Seguridad informatica en el mundo actual

Cualquier parecido es pura coincidencia

Tenga en cuenta que sólo hace falta un clic en el sitio equivocado para ser infectado. Como consejos generales para evitar infectarse con Malware (software malicioso) mientras se visita un sitio web:

• Chequee que su navegador y las aplicaciones o plugins que tiene instalados están actualizados. Para esto puede usar la aplicación en: Http://browsercheck.qualys.com/

• Cierre los pop-ups haciendo clic en el botón X de cerrar la ventana, no presione ningún botón de “cerrar” ya que puede ser falso e instalar un programa malicioso en su computador.
• No haga clic en anuncios de empresas que no conozca o que sean muy llamativos o que clamen regalar productos atractivos como iPods. Note que el malware puede venir también en anuncios insertados en sitios web prestigiosos.
• Evite hacer clic en enlaces a juegos o vídeos con el enganche de que aparezca gente famosa de actualidad ya que a menudo tienen spyware u otros problemas.
• Cuando termine de usar un servicio que requiere contraseña termine la sesión antes de visitar otros sitios web.

Seguridad Informática

En la actualidad la seguridad informática continúa marcando horizontes y justificando inversiones corporativas con el fin de mantener un nivel adecuado de aseguramiento de las arquitecturas de cómputo. En este sentido se hace necesario contar con personal idóneo para adelantar estas labores y mantener monitoreo permanente del proceso de administración de la seguridad informática. Una estrategia utilizada por la industria para establecer un estándar de formación o habilidades requeridas en seguridad son las certificaciones. Dicha estrategia establece una serie de características y requisitos los cuales serán abordados en la charla, con el fin de analizar de manera independiente los alcances y limitaciones de algunas certificaciones como son CISA, CISSP, GIAC (ofrecidas por el SANS), entre otras.

Los riesgos producidos por una mala securización en los sistemas de una empresa derivan directamente en su margen de beneficios. En el siguiente esquema se puede ver como los fallos de seguridad pueden derivar en pérdidas de dinero, independientemente del tipo de vulnerabilidad que posea dicho sistema:

                                                                                                                          

Ángel Herrera

Vulnerabilidad implementacion IPN de paypal por algunos desarrolladores

En Internet existen muchas paginas que usan mecanismos de pagos automáticos para ofrecer a sus clientes comprar online en tiempo real, hoy les hablare de IPN de paypal, muchos desarrolladores han implementando este mecanismo en sus proyectos, pero el problema radica que si no se sabe implementar de forma adecuada pueden ser victimas de algunas personas con conocimientos básicos de como funcionan estos servicios.
El fin de este post no es enseñarles a robar ni obtener algún beneficio económico de esta vulnerabilidad (La vulnerabilidad no es de paypal sino de los desarrolladores que implementan estos servicios sin saber como funcionan correctamente) sino enseñarles como podemos protegernos y hacer desarrollos mas seguros con este servicio.
Lo primero que voy a hacer es mostrarle un gráfico donde se explica de forma sencilla como seria el ataque y como se aprovecharía un intruso de la vulnerabilidad.

Para el laboratorio necesitamos:

• Firefox
• Plugin Web Developer (http://chrispederick.com/work/web-developer/)

Para realizar la prueba realizamos los siguientes pasos.
1. Encontramos un sitio web que implemente los pagos de algun producto mediante el boton “pago rapido”, casi siempre son sitios web que venden créditos online o solo un producto.

2. Desde nuestro firefox en la barra de herramientas tenemos una nueva barra (Web Developer) hacemos clic en Formulario > Mostrar detalle formulario

El campo que nos interesa se llama “business” como podemos ver este campo tiene el email donde se enviara el pago, lo que hacemos es editar y meter el email de una cuenta paypal que nos pertenezca o de un amigo.
3. Realizamos los pasos normales de la compra y seremos enviados a la pagina de paypal para proceder con el pago.

4. Realizamos el pago en paypal con nuestra cuenta de paypal 2.
5. Paypal procesara el pago correctamente y notificara al servidor de la tienda que el pago fue realizado.
6. El servidor procesara el pago y enviara el articulo (que por lo general es digital) a la cuenta del usuario que realizo la compra.
NOTA: Como podemos observar todo el proceso del pago en paypal fue correcto, se debitara de la cuenta de paypal1 el saldo y se enviara a la cuenta de paypal2, es decir el dinero lo movimos entre 2 cuentas de nosotros, ya que nunca llego el dinero a la cuenta oficial de la tienda.
¿Cuando se presenta esta vulnerabilidad? 
Cuando el desarrollador no valida el email al cual se realizo el pago en el archivo que recibe la notificacion del IPN de paypal.
En este articulo se muestra una forma segura de implementar pagos paypal instantáneos para los desarrolladores que trabajan con PHP (http://www.micahcarrick.com/paypal-ipn-with-php.html)
Después de ver este articulo se podrán dar cuenta que necesitamos hacer muchas validaciones antes de procesar un pago, ya que podemos cambiar el tipo de moneda para pagar, el valor del articulo que estoy comprando, etc.. se que a muchos se les ocurrirán muchas otras ideas.
Como siempre, espero que les sea de mucha utilidad.

 "Nayarith Hernàndez" Ventajas y Desventajas de La Ley Especial de Delitos Informaticos

 Esta ley fue promulgada por la Asamblea Nacional el 4 de Septiembre de 2001 y publicada en Gaceta Oficial el 30 de Octubre de 2001. Y pretende ofrecer una legislación sobre los delitos contra las tecnologías de información o haciendo uso de estás. Esta ley consta de 32 artículos y esta dividida en 4 títulos: un primer titulo donde se definen algunos términos básicos relacionados a las Tecnologías de la Información (T.I), en el segundo se especifican los delitos que se penan en la ley y su respectiva condena; en el tercer titulo las disposiciones generales y en el cuarto las disposiciones finales.

Entre Ventajas que ofrece esta Ley Especial:

• Por primera vez se tiene una legislación que regule los delitos informáticos.
• Se define un glosario de términos relacionados con las T.I, lo que ayuda a evitar confusiones.
• Se condenan fuertemente delitos como el robo de la información personal, la pornografía infantil y la apropiación de la propiedad intelectual.

Entre las desventajas que ofrece tenemos:

• No especifica los mecanismos e instituciones encargadas de actuar en caso de que se cometa un delito.
• La ley es solo de carácter punitivo, no se hace referencia a otros aspectos aspectos de la seguridad de las T.I como los certificados digitales.
• No ofrece regulaciones acerca del correcto uso de la Internet.
• Existen delitos que están fuera de la legislación como el envió de correo electrónico no deseado.

Según Mendoza, Eugenio y Urdaneta Eugenio otras desventajas de la ley son:

La nueva Ley especial contra los delitos informáticos (LECDI) presenta deficiencias al tipificar los delitos; el carácter abierto de las redes, el continuo avance en el software y hardware; el carácter virtual de la informática; la necesidad de adiestramiento continuo, y la falta de adecuación del régimen probatorio con las características técnicas de estos nuevos delitos, constituyen los principales factores que limitan su persecución y penalización”

Y para Fernando Fernandez las desventajas son:

“(i) Utiliza términos en el idioma inglés, cuando la Constitución solo autoriza el uso del castellano o lenguas indígenas en documentos oficiales;

(ii) No tipifica delito alguno relativo a la seguridad e integridad de la firma electrónica y a su registro;

(iii) La terminología utilizada es diferente a la de la Ley de Mensaje de Datos y Firmas Electrónicas, tal como se observa en la definición que hace del mensaje de datos con lo que se propicia un desorden conceptual de la legislación en materia electrónica;

(iv) Repite delitos ya existentes en el Código Penal y en otras leyes penales, a los cuales les agrega el medio empleado y la naturaleza intangible del bien afectado;

(v) Tutela los sistemas de información sin referirse a su contenido ni sus aplicaciones;

(vi) No tutela el uso debido de Internet; y

(vii) Establece principios generales diferentes a los establecidos en el libro primero del Código Penal, con lo cual empeora la descodificación

Delitos informaticos

 "Nayarith Hernandez"Delitos informáticos prevalecen en Venezuela

Por: Venpres | Miércoles, 07/05/2003 

Caracas, 06 May Venpres (Rosa Sánchez).- La clonación de tarjetas inteligentes o de telecajeros, es uno de los delitos informáticos más comunes cometidos en Venezuela, informó el consultor jurídico del Centro Nacional de Tecnología de la Información (CNTI), Gerardo Pages.

Pages quien asistió este martes al Seminario de Nuevas Tecnologías y Delitos Informáticos que se lleva a cabo en el Centro Internacional de Educación y Desarrollo (Cied), al ser consultado sobre estos casos, explicó que entre otros delitos también está el robo o destrucción de bases de datos y violación a la propiedad intelectual, pero aclaró que fue a raíz de la manipulación y alteración de las referidas tarjetas y las pérdidas que tuvo el sector bancario que surgió una ley especial para la penalización de estos hechos delictuales.

Señaló que esta legislación vigente desde el año 2001 es producto de la iniciativa pública y privada; igualmente destacó la necesidad de la preparación y capacitación de profesionales del derecho en esta materia, por ser justamente los actores del sistema judicial venezolano.

Según las declaraciones de Pages, este tipo de delitos, de alguna manera es nuevo en el país porque se vienen presentando desde hace unos 6 años y se hicieron comunes luego de la masificación de las tarjetas de débitos o de créditos. Además la facilidad de conseguir los dispositivos permitió que se cometieran estos hechos punibles.

Pages también se refirió al desarrollo normativo en los últimos 4 años en relación a las tecnologías de la información y comunicación. De acuerdo a su visión el Estado venezolano ha desarrollado una labor bastante intensiva al vincular las tecnologías de la información al ordenamiento jurídico, porque de acuerdo a su opinión esta área de la informática cada día está posicionándose de la actividad humana.

-La legislación venezolana sanciona a los delitos informáticos como la propiedad intelectual y el uso de equipos informáticos que atenten contra la moral y la sanción dependerá del tipo de delito. Es una ley que ha sido considerada como muy punitiva porque castiga fuertemente este tipo de conducta- puntualizó

Delitos informaticos

 

"Nayarith Hernandez" Pasos para verificar que tu usuario Google y tu servicio Gmail no esta siendo supervisado sin autorización por terceros.

Imagen Patrick Chappatte

Si alguna vez fuiste hackeado o sospechas de haber sido hackeado en tu cuenta Gmail, debes tener en cuenta lo siguiente:
• En Gmail así como en otros servicios de correo electrónico pueden haber múltiples sesiones de usuario en una misma cuenta de correo electrónico; Esto quiere decir que tu cuenta de correo puede estar conectada a varios equipos a la vez. Por esto al utilizar una cuenta de correo un usuario se puede conectar desde su casa, oficina, o desde su móvil. Si te conectas desde tu casa, oficina, móviles, cada una estas conexiones es una sesión abierta.
• Cuando una persona cambia la clave pero existen otras sesiones abiertas, es decir, otros equipos conectados en ese momento, el cambio de claves no afecta a las otras sesiones abiertas.

Es posible que el delincuente informático, haya activado en tu cuenta Google aplicaciones en equipos móviles que no son de tu propiedad, permitiendo supervisar tu correo en un dispositivo extraño adicional.

Cómo usar las redes sociales sin ser víctima de delitos informáticos

En los próximos meses, los sitios seguirán estando en la mira de los atacantes. Sugerencias para no caer en la trampa.

 La popularidad de redes sociales como Facebook y Twitter no pasa desapercibida para quienes cometen delitos informáticos y ven en estos sitios la posibilidad de sacar provecho económico del desconocimiento o descuido de los usuarios.

Sebastián Bortnik, gerente de Educación y Servicios de la empresa de seguridad informática Eset, sostiene que las redes sociales seguirán estando en la mira de los atacantes en los próximos meses.

El especialista asegura que el principal vector de ataque en las redes son los mensajes falsos y tentadores, como los que promocionan videos de famosos.

“En estos casos se habla de ingeniería social, es decir, de usar habilidades sociales para hacer que la otra persona haga lo que el atacante desea”, apunta Bortnik.

Enlances maliciosos. Los ataques, por lo general, aparecen bajo la fórmula "mensaje más enlace", que es el que lleva al usuario al contenido malicioso. En Facebook, puede llegar a través de un mensaje en el muro, un privado (inbox) o una foto en la que el usuario aparece etiquetado, entre otros. En Twitter, a través de una mención o un mensaje privado.

El especialista de Eset asegura que los ataques más comunes en Facebook son los que buscan la infección de equipo o el robo de información.

“El usuario muchas veces peca de esta velocidad e instantaneidad con la que se hace todo en Internet, lo que juega a favor del atacante. Cuando te dan un billete grande uno le da una mirada. Bueno, en Internet eso no existe. En el mundo físico parece ridículo, pero en el mundo virtual es lo que estamos haciendo”, dice Bortnik.

Videos prometedores. Uno de los “anzuelos” más comunes para un ataque son los videos impactantes, como el que prometía mostrar la muerte de Osama Bin Laden tras conocerse su deceso.

“Lo que siempre decimos a los usuarios es que usen la cabeza”, dice el ingeniero y explica: “Si murió Osama y me llega un link por Twitter o Facebook que dice que hay un video, ¿por qué no prendo la tele? Si hay un video, va a estar en los medios de comunicación, en todos lados”, apunta.

Los atacantes suelen aprovechar los temas candentes para posicionar sus enlances maliciosos. "Toman noticias muy mediáticas. Por ejemplo, cuando fue el boom de los tsunamis, aparecían alertas de tsunamis. Intentan reemplazar a los medios con noticias exageradas que se sabe van a tener mucha repercusión".

Para evitar caer en la trampa, el ingeniero recomienda tener una buena tecnología de seguridad e implementar buenas prácticas, como por ejemplo, pensar antes de hacer clic.  Así, por ejemplo, sugiere revisar los enlaces. Para eso hay que posar el mouse sobre el link y ver cuál es la dirección a la que nos llevará. Con ese simple paso, el usuario puede detectar si el enlace lo conducirá a un sitio extraño.

Bortnik también recomienda tener otras precauciones y hacer una buena configuración de privacidad de las redes. “Siempre es importante ver cuántos contactos tengo, si me pueden etiquetar o si pueden poner cosas en mi muro de Facebook. Son pequeñas buenas prácticas para minimizar la probabilidad de hacer clic en enlaces maliciosos”, añade.

POLITICAS DE SEGURIDAD EN INFORMÁTICA:

POLITICAS DE SEGURIDAD EN INFORMÁTICA:

Hoy es imposible hablar de un sistema cien por cien seguro, sencillamente porque el costo de la seguridad total es muy alto. Por eso las empresas, en general, asumen riesgos: deben optar entre perder un negocio o arriesgarse a ser hackeadas.

La cuestión es que, en algunas organizaciones puntuales, tener un sistema de seguridad muy acotado les impediría hacer más negocios. "Si un Hacker quiere gastar cien mil dólares en equipos para descifrar una encriptación, lo puede hacer porque es imposible de controlarlo. Y en tratar de evitarlo se podrían gastar millones de dólares".

La solución a medias, entonces, sería acotar todo el espectro de seguridad, en lo que hace a plataformas, procedimientos y estrategias. De esta manera se puede controlar todo un conjunto de vulnerabilidades, aunque no se logre la seguridad total. Y esto significa ni más ni menos que un gran avance con respecto a unos años atrás.

Algunas organizaciones gubernamentales y no gubernamentales internacionales han desarrollado documentos, directrices y recomendaciones que orientan en el uso adecuado de las nuevas tecnologías para obtener el mayor provecho y evitar el uso indebido de la mismas, lo cual puede ocasionar serios problemas en los bienes y servicios de las empresas en el mundo.

En este sentido, las Políticas de Seguridad Informática (PSI), surgen como una herramienta organizacional para concientizar a cada uno de los miembros de una organización sobre la importancia y sensibilidad de la información y servicios críticos. Estos permiten a la compañía desarrollarse y mantenerse en su sector de negocios.

Una política de seguridad informática es una forma de comunicarse con los usuarios, ya que las mismas establecen un canal formal de actuación del personal, en relación con los recursos y servicios informáticos de la organización.

Una política de seguridad informática es una descripción técnica de mecanismos, ni una expresión legal que involucre sanciones a conductas de los empleados, es más bien una descripción de los que deseamos proteger y él por qué de ello, pues cada política de seguridad es una invitación a cada uno de sus miembros a reconocer la información como uno de sus principales activos así como, un motor de intercambio y desarrollo en el ámbito de sus negocios. Por tal razón, las políticas de seguridad deben concluir en una posición consciente y vigilante del personal por el uso y limitaciones de los recursos y servicios informáticos.

ELEMENTOS DE UNA POLÍTICA DE SEGURIDAD INFORMÁTICA:

- Alcance de las políticas, incluyendo facilidades, sistemas y personal sobre la cual aplica.

- Objetivos de la política y descripción clara de los elementos involucrados en su definición.

- Responsabilidades por cada uno de los servicios y recursos informáticos aplicado a todos los niveles de la organización.

- Requerimientos mínimos para configuración de la seguridad de los sistemas que abarca el alcance de la política.

- Definición de violaciones y sanciones por no cumplir con las políticas.

- Responsabilidades de los usuarios con respecto a la información a la que tiene acceso.

Las políticas de seguridad informática, también deben ofrecer explicaciones comprensibles sobre por qué deben tomarse ciertas decisiones y explicar la importancia de los recursos. Igualmente, deberán establecer las expectativas de la organización en relación con la seguridad y especificar la autoridad responsable de aplicar los correctivos o sanciones.

Otro punto importante, es que las políticas de seguridad deben redactarse en un lenguaje sencillo y entendible, libre de tecnicismos y términos ambiguos que impidan una comprensión clara de las mismas, claro está sin sacrificar su precisión.

Por último, y no menos importante, el que las políticas de seguridad, deben seguir un proceso de actualización periódica sujeto a los cambios organizacionales relevantes, como son: el aumento de personal, cambios en la infraestructura computacional, alta rotación de personal, desarrollo de nuevos servicios, regionalización de la empresa, cambio o diversificación del área de negocios, etc.

PARÁMETROS PARA ESTABLECER POLÍTICAS DE SEGURIDAD:

- Efectuar un análisis de riesgos informáticos, para valorar los activos y así adecuar las políticas a la realidad de la empresa.

- Reunirse con los departamentos dueños de los recursos, ya que ellos poseen la experiencia y son la principal fuente para establecer el alcance y definir las violaciones a las políticas.

- Comunicar a todo el personal involucrado sobre el desarrollo de las políticas, incluyendo los beneficios y riesgos relacionados con los recursos y bienes, y sus elementos de seguridad.

- Identificar quién tiene la autoridad para tomar decisiones en cada departamento, pues son ellos los interesados en salvaguardar los activos críticos su área.

- Monitorear periódicamente los procedimientos y operaciones de la empresa, de forma tal, que ante cambios las políticas puedan actualizarse oportunamente.

- Detallar explícita y concretamente el alcance de las políticas con el propósito de evitar situaciones de tensión al momento de establecer los mecanismos de seguridad que respondan a las políticas trazadas.

EVALUACIÓN DE RIESGOS

El análisis de riesgos supone más que el hecho de calcular la posibilidad de que ocurran cosas negativas.

1.      Se debe poder obtener una evaluación económica del impacto de estos sucesos. Este valor se podrá utilizar para contrastar el costo de la protección de la información en análisis, versus el costo de volverla a producir (reproducir).

2.      Se debe tener en cuenta la probabilidad que sucedan cada uno de los problemas posibles. De esta forma se pueden priorizar los problemas y su coste potencial desarrollando un plan de acción adecuado.

3.      Se debe conocer qué se quiere proteger, dónde y cómo, asegurando que con los costos en los que se incurren se obtengan beneficios efectivos. Para esto se deberá identificar los recursos (hardware, software, información, personal, accesorios, etc.) con que se cuenta y las amenazas a las que se está expuesto.

La evaluación de riesgos y presentación de respuestas debe prepararse de forma personalizada para cada organización; pero se puede presupone algunas preguntas que ayudan en la identificación de lo anteriormente expuesto:

• "¿Qué puede ir mal?"
• "¿Con qué frecuencia puede ocurrir?"
• "¿Cuáles serían sus consecuencias?"
• "¿Qué fiabilidad tienen las respuestas a las tres primeras preguntas?"
• "¿Se está preparado para abrir las puertas del negocio sin sistemas, por un día, una semana, cuanto tiempo?"
• "¿Cuál es el costo de una hora sin procesar, un día, una semana...?"
• "¿Cuánto, tiempo se puede estar off-line sin que los clientes se vayan a la competencia?"
• "¿Se tiene forma de detectar a un empleado deshonesto en el sistema?"
• "¿Se tiene control sobre las operaciones de los distintos sistemas?"
• "¿Cuantas personas dentro de la empresa, (sin considerar su honestidad), están en condiciones de inhibir el procesamiento de datos?"
• "¿A que se llama información confidencial y/o sensitiva?"
• "¿La información confidencial y sensitiva permanece así en los sistemas?"
• "¿La seguridad actual cubre los tipos de ataques existentes y está preparada para adecuarse a los avances tecnológicos esperados?"
• "¿A quien se le permite usar que recurso?"
• "¿Quién es el propietario del recurso? y ¿quién es el usuario con mayores privilegios sobre ese recurso?"
• "¿Cuáles serán los privilegios y responsabilidades del Administrador vs. la del usuario?"
• "¿Cómo se actuará si la seguridad es violada?"

PLAN DE CONTINGENCIA:

Es el conjunto de procedimientos alternativos a la operativa normal de cada empresa, cuya finalidad es la de permitir el funcionamiento de ésta, aún cuando alguna de sus funciones deje de hacerlo por culpa de algún incidente tanto interno como ajeno a la organización como un fallo en la correcta circulación de información o la falta de provisión de servicios.

El hecho de preparar un plan de contingencia no implica un reconocimiento de la ineficiencia en la gestión de la empresa, sino todo lo contrario, supone un importante avance a la hora de superar todas aquellas situaciones descritas con anterioridad y que pueden provocar importantes pérdidas, no solo materiales sino aquellas derivadas de la paralización del negocio durante un período más o menos largo.

supuesto acto de ciber-espionaje contra el palacio presidencial frances

El semanario francés L´Express revela un supuesto acto de ciber-espionaje contra el palacio presidencial galo.

Diario Ti: Un artículo publicado en el semanario L´Express describe la forma en que Estados Unidos habría realizado una intrusión informática contra la red del palacio del Eliseo, sede del gobierno francés.

En el artículo se recalca que Janet Napolitano, secretaria (ministra) de seguridad interior estadounidense, se negó a comentar la información revelada por el semanario, limitándose a recordar que Francia es uno de los principales aliados de Estados Unidos. Por su parte, un portavoz de la embajada de Estados Unidos en París negó que su país haya espiado a Francia, que define como "uno de nuestros aliados más importantes".

Ninguna autoridad del gobierno francés, ni tampoco de la oposición, aceptó comentar la información.

El artículo de L´Express se basa en fuentes anónimas de los servicios franceses que habrían investigado la intrusión y que habrían identificado al malware Flame. La situación habría sido detectada en mayo pasado, entre las dos rondas de las elecciones francesas, cuando el entonces presidente Nicolas Sarkozy perdió frente al candidato socialista Francois Hollande.

El presidente Sarkozy no habría sido afectado por la situación, lisa y llanamente debido a que no tenía PC. Sin embargo, varios de sus colaboradores más cercanos, incluyendo el más importante, el jefe de gabinete Xavier Musca, fueron espiados directamente, según L´Express. 

SEGURIDAD EN INFORMATICA

La seguridad informática, es el área de la informática que se enfoca en la protección de la infraestructura computacional y todo lo relacionado con esta (incluyendo la información contenida). Para ello existen una serie de estándares, protocolos, métodos, reglas, herramientas y leyes concebidas para minimizar los posibles riesgos a la infraestructura o a la información. La seguridad informática comprende software, bases de datos, metadatos, archivos y todo lo que la organización valore (activo) y signifique un riesgo si ésta llega a manos de otras personas. Este tipo de información se conoce como información privilegiada o confidencial.
El concepto de seguridad de la información no debe ser confundido con el de seguridad informática, ya que este último sólo se encarga de la seguridad en el medio informático, pero la información puede encontrarse en diferentes medios o formas, y no solo en medios informáticos.
La seguridad informática es la disciplina que se ocupa de diseñar las normas, procedimientos, métodos y técnicas destinados a conseguir un sistema de información seguro y confiable.

La seguridad informática está concebida para proteger los activos informáticos, entre los que se encuentran.
La infraestructura computacional: Es una parte fundamental para el almacenamiento y gestión de la información, así como para el funcionamiento mismo de la organización. La función de la seguridad informática en esta área es velar que los equipos funcionen adecuadamente y anticiparse en caso de fallas, planes de robos, incendios, boicot, desastres naturales, fallas en el suministro eléctrico y cualquier otro factor que atente contra la infraestructura informática.

Los usuarios: Son las personas que utilizan la estructura tecnológica, zona de comunicaciones y que gestionan la información. La seguridad informática debe establecer normas que minimicen los riesgos a la información o infraestructura informática. Estas normas incluyen horarios de funcionamiento, restricciones a ciertos lugares, autorizaciones, denegaciones, perfiles de usuario, planes de emergencia, protocolos y todo lo necesario que permita un buen nivel de seguridad informática minimizando el impacto en el desempeño de los funcionarios y de la organización en general y como principal contribuyente al uso de programas realizados por programadores.

 Las amenazas
Una vez que la programación y el funcionamiento de un dispositivo de almacenamiento (o transmisión) de la información se consideran seguras, todavía deben ser tenidos en cuenta las circunstancias "no informáticas" que pueden afectar a los datos, las cuales son a menudo imprevisibles o inevitables, de modo que la única protección posible es la redundancia (en el caso de los datos) y la descentralización -por ejemplo mediante estructura de redes- (en el caso de las comunicaciones).
Estos fenómenos pueden ser causados por:

• El usuario: causa del mayor problema ligado a la seguridad de un sistema informático (porque no le importa, no se da cuenta o a propósito).
• Programas maliciosos: programas destinados a perjudicar o a hacer un uso ilícito de los recursos del sistema. Es instalado (por inatención o maldad) en el ordenador abriendo una puerta a intrusos o bien modificando los datos. Estos programas pueden ser un virus informático, un gusano informático, un troyano, una bomba lógica o un programa espía o Spyware.
• Un intruso: persona que consigue acceder a los datos o programas de los cuales no tiene acceso permitido (cracker, defacer, script kiddie o Script boy, viruxer, etc.).
• Un siniestro (robo, incendio, inundación): una mala manipulación o una malintención derivan a la pérdida del material o de los archivos.
• El personal interno de Sistemas. Las pujas de poder que llevan a disociaciones entre los sectores y soluciones incompatibles para la seguridad informática

Tipos de amenaza
El hecho de conectar una red a un entorno externo nos da la posibilidad de que algún atacante pueda entrar en ella, con esto, se puede hacer robo de información o alterar el funcionamiento de la red. Sin embargo el hecho de que la red no sea conectada a un entorno externo no nos garantiza la seguridad de la misma. De acuerdo con el Computer Security Institute (CSI) de San Francisco aproximadamente entre 60 y 80 por ciento de los incidentes de red son causados desde adentro de la misma. Basado en esto podemos decir que existen 2 tipos de amenazas:

• Amenazas internas: Generalmente estas amenazas pueden ser más serias que las externas por varias razones como son:

-Los usuarios conocen la red y saben cómo es su funcionamiento.
-Tienen algún nivel de acceso a la red por las mismas necesidades de su trabajo.
-Los IPS y Firewalls son mecanismos no efectivos en amenazas internas.
Esta situación se presenta gracias a los esquemas ineficientes de seguridad con los que cuentan la mayoría de las compañías a nivel mundial, y porque no existe conocimiento relacionado con la planeación de un esquema de seguridad eficiente que proteja los recursos informáticos de las actuales amenazas combinadas.
El resultado es la violación de los sistemas, provocando la pérdida o modificación de los datos sensibles de la organización, lo que puede representar un daño con valor de miles o millones de dólares.

• Amenazas externas: Son aquellas amenazas que se originan fuera de la red. Al no tener información certera de la red, un atacante tiene que realizar ciertos pasos para poder conocer qué es lo que hay en ella y buscar la manera de atacarla. La ventaja que se tiene en este caso es que el administrador de la red puede prevenir una buena parte de los ataques externos.

Por Claribel Diaz

VISA, relato de una estafa consensuada

Por. Claribel Diaz.

Generalmente no hablo de mi vida personal en este blog, pero en este caso se trata de cómo gracias a la (in)seguridad en los procesos internos de VISA pude ser estafado, y cómo la desidia de la empresa colabora para hacer que un delincuente haga dinero a costa de las víctimas.

Ante todo un contexto general: hace aproximadamente un mes salí a cenar a un reconocido restaurante de Buenos Aires, pagué normalmente con mi tarjeta de crédito VISA XXXX y seguí mi vida. Hace dos días me encontraba de viaje laboral en la ciudad de Quito, Ecuador, y a las 22 hs recibo un correo electrónico informando que se había registrado un nuevo débito automático de la empresa de energía EDESUR, de la que no soy usuario y ante la cual por supuesto nunca he realizado un pago.
 
Pensando en el uso dado a la tarjeta durante el último mes, averiguo el lugar donde seguramente me copiaron los datos del PAN (número de 16 dígitos del frente de la tarjeta) y CVV2 (3 dígitos verificadores del reverso) o directamente realizaron una clonación, el restaurante del inicio del relato. Con ese conocimiento me pongo en contacto con la persona cotitular de la cuenta (sexo femenino) en Buenos Aires para que haga el reclamo pertinente ante VISA, se anule el débito y dé de baja la tarjeta clonada.

Grande es mi sorpresa cuando la empresa informa que el reclamo no puede realizarse porque quien llamaba, debía ser el titular y en este caso era evidente que no lo era porque "quien se comunicaba era de sexo femenino". Si bien la persona es cotitular de la cuenta y tiene todos los datos de validación solicitados por VISA para realizar el reclamo, el mismo no puede hacerse ¡porque no llamaba un varón!. O sea, ¿la verificación es la voz de la persona que llama, amen de los datos que la misma tenga sobre la cuenta?

De aquí en adelante todo fueron una serie de hechos desafortunados. Comencemos con las fallas en los procesos:

1. El punto más grave y origen del problema es ¿cómo se dió de alta el débito automático a mi tarjeta de crédito saltando los procesos de verificación de VISA, suponiendo que el delincuente "sólo" tiene el nombre y apellido y los PAN/CCV2 de la tarjeta? Sobre este punto volveremos después.

2. Según pude constatar, el proceso de alta de un débito automático puede realizarse via web (este punto queda descartado porque debe hacerse estando logueado con mi cuenta/usuario/contraseña de VISA, cosa que no ha ocurrido); o por comunicación telefónica con VISA o EDESUR. Evidentemente en ninguno de los dos últimos casos, existe un proceso de verificación adecuada de la persona ya que sino el proceso de alta no podría haberse realizado.

3. El proceso de verificación realizado por el call center de VISA tiene en cuenta la voz y el sexo de quien llama a hacer un reclamo, lo cual inicialmente puede ser válido pero en este caso es secundario. Es decir que si llama María (con los datos de verificación correctos) para reclamar por Juan, el reclamo es ignorado pero si llama Pedro, el reclamo es válido, aunque los datos de verificación entregados sean incorrectos (sobre este punto volveremos después). ¿Qué sucede si el titular no puede llamar por un problema de salud por ejemplo? Suena ridículo, sí lo es.

4. Cómo quien debía comunicarse con el call center era el titular (de sexo masculino) y al encontrarme en otro país, intenté comunicarme con VISA de Ecuador pero amablemente me indicaron que el "servicio internacional de 24 hs sólo funcionaba de 8 a 20 hs". Siendo las 22 hs debía hacer una llamada internacional a Argentina, a costa mía porque tampoco logré comunicarme con el supuesto servicio de cobro revertido.

5. Al estar imposibilitado temporalmente para comunicarme telefónicamente, hice el reclamo a través de correo electrónico a la dirección de fraudes local y a través del formulario web de denuncias de estafas y fraudes. Además envié un twit a la cuenta @visa .
36 hs después el correo fue respondido de forma automática, con preguntas cuyas respuestas estaban originalmente en el correo enviado por mí y, como frutilla del postre, me solicitan los datos de facturación. Si recordamos que había pagado un servicio que no pertenece, ¿de dónde sacaría la factura? O sea, 36 hs para ni siquiera leer el correo y 36 hs de ventana de tiempo adicionales para el delincuente.

5. Sólo para despuntar el vicio, me comunique a través de Skype con VISA Argentina y luego de 15 minutos de espera, pude contar mi problema a la cansada y desinteresada persona que me atendió. Mis solicitudes fueron dos muy simples: quería dar de baja mi tarjeta porque estaba siendo utilizada por un tercero y quería saber cómo era posible que sucediera lo que sucedió. A la primera pregunta la respuesta fue positiva (a fin y al cabo quien llamaba era un varón y quizá era el titular) y a la segunda fue literalmente que lo "desconocía pero era común que sucediera". Suena ridículo, sí lo es.

Pero volvamos con el proceso de verificación para dar de baja mi tarjeta de crédito y ya que estamos también, el alta de un débito automático a nombre de un tercero. Para verificar mi identidad, el call center me solicitó mi dirección física (que puede ser fácilmente obtenible en Internet), pero al dársela "cometí un error" y le brindé una dirección incorrecta. Sin otra pregunta (ni siquiera el banco emisor que suele ser una de ellas) y sin percatarse del "error", me confirmaron que la tarjeta había sido bloqueada y recibiría una nueva en mi casa en 48 a 72 hs. Suena ridículo, sí lo es.

6. Siguiendo el proceso de "autenticación" anterior, si quien llamaba hubiera sido un tercero, podría haber dado de baja todas mis tarjetas de crédito, afectando seriamente la vida de una persona en el extranjero. 
Además, nunca llegó ninguna alerta vía correo electrónico informando que este trámite había sido realizado, por lo cual si hubiera sido un tercero quien realizara el trámite, nunca me habría enterado, hasta intentar usar la tarjeta. Suena ridículo, sí lo es.

Como resumen y sólo teniendo en cuenta los puntos más importantes de lo ocurrido:

• cualquiera con tu número de tarjeta puede hacerse pasar por tí ante el servicio de VISA, siempre y cuando sea del mismo sexo;
• el proceso de verificación de datos es obsoleto ya que cualquiera puede obtener los datos de una persona en Internet (o a través de su resumen de tarjeta, si bien este no fue el caso);
• amen de lo anterior, el proceso de verificación no es respetado por el call center, ya que incluso brindando información incorrecta es posible realizar reclamos;
• el servicio internacional de VISA en algunos países no funciona, por lo cual utilizar una tarjeta internacional de VISA es un riesgo para quien viaja.

Curiosamente no me siento robado por el delincuente sino estafado por el pésimo servicio que ofrece VISA. 

Conclusión: si vas a utilizar una tarjeta de crédito VISA, toma en cuenta que cualquiera que la vea alguna vez puede copiar algunos datos de la misma y utilizarlos, simplemente llamando por teléfono. Desde mi punto de vista los procesos internos de VISA son ineficientes y de esta forma colabora y es cómplice necesario de los delincuentes.

Leer más: Noticias de Seguridad Informática - Segu-Info http://blog.segu-info.com.ar/#ixzz2DeTWNgwo 
Under Creative Commons License: Attribution Non-Commercial Share Alike 
Mucho más de Seguridad Informática Segu-Info

NELSON CABEZA

Jerónimo Varela, COO de la oficina de ESET en Argentina

Revelan las tendencias en seguridad informática para 2013

ESET realizó su conferencia anual en Buenos Aires, donde destacó el aumento de las amenazas en seguridad de móviles, sindicando a Android como la plataforma más vulnerable

• 9

• Enviar por mail
• Imprimir
• Rectificar

EL MERCURIO / CHILE / GDA16 DE NOVIEMBRE 2012 - 04:04 PM

La empresa de seguridad informática realizó su conferencia anual en Buenos Aires, donde entregó sus resultados de 2012 e indicó cuáles son las tendencias en seguridad para 2013.

Tal como ocurrió el año pasado, la principal predicción de la compañía es el crecimiento de las amenazas para dispositivos móviles. La diferencia es que lo que a fines de 2011 aparecía como una posibilidad cierta pero alejada de la realidad local, en 2012 tuvo un crecimiento exponencial, con casos claros de impacto en Latinoamérica.

"Hace tres años habría sido impensado hablar de esto. El año pasado hablamos del surgimiento de la amenaza, su crecimiento. Y el esperado para 2013 es exponencial, muy por encima de lo que uno podría imaginar", indicó Sebastián Bortnik, gerente de educación y servicios de ESET para Latinoamérica.

Los datos son claros. Android es la plataforma móvil más popular del mundo, con más de 1.3 millones de activaciones de dispositivos nuevos (según indicó Andy Rubin, presidente de la división Android de Google). Tal como crece su uso, crecen las amenazas. Si hace 2 años había sólo un puñado de familias de virus con unas pocas variantes cada una, hoy hay 56 familias con miles de versiones distintas.

Los virus para móviles tienen tres tipos de objetivos: robar información, crear "botnets" (redes de equipos zombies, con control total del atacante) y contratar servicios de SMS premium. Es este último modelo el que llegó a Latinoamérica este año, con la detección de un malware de la familia Boxer.

El ataque es enmascarado como una aplicación, la que requiere la acción de un usuario (como poner "start" en un juego). Una vez realizada la acción, el teléfono envía un mensaje a un servicio de mensajes de texto, el que envía un SMS de confirmación que no es visto por el usuario, ya que el mismo malware lo bloquea. Así el programa logra que la persona pague automáticamente por un servicio que no recibe, sin que lo note.

El virus fue detectado en Latinoamérica hace algunos meses, con casos en Perú, México, Argentina, Chile y otros países de la región.

La duda es por qué se ataca a Android y no a otras plataformas. La respuesta es simple: Android es la plataforma más popular y también tiene criterios de revisión más bajos que sistemas como iOS y Windows Phone al momento de aprobar aplicaciones para entrar en la tienda Play de Google.

La web como medio

ESET también destacó un cambio interesante en la manera que se propagan los virus en computadores. Si hasta el año pasado, los dispositivos USB eran los más usados como método de propagación de virus, en 2012 la metodología más utilizada fue la web.

Hasta hoy los atacantes aprovecharon las posibilidades que entrega la ejecución automática de archivos desde un pendrive (situación especialmente crítica en Windows XP), pero ahora como la seguridad en ese ámbito mejoró, empezaron a explotar vulnerabilidades en los servidores de los sitios web, entrando a sus sistemas de archivos y plantando malware, y de navegadores y sistema operativos.

De hecho, en la lista de las 10 amenazas más comunes de este año, seis corresponden a vulnerabilidades web. De ellas dos corresponden a HTML y las otras cuatro a JavaScript.

Mildred martinez

Limitaciones de la criptografia:

El que un sistema tenga seguridad incondicional no quiere decir que su seguridad sea inviolable. Veamos dos consideraciones

§  ⁶ Los sistemas son incondicionalmente seguros desde un punto de vista probabilístico: El oponente siempre tiene una probabilidad mayor que cero de romper la seguridad. Sin embargo, esta probabilidad puede ser muy muy pequeña. Esto es lo que sucede con los sistemas incondicionalmente seguros.

⁷ En la mayoría de los estudios sobre la seguridad de un sistema se hace la suposición de que los atacantes tienen sólo un intento para atacar la seguridad del sistema. El éxito o el fracaso están determinados por el éxito o fracaso de ese intento. Esta suposición es válida, por ejemplo, en ciertos problemas de comunicación segura donde el enemigo no tiene oportunidad de verificar si el mensaje estimado es correcto o no. Sin embargo hay otros tipos de problemas donde esta suposición no tiene sentido. Por ejemplo, en un sistema de autenticación con usuario y contraseña para entrar en una cuenta restringida, el atacante puede realizar varios intentos. Además, en algunos casos, los intentos fallidos anteriores dan información para hacer una estimación mejor para los intentos siguientes.

§  ⁸ Cuando decimos que un sistema criptográfico es incondicionalmente seguro, nos estamos refiriendo a nivel teórico. Sin embargo cuando es implementado en la práctica puede no mantenerse esa seguridad. Hay muchos tipos de ataques que sólo se aplican cuando los sistemas están implementados en un sistema concreto. Ejemplos:

§  Explotación de canales ocultos. Los canales ocultos son canales de comunicación no intencionados y de difícil detección, que permiten la transferencia de información de forma que viola la política de seguridad del sistema. En un computador real los procesos al ejecutarse producen una serie de efectos y fenómenos que pueden ser medidos y explotados para revelar información relevante que puede ser utilizada para romper el sistema (Ej. pistas sobre la clave). Este problema es inherente y no puede ser evitado mediante técnicas criptográficas. Son ejemplos típicos de este tipo de canales los canales ocultos generados por análisis de temporizaciones, por análisis de consumos de energía o por análisis de consumos de radiaciones electromagnéticas o poranálisis de consumo de espacio de almacenamiento.

§  Malos diseños o implementaciones del software o el hardware pueden hacer que la solución práctica sea insegura. Ejemplos de ataques que se aprovechan de debilidades producidas por un mal diseño o implementación: desbordamiento de buffer, Inyección SQL, Cross Site Scripting, ataques basados en deficiencias del hardware.