolladores o administradores, Miguel Angel Arroyo publicaba un estudio sobre cómo localizar servidores MongoDb que hubiesen sido víctimas de ransomware utilizando Shodan.

En esta misma Web, mantienen un artículo sobre las principales vulnerabilidades web . Posiblemente nada que no supiéramos ya, pero siempre viene bien una lista de este tipo para refrescar la memoria.

Y este quizá sea incluso más antiguo pero me sorprendió ver que la web de Martin Fowler también habla de las bases de seguridad Web . No sé porqué si le hacemos caso en cosas como el código limpio, no comenzamos a tenerle en cuenta para aumentar nuestros conocimientos sobre seguridad.

Aunque ya han pasado tres o cuatro meses desde el Codemotion hasta ahora no había visto completa la charla de Luis Ruiz Pavón sobre seguridad Los ataques web más comúnes en acción . Una pena que los últimos minutos se pierda el audio.

Más cosas: releyendo a Troy Hunt, me he encontrado con un artículo interesantísimo con una lista de pasos para configurar correctamente HTTPs en nuestros sitios: The 6 -Step "Happy Path" to HTTPS .

Por cierto, como suele pasar a este artículo llegué tras leer este otro: I am Sorry You Feel This Way NatWest, but HTTPS on Your Landing Page Is Important que creo que todos deberíamos leer.

Y para terminar

Una lista rápida de cosas que se quedaron en el tintero:

Pues ya está. Mi lista de Pocket es un poco más pequeña aunque se han quedado algunas cosas en el tintero. Quién sabe, quizá el próximo mes.

Páginas relacionadas