Ahora Steve Jobs tenía razón y Flash es un queso gruyere

Toda la blogosfera se está haciendo eco de las palabras de Charlie Miller, un experto en seguridad que declaró que Flash es básicamente el principal causante de los problemas de seguridad en las computadoras. ¿Que recomienda el muchacho? Directamente no instalar Flash.

Claro, porque el debe navegar la Web con Lynx en modo texto desde una consola de Plan 9. ¡Así cualquiera!

Vamos que esta bien que esten todos apurados a migrar la vida hacia HTML5, pero declarar semejante cosa me parece... cuanto menos, exagerado.

Y los usuarios del iPhone, pueden dormir tranquilos bajo la protección de papá Jobs :P

De documentos secretos, datos privados e individuos sorprendidos

Creo que uno de los temas de la semana fue el robo de documentación interna de Microsoft, en el que se detallan procedimientos a tomar en la compañía, en caso de que las autoridades necesiten información privada y personal de alguna persona, con fines investigativos.

Esto alarmó a unos cuantos, que jamás imaginaron que Microsoft (al igual que Google, Apple y tantas otras compañías de servicios online) guardan practicamente todos tus datos (e-mail, conversaciones, dirección IP, números de tarjetas, etc.). Hay un excelente artículo (en inglés) que analiza el documento secreto y nos revela que clase de datos Microsoft puede proveer a las autoridades.

Y si todo esto te sorprende del más mínimo modo, simplemente te digo: "Bienvenido a la Internet".

Seguridad personal en la web 2.0

En un primer análisis sobre cómo pueden comprometer nuestra seguridad las actualizaciones que hacemos a las redes 2.0 pensé que publicar continuamente nuestras actividades y nuestra posición geográfica podría ser muy peligroso para nuestra seguridad personal.

Este post iba a tratar de ser una advertencia, una llamada de atención. Pero luego la idea comenzó a madurar en mí, comencé a imaginarme hipotéticas situaciones en las que algún delincuente utilizara la información que se encuentra en este tipo de sitios para facilitar su tarea y no me fue fácil encontrar un escenario realista. No es mi intención analizar las cuestiones socioeconómicas o culturales que separan a los usuarios de las redes 2.0 con los delincuentes a mano armada (si es que existiera alguna, claro). Lo que pretendo hacer es un burdo análisis criminalístico de los hipotéticos casos en los que un malviviente pudiera utilizar esta información, tan burdo éste que estoy seguro de que cometeré muchos errores que los lectores sabrán corregirme.

Se me ocurrieron sólo dos posibles escenarios en los que alguien pudiese utilizar la información de la web 2.0 para cometer un delito en el que seamos las víctimas.

Escenario 1: El delincuente nos viene siguiendo en twitter, 4square o facebook y tiene estudiados nuestros movimientos y los de nuestra familia y entonces sabe exactamente en qué momento la casa está vacía. Entonces, con dicha información a la mano nos roba.

Pero hacer la tarea de inteligencia de esa manera no es nada práctico, en primer lugar porque es imposible saber por estos medios si efectivamente hay alguien en la casa. A veces la gente no twittea que ha vuelto a su hogar. A veces hay una señora que limpia la casa de la persona en cuestión y ésta no es usuaria de la red 2.0.
Es mucho mejor hacerlo a la manera 1.0: pararse en la esquina durante unos días y llevar un registro de las actividades de la casa.

Escenario 2: El delincuente está en un lugar determinado, pongamos por caso la esquina a un shopping concurrido, y está esperando que alguien con un perfil determinado twittee que está en el lugar para poder así cometer el delito.

¿No sería más fácil mirar quién está distraído y arrebatar sus pertenencia "al boleo"? A veces el delincuente se hará con un Nokia 1100 y otras con un N97. Para los delincuentes no suele haber mucha diferencia a la hora de revenderlos.

Conclusión: No creo que las redes 2.0 puedan comprometer de manera cierta la seguridad de una persona en un escenario realista aunque sí me parece que sitios como Please Rob Me son un excelente llamado de atención pero en el punto en el que nos encontramos la web 2.0 no constituye aún un riesgo real para las personas que participan en ellas, por lo menos en lo que hace a la seguridad privada.

¿Uds qué piensan? ¿Se les ocurre algún escenario realista en el que un delincuente pudiera utilizar nuestras actualizaciones en las redes 2.0 para cometer algún delito en contra nuestra que sin esta herramienta no hubiera podido cometer?

Peter Smile

Un troyano para el escritorio GNOME de GNU/Linux levanta polvareda

Entre ayer y hoy fueron varios los sitios dedicados a GNU/Linux y a tecnología en general que se hicieron eco de esta noticia. El sitio GNOME Look, un gran catálogo de recursos gráficos y aplicaciones para el popular escritorio GNOME, estaba distribuyendo un salvapantallas que contenía malware. El código malicioso se escondía detrás un aparentemente inocuo salvapantallas, empaquetado en un contenedor .deb (los paquetes que utiliza Debian y todas sus distribuciones derivadas, incluida la archimencionada hasta el cansancio Ubuntu) con la intención de pasar desapercibido ante los usuarios. Una vez instalado el paquete, el script adicional trataba de obtener privilegios de administrador (root) para realizar ataques de denegación de servicio (DDoS) desde la máquina comprometida. Otra curiosidad es que el propio malware, una vez instalado, trataba de mantenerse actualizado a sí mismo.

A pesar de que desde GNOME Look se tomaron las acciones necesarias para eliminar los paquetes comprometidos, hubo reportes de que el mismo código fue incorporado a otros paquetes, sobre los cuáles también se tomaron las medidas necesarias para minimizar las descargas. Se calcula que la incidencia fue menor, pero no deja de ser un antecedente a tener en cuenta.

La historia puso en el tapete, como ya ha ocurrido en otras ocasiones, el hecho de descargar paquetes y software adicional de repositorios y sitios que no sean los oficiales de cada distribución. Los usuarios se sienten mucho más seguros instalando nuevo software y actualizando sus sistemas desde los repositorios oficiales, estando cada paquete firmado digitalmente para corroborar su autenticidad. A pesar de que los sitios y repositorios de terceros ofrecen, en la mayoría de los casos, firmas digitales y verificación por sumas de integridad para verificar todo el contenido descargado es mucho más fácil que se filtre contenido malicioso.

Por suerte esto es software libre y el código "extraño" fue detectado apenas publicados los paquetes comprometidos.

Actualización 11/12/2009: a raíz de varios comentarios constructivos recibidos corregí el título del post. Es cierto que por el comportamiento del malware no estamos hablando de un virus sino de un troyano. Gracias!