Sobre la seguridad del plugin de Java

No pocos opinan que "Java se está convirtiendo en un serio problema de seguridad" y es importante "entender cuáles son los riesgos de los applets de Java". En "una al dìa", el servicio de noticias y análisis sobre seguridad de Hispasec, desde el mes pasado vienen publicando unos muy interesantes post sobre entender la seguridad del plugin de Java. Una lectura más que recomendada.

Mejorar y entender la seguridad del plugin de Java (I) 

Mejorar y entender la seguridad del plugin de Java (II) 

Mejorar y entender la seguridad del plugin de Java (III) 

Mejorar y entender la seguridad del plugin de Java (IV)

Dan una interesante opinión sobre qué hay que prevenir en Java, y a partir de ello cómo configurar. Finalmente, adelantan que en una próxima entrega tratarán otras formas de proteger el plugin a través de las funcionalidades del navegador.

Actualización:
Nueva entrega:

• Mejorar y entender la seguridad del plugin de Java (y V).

Anonymous y LulzSec iniciaron el 2013 con acciones de ciberprotesta contra websites oficiales argentinas

Anonymous y LulzSec Perú realizaron durante Enero y éste 1 de Febrero una serie de ciberataques, que son consideradas "acciones de ciberprotesta", contra varios websites de diferentes instituciones gubernamentales argentinas, generando un verdadero dolor de cabeza a sus responsables. Como el INDEC, fueron atacados los websites del Ministerio de Defensa, de la Policía Federal, y de la Provincia de Buenos Aires.

Durante el ataque del 1 de Febrero "Brazo argentino" de Anonymous atacó los websites: http://policiafederal.gov.ar; http://www.sistemaspfa.gov.ar/ y http://www.buenosairesgestion.gba.gov.ar/, y publicó un mensaje en Twitter que había dejado in operativas esas páginas, y “colgaron” en una de ellas un amenazante mensaje diciendo "este 1 de febrero debe marcar el inicio de la `guerra por nuestro pueblo´".

Fuente:

• Los “hacktivistas” comenzaron el 2013 “tomando de punto” a varios sitios web del Gobierno argentino. Por Cesar Dergarabedian para iProfesional.com.

Post relacionado:

• "Brazo argentino" del grupo Anonymous ataca website del Indec. 17/01/2013.

Standard & Poor's Ratings Services sería demandada en Estado Unidos

Gobiernos federal y estatales de EE.UU. planean demanda contra S&P.- "El Departamento de Justicia de Estados Unidos y fiscales estatales pretenden demandar civilmente a Standard & Poor's Ratings Services por irregularidades vinculadas a la calificación de bonos hipotecarios antes de que estallara la crisis financiera en 2008, según fuentes al tanto". Por Jean Eaglesham, Jeannette Neumann y Evan Pérez para The Wall Street Journal.

La Casa Blanca planea acuerdo público-privado sobre la seguridad cibernética

Se está informando que el presidente de EE.UU., Barack Obama, espera llamar al intercambio de información y la cooperación entre el sector privado y el gobierno, para establecer un nuevo conjunto de normas para las empresas que operan infraestructuras críticas de EE.UU..

Según se ha informado el gobierno del Presidente Obama quiere evitar los ataques catastróficos y construir sistemas más flexibles para los operadores de infraestructuras críticas. Se establecerá una orden ejecutiva para empresas involucradas en estas áreas. La administración pedirá, a las empresas participen voluntariamente, los nuevos procedimientos que se deben escribir un plazo de 120 días para una iniciativa que se llamaría "Ciberseguridad Servicios Enhanced", con la cual se abordarán las preocupaciones de seguridad cibernética.

Según el acuerdo, el gobierno de EE.UU. entregará detalles de sus preocupaciones de seguridad cibernética a las grandes empresas. Algunos creen que la orden ejecutiva podría abrir la puerta a una nueva legislación de seguridad cibernética.

Se espera que el Presidente Obama publique el decreto sobre ciberseguridad y protección de infraestructuras críticas después del debate del Estado de la Unión del próximo día 12 de febrero.

Aunque grupos de presión ya anularon un esfuerzo por aprobar una ley integral de seguridad cibernética en el Congreso el año pasado, se ha informado que Kiersten Coon Todt, ex alto funcionario del Senado Comité de Seguridad Nacional y ahora presidente de Liberty Ventures Group, señaló que las empresas se han comprometido con un nivel de "diligencia e intensidad" que el sector financiero en particular, nunca antes había experimentado.

Fuentes:

• White House plans public-private cyber security deal. TechEye. 04/02/2013.
• Obama aprobará un decreto sobre ciberseguridad. Computerworld. 04/02/2013.

El valor del Dólar alrededor de $ 6,30 según el Índice Big Mac

El Índice Big Mac para la Argentina oculta un tipo de cambio real de $6,30.- "...para equipararse a los u$4,35 que se despacha en los EEUU y Chile el tipo de cambio oficial de mercado debiera subir a $6,30. Esto indica que la paridad cambiaria mantiene un atraso de casi el 30 por ciento. Cabe destacar que si la metodología de cálculo utilizara el tipo de cambio de mercado libre que el viernes quedó en $7,92 por dólar, el valor de la clásica hamburguesa base resulta de apenas equivalente a u$s2,43, fenómeno que pone al descubierto una devaluación del peso de casi el 45 por ciento". Por Daniel Sticco para Infobae.

Interesante artículo para aquellos que por éstos rumbos santiagueños andan estimando el valor de la moneda estadounidense en relación al precio de la docena de empanadas. Ojo!, no le andan lejos los changos.

Algunas de seguridad informática para tener en cuenta

Publicaron el Informe Anual de Seguridad 2013 de Cisco, y para sorpresa de muchos señala que las mayores amenazas para la seguridad on line están en "sitios legítimos visitados por grandes audiencias como los principales motores de búsquedas, comercios minoristas y redes sociales". El informe advierte que "las páginas de compras en linea tienen 21 veces más posibilidades de contener malware que una página falsa, mientras los motores de búsqueda elevan esta posibilidad hasta las 27 veces. Por su parte, la publicidad en linea tiene un potencial malicioso 182 veces mayor que las páginas pornográficas" (TICbeat).

Informan de problemas de seguridad para los routers equipados con chipsets Broadcom, los afecta un fallo de seguridad en el protocolo UPnP. La vulnerabilidad permite, en determinadas marcas de routers, que terceras personas de forma remota y utilizando UPnP puedan acceder de forma remota al dispositivo. "De momento, sólo se sabe que existen equipos afectados por el fallo en los chipsets Broadcom de marca como Asus, Cisco, TP-Link, Zyxel, D-Link, Netgear, USRobotics, alguno más de los que se mencionó cuando se publicó la noticia del fallo de seguridad en el protocolo" (ADSL Zone).

Tras el caso del ciberataque al New York Times, se está poniendo en duda si un antivirus protege al usuario de un ciberataque. "El sistema de seguridad de Symantec instalado en el New York Times solo detectó 1 de los 45 malware que fueron introducidos por los hackers chinos. El problema es que el software malicioso fue creado por los atacantes y no aparecía en la lista de amenazas de Symantec. Este es uno de los principales problemas de los antivirus actuales, que no son capaces de prevenir una amenaza y funcionan de forma reactiva" (ADSL Zone). Éste caso potencia el debate sobre la seguridad, en relación a los antivirus, los expertos opinan que "no es suficiente con el antivirus, se requiere una estructura de seguridad más completa".

Twitter ciberatacado 250 mil usuarios pueden haber sido afectados

Tras una serie de revelaciones de varias compañías que anunciaron recientemente habían sido ciberatacadas, Twitter anunció ayer viernes que también había sido el blanco de un ataque sofisticado.

La compañía publicó en su blog un post titulado "Manteniendo a nuestros usuarios seguros", donde comentan que detectaron patrones inusuales de acceso que los condujeron a la identificación intentos de accesos no autorizados a los datos de usuario de Twitter.

Descubrieron un ataque directo y señalan que fueron capaces de cerrar el proceso posterior. Sin embargo, su investigación ha indicado hasta ahora que los atacantes pudieron haber tenido acceso a la información de usuario limitada - nombres de usuarios, direcciones de correo electrónico, los tokens de sesión y cifrados / salado versiones de contraseñas - de aproximadamente 250.000 usuarios, según señaló Bob Lord, director de seguridad de la información en Twitter, en el post de la referencia.

Como resultado, Twitter dijo que tenía restablecer contraseñas y tokens de sesión revocada por las cuentas sospechosas de estar afectadas. La compañía también envió un correo electrónico a los usuarios afectados informándoles de que su antigua contraseña ya no era válida y que se tendría que crear una nueva.

Ésta noticia de Twitter llega en una semana llena de anuncios de compañías de medios de prensa que han sido ciberatacadas. El jueves, el New York Times reveló que los piratas informáticos, habían estado en el interior de su red durante al menos cuatro meses, y había logrado robar los nombres de usuario y contraseñas de todos sus empleados en un aparente intento de identificar las fuentes y reunir información sobre otros relatos relacionados a la familia del primer ministro de China.

Luego se sumó The Wall Street Journal informando que también había sido blanco de ciberataques y que el FBI ha estado investigando incidentes de hacking en medios de comunicación desde hace más de un año, y habría un patrón de larga duración por una entidad extranjera para comprometer la seguridad de las grandes empresas de Estados Unidos.

Actualización 06/02/2013: Twitter evalua nuevo sistema de autentificación.

Fuentes:

• Keeping our users secure. Twitter blog. 01/02/2013.
• Twitter Hacked; Company Says 250K Users May Have Been Affected. WIRED. 02/02/2013

Post relacionados

• Twitter evalua nuevo sistema de autentificación. 06/02/2013.
• Hackers chinos en medios de EE.UU.. 01/02/2013.
• Symantec se defiende tras el hackeo al New York Times. 01/02/2013.