27 may 2021

ISA y la Ciberseguridad

ISA (la Sociedad Internacional de Automatización, www.isa.org) es una asociación profesional sin ánimo de lucro, que se dedica a establecer estándares internacionales para aquellos que utilizan la ingeniería y la tecnología, para tratar de mejorar la gestión, la seguridad y la ciberseguridad de los sistemas de automatización y control, utilizados en la industria y las infraestructuras críticas.  Fue fundada en 1945, y desde entonces ofrece educación y formación; publica libros y artículos técnicos; organiza conferencias y exposiciones; ofrece programas de creación de redes y desarrollo profesional para sus 40.000 miembros y 400.000 clientes de todo el mundo y ahora, ha creado un nuevo HUB para ciberseguridad, la ISA Global Cybersecurity Alliance.

https://isaautomation.isa.org/cybersecurity-alliance/



Esta organización nace con la idea de unificar el conocimiento, para evitar que cada uno haga la guerra por su lado, y dejemos de trabajar de manera aislada en la resolución de los problemas. Todos sabemos que es importante que los expertos del sector trabajemos con nuestros clientes para hacerlos mejorar, pero esto no siempre es suficiente, ni para ellos, ni para la sociedad. Al fin y al cabo, la  idea que persigue esta asociación es que pasemos lo antes posible a trabajar todos juntos (asociaciones, clientes, profesionales independientes y empresas) de una manera abierta y colaborativa, para que podamos llegar a dar una respuesta unificada a todos los retos que están por venir en el sector. Y es que, en definitiva, el propósito de la ISAGCA es ayudar a las empresas y a la comunidad industrial a adelantarse a las amenazas, buscando fomentar un entorno sostenible, seguro y resistente para que todos los segmentos de la industria prosperen y crezcan. Y, desde mi punto de vista, esto es clave, ya que como sociedad dependemos de nuestro tejido industrial. 

Por lo que parece, se lo están tomando en serio, porque uno de sus primeros documentos es el interesante "The top 7 operational technology patch management best practices" del que os hablaremos en un próximo post. 

Un saludo.


25 may 2021

La niña que quería ser hacker y la importancia de la lectura

Si revisamos la historia de la informática podemos observar cómo el papel de la mujer ha sido fundamental en muchos aspectos. Sin duda, si pensamos en la mujer en la historia de la informática aparecen nombres como Grace Hooper, Ada Lovelace o Katherine Johnson. Grace Hooper fue la primera programadora que utilizó el Mark I, Ada Lovelace se la reconoce por varias cosas, pero en particular por la aparición del primer algoritmo y Katherine Johnson tuvo gran importancia en los vuelos de la NASA gracias a sus cálculos. 

No hay duda del papel importante de la mujer en la ciencia y en la informática, hoy queremos hablaros de otras personas, más cercanas a nosotros que han logrado romper barreras y desempeñar un papel importante en su campo. Leyendo el cuento sobre Soledad Antelada, uno se da cuenta de que no es un cuento de que es la vida real. Un ejemplo para muchas otras niñas que quieren ser hacker. 

En este cuento, real como la vida misma, hay factores importantes como es la lectura. La lectura nos atrapa en un mundo real o ficticio que nos abre la mente para ver que podemos llegar dónde nosotros nos propongamos. La lectura nos da las armas para volar, imaginar, soñar, construir, pensar por nosotros mismos, nos da todo lo necesario para cruzar los límites, para realizar las acciones que construyan la base de lo que realmente queremos. Por ello, la lectura es importante desde pequeño. 

¿En qué consiste este cuento (historia real)? Una niña nacida en Argentina, que crece en España y un día decide dar el salto en busca de su sueño. Viajar a San Francisco (o volver a cruzar el atlántico) con el objetivo de aprender y convertirse en una mujer hacker. Luchando por su sueño, aunque la gente pensase que su sueño era una locura. Rompió las barreras y los pensamientos de muchos. Persiguió y logró su sueño.

Del cuento de Soledad, me quedo con la frase:

 " —Nunca dejes que nadie te quite un sueño porque ellos no se atreverían a intentarlo."

El sitio 'No Me Cuentes Cuentos' es un proyecto de relatos infantiles protagonizados por 100 mujeres españolas, cuyas vidas han sido inspiradoras para otras muchas. Si entráis a ver el sitio, fijaros que los hay en formato Podcast. 

No hace mucho hablaba en una reunión con Beatriz Cerrolaza, CEO de MyPublicInbox, y con algunas personas más. La reflexión de Beatriz sobre por qué ella quiso dedicarse a la tecnología y cómo el disponer de referencias femeninas ayuda, sin duda, a potenciar y normalizar, lo que nosotros vemos normal, acertada reflexión. Por supuesto, disponer de lectura para ayudar a todos esos niños y niñas que quieren ser hackers, también lo hace. El papel de libros como Mara Turing y sus aventuras firmadas por Javier Padilla acercan el mundo de la tecnología a todas las edades. 


A continuación, os dejamos un par de minutos con Javi Padilla, creador del universo Mara Turing, donde cuenta como es la vida del programador o no programador, así como es el universo de Mara y su futuro. Además, después del premio logrado por el primer libro del universo Mara Turing, vemos que pueden llegar su versión cómic y su versión en inglés. Sin duda, un relato interesante para que, tanto niñas como niños, quieran adentrarse en el fascinante mundo de la tecnología y, ¿Por qué no? En el fascinante mundo del hacking. 


¿Cómo empezar en Ciberseguridad? Lo primero y más importante es detectar qué es lo que te gusta. Cuando uno es niño o niña puede querer muchas cosas, no saber bien qué es lo que te gusta, por eso es bueno leer, introducirse en los mundos reales y de fantasía que nos hagan saber qué queremos. 

Hace unos años tuve la suerte de poder contar mi experiencia en una charla motivacional en el Cybercamp de Málaga en 2018. No sabía bien cómo afrontar la charla, por lo que simplemente conté mi experiencia y mi punto de vista de lo que había vivido. Si tienes 12, 14 o 16, seas niña o niño, haz lo que siempre quieras hacer, que nada rompa tu sueño y si te sirve esta charla me harás el más feliz del mundo. Solo demuestra tu pasión. 


Si quieres saber más sobre mujeres hacker en el mundo, os dejamos por aquí una serie de artículos interesantes y que seguro te harán ver otras referentes. Recuerda que los referentes andan por todos lados, que cualquiera puede inspirarte, cualquiera puede sumar, pero si alguien intenta restar déjalo fuera. 

Por último, quería hablar de otro proyecto inspirador en el que tuve la suerte de poder impartir una charla. El proyecto Radia. Radia tiene abierto el plazo para la segunda edición de becas. No lo dudes. Radia es una programa de formación en tecnologías digitales que pretende mejorar la empleabilidad en un mercado laboral que demanda profesionales con competencias digitales y equipos profesionales diversos. El objetivo es favorecer la inclusión de mujeres con discapacidad en entornos de trabajo digital y aumentar así el número de mujeres profesionales en los ámbitos tecnológicos. Aquí las lecturas también son importantes, ya que aparte de utilizar charlas como vehículo de intrusión en un campo como la ciberseguridad, la inteligencia artificial o el desarrollo de aplicaciones, se disponen de recursos tecnológicos innovadores para atraer a las mujeres gracias a la lectura. 

24 may 2021

InfiniDrive: Almacenamiento ilimitado y gratuito con Amazon Prime

Todo empezó cuando vi que con una suscripción a Amazon Prime tenemos disponibles 5GB de almacenamiento Amazon Drive e ilimitado para imágenes. A primera vista, el servicio de Amazon no ofrece demasiado espacio en su nube, comparado con sus competidores directos. 

Fuente: ADSLZone.net

Tal como puede verse en la imagen, el espacio que nos ofrece Amazon con su suscripción no es nada del otro mundo, pero hay una gran diferencia, sobre todo a nivel de almacenamiento de imágenes. En Google Photos tenemos, hasta Junio de 2021 almacenamiento ilimitado de imágenes, pero implementa compresión con pérdida.

Google Photos comprime las imágenes que subimos. Tiene también soporte de subida y visualización para el formato de imágenes HEIF, introducido por primera vez por Apple en iOS 11. Aunque no podemos asegurar que sea este el formato que utiliza el servicio de forma nativa, probablemente haga uso de él para el almacenamiento de imágenes. De hecho, aunque corregido a día de hoy, hace algún tiempo podían subirse imágenes desde un dispositivo iOS, que por defecto utiliza HEIC en sus capturas y sobre el que Google Photos no aplicaba ningún tipo de compresión, por lo que es lógico pensar que no lo hacían porque era el formato que ellos ya consideraban comprimido en su propio servicio.
"No tengo pruebas, pero tampoco dudas."
HEIC: Un archivo HEIC es una imagen rasterizada guardada en  HEIF, un formato de contenedor de medios con compresión con pérdida que se usa comúnmente para almacenar imágenes. Puede contener una sola imagen, una colección de imágenes, ráfagas o secuencias de imágenes, junto a metadatos que describen cada imagen. De hecho, los fondos dinámicos de macOS, funcionan gracias a este interesante formato de contenedores. Podéis obtener más información sobre ello en el GitHub de Marcin Czachurski.

En cambio, Amazon Drive, no aplica ningún tipo de compresión a las imágenes que subimos, de hecho, incluso mantiene el nombre original del fichero y sus metadatos EXIF. Esto hizo que se me encendiese la bombilla de ideas, y me hice la pregunta que siempre me lleva a acabar realizando una PoC.
¿Y si pudiera convertirse cualquier archivo en una imagen?
Os presento a Infinidrive: https://github.com/nicomda/InfiniDrive

El origen

Una de las técnicas de esteganografía en imágenes más utilizadas es LSB (Less Significant Bit). Podemos ocultar información en el último, o incluso últimos bit de color de cada pixel de una imagen.


En la imagen de arriba, podéis ver el funcionamiento básico de la técnica LSB, pero para la funcionalidad que quería implementar, era impensable desperdiciar los 7 bits restantes de cada uno de los bytes de color de la imagen, ya que se necesitarían muchas más imágenes para guardar la misma cantidad de información. Así que, comencé a investigar sobre librerías de imágenes en Python que me permitiesen generar imágenes a partir de un array de bytes, de esta forma, solventamos dos de los problemas que se nos presentan.
  • No necesitamos una imagen inicial en la que codificar datos. Son los propios datos los que generan la imagen al completo.
  • Podemos utilizar la totalidad de los bits de color, para almacenar datos.
Una vez  que descubrí que Pillow permitía generar imágenes a partir de bytes, solo necesitaba leer cualquier tipo de fichero en "RAW binary" para poder convertirlo en imágenes PNG. Elegí este formato ya que es un formato de imagen que utiliza un algoritmo de compresión sin pérdida llamado Deflate, que es una combinación entre LZ77 y codificación Huffman, así ahorramos algo más de espacio. Sin embargo, quedaban algunas cosas que resolver.

El particionado
«Comience pequeño, piense en grande. No te preocupes por muchas cosas a la vez. Para empezar, tome un puñado de cosas simples y luego progrese a otras más complejas. Piensa no solo en el mañana, sino en el futuro. Pon un toque en el universo». Steve Jobs
Aunque inicialmente podríamos haber decidido generar una única imagen, es una idea horrible. No habría problema para archivos pequeños, pero como estaba intentando conseguir almacenamiento ilimitado sería bastante extraño subir una imagen que ocupe 5GB. Por ello, decidí establecer un tamaño máximo de imagen configurable. El número de bytes que caben en una imagen RGB de un tamaño determinado podemos calcularlo fácilmente.
tamaño_imagen_en_bytes = px_altura * px_anchura * 3_bytes_de_color

En una imagen de 2000x2000 píxeles RGB, caben 12.000.000 bytes. Es decir, 12MB. Usaremos este ejemplo para explicarlo de forma más sencilla, aunque como ya he dicho, el tamaño de la imagen que se genera es modificable.

De esta forma durante la codificación se leen bytes del archivo hasta llegar al tamaño máximo establecido. En ese momento, se llama a una función que genera una imagen a partir del array de bytes y la guarda en un directorio, con un nombre correlativo, para facilitar la tarea posterior de restauración del archivo original a partir de las imágenes creadas. Esta tarea se ejecuta en bucle hasta que se llega al final del archivo. 

Metadatos y relleno

Hay que tener algo más en cuenta, y es que probablemente, en la última imagen quedará espacio sin utilizar, pues sería prácticamente imposible que el archivo que queremos codificar, ocupe en bytes exactamente un múltiplo de 12MB. Así que debe establecerse algún tipo de padding que podamos eliminar de forma posterior para poder generar la imagen completa. Por lo que, se han utilizado bytes "\x00" para rellenar el resto de la imagen hasta estar completa.
Además, durante el proceso se me ocurrió la posibilidad de utilizar metadatos para almacenar dos cosas.
  • El nombre y la extensión original del archivo a partir del cual se generaron las imágenes
  • El tamaño original del archivo previo a ser partido. (A continuación entenderéis el porqué de esto)
La recomposición

Cuando subimos la carpeta con todas las imágenes que conforman nuestro archivo codificado, el propio Amazon Photos nos avisa con un pop-up de si queremos crear un álbum para esas fotos. Agradezco al equipo de desarrollo del servicio haber implementado esta funcionalidad, ya que nos facilita bastante el proceso de descarga, pues así podemos descargar un ZIP con nuestro archivo codificado al completo.

Con el archivo de nuevo en nuestro equipo, llamamos al programa con la opción de "merge" y especificamos la carpeta. En ese momento, comienza el proceso de recomposición de las imágenes, extrayendo la información en RAW del RGB. Primero se extraen los metadatos para conocer el nombre del archivo. Y a partir de ese momento, el software extrae los bytes imagen a imagen hasta que llega a la última, donde como ya explicamos, existe un padding.

De ahí el segundo parámetro que extraemos desde los metadatos. Es obvio, que el archivo final ha de tener exactamente los mismos bytes que el original, sobre todo si queremos que la aplicación sea funcional para todo tipo de ficheros, incluyendo binarios y ejecutables. Así que, si con la fórmula de arriba sabemos cuantos bytes de información existen en las imágenes, podemos asumir lo siguiente.
bytes_última_imagen_hasta_padding = (num_imágenes * tamaño_imagen_en_bytes) - tamaño_archivo_original 

Esto nos da la información que necesitamos para saber cuantos bytes existen en la última imagen previos al comienzo del relleno con "\x00".

Una vez que el archivo se restaura, podemos utilizar cualquier utilidad para calcular el checksum, en este caso usamos sha256sum para comprobar la integridad del archivo tras el proceso.


Cuando conseguí que la aplicación funcionase, me surgieron bastantes preguntas relativas a ciberseguridad. Es posible subir cualquier tipo de archivo, pero para no violar los términos de uso, simplemente hicimos comprobaciones con un Eicar para ver que, una vez codificado en imagen, ni software antivirus habituales, ni aparentemente Amazon, son capaces de detectar un potencial malware.

Con esta pequeña aplicación, al final, estamos subiendo "imágenes" a Amazon Photos, y como tal, el espacio es ilimitado. También es posible crear links públicos para compartir nuestros archivos a cualquier persona.


Espero que os sirva de utilidad, y recordad, cuando creéis cosas, nunca olvidéis vuestro "Y si...?".

@Nicomda

21 may 2021

TOP 15 de Amenzas de ENISA - DDoS

Bienvenidos a un nuevo artículo más de la serie de amenazas de ENISA, en este caso, dedicado a las Denegaciones de Servicio Distribuidas.


 

Ya sabemos todos que una Denegación de Servicio es cualquier escenario en el que un atacante es capaz de atacar la disponibilidad de un activo o servicio, consiguiendo desde degradar el acceso hasta inutilizarlo por completo. Aunque normalmente pensamos en los ataques que desbordan la red de la víctima, también son conocidas otras variantes como:

  1. Aquellos que están dirigidos a saturar las capacidades de cómputo del sistema, mediante la invocación continuada de funciones que hagan uso intensivo de la CPU, de memoria o del espacio en disco.
  2. Los que directamente explotan unaa vulnerabilidad software que provoca el bloqueo o cierre del proceso, por ejemplo, mediante algún tipo de desbordamiento.

Cuando hablamos de ataques de Denegación de Servicio Distribuido, normalmente hacemos referencia a ataques volumétricos, en los que se utilizan grandes cantidades de nodos de Internet para lanzar cantidades masivas de información contra la víctima. Esto se puede conseguir tanto de forma directa, como mediante ataques de reflexión, o incluso apoyándose en técnicas de amplificación, en las que el atacante es capaz de provocar el envío de enormes cantidades de información sobre un activo a través de peticiones más pequeñas específicamente dirigidas contra otros activos. En este sentido, investigadores de akamai llegaron a investigar incidentes en los que se logró amplificar hasta un 15.000% el envío original de datos.

Como ya se lleva tiempo avisando, y pudimos comprobar con los ataques relacionados con Mirai, las vulnerabilidades en dispositivos conectados IoT, han permitido crear enormes botnets que se utilizan, entre otras cosas, para lanzar este tipo de ataques. En este sentido, se menciona a China, Brasil e Irán como los países con la mayor cantidad de dispositivos infectados. En el estudio también se menciona como la gran mayoría de ataques están basados en SYN-Flood, aunque además, casi siempre se usan más de dos vectores de ataque para garantizar el éxito. Curiosamente la mayoría de estos incidentes no duran más de 10 minutos, aunque el ataque de mayor duración en la fecha del estudio duró más de 20 días.

Un caso bastante curioso fue el de un ataque que fue capaz de tumbar un ISP de Sudáfrica mediante la técnica del “Carpet Bombing”. En este ataque se consiguió degradar el servicio usando ataques de amplificación aprovechándose de servidores DNS y CLDAP que no estaban parcheados, redirigiendo el tráfico de forma masiva a IPs de los clientes del proveedor. Normalmente los routers edge del ISP suelen estar bien protegidos contra ataques de DDoS, por lo que en ataques directos habrían descartado todo el tráfico basura. En su lugar se lanza tráfico de forma masiva a muchos clientes en las diferentes redes del ISP, y aunque este tráfico no es suficiente por si sólo para afectar las conexiones individuales de los clientes, al final este genera más tráfico reflejado a lo largo de toda la red, y en conjunto, antes o después la red del ISP se ve saturada. Al no ser un ataque directo contra los routers edge, las medidas de seguridad para prevenir el DDoS no entran en juego, y básicamente son inundados. El resultado para los clientes del ISP es, a efectos prácticos, fue acabar desconectado de Internet.

Por curiosidad, el ataque más grande hasta la fecha, del que se defendió con éxito Amazon, fue un ataque que llegó a los 2.3Tbps. Si queréis más información de este y otros importantes ataques, podéis leer este artículo sobre los mayores DDoS de la historia.

¿Y qué podemos hacer, según ENISA, para protegernos de este tipo de ataques?

  • Por un lado, tener claro qué servicios y recursos son críticos para priorizar las medidas defensivas en aquellos puntos que puedan ser saturados, y tener diseñado un plan de respuesta para estos escenarios.
  • Existen multitud de servicios de protección contra DDoS que pueden ser evaluados según necesidad. 
  • La publicación de servicios a través de CDNs puede ser útil para absorver los intentos de ataque volumétricos.
  • Obviamente, los proveedores de acceso a Internet y proveedores Cloud, por su posición en la red, tienen un gran capacidad a la hora de proteger de DDoS. Tener un canal de comunicación rápido y directo con ellos puede ser de gran utilidad.
  • Tener una buena postura de seguridad, realizando revisiones periódicas, asegurando de que configuramos de forma óptima cada sistema y servicio, y utilizando técnicas como el uso de servidores de caché, descartar tráfico no legítimo, etc.
  • Analizar nuestro propio entorno desde dentro hasta fuera, desde los activos críticos en el interior de la red, hasta la presencia y exposición en Internet, con el objetivo de detectar puntos de fallo, posibles riesgos y amenazas, etc.

Como siempre, recordad que en numerosas ocasiones este tipo de ataques se utilizan para desviar los ojos del equipo defensor, y así poder atacar, esta vez de forma bastante más sútil, en otro punto de la red ;)

¡Nos vemos en la próxima, saludos!

19 may 2021

Obteniendo información de direcciones de email durante un #OSINT

Meowy buenas!

Aunque somos conscientes de la gran cantidad de repositorios que centralizan diferentes tipos de herramientas (como OSINT Framework, Archive.org, osint.link, OSINT Techniques, o Ciberpatrulla, entre otros, además de un sinfín más en Github), que nos hacen la vida más fácil a la hora de echar mano de herramientas según la información que queramos obtener, con el tiempo tendemos a crearnos nuestro propio listado de las herramientas que nos dan mejores resultados.

En estas herramientas, para las investigaciones a través de OSINT, una de las fuentes más ¿jugosas? son las direcciones de email y lo que éstas nos pueden aportar sobre un usuario, y por ello en este post vamos a comentar varias plataformas y proyectos que pueden ayudarnos a conseguirla (ya sea de nuestro target, de nosotros mismos para conocer cómo de expuestos nos encontramos, o incluso para concienciar a personas que despreocupan su privacidad porque que no tienen "nada que esconder" o no son "nadie importante").

 
[Un usuario al ver públicas sus fotos del verano pasado en la playa]

Disclaimer: Para mostrar el funcionamiento y el resultado del uso de las siguientes herramientas, y a la vez no mostrar información sensible con las evidencias de uso de las herramientas, los datos personales han sido sanitizados.

https://tools.epieos.com/holehe.php

En primer lugar, esta plataforma te indica no sólo si un email se encuentra activo, sino que lista un conjunto de servicios que tiene asociados a esa cuenta de email.


 

https://tools.epieos.com/google-account.php

Es especialmente útil de cara a los comentarios y las publicaciones realizadas a través de una cuenta de email. En este resultado nos muestra la foto de perfil, ID de la cuenta de google, y la última actividad del usuario en la cuenta, pero lo más interesante son los enlaces que proporciona a continuación de Maps y Photos.

El enlace de Maps hace referencia a la actividad pública que ha registrado el usuario (en cuanto a contenido multimedia, lugares y comentarios publicados). En cuanto a las fotos de google, muestra los álbumes de fotos públicos del usuario, pero esta funcionalidad da algún que otro error 403 y 404, también según la configuración de privacidad del usuario


 

https://www.emailsherlock.com/

En el caso de esta web, comprueba el email introducido con diferentes redes sociales y, en el caso de encontrar coincidencias, muestra la información del usuario asociado.

 


https://github.com/alpkeskin/mosint

Entre los resultados que muestra esta herramienta (comprobación con leaks, posibles teléfonos asociados, dumps en pastebin, ...), la parte más interesante es que contrasta con diferentes plataformas si el email introducido se encuentra en uso en diferentes redes sociales y plataformas, indicando si se ha podido verificar dicha comprobación, y si el email se encuentra registrado (avaliable) en dicho servicio, es decir, nos dice si el email se encuentra registrado (como en el caso de la imagen, hace referencia a Spotify).



Espero que os haya gustado y/o resultado útil esta pequeña introducción a estas herramientas :)

Y a modo de reflexión. ¿Cuál es tu herramienta favorita para obtener información de un email?

Muchos maullidos!

M

17 may 2021

Consejos de ciberseguridad en el desarrollo de software

Buenas a todos! Hoy os traigo una serie de consejos a seguir sobre seguridad aplicada al desarrollo de software.




1. Mantener el software y las dependencias actualizadas

Una gran parte de las páginas web son vulnerables a través de exploits, publicados (o no) a través de CVE (Common Vulnerabilities and Exposures).


Ilustración: Y mira que npm nos avisa..

Podéis consultar si vuestro software y versión tienen algún tipo de CVE publicado a través de este enlace.

Existen multitud de páginas web donde consultar exploits de todo tipo de software y las cuales, son realmente útiles para posibles atacantes.

Breve inciso: Utilizad las menores dependencias posibles.

2. Forzar el acceso al website a través de HTTPS

Como muchos sabréis, HTTPS realiza un cifrado en dos direcciones para las comunicaciones entre el servidor y los clientes enviando los datos a través de SSL/TLS.


Pero.. ¿Esto qué significa?

Básicamente, que es más seguro, puesto que los datos que viajan hacia y desde la web van cifrados. Tenemos varias publicaciones creadas por @mikiminoru sobre las suites de TLS/SSL donde explica de forma extensa la importancia de una configuración correcta, como comprobar las vulnerabilidades y las recomendaciones para cada caso.



Pero.. ¿Esto quiere decir que un sitio web al que accedemos a través de HTTPS es seguro?

Para nada, es un error bastante común pensar que una web que utiliza HTTPS es segura y NO ES ASÍ puesto que la comunicación está cifrada, pero no sabemos si la web en sí está realizando un uso fraudulento de tus datos.
Además, en caso de ser una web fiable, pueden estar cometiendo errores de configuración.


Vale, entonces, si es seguro.. ¿No tendría que hacer nada más?

Por supuesto que sí, es solo una capa de protección adicional, para tener una página web segura debes seguir todos los puntos de este post y muchos más que seguiremos explicando en futuras publicaciones.


3. Injection

En este punto, trataremos de explicar en general las posibles vulnerabilidades a través de injection, en este caso hablaremos de las siguientes: SQL, NoSQL, XML, ORM queries.

Consejos principales:

  • Validación de inputs.

  • Escapar y "limpiar" todas las variables recibidas del usuario. (Escape, Sanetize)

  • Uso de procesos almacenados cuando sea posible.

  • Uso de consultas parametrizadas.

  • Hacer cumplir el Principio de mínimo privilegio.

  • WAF

SQL Injection  'or' '1' = '1

sqlQuery='SELECT * FROM custTable WHERE User='' OR 1=1-- ' AND PASS=' + password

Los ataques de inyección SQL pueden realizarse en consultas SQL poco seguras.
Podéis ver información ampliada sobre esto en el siguiente enlace: SQL Injection Prevention Cheat Sheet

NoSQL

Así es, las consultas NoSQL a pesar de ser "más seguras", no se libran de ser atacadas.
Podéis consultar diferentes formas de inyección NoSQL en este enlace, además de diferentes formas de evitarlos.

XML Parsers

Existen diferentes formas de explotar la inyección sobre XML, varias de ellas son mencionadas aquí.

ORM Queries

Efectivamente, las consultas a través de ORM  (Object-relational mapping) tampoco son completamente seguras. Sobre todo, si se hace un mal uso de ellas 😉
Podéis ver varios ejemplos genéricos en el siguiente enlace Testing for ORM Injection.


4. XSS o Cross Site Scripting

Este tipo de ataques son similares a los ataques de inyección, pero en este caso, el objetivo del atacante no es la base de datos, sino los usuarios que se conectan a la página.

A veces, con fin de conseguir información de usuario y otras, para realizar redirecciones a páginas fraudulentas.

Ejemplo: En un input escribir <script type =’text / javascript’> alert (‘Test XSS’); </ script>

Aquí está el enlace con ejemplo de su uso y como protegernos.

5. Autenticación

Según OWASP la política de contraseñas seguras debe ser la siguiente:

  • Mínimo 8 caracteres.

  • NO establecer un máximo de caracteres para las contraseñas.

  • NO partir contraseñas. (Cifrar en SHA256 y a continuación en Bcrypt)

  • Permitir el uso de todo tipo de caracteres incluidos unicode y espacios en blanco.

  • Asegurar la rotación de contraseñas cuando sean filtradas o en el momento en que se encuentre una vulnerabilidad.

  • Mostrar un "Strength-meter" o "Medidor de fuerza" para que el usuario sepa en todo momento la seguridad de su contraseña.

Además, existen errores a nivel de implementación de software que pueden ser subsanados para asegurar a los usuarios y la plataforma:

  • Implementar un mecanismo seguro de recuperación de contraseñas.


  • Comparar los hashes con funciones seguras. (EJ: password_verify() en PHP)

  • Trasmitir las contraseñas a través de un protocolo seguro. (TLS u otros)

  • Solicitar de nuevo el acceso para acciones más críticas.

  • Solicitar 2FA para acciones más críticas. Podéis ver un ejemplo aquí de fraude por la no utilización de 2FA publicado por mi compañero Daniel González.

  • Transacciones autorizadas. Hay varios métodos de implementar esto, por lo que os dejo el siguiente enlace para que veáis algunos ejemplos.

  • Control de los errores de autenticación.
    Este punto, básicamente, se trata de proporcionar errores genéricos, donde no aparezcan datos sensibles de ser explotados o utilizados para extraer datos.

    Algunos ejemplos de errores demasiado descriptivos y que deberían ser generalizados:

    • The user ID or password was incorrect.
    • The account does not exist.
    • The account is locked or disabled.
    • The account exists but password doesn’t match.
           Ejemplo de errores genéricos:
    • Invalid user or password.
    • If that email address is in our database, we will send you an email to reset your password.
    • A link to activate your account has been emailed to the address provided.

  • Protección ante ataques automatizados. (Brute force, Credentials Stuffing, Password Spraying)

    Vamos a nombrar diferentes formas de protegernos contra estos ataques:

  • Uso de protocolos de autenticación no basados en contraseñas

  • Promover el uso de software de gestión de contraseñas. EJ: KeePass

  • Monitorización

    Como sabréis, una parte muy importante de la seguridad es la monitorización, por ello, es más que indispensable la revisión de los posibles ataques, cuentas bloqueadas etc y la aplicación de políticas de seguridad basadas en los resultados.

6. Auditoria

Todos estos conceptos son aplicables por un equipo técnico cualificado y especializado en ciberseguridad y desarrollo.

A pesar de existir todos estos métodos, la única forma de tener una plataforma y entorno seguro, es realizando una auditoria completa a toda la infraestructura y aplicando los correspondientes métodos de "aseguramiento" en cada uno de los nodos afectados.

Esperamos que toda esta información os sea de gran ayuda en vuestros proyectos y tengamos, en un futuro, sitios más seguros. Y recordad, si precisáis de una compañía externa que revise la seguridad de vuestras aplicaciones, no dejéis de contactarnos en nuestro correo info@zerolynx.com. Mis compañeros del laboratorio cyber estarán encantados de atenderos.

Saludos!


14 may 2021

Datos publicados en Facebook & OnlyFans

Good meowrning!!

Estos días pasados se ha publicado información personal de dos plataformas que no han dejado indiferente a sus usuarios, y en el post de hoy vamos a contaros un poco más sobre ellos.

Por un lado tenemos al gigante Facebook, del que se han descubierto 533M de usuarios de una vulnerabilidad corregida en 2019, pero que nos han llegado ahora a la surface. Por otro lado, tenemos la plataforma de OnlyFans, de la que se ha compartido en una carpeta de Google Drive de varios GBs de contenido multimedia de casi 300 usuarios.

Vamos por partes!

Facebook

Ha afectado a 106 países , en los que los principales datos que se han visto comprometidos son: nombre, apellidos, fecha de nacimiento, dirección del domicilio, teléfono, ID de Facebook, datos laborales,... según la información dada por el usuario correspondiente y lo que hemos podido ver dado que el leak circula ya por muchos foros en la surface.

Pero Facebook no ha declarado este incidente como fuga de información: https://about.fb.com/news/2021/04/facts-on-news-reports-about-facebook-data/

Como almacenar esta información no es muy legal, los compañeros de @derechoenlared describen en este articulo varias aplicaciones que tienen almacenadas toda la base de datos de los usuarios afectados, de forma que puedes comprobar si los tuyos se encuentran entre ellos.

[Un usuario verificando sus datos en el leak]

OnlyFans

En esta brecha se desconoce la cantidad del almacenamiento publicado, pero se ha estimado que ocupa entre 1.6TB y 4TB, además de que el principal contenido parece ser de cuentas de usuarios femeninos.

Lo curioso de que este contenido haya salido a la luz no se debe a un fallo de seguridad por parte de OnlyFans, sino a la selección y compartición desde diferentes fuentes (incluyendo aplicaciones externas, como redes sociales) a través de varios de sus usuarios, y posteriormente compartiendo el contenido de forma gratuita con otros usuarios en Google Drive.

Y bueno, si no sabes si tu usuario (y su contenido) se ha podido ver implicado, puedes comprobarlo a través de esta web https://backchannel.re/disclosures.

 
[Contenido no extraído del breach]


P.D.: Los enlaces de descarga de ninguna de las filtraciones no se comparten por motivos obvios :)

Espero que os hayan resultado interesantes estas noticias,

Muchos maullidos!

M

12 may 2021

¡Hoy comienza Tapas&Hacks! Y participaremos en la mesa de Ciberseguridad en Movilidad


Hoy comienza Tapas&Hacks, un evento que nace el pasado año a raíz del Covid-19, con el objetivo de intentar poner a la ciudad de Valladolid en el mapa como un pequeño referente en Ciberseguridad. Y la verdad que lo están consiguiendo a base de buen hacer, porque nos han preparado un programa de conferencias muy diverso y de gran calidad, que toca multitud de temas la mar de interesantes.

https://tapasethacks.es/

Tapas&Hacks 2021 es completamente online, y se llevará a cabo entre hoy y mañana. Os dejamos a continuación con el programa:


Día 12 de mayo:

  • 10:00. Inauguración. Charo Chávez (Concejala Delegada General de la Concejalía de Innovación, Desarrollo Económico, Empleo y Comercio del Excmo. Ayuntamiento de Valladolid). Incluye charla sobre formación en Ciberseguridad, con Manuel Barrio, Amador Aparicio y Ángel T. Domínguez Pequeño.
  • 10:30. Kaspersky. Mesa redonda «De virus y otras cosas» con Dani Creus, Marc Rivero, Specter, Beto Morales y Pilar Vila. Moderador: Igor Urraza.
  • 11:30. Jesús Yustas. Ponencia. «CRIME as a SERVICE: El caso de la Ciberseguridad Industrial»
  • 12:30. Alejandro Aliaga. Ponencia. «Relatos de un ataque poco convencional» 
  • 13:30. David Saldaña. Ponencia. «Protegiendo identidades privilegiadas en Azure»
  • 15:00. Marta González. Ponencia. «Filtraciones 0 days»
  • 15:45. Rafael Mateus y Daniel García Baameiro. Ponencia. «Web Hacking 101 ft. InReticulatum»
  • 16:30. Juanjo Salvador. Ponencia. «Seguridad Ofensiva y Red Team» 
  • 17:00. Hugo Zunzarren. Ponencia. «Virtual Humint: el Ciberolvidado»
  • 17:30. J.L. Navarro. Ponencia. «Pescando en río revuelto. Detección de correos phising»
  • 18:30. Mesa redonda. «Ciberseguridad y Ciberinteligencia: destinadas a entenderse» con J.L. Navarro, Eduardo Sánchez, Jesús Pacheco y Diego Regueira. Moderadora: Miriam Feito
  • 19:30. Yolanda Corral. Ponencia. «Consejos de Seguridad Digital para gestionar y proteger la identidad digital»
  • 20:30. Marta López Pardal. Ponencia. «Videoyayadas y hackandemia en los tiempos del cocinamiento»
  • 21:30. Selva Orejón. Ponencia. «Protección de la Identidad Digital»


Día 13 de mayo:

  • 09:30. Eduardo Sánchez. Ponencia. «Investigación de estafas a empresas con OSINT»
  • 10:30. SiteGround. Mesa redonda «¿Seguro que tu web es segura?» con José Ramón Padrón, Chabi Angulo, Berta Minguela, Erika Aguado y Antonio Medrano. Moderador: David Ayala
  • 11:30. Vicente Aguilera. Ponencia. «Explotando los datos como materia prima del conocimiento»
  • 12:30. Fernando Mairata. Ponencia. «Nacidos para hackear»
  • 13:30. Ale Cortés. Ponencia. «Del «vuelva usted mañana’ a «mañana hago el backup».
  • 15:00. Héctor Alonso. Ponencia. «RaspiGear, Juguetes para Hackers»
  • 16:00. Carlos Lourerio. Ponencia. «F1R3STORM»
  • 17:00. Robert González y Ana Isabel Corral. Ponencia. «FAKE YOU! Utilizando OSINT y la Informática Forense para destruir Fake News»
  • 18:00. Esferared. Ponencia. «2026. Sleeping in my car. Collateral Damages»
  • 19:00. Ekiwi. Mesa Redonda «Muévete (ciber)seguro» David González Sanz, Esferared, Juan Antonio Calles y Martín Puga Egea. Moderador: Roberto González
  • 20:00. Silvia Barrera y Marc Almeida. Ponencia. «Mail Spoofing. El agujero negro de las empresas»
  • 21:00. Podcast!! Ávalos y XXL-Man


Este año participaremos desde Zerolynx-Flu Project en una mesa redonda que tendrá lugar el día 13 a las 19:00, dedicada a la ciberseguridad en el mundo de la movilidad. A lo largo del debate, que promete mucho, tocaremos diversos temas de actualidad como el hacking de coches, la alta interconexión de los vehículos conectados o el sinfín de las nuevas regulaciones que ya han llegado y que están por venir. Muchos temas que tocar a lo largo de la mesa, por lo que prometemos que el debate será ameno y divulgativo, para que todos podamos aprender un poco más sobre este tema tan interesante, y compartir y aprender de los diferentes puntos de vista de los compañeros de la mesa.

¡Os esperamos en Tapas&Hacks!

10 may 2021

Estudio del talento en ciberseguridad

¡Hola lectores! 

Después de un tiempo fuera y de nuestro pequeño parón por la ESL, ya estoy de vuelta por aquí, con un tema que suele ser polémico en el sector y que tiene por igual partidarios y detractores: la famosa falta de talento en el mundo de ciberseguridad. 

De esto os hemos hablado ya anteriormente en nuestra intervención en el documental de "el enemigo anónimo", que presentó mi compañero Juanan en el siguiente post y donde tanto él como yo, pudimos expresar nuestra opinión.


Sin embargo, en este caso no vamos a comentar que en el sector de la ciberseguridad (la de verdad) podéis ver que fácilmente, realizando una búsqueda en Google, se cuentan por cientos las quejas públicas semanales al respecto en nuestro país.  Ni vamos a hablar de si esto es un problema de falta de volumen o simplemente, una estrategia para que la oferta de profesionales se ajuste a la demanda y los precios de un servicio especializado ya maltratado, pasen a estar aún más maltratados. En este post, quiero hablar de que por fin alguien va a tratar de analizar de verdad esta problemática más allá de las percepciones que tenemos unos y otros.  Desde INCIBE están preparando un Estudio de Diagnóstico de Demanda de Talento de Ciberseguridad en España, para saber realmente cuál es la situación en la que nos encontramos y si realmente falta talento en España.

Para todos aquellos que estéis interesados, en este enlace vienen las condiciones que se solicitaron desde INCIBE en 2020 para la realización del mismo. Por mi parte, no sé quién lo está realizando, pero confío en que sea un trabajo profesional que nos ayude a arrojar luz sobre este tema. Personalmente, creo que todos los profesionales de este sector deberíamos de tomarnos un pequeño momento para rellenar la encuesta que están compartiendo desde INCIBE, y que veamos un punto de partida en comparación con otros países y otros mercados. 

Espero que colaboréis y os sea de utilidad. 

¡Un saludo!