La técnica de seguridad digital más comúnmente usada para proteger los derechos de autor en medios y las comunicaciones en Internet tienen un punto débil importante, según descubrieron científicos de computación de la Universidad de Michigan.

La autenticación RSA es un método popular de cifrado usado en reproductores digitales (audio y video), computadoras portátiles, teléfonos inteligentes, servidores y otros dispositivos. Puntos de venta y bancos también dependen de esto pata asegurar la seguridad de la información de sus clientes en linea.

Los científicos hallaron que podrían frustrar el sistema de seguridad variando el voltaje suministrado al poseedor de la “clave privada”, el cual sería el dispositivo del consumidor en el caso de la protección contra copias y el punto de venta o el banco en el caso de comunicaciones por Internet. Es altamente improbable que el atacante pueda usar este enfoque en una gran institución, dicen los investigadores. Estos hallazgos sería más probable que preocupen a las compañías de medios y fabricantes de dispositivos móviles, así como también quienes los usan.

Andrea Pellegrini, una estudiante de doctorado en el Departamento de Ingeniería Eléctrica y Ciencias de Computación, presentará un trabajo sobre la investigación en la próxima conferencia Design, Automation and Test in Europe (DATE) en Dresden el 10 de Marzo.

“El algoritmo RSA brinda seguridad bajo el supuesto de que en tanto la clave privada sea privada, no podrás romperlo a menos que la adivines. Hemos demostrado que no es cierto,” dijo Valeria Bertacco, una profesora asociada del Departamento de Ingeniería Eléctrica y Ciencias de Computación.

Estas claves privadas contienen más de 1.000 dígitos de código binario. Para adivinar un número tan largo llevaría más que la edad del universo, dijo Pellegrini. Usando su esquema de cambio de voltaje, los investigadores de la UM fueron capaces de extraer la clave privada en aproximadamente 100 horas.

Manipularon cuidadosamente el voltaje con un dispositivo muy barato construido con este propósito. Variar la corriente eléctrica esencialmente esfuerza a la computadora y provoca que cometa pequeños errores en su comunicación con otros clientes. Estas fallas revelan pequeñas partes de la clave privada. Una vez que los investigadores provocaron suficiente fallas, fueron capaces de reconstruir la clave desconectados.

Este tipo de ataque no daña el dispositivo, de modo que no queda evidencia de la interferencia.

“La autenticación RSA es tan popular debido a que se pensaba que era tan segura,” dijo Todd Austin, un profesor en el Departamento de Ingeniería Eléctrica y Ciencias de Computación. “Nuestro trabajo redefine los niveles de seguridad que ofrece. Disminuye la protección de la seguridad en un monto significativo.”

Aunque el trabajo solo discute el problema, los profesores dicen que han identificado una solución. Es una técnica criptográfica común denominada “salting” que cambia el orden de los dígitos de una forma aleatoria cada vez que se solicita la clave.

“Hemos demostrado que es posible un ataque basado en fallas contra el algoritmo RSA,” dijo Austin. “Con suerte, esto provocará que los fabricantes hagan pequeños cambios a sus implementaciones del algoritmo. RSA es un buen algoritmo y pienso, que a la larga, sobrevivirá este tipo de ataques.”

El trabajo se llama “Ataque basado en fallas de la autenticación RSA” (“Fault-based Attack of RSA Authentication”), y se puede obtener aquí.

Traducción: Raúl Batista – Segu-info
Fuente: Help Net Security

www.segu-info.com.ar

Excerpt from:
Descubren punto débil en la autenticación RSA |

En muchos casos, tanto entre los profanos como entre los entendidos, es habitual escuchar hablar de ISO 27001 e ISO 27002 (ex-ISO 17799) como de dos normas equivalentes. En el primer caso no me parece grave, y es incluso previsible, pero creo que las personas más expertas deberían hablar con más propiedad, sobre todo teniendo en cuenta los problemas que puede ocasionar la confusión de ambas normas. Porque, aunque puede que alguien se escandalice al oirlo, ambas normas son MUY distintas.

Cuando hablo de las diferencias entre ellas no me refiero sencillamente al hecho de que una (27002) sea un código de buenas prácticas y la otra (27001) una especificación, sino a la filosofía y alcance que tienen una y otra.

La ISO 27002 es una guía para, en distintos ámbitos, conocer qué se puede hacer para mejorar la seguridad de la información. Expone, en distintos campos, una serie de apartados a tratar en relación a la seguridad, los objetivos de seguridad a perseguir, una serie de consideraciones(controles) a tener en cuanta para cada objetivo y un conjunto de “sugerencias” para cada uno de esos controles. Sin embargo, la propia norma ya indica que no existe ningún tipo de priorización entre controles, y que las “sugerencias” que realiza no tienen por qué ser ni siquiera convenientes, en función del caso en cuestión.

Por su parte, y no nos olvidemos de ello, la ISO 27001 habla de los controles de forma residual. El núcleo de la norma anterior queda reducido a un listado de objetivos de control y controles incluidos en un anexo (normativo, pero anexo). No aparecen en el cuerpo de la norma, porque en absoluto son la parte más importante. Porque lo que importa en esta norma es la gestión de la seguridad, en forma de SISTEMA DE GESTIÓN. Desde mi punto de vista, los controles forman parte del anexo más por “compasión” que por necesidad. Lo que importa en la ISO 27001 es que los riesgos se analicen y se gestionen, que la seguridad se planifique, se implemente y, sobre todo, se revise y se corrija y mejore. Pero claro, a la hora de la verdad no se “atrevieron” a dejar totalmente abierto, sin ningún tipo de guía ni mínimo, el modo de implementar o mejorar la seguridad de la información, y por eso establecieron, aprovechando la norma anterior, un listado de controles sobre los que seleccionar los más apropiados. Para facilitar la gestión de riesgos tanto al implementador como al auditor, ya que la norma anterior (27002) sólo establecía sugerencias, pero no requisitos. Al menos, eso creo yo.

¿Por qué intento dejar claras las diferencias entre una y otra norma? Porque en muchos casos a la hora de pensar en implementar un SGSI la gente piensa rápidamente en ponerse a “cumplir” los 133 controles del anexo, y tratar de cumplir con todas las “sugerencias” que da la ISO 27002 para cada control. Y se olvidan de que el objetivo de la ISO 27001, que es la norma que define cómo tiene que ser un SGSI, es precisamente el CONTRARIO: que la empresa sea capaz de priorizar y seleccionar controles en base a sus posibilidades y a sus necesidades/riesgos de seguridad.

¿Qué quiero decir con esto? Que es mucho más importante asegurar el respaldo de la dirección, el establecimiento de una metodología efectiva de mejora continua o la existencia de un comité de seguridad que el cumplimiento exhaustivo y la trazabilidad del control x.y.z en no-sé-qué entorno de producción. Con la ventaja adicional de que probablemente sea más barato conseguir lo primero que lo segundo (si es más fácil o más difícil ya entra en el pantanoso terreno de la cultura empresarial…).

Fuente: Joseba Enjuto

www.segu-info.com.ar

Here is the original:
Diferencias entre ISO 27001 e ISO 27002 |

El número de marzo de la revista Selecciones de la prestigiosa Reader’s Digest he tenido el placer de aportar contenido para una nota sobre cómo ocultar su rastro en Internet. Si bien la nota se centra en cómo ocultar “cualquier cosa” y no podía ser muy extensa, siempre es agradable poder participar en este tipo de publicaciones.

Internet es una herramienta maravillosa para los usuarios y también para aquellos “amigos de los ajeno” que desean sacar provecho de nuestra información. Por eso es aconsejable seguir algunos consejos para evitar que estas personas inescrupulosas puedan hacer uso de su información privada para utilizarla en su contra o cometer delitos. Seguir leyendo…

¡Gracias a Juan por la nota!

Cristian de la Redacción de Segu-Info

www.segu-info.com.ar

Here is the original post:
Segu-Info en la Revista Selecciones |

Del 20 al 21 de marzo, Yahoo! Brasil llevará a cabo el Hack Day de dos días y de 24 horas sin interrupciones, en el que los desarrolladores y los estudiantes se reunirán en el Centro Universitário Senac – Campus Santo Amaro, en la capital, para crear nuevas aplicaciones y servicios basados en plataformas tecnológicas de Yahoo!.

Las inscripciones gratuitas pueden realizarse aquí.

Cristian de la Redacción de Segu-Info

www.segu-info.com.ar

View original post here:
Yahoo! Brasil realiza la segunda edición de Open Hack Day |

En los últimos tiempos, las técnicas fraudulentas tradicionales (phishing) basadas en la ingeniería social han evolucionado, apoyándose en el uso de malware, en concreto, en troyanos. Así, hoy en día, la mayoría de estos especímenes de código malicioso están diseñados precisamente con el objetivo de conseguir beneficios económicos para sus creadores a través de los fraudes bancarios.

¿Qué son los troyanos bancarios? ¿Qué vectores de infección explotan estos ejemplares? ¿Cómo consiguen interceptar las credenciales de las entidades financieras? A continuación se dará respuesta a éstas y otras preguntas, analizando las principales familias de troyanos bancarios, e intentando concienciar al lector de la creciente amenaza de estos ejemplares.

Leer el Informe preparado por INTECO

www.segu-info.com.ar

View original post here:
¿Qué son los troyanos bancarios y cómo funcionan? |

Pwn2Own es una competencia famosa que se desarrolla en la CansecWest
Conference. Cada año hay una gran recompensa para los investigadores que encuentren fallas explotables en los navegadores populares y sistemas operativos (SO) y también en dispositivos móviles como el iPhone. Los últimos dos años el campeón de la competencia Pwn2Own fue Charlie Miller (0xcharlie en Twitter), uno de los cazadores de fallas y experto en seguridad más famoso del mundo.

Pwn2Own 2010 se llevará a cabo en el curso de tres días seguidos comenzando el 24 de marzo, así que, decidimos entrevistar a Charlie Miller (versión en italiano aquí) y estas son sus respuestas:

Ganaste, por dos años, la competencia Pwn2Own hackeando el Safari en el Mac OS X.
¿Será Safari y Mac también tus blancos para la competencia Pwn2Own 2010?

A esta altura todo es un blanco para mí. Me encantaría hackear uno de esos dispositivos móviles, pero probablemente terminaré haciéndolo con Safari nuevamente. Fui el primero en hackear un iPhone y un Android en el pasado, de modo que me siento a gusto con esas dos plataformas, pero es más duro explotarlas. Este año solo una persona puede ganar por objetivo, de modo que mi mayor obstáculo será que nadie me gane de mano.

Windows 7 o Snow Leopard, ¿cual de estos dos SO comerciales será más difícil de hackear y porqué?

Windows 7 es ligeramente más difícil porque tiene ASLR completo (esquema aleatorio de espacio de direccionamiento) y una menor superficie de ataque (por ejemplo, por defecto no tiene Java ni Flash). Windows solía ser más difícil porque tiene ASLR completo y DEP (prevención de ejecución de datos).
Pero recientemente, en una charla en Black Hat DC se mostró como sortear esas dos protecciones en un navegador en Windows.

En Pwn2Own 2010 no hay rastros aún de Linux como un blanco posible. ¿Es demasiado difícil encontrar exploits para Linux o un sistema operativo no-comercial no es de interés para los cazadores de exploits?

No, Linux no es más difícil, de hecho probablemente es más sencillo, aunque algo de esto es dependiente del sabor en particular de Linux del que se este hablando. Los organizadores eligieron no usar Linux porque no mucha gente lo usa como sistema de escritorio. Lo otro es que las vulnerabilidades están en los navegadores, y mayormente, los mismo navegadores que funcionan en Linux, funcionan en Windows.

¿Cuál es tu opinión sobre Chrome OS? ¿Es realmente un SO seguro o puede ser un blanco sencillo en el futuro cercano?

No conozco lo suficiente como para comentarlo.

En tu opinión, ¿cuál es la combinación más segura de SO + navegador
para usar?

Esa es una buena pregunta. Chrome o IE8 sobre Windows 7 sin Flash installed. Probablemente no hay suficiente diferencia entre ambos navegadores como para preocuparse. El asunto principal es no instalar Flash!

Por el lado móvil de Pwn2Own 2010, los grandes blancos serán iPhone
3GS/iPhone OS y Android/Motorola Droid. ¿Cuál será más fácilmente explotable?

Ambos son muy seguros. Supondría que el iPhone debido a que ha estado por más tiempo y hay mas investigación realizada sobre él. Entonces, no es que necesariamente sea menos seguro, sino que los investigadores comprenden mejor como funciona.

El próximo año, un blanco posible podría ser Windows Phone 7,
¿qué piensas de esta predicción?

Espero que si. Realmente me gusta la competencia pwn2own y pienso que es grandiosos como recompensan a los investigadores y consiguen que las vulnerabilidades en los productos se solucionen y que de otro modo pondrían en riesgo a los usuarios.

El mundo de las consolas de juegos es un gran negocio, las consolas de juegos están en nuestra sala pero aún hay unos pocos exploits y vulnerabilidades descubiertas. ¿Porqué sólo unos pocos investigadores de seguridad conocidos (por ejemplo George Hotz) trabajan en la explotación de consolas?

A pesar que hay un montón de consolas, hay muchas más computadoras, por ejemplo. Además, las consolas de juegos no TIENE que conectarse a Internet. He tenido una Wii por alrededor de un año y nunca fue conectada a Internet. Es difícil atacar remotamente la caja cuando no podes lograr que lleguen paquetes a ella También, las computadoras y los teléfonos en menor medida, están diseñados para ser adaptados, para descargarles y usar /prestar contenido desde Internet. Ahí es donde existen las vulnerabilidades y donde son creadas las explotaciones. Las consolas de juegos no lo hacen tanto así que la superficie de ataque es mucho más pequeña. La razón final, es difícil realizar investigación de ellas. No es sencillo obtener un debugger que corra en una xbox, por ejemplo.

Fianlmente pero no menos importante, ¿puedes decir algo sobre tu caja de herramientas? ¿Cuál es el software que usas para descubrir vulnerabilidades?

Busca en el Manual del Hacker de Mac, la mayoría de mis secretos están allí. Pero básicamente, uso una combinación de técnicas estáticas y dinámicas. Uso el IDA Pro para ingeniería reversa y un framework privado propio que escribí llamado Tiamat, y muchísima paciencia y trabajo duro. No hay nada que haga que otras 1000 personas en el mundo no puedan hacer si quisieran. Aún es relativamente sencillo descubrir (fallas) y explotar estas plataformas.

Traducción: Raúl Batista – Segu-info
Autor: Matteo Campofiorito
Fuente: OneITsecurity

www.segu-info.com.ar

Original post:
Pwn2Own 2010: entrevista con Charlie Miller |

Segu-Kids estará presente en la Jornada de Concientización sobre el uso Adecuado de Internet a celebrarse el próximo martes 9 de marzo a partir de las 14:00 Horas en el Buenos Aires Sheraton Hotel, Salón Libertador.
El evento es gratuito y quedan todos invitados.

En el tratamiento de la seguridad en las Redes Sociales, Evangelina Jacob, Directora de Segu-Kids, estará acompañando a Alberto Arebalos de Google y Jorge Cella de Microsoft y Pedro Janices de la ONTI.

Si eres usuario de redes sociales seguramente te interesará aprender a configurar adecuadamente la privacidad de tu perfil. ¿Ya has visitado Seguridad en las Redes Soiales por Segu-Kids?

Cristian de la Redacción de Segu-Info

www.segu-info.com.ar

More:
Conferencia de Segu-Kids sobre Redes Sociales |

La práctica de phishing es la amenaza en línea más difundida, con altos niveles de incidentes en América Latina. Los consumidores de toda América Latina esperan que su sistema bancario en línea brinde métodos de autenticación aún más seguros. Las reglamentaciones gubernamentales influyen positivamente en la confianza de los consumidores.

RSA, la División de Seguridad de EMC, anunció los resultados de la Encuesta mundial sobre seguridad del consumidor en línea del año 2010 (2010 Global Online Consumer Security Survey PDF), que incluyó preguntas a más de 4.500 clientes en relación con el nivel de conocimiento de los consumidores acerca de las amenazas en línea, las preocupaciones acerca de la seguridad de la información personal en línea y el deseo de obtener una mejor protección de la identidad. Más de 950 encuestados de América Latina participaron en el sondeo, en representación de Brasil, Chile, Colombia, México y Perú. Todos los encuestados eran usuarios en línea activos y, durante el mes previo a la encuesta, el 92% realizó una transacción bancaria en línea y el 80% realizó una compra en línea.
Los consumidores de América Latina conocen las amenazas del phishing, pero informan niveles más altos de ataques de phishing a medida que las tácticas se vuelven más sofisticadas.

Contenido completo en CXO-Community

www.segu-info.com.ar

See the rest here:
Informe de seguridad RSA en América Latina |