Archive for febrero, 2014


windows-7-home-premium-green

Según un estudio publicado por Avecto, compañía líder en la gestión de privilegios, el 96 % de las vulnerabilidades críticas de Windows se pueden mitigar eliminando los privilegios de administración de las cuentas de usuario. El informe se ha elaborado en base a los datos de los boletines de seguridad publicados por Microsoft en 2013.

El documento de 21 páginas en formato PDF, que se puede descargar mediante registro, señala que trabajar con cuentas de usuario sin privilegios de administración puede mitigar el 92% de todas las vulnerabilidades graves reportadas por Microsoft, el 91% de las vulnerabilidades que afectan a Microsoft Office y el 100% de todas las vulnerabilidades que afectan a Internet Explorer.

 Aunque el estudio pueda tener cierto sesgo, teniendo en cuenta el tipo de servicios que comercializa Avecto, lo cierto es que pone de manifiesto que, en gran medida, la inseguridad de los productos Microsoft está vinculada a las prácticas poco ortodoxas de sus usuarios.

Este riesgo se acentúa en las empresas, donde es costumbre casi habitual conceder permisos administrativos a las cuentas de usuario por comodidad, cuando normalmente no los necesitan. Costumbre que conocen bien y explotan los creadores de malware.

La restricción de permisos por defecto a cuentas que no requieren efectuar tareas de administración, es un sistema que han adoptado los sistemas operativos tipo *NIX; fórmula que les dota de un buen nivel de seguridad de facto.

El usuario de Windows tiene esa misma posibilidad desde hace muchos años, pero no suele hacer uso de ella. Las cifras del estudio invitan a un cambio de mentalidad por parte de los usuarios de Microsoft. Más vale la incomodidad de tener que introducir una contraseña de vez en cuando, que tener la puerta abierta al malware de forma permanente.

Fuente | Genbeta

Anuncios

honeycomb

El investigador independiente y antiguo director científico de la empresa de seguridad informática RSA, Ari Juels, cree que falta algo importante en la criptografía que protege nuestros datos sensibles: el engaño.

Los señuelos y el engaño son herramientas infrautilizadas en la seguridad informática fundamental“, afirma Juels. Junto con el investigador de la Universidad de Wisconsin (EEUU) Thomas Ristenpart, ha desarrollado un nuevo sistema de encriptado con un toque enrevesado. Proporciona una capa extra de protección a los datos encriptados, sirviendo datos falsos después de cada intento fallido de introducir una contraseña o la clave de encriptado. Si el atacante acaba acertando, los datos reales andarán perdidos entre un montón de datos falsos.

Este método podría tener importancia dada la frecuencia con que grandes cantidades de datos sensibles caen en manos de criminales. En octubre de 2013, por ejemplo, se extrajeron unos 150 millones de nombres de usuarios y contraseñas de los servidores de Adobe.

Tras capturar unos datos encriptados, los criminales suelen usar software para intentar adivinar la contraseña o la clave criptográfica que se han usado para protegerlos. En el diseño de los sistemas criptográficos convencionales, es fácil saber cuándo el intento es correcto o no: una clave errónea produce un follón, no un trozo de datos en crudo reconocibles.

El método de Juels y Ristenpart, bautizado como Honey Encription (encriptado miel), hace que a un atacante le resulte más difícil saber si han adivinado la contraseña o clave de encriptado correctamente o no. Cuando se usa la clave incorrecta para desencriptar algo protegido por este  sistema, el software genera una serie de datos falsos que se parecen a los auténticos.

Si un atacante usase software para hacer 10.000 intentos de desencriptar un número de tarjeta de crédito, por ejemplo, conseguirían 10.000 números falsos. “Cada desencriptado parecerá plausible”, explica Juels. “El atacante no tiene forma de distinguir, a priori, cuál es correcto”. Anteriormente Juels había trabajado con Ron Rivest, la “R” de RSA, para desarrollar un sistema llamado Honey Words que protege bases de datos de contraseñas llenándolas también de contraseñas falsas.

Juels y Ristenpart presentarán un artículo sobre Honey Encription en la conferencia de criptografía Eurocrypt de este año (2014). Juels también está trabajando para construir un sistema basado en este sistema  para proteger los datos almacenados en servicios de gestión de contraseñas como LastPass y Dashlane. Estos dispositivos almacenan todas las contraseñas de una persona, encriptadas y protegidas por una única contraseña maestra, para que el software las introduzca automáticamente en los sitios web.

Los gestores de contraseñas son un objetivo muy goloso para los criminales, según Juels. El investigador cree que la mayoría de la gente usa una contraseña maestra poco segura para proteger su colección. “Tal y como están construidos, los gestores no animan a crear una contraseña fuerte porque hay que teclearla constantemente, en muchos casos en un dispositivo móvil”.

Juels predice que si los criminales se hicieran con una gran colección de cajas fuertes de contraseñas encriptadas probablemente podrían abrir muchas de ellas sin demasiado problema simplemente adivinando las contraseñas maestras. Pero si esas cajas fuertes estuviesen protegidas por Honey Encryption, cada intento fallido de desencriptar una caja fuerte produciría una falsa.

El director ejecutivo y fundador de la empresa de software móvil Anfacto, Hristo Bojinov, que ha trabajado en cómo proteger las cajas fuertes de contraseñas como investigador de seguridad, afirma que Honey Encription podría servir para que la vulnerabilidad de las cajas fuertes sea menor. Pero señala que no todos los tipos de datos se podrán proteger fácilmente así, porque no siempre se puede conocer los datos encriptados con el detalle suficiente como para producir falsificaciones creíbles. “No todos los sistemas de autenticación o encriptado se prestan a la ‘melificación'”.

Juels le da la razón, pero está convencido de que ya ha habido suficientes robos de contraseñas filtrados en línea como para poder crear falsificaciones que imiten correctamente colecciones de contraseñas auténticas. Ahora mismo está trabajando en crear el generador de cajas fuertes de contraseñas falsas necesario para poder usar Honey Encryption en la protección gestores de contraseñas. Este generador se basará en datos de una pequeña colección ya filtrada de cajas fuertes gestoras de contraseñas, varias series grandes de contraseñas filtradas, y un modelo de uso de contraseñas en el mundo real incorporado en un potente descifrador de contraseñas.

Fuente | MIT Technology Review

SAN-VALENTIN1

Aunque pareciera raro el hecho de caer en manos de criminales cibernéticos en estas fechas, Fortinet advierte que las fechas son totalmente potenciales en términos de seguridad. Cabe resaltar que los cibercriminales han optado por atraer a los incautos en fechas especiales, como San Valentín, donde la propagación de malware se realiza a través de las redes sociales y, sobre todo de una manera más rápida que en otras ocasiones.

Por ello, Fortinet denominó a este nuevo tipo de malware como Infecciones Transmitidas Socialmente o STI por sus siglas en inglés. Mismas que, a decir de la compañía especializada en seguridad, pueden provocar tanto daño como las de otro tipo. Como ejemplo, es básicamente, que las redes sociales son potencialmente una fuente de infección de malware al no saber verificar la fuente principal de información.

Debido a que las redes sociales se basan en la confianza, confiar en tus contactos te hace confiar en el contenido que comparten, permitiendo a los STI infectarte con malware. Para lograrlo los hackers se valen de una serie de trucos que pueden incluir el enviar mensajes acerca de temas populares, añadir extensiones maliciosas a tu buscador para secuestrar tus cuentas de redes sociales, hacer que las descargas aparenten ser de fuentes legítimas, deshabilitar tus antivirus, o incluso anunciar software malicioso como ofertas especiales (Adware).

Por ello Fortinet recomienda que si al llegar a casa se descubre la cuenta de Twitter envía spam en lenguaje extranjero, o se nota algún otro síntoma de haber contraído una STI, habrá que hacer lo siguiente de inmediato:

  • Cambiar el password de la cuenta afectada y haz lo mismo para las demás cuentas que compartan el mismo password.
  • Ir a la página de aplicaciones de la red social e inhabilita los accesos y privilegios que no reconozcas.
  • Iniciar el antivirus y detecciones de malware en tu computadora.
  • Avisar a los amigos que la cuenta fue comprometida y que tengan cuidado con lo que reciban de ella.

Y por supuesto, independientemente de las precauciones que haya que tomar:

¡FELIZ SAN VALENTÍN!

A %d blogueros les gusta esto: