asennadas

Sabemos das importantes aportacións que o proxecto OpenBSD fai á seguridade pois é ela o seu leitmotiv.

A raíz duns comentarios feitos por Greg Kroah-Hartman animando MOITO a actualizarmos á nova versión do kernel Linux  2.6.25.10 por graves problemas de seguranza , Linus Trovalds respostou o seguinte (tradución libre feita por Terramel ao pt-br):

“A propósito, e você pode não gostar disso, já que você é tão focado em segurança, uma razão pela qual eu me recuso a esquentar a cabeça com todo esse circo de segurança é porque eu acho que glorifica - e por isso encoraja - o comportamento errado.

Faz das pessoas de segurança “heróis”, como se as pessoas que simplesmente não arrumam bugs normais não fossem importantes.

De fato, todos os bugs normais chatos são bem mais importante, simplesmente porque há muito mais deles. Eu não acho que alguma falha de segurança espetacular deva ser glorificada ou levada tão a sério como sendo mais “especial” que um travamento aleatório espetacular causado por um mau fechamento.

O povo da segurança são geralmente o tipo de pessoa preto-e-branco que eu não suporto. Eu acho que a equipe do OpenBSD é um bando de macacos punheteiros pois dão tanta importância para segurança ao ponto de praticamente admitirem que nada mais importa para eles.

Para mim, segurança é importante. Mas não é mais ou menos importante que todo o resto que também é importante!”

Terramel recomenda que vaias á páxina de NoticiasLinux para ler comentarios ao respecto desta nova. Tamén é bo que leas o fío completo do debate ocasionado pola verba "MOITO" (orixinalmente é 'STRONGLY').

Outra nota sobre o que Linus chegou escribir. Textualemente pon "I think the OpenBSD crowd is a bunch of masturbating monkeys..." co cal a verba "puñeteiros" realmente pode ser considerada como unha tradución educada

asennadas

chuzame

En: AGNIX, FLOSS, Seguridade, bsd por Roberto Brenlla
Sen Comentarios »

Adeona é un sistema con licenza GPL que vai rastrexando o dispositivo portátil onde estea instalado de tal xeito que, segundo din no propio proxecto, sirve para atopalo doadamente cando o perdas ou sufras o seu roubo.

O software non traballa cun sistema central propietario, é dicir, quen instala o programa non ten que confiar en terceiras partes senón que perserva a privacidade...

Adeona está deseñado para usar o servizo de almacenamento distribuido e de código aberto chamado OpenDHT. Así, o programa cliente monitoriza continuamente a actual localización do dispositivo grazas a informacións como a súa IP e maila topoloxía de rede. Todo ilo empregando potentes cifrados para garantir o anonimato...

Os puntos suspensivos que fun deixando son provocados polo posible mal uso que poida facer desta ferramenta. Así o sinala a fonte desta nova:

"Non pode constituír Adeona un sistema de rastrexo en toda regra e un posible atentado contra a privacidade que di protexer? Explícome: instala o cliente no portátil do teu noivo/a, esposo/a, empregado/a e terás unha referencia constante e permanente da súa localización.

Tecnoloxía de dobre uso, xa o sei, pero en calquera caso, a min paréceme mellor como sistema de espionaxe que como sistema antirrobo..."

E todo ilo, claro, se quen roube o trebello non se lle dá por formatalo todo.

Curiosamente sobre este software tamén hai unha entrada recente e moi ampla nesta páxina.

asennadas

chuzame

En: AGNIX, FLOSS, Internet, Seguridade, Tecnoloxía por Roberto Brenlla
Sen Comentarios »

Aconteceu no ano 2006, en xaneiro. Un cara usurpou a miña identidade dando de alta o meu nome e apelido en Yahoo. Por ese feito probablemente podería ser penado con 60.000 euros. Eis un exemplo.

Colegas varios conseguiron saber a IP, hora e lugar onde fora dado de alta ese enderezo polo usurpador, daquela era só querer denunciar para chegar a un final semellante. Loxicamente, alén dos cartos o cara tería que dar a cara en público.

Pero posiblemente a cousa non remataría nuns sinples 60.000 euros e a vergoña pública. Pois é. O cara ademais usou ese mail para berrar mentiras, como así quedou demostrado ao instante con documentos notariais e con feitos ao paso do tempo. Amais o cara tamén involucrou a outras xentes, tamén inocentes, soltando todo iso en público nunha lista de correos, nomeadamente a dos GUGLs.

Que sorte tes cara, pois aforras cartos, vergoña pública e, se cadra, até o cárcere! Nen todos somos coma ti e non vai ser neste blog onde delate a túa identidade. Así que, cara, sigue disfrutando do teu ilusorio anonimato

chuzame

En: Persoal, Seguridade por Roberto Brenlla
3 Comentarios »

O título amosa ás claras o novo perigo que supón termos europarlamentarios sen mínimos coñecementos tecnolóxicos e, se cadra, até dalgo tan básico como é a liberdade da cidadanía.

Xa fora advertida por Manuel Hermo e logo anunciado como aprobadas as "enmendas torpedo", chamadas así polo intrincado método de escapar das vías normais de aprobación.

Artigos como o titulado "Europa quere encher Internet con espías" deben ir aparecendo para reclamar a irregular vía de aprobación de enmendas que ao fin de contas pretenden a reducción da nosa liberdade, de controlar algo (internet) que de seu naceu libre e até de evitar que usemos Sw Libre pois é máis ca probabale que estean pensando nun aplicativo de obrigada instalación só para contornas privativas.

Alén dese artigo tes tamén estoutros:

• Los europarlamentarios aprueban las enmiendas-torpedo contra Internet (en Barrapunto e no Partido Pirata)
• Un paso más hacia el fin de la Internet libre (en Kriptópolis)

asennadas

chuzame

En: AGNIX, Cultura Libre, Internet, Seguridade por Roberto Brenlla
1 Comentario »

Aircrack-ng é un programa idóneo para auditares redes inarámicas (wireless). A suite completa inclúe diversas ferramentas que permiten o crackeo desas redes se están protexidas por contrasinais WEP e WPA-PSK grazas á captura de paquetes.

É de destacar a gran cantidade de titoriais en diversos idiomas, entre eles hainos en castelán e portugués. De entre todos eles paga a pena deterse por exemplo nestes:

• Guia para novatos de Aircrack-ng en Linux
• Simple crackeo de clave WEP
• Como crackear WPA/WPA2
• Manual xenérico

Alén de toda esta documentación tamén podes consultar videos demostrativos e outros máis colgados en YouTube.

asennadas

chuzame

En: AGNIX, FLOSS, Internet, Seguridade por Roberto Brenlla
1 Comentario »

Cada vez que entraba no meu escritorio Ubuntu e tiña a disposición algunha conexión inarámica (Wi-Fi) tiña que desbloquear o anel de contrasinais unha e outra vez. Canso desta situación púxenme a procurar nos foros de Ubuntu e así atopei a solución aínda que logo non me rulou como desexaba.

Mantendo a aplicación Network Manger sería:

Eu xa o tiña instalado pero se cadra ti o precisas, daquela abre un terminal e instala 'libpam-gnome-keyring' executando:

sudo apt-get install libpam-gnome-keyring

Modifica o arquivo de entrada (login) do GDM (Gnome Desktop Manager):

sudo gedit /etc/pam.d/gdm

que abrirá o arquivo co editor Gedit. Engade esta liña ao final dese arquivo:

@include common-pamkeyring

Este método só funciona se o teu contrasinal do anel de claves (keyring) é o mesmo có teu contrasinal de entrada (login). Se non o tiveras igual, podes facelo borrando ese keyring. Executa:

killall gnome-keyring-daemon

rm $HOME/.gnome2/keyrings/default.keyring

Agora reinicia e conéctate ao teu Wi-Fi poñendo o mesmo contrasinal de entrada para o anel. Nas seguintes veces xa non terás que pór contrasinais. Para máis información le o fío completo.

Se os teus problemas persisten proba lendo a páxina de NetworkManager en Ubuntu ou até subsituíndo nm-applet por Wicd (pantallas).

Finalmente, a Wicd semella ser a solución que máis me agrada (ao instalala desinstalas network-manager...). É máis complexa pero tamén máis personalizable e, a fin de contas, máis eficaz para min.

asennadas

chuzame

En: AGNIX, FLOSS, Seguridade por Roberto Brenlla
2 Comentarios »

O estudante en Harvard Ethan Zuckerman fixo unha guía práctica poñéndose na pel dun funcionario cuxa intención é sacar á luz informacións sobre un escándalo do cal é testemuña, nun país onde pode ser perigoso facelo.

Estes consellos non se destinan a expertos en cifrado (mal nomeado criptografía), máis ben a persoas que viven en países onde non se respecta a liberdade de expresión e que temen pola súa seguridade e queren protexer a súa vida privada. Un artigo da EFF (Electronic Frontier Foundation), unha organización norteamericana de defensa das ciberliberdades, "How to blog safely"  dá informacións prácticas complementarias sobre este tema.

A personaxe de Ethan chámase Sarah, traballa como contable nos servizos do Estado. Dáse conta de que o seu xefe, un ministro, aprópiase de fondos públicos. Quere que isto saia á luz, pero teme perder o seu posto. Se o fala co ministro, sempre que obteña unha entrevista, será despedida. Fala cun xornalista que traballa para un xornal local, pero lle contesta que non pode traballar sobre este asunto coas escasas informacións que ela ten, e que necesita documentos para demostrar o que afirma.

O artigo completo (en castelán).

asennadas

chuzame

En: AGNIX, Lista de ligazóns, Seguridade por Roberto Brenlla
Sen Comentarios »

Hai pouco tratei neste artigo o tema xenérico da importancia de termos contrasinais o máis seguras posibles cunhas regras xenéricas e prácticas. O amigo Óscar ampliou o anterior cun novo artigo amosando como telo todo máis cómodo e seguro grazas ao programa Revelation. Logo disto véu un comentario a ese artigo feito por Xurxo ofrecendo unhas ligazóns a un programa multiplataforma con licenza libre GPL nomeado Keepass.

E si, semella que Keepass é unha moi completa solución para xerar e xestionar contrasinais. É extensible grazas a unha ampla colección de engadidos (plugins) alén de ser unha aplicación portable que podes levar na túa memoria USB e empregalo en calquera sistema operativo ou dispositivo móbil (PDAs, teléfonos con Symbian e j2me, etc).

Keepass engade a todo ilo unha boa facilidade de uso. Para saber máis desta aplicación e usala a cotío tes esta guía paso-a-paso (en inglés) que inclúe varias imaxes.

En concreto, a versión para GNU/Linux e Mac é nomeada como KeepassX.

asennadas

chuzame

En: AGNIX, Amizade, FLOSS, Seguridade por Roberto Brenlla
2 Comentarios »

Óscar Casal vén de publicar o seguinte:

O porqué diste documento?

Días atrás, o meu amigo Roberto Brenlla publicou en AGNIX unha nova na que puña coma título “Creando contrasinais seguros”. Explicou unha serie de técnicas para crear contrasinais seguros e o máis importante, coma recordalos.

Despois de lelo artigo comenteille o que eu adoito usar despois de ser aconsellado un día por un compañeiro meu do traballo: revelation. No meu caso o meu traballo é de admin de sistemas e para crear contrasinais e lembralas en tódalas máquinas é moi difícil, ademáis de lembrarme de tódolos contrasinais do banco, das contas de correo...ou sexa, unha tarefa harto difícil ou case imposible.

Antes de comenzar a empregar este gran programa chamado revelation a miña solución pasaba por ter todos os contrasinais arquivados nun único arquivo encriptado mediante unha chave privada. O inconvinte disto é que cando un usuario viña ou tiña que facer calquer cousa tiña desencriptalo arquivo, no cal amosábanse tódolos contrasinais na miña pantalla en texto plano durante un intre e logo usala onde correspondera o cal non é moi eficiente (outra opción pasaría telas todas anotadas nun block de notas ou post-it na pantalla do meu ordenador :-)).

Que é revelation e en que me pode axudar

Roberto Brenlla despois de que lle falara de revelation, buscou e atopou que il mesmo paradoxicamente tempo atrás publicara as bondades deste eiquí. Non direi moito máis do que xa está dito nese enlace, pasaremos á práctica e a ver visualmente que nos pode aportar.

Instalación de revelation en Ubuntu Gutsy

Podemos velas súas dependencias con

#apt-cache show revelation

Para instalalo

#apt-get install revelation

Configuración inicial

A primeira vez que o executemos apareceranos algo parecido ó seguinte:

chuzame

En: Amizade, FLOSS, Seguridade por Roberto Brenlla
Sen Comentarios »

Óscar Casal vén de publicar un artigo amosando como solucionar un erro existente no Firestarter sobre Ubuntu Hardy. O artigo di:

Levo xa tempo empregando en equipos de sobremesa o firewall firestarter pola súa sinxeleza á hora de instalalo e crearlle reglas. Nunca tiven problemas con il hasta que instalei a Ubuntu Hardy e despois de configuralo en varias máquinas sempre daba o mesmo erro o arrancalo:

   "External network device eth1 is not ready. Aborting"

(No meu caso o dispositivo eth1 é o que ten conexión cara afora, o máis usual nun só equipo é que so teña unha tarxeta de rede e sexa eth0, pero o erro o da exactamente igual, pero ca única diferencia que poñería eth0 en vez de eth1)

Xa intrigado polo asunto mirei o arquivo de configuración do firestarter que se chama /etc/firestarter/firestarter.sh, nel podemos atopar unha liña que pon:

if [ "$MASK" = "" -a "$1" != "stop" ]; then
 echo "External network device $IF is not ready. Aborting.."
 exit 2
 fi

Que podemos comprobar que é o erro que nos está a dar a nós, así que o que fixen foi ver onde coma está definido $MASK e nos atopamos con outra liña coma ista:

MASK=`/sbin/ifconfig $IF | grep Mas | cut -d : -f 4`

Executo na consola isto sustituindo $IF por eth1 coma segue:

/sbin/ifconfig $IF | grep Mas | cut -d : -f 4

E vexo que o valor é nulo, non me saca nada por pantalla e o que me tería que sacar é a máscara que estou a usar na miña rede

Cal é o problema, o problema é que o meu idioma ten tildes e a diferencia do idioma inglés na que máscara é mask e non o leva, en galego ou castelán sí o leva (Máscara), así que teriamos que trocala liña:

MASK=`/sbin/ifconfig $IF | grep Mas | cut -d : -f 4`

que aparece no ficheiro  /etc/firestarter/firestarter.sh por ista:

MASK=`/sbin/ifconfig $IF | grep Más | cut -d : -f 4`

Este mesmo troco habería que facelo na liña seguinte:

INMASK=`/sbin/ifconfig $INIF | grep Mas | cut -d : -f 4`

Deixándoa coma segue:

INMASK=`/sbin/ifconfig $INIF | grep Más | cut -d : -f 4`

E asunto resolto, inda que é sinxelo de resolver a min paréceme un grave erro, non sei se por temas de traduzón, se temas de programación, pero en definitiva unha simple tilde fai que un bo programa non funcione

Mail: oscar.casal[at]gmail.com

chuzame

En: AGNIX, Amizade, FLOSS, Seguridade por Roberto Brenlla
Sen Comentarios »

Case que calquera persoa que manexa computadoras sabe da importancia de traballar con contrasinais difíciles de seren descobertas. A pesares disto, aínda hai quen cre que un contrasinal do tipo "123456" ou "qwerty" abonda para manter o seu sistema seguro. Daquela a pregunta pode ser obvia: "Ten tan pouca importancia a información contida nun sistema como para deixalo en mans de contrasinais tan febles?" O certo é que este tema adoita ser un dos maiores pesadelos para quen administra sistemas.

Como facer que os usuarios dun sistema empreguen contrasinais fortes? Que é un contrasinal forte? Como de longo ten que ser un contrasinal?

Sen ánimo de sentar cátedra, hai bastante unanimidade en que os contrasinais deben:

• ter unha extensión mínima de 6 ou máis carácteres
• conter maiúsculas e minúsculas
• conter números e carácteres especiais como, por exemplo, signos de puntuación
• non corresponder con verbas de dicionarios
• non ter datos persoais obvios (por exemplo, o nome dunha mascota)

Mal contrasinal sería "xuntadeg", bo contrasinal sería "hTM,9=3#7swV". Sendo así, como ter contrasinais tan fortes como esta última? Hai varios métodos e até programas como mkpasswd sobre o cal tes este artigo explicativo.

asennadas

chuzame

En: AGNIX, Seguridade por Roberto Brenlla
1 Comentario »

A consecuencia máis coñecida das recentes modificacións do Código Penal é a referida a conducir bébedo, drogado, sen carnet ou poñendo en risco ás demais persoas condutoras pois desde a súa entrada en vixencia isto implica condenas de cárcere.

Do que non tiña coñecemento é que entre esas modificacións inclúese esta do epígrafe 3 do artigo 197 da Lei Orgánica 10/1995 do Código Penal:

3. O que por calquera medio ou procedemento e vulnerando as medidas de seguridade establecidas para impedilo, accedese sen autorización a datos ou programas informáticos contidos nun sistema informático ou en parte do mesmo, será castigado con pena de prisión de seis meses a dous anos.

É dcir, antes da modificación penábase a substracción, eliminación ou alteración de datos e agora abonda co acceso non autorizado que vulnere as medidas de seguridade.

Daquela ten coidado coas túas prácticas de Redes posto que moitas delas poden ser obxecto de penas de cárcere e máxime tendo en conta que podes seres xulgado por persoas que non coñecen a diferencia entre hackers e crackers.

asennadas

chuzame

En: AGNIX, Curiosidades, Seguridade por Roberto Brenlla
Sen Comentarios »

Nos pasados dias puidéronse ler moitas novas referidas ao gran erro de seguridade de Debian, algo que para moita xente crítica supón un duro golpe á imaxe da distro GNU/Linux máis social se con ela xuntamos ás súas derivadas, especialmente Ubuntu.

Aconteceu que os que manteñen os paquetes OpenSSL cometeron algúns erros que comprometían potencialmente a seguridade de calquera sistema equipado con SSH para ser accedido remotamente. Para evitalo os administradores de sistemas terán que purgar os arquivos 'authorized_key' (claves autorizadas) xerados desde o 2006. Dous anos sen advertir o erro é moito tempo para o prestixio dunha distro...

Imaxe tomada de Metasploit.com: "Debian, You Can Never Be Sure"

Porén, empregar unha máquina baseada en Debian para accederes a un servidor remoto via SSH non abondaría para pór en risco á maquina. Sen embargo, se o usuario copiara ao sistema remoto a clave pública xerada nun sistema Debian, por exemplo, para gozar de accesos sen contrasinal, daquela a clave débil (weak key) podería deixar propenso ao servidor a ataques de forza bruta, especialemente cando o nome de usuario fora doado de adiviñarse.

Tes moita información na rede. Así, este artigo liga cara o aviso oficial de Debian así como ao de Metasploit comentando este erro ofrecendo tamén algúns guións (scripts) de forza bruta. Outro bo sitio onde respostares ás túas dúbidas sobre os problemas de cifrado de Debian é este de Hispasec que mo sinalou Manuel Morán.

Para comprobares o estado das túas claves tes a utilidade ' ssh-vulnkey'. Tan só tes que executala e ler a súa sáida para logo obrar en consecuencia.

asennadas

chuzame

En: AGNIX, FLOSS, Seguridade por Roberto Brenlla
Sen Comentarios »

O profesor de informática estremeño, José Manuel Calero Romero, ofrece no seu blogue un Manual de Seguridade (PDF) para Debian que é extensible ás derivadas desta como Ubuntu ou GnuLinex.

Alén deste manual, Calero dipón de diversos materiais didácticos referidos principalmente a redes, hardware e multimedia.

Fonte.

asennadas

chuzame

En: AGNIX, FLOSS, Seguridade por Roberto Brenlla
7 Comentarios »

House of Hackers é unha rede social para que os hackers teñan un punto de encontro, formen grupos e debatan asuntos de seguridade.

De acordo co blog gnucitizen.org, a rede é exclusiva e apoiará a cultura e o modo de vida hacker, coas súas ideoloxías e visións políticas, adicándose principalmente á formación de opinión na esfera de seguridade.

Ademais de crear grupos, os especialistas da House of Hackers terán oportunidade de prestar servizo ás empresas, que poderán recrutar probadores de seguridade ou analistas directamente pola rede social.

Através de taxas aceptadas pola inserción de novas vacantes, os responsables da rede social patrocinarán programas de investigación que deben ser iniciados en breve, aínda que o programa estea nas súas fases iniciais de desenvolvemento.

A web Heise Security cre que esta iniciativa pode ser vista con malos ollos polas autoridades ao temeren que o doado acceso á informacións poida ser usado para o mal, promovendo invasións, por exemplo.

Vindo de onde vén, tal crítica significaría que esta rede xa non sería de hackers senón de crackers, o cal ben saben que non é o mesmo.

Fonte.

asennadas

chuzame

En: AGNIX, Cultura Libre, Historia(s), Seguridade por Roberto Brenlla
1 Comentario »