DroneTinder: Sistema de Espionaje Continuo en Redes Sociales

¿QUÉ ES TINDER?

“Tinder es la nueva forma de conocerse. Es como la vida real, pero mejor”. Este es el eslogan de la popular aplicación Tinder. Una red social en la que utilizamos nuestro perfil de Facebook (y nuestro GPS) para conocer gente sin necesidad de movernos de casa.

Su uso, cada vez más extendido, está cambiando la forma de relacionarnos. Sin embargo, desde el punto de vista de un analista de ciberseguridad, ¿qué peligros puede tener una aplicación como esta para nuestra privacidad?

Con el proyecto DroneTinder, como parte del programa Universidades de ElevenPaths, en colaboración con el Máster en Ciberseguridad de la Universidad de Sevilla, hemos estudiado esta aplicación durante los últimos meses.

DESCUBRIENDO LA API DE TINDER

Después de instalar la app, iniciamos sesión con nuestra cuenta de Facebook e inmediatamente tenemos nuestro perfil listo para ligar en internet. Aparece una chica. Esta me gusta. Esta no… ¡Vaya! ¡Un match! Podemos empezar a intercambiar mensajes para finalmente conseguir una cita.

Si nos ponemos nuestro gorro de hacker, podemos repetir el proceso anterior preguntándonos qué está sucediendo realmente para que hayamos conseguido una cita y si en algún momento hemos puesto en peligro nuestra privacidad. Para ello, usaremos un proxy http con el que estudiar qué información intercambia nuestro dispositivo móvil y el servidor de Tinder. Esta es una técnica muy común para auditar aplicaciones móviles y servicios web. El tráfico va cifrado (menos mal), por lo que además necesitaremos instalar un certificado en nuestro dispositivo para hacernos un ataque man in the middle en toda regla.

Empezamos nuestro estudio a ciegas. Con algo de conocimiento sobre el protocolo HTTP, rápidamente aparece en nuestro proxy la primera pista, peticiones a la dirección https://api.gotinder.com. Si filtramos los mensajes intercambiados con este servidor, vemos que existe una API rest con la que nuestro teléfono se comunica.

Estudiando estos mensajes en formato JSON, vemos cómo podríamos utilizar la API de Tinder para realizar al menos las siguientes acciones:

Actualizar nuestro perfil (biografía, edad, género, género de interés y radio de búsqueda).Actualizar nuestra coordenada GPS.Obtener perfiles recomendados.Obtener detalles de un perfil concreto.
Así, podríamos repetir nuestra visita guiada por la aplicación de la siguiente forma:

Instalamos la App.Iniciamos sesión en Facebook y conseguimos un token que enviamos al servidor de Tinder, dándole acceso a nuestro perfil, fotos, edad, etc. A continuación el teléfono envía nuestra posición GPS. Solicitamos recomendaciones y Tinder nos envía una ráfaga de perfiles en formato JSON.

Hagamos una pausa aquí. En la aplicación se nos muestran fotos y una breve biografía de cada usuario. Sin embargo, ¿qué información nos está enviando Tinder realmente de esos usuarios?

ENCANTADO DE CONOCERTE, USUARIO DE TINDER.

La petición a https://api.gotinder.com/user/recs, debidamente firmada con nuestro token de acceso, nos da la respuesta. A continuación podemos ver un ejemplo de la misma, con algunos campos modificados, porque nosotros sí respetamos la privacidad de los usuarios de Tinder.

{ "status": 200, "results": [ { "distance_mi": 12, "common_connections": [], "connection_count": 12, "common_likes": [], "common_interests": [], “Instagram”: “XXX”, "uncommon_interests": [], "common_friends": [], "content_hash": "2o4igQta6H37C7jtgu1jIQasl1HMlI1riYNFr4FPptRpcX1", "_id": “XXX”, "badges": [], "bio": "", "birth_date": "1993-01-29T19:04:05.660Z", "name": “XXX”, "ping_time": "2017-01-26T17:19:50.017Z", "photos": [ { "id": “XXX”, "url": "http://images.gotinder.com/XXX.jpg", "processedFiles": [ { "width": 640, "height": 640, "url": "http://images.gotinder.com/XXX.jpg" }, { "width": 320, "height": 320, "url": “XXX.jpg" }, { "width": 172, "height": 172, "url": "http://images.gotinder.com/XXX.jpg" }, { "width": 84, "height": 84, "url": "http://images.gotinder.com/XXX.jpg" } ] } ], "is_traveling": false, "jobs": [], "schools": [ { "id": "1087351381344781", "name": "Yildiz Technical University" } ] "hide_age": false, "hide_distance": false, "s_number": 60819127, "gender": 0, "birth_date_info": "fuzzy birthdate active, not displaying real birth_date" }, ... ] }
Pero empezamos a preocuparnos. Analizando esta respuesta, conseguida con tan solo abrir la aplicación, podemos saber la siguiente información de un usuario:

Fecha de nacimiento aproximada (birth_date)Cuenta de InstagramDistancia a la que se encuentra de nosotros (distance_mi)La última vez que usó la aplicación (ping_time)Si está moviéndose (is_traveling)ID de usuarioY lo más sorprendente. ¡Todas las fotos están accesible desde direcciones 100% públicas en Internet!
Además, conociendo el ID de usuario, descubrimos que podemos obtener su perfil actualizado en todo momento (incluida la distancia a la que está de nosotros) con una petición a https://api.gotinder.com/user/id

LLEVANDO A CABO NUESTRO PLAN

Una vez que sabemos qué información nos puede dar Tinder y cómo conseguirla, podemos diseñar una herramienta con la que conseguir los objetivos de este proyecto.

Geolocalizar a un usuario de Tinder en todo momento
Para conseguir este objetivo, nos planteamos usar algoritmos de triangulación. Sin embargo, Tinder nos indica una distancia mínima de una milla, ya estemos al lado de nuestro objetivo o a 1.5 millas, por lo que existiría demasiado error.

No obstante, sí podríamos mantenernos siempre a una milla de nuestro objetivo, moviéndonos con cierto sentido en el radio al que Tinder nos indica que está el usuario para acercarnos hasta esa distancia mínima.

De esta forma, aunque no consigamos una precisión del 100%, sí podemos conocer en qué zona se encuentra nuestro objetivo, por ejemplo, cuándo va a trabajar, qué ruta sigue, si se encuentra en la ciudad, etc.

Enriquecer perfiles 
Gracias a los compañeros de ElevenPaths, Félix Brezo y Yaiza Rubio, podemos utilizar OSRFramework para obtener más información de nuestros objetivos. Esta herramienta se apoya en la idea de que un usuario suele utilizar un mismo seudónimo en múltiples redes sociales y sitios de Internet, por lo que lo utilizaremos para realizar una búsqueda en más de 200 plataformas usando la cuenta de Instagram que aparece en cada perfil de Tinder.

Estudiar una zona concreta 
Con la API de Tinder podemos movernos a donde queramos y saber qué usuarios están allí. Podríamos plantearnos monitorizar una superficie durante meses para después estudiar qué usuarios pasaron por allí, conocer qué directivos de tu compañía están en Tinder, sus fotos, cuándo vienen, cuándo se van, etc.

Para ello hemos desarrollado un bot con el que automatizar las peticiones a Tinder, así como una aplicación Web sobre la que poder almacenar y estudiar los datos obtenidos.

Esta aplicación nos permite filtrar usuarios de Tinder en una zona concreta, para así obtener el ID de nuestro objetivo y comenzar su geolocalización continua. Además, podemos añadir coordenadas para monitorizar los usuarios que aparecen, realizar búsquedas en todos los perfiles añadidos a nuestra Base de Datos, etc.

En el siguiente vídeo podemos ver la herramienta DroneTinder en funcionamiento. Hemos ocultado imágenes y datos personales para proteger la privacidad de los usuarios.

Apple patenta una pantalla capaz de leer huellas dáctilares sin sensor dedicado

La noticia de hoy está relacionada con las patentes de que Apple va logrando. En este caso, llama mucho la atención, la concesión de una patente que sugiere que la compañía está mirando para aprovechar su adquisición de LuxVue, con el objetivo de integrar la tecnología capaz de leer la huella dactilar de un usuario sin un sensor dedicado, es decir, sin Touch ID. Esta característica ya se rumorea para el lanzamiento del iPhone 8. La patente estadounidense con número 9570002 tiene como nombre "Panel de visualización interativo con diodos IR" y detalla una pantalla táctil que incorpora tecnología de detección de micro-LED, en lugar del hardware de matriz activa omnipresente, visto en la mayoría de dispositivos móviles.

La patente de hoy presenta un diseño para incorporar sensores de panel táctil y huellas dactilares utilizando hardware en gran parte similar. Todo apunta hacia el botón invisible de inicio que podría verse con la aparición del iPhone 8. La tecnología actual de detección de huellas digitales de Apple requiere un anillo de accionamieto capacitivo para estar en contacto con el dedo de un usuario durante el funcionamiento. Es posible que Apple esté buscando cerrar el Touch ID o evolucionarlo hacia un nuevo sistema más avanzado. Por ejemplo, una pantalla táctil capaz de actuar como un dispositivo de entrada y escáner de huellas dactilares ahorraría espacio y aportaría mayor flexibilidad de diseño.

Figura 1: Resumen de la patente

La empresa LuxVue cree que ha resuelto el rompecabezas o, que por lo menos, está cerca de hacerlo. De acuerdo con la patente, los micro-LED se pueden utilizar como un sustituto para las matrices táctiles capacitivas. Específicamente, los diodos emisores y sensores IR independiente se conectan a los circuitos de conducción y de selecció para crear un circuito subpixel. Debido al pequeño tamaño, estos diodos IR se pueden embeber o incrustar en un substrato de pantalla junto con LED RGB o en un microchip montado.

Figura 2: Sistema esquematizado del panel
Apodado"Píxeles interactivos", los subpíxeles podrían incorporar LED rojo, verde, azul, IR, e IR, es decir, RGBIRSIR, así cómo otras matrices de colores en un panel de alta resolución. En la patente también se describen características más avanzas como la detección de contacto y la determinación del perfil de superior de un objetivo, es decir, reconocimiento de huellas digitales.

Si Apple tiene la intención de llevar la tecnología de micro-LED a iPhone u otro producto en el futuro sigue siendo algo desconocido. Se rumorea que podría aparecer en el próximo iPhone, pero no se sabe a ciencia cierta si esto ocurrirá o tendremos que seguir esperando la tecnología que sustituya al Touch ID.

Pueden controlar tu Mac a través de GarageBand

macOS  tiene un parche para paliar y solucionar un defecto crítico en la aplicación de música conocida como GarageBand. Apple ha publicado que tiene un agujero de seguridad en la aplicación GarageBand, el cual podría permitir a un potencial atacante ejecutar código de forma remota en un Mac. La actualización de GarageBand 10.1.6 está siendo enviada a todos los equipos que ejecutan OS X Yosemite y posteriores. Esto es debido a que la aplicación tiene dicha vulnerabilidad, por lo que se debe prestar especial atención en este hecho. 

El fallo, el cual se aborda en el CVE-2017-2374, permite, a través de un fileformat, a un atacante ejecutar código remoto, cuando la víctima ejecuta el archivo creado de forma maliciosa, es decir, que contiene el exploit en su interior. Apple utiliza el formato .band para todos los archivos del proyecto GarageBand. En otras palabras, un atacante podría convencer a un usuario para que ejecute un archivo con extensión .band, el cual al ser abierto con la aplicación vulnerable proporcionase el control de la máquina al atacante. El investigador que se encuentra detrás de la investigación que ha dado como resultado este fallo, publicó hace muy poco tiempo otra vulnerabilidad relacionada. En la ocasión anterior, se encontró el CVE-2017-2372, solucionado en una actualización anterior.

Figura 1: GarageBand vulnerable a fileformat

Esta vulnerabilidad es el resultado de una mala gestión y validación a la hora de analizar el formato y la composición del archivo, según indica el investigador. El formato se divide en trozos con un campo longitud para cada uno. Esta longitud es controlada por el usuario y puede ser utilizada para crear una condición explotable. Apple no ha comunicado que esta vulnerabilidad se pueda estar utilizando en alguna campaña de malware, aunque podría llegar a ser un vector para infectar multitud de equipos. Se recomienda parchear la vulnerabilidad lo antes posible, llevando a cabo una actualización de GarageBand.

Nuevo malware a través de Microsoft Word para Mac

Un nuevo malware se ha descubierto para los equipos Mac. En menos de una semana, se descubre un segundo ejemplo de malware dirigido, ya que la semana pasada hablamos del malware MacDownloader dirigido a activistas iraníes. Este segundo malware está orientado a la utilización de Microsoft Word y permite al atacante apoderarse del control de la máquina, cuando el usuario ejecuta una macro, la cual descarga un payload que permite infectar el Mac objetivo. El archivo de Word se denominada "Aliados de los EE.UU y rivales de Trump", según ha indicado el equipo de Objective-See.

Cuando se abre el archivo, las potenciales víctimas reciben el típico aviso de que la ejecución de macros podrían hacer que el equipo se dañara o infectara. Si el usuario acepta la ejecución de las macros, tendría el control de la máquina, ya que en ese momento se ejecutaría la macro y ésta descargaría el payload con el objetivo de infectar el equipo. Una de las cosas que la macro comprueba es si Little Snitch se está ejecutando en la máquina, ya que habría que evitarla. El código de la macro se puede encontrar en el proyecto EmPyre, un derivado del famoso Powershell Empire.

Figura 1: Mensaje de advertencia sobre ejecución de macros
Los investigadores creen que el payload podría persistir en el Mac ejecutándose automáticamente después de un reinicio de la máquina. Además, se cree que podría realizar funciones basadas en uno de los muchos módulos de EmPyre. Estos módulos ofrecen una multitud de opciones para que los atacantes puedan adquirir y recopilar informacion, incluyendo keyloggers, volcado de llaveros, monitorización del portapapeles, capturas de pantalla, acceso a iMessage o, incluso, a la webcam. El malware, como ha indicado Patrick Wardle, no es particularmente avanzado debido a que los usuarios deben interactuar con el mensaje de las macros, pero una vez habilitado el malware es eficaz  y funciona bien.

Google soluciona 58 vulnerabilidades en Android

Google ha publicado el boletín de seguridad Android correspondiente al mes de febrero en el que corrige un total de 58 vulnerabilidades, 10 de ellas calificadas como críticas.

Como es habitual, Google divide las vulnerabilidades corregidas en dos bloques principales en función de los componentes afectados. En el nivel de parches de seguridad 2017-02-01 ("2017-02-01 security patch level") se encuentran los que afectan al núcleo de servicios Android, controladores y componentes que todos los fabricantes de smartphones Android deberían incluir con mayor prioridad.

En este bloque se solucionan 23 vulnerabilidades, dos de ellas se consideran críticas y podrían permitir la ejecución remota de código a través de Surfaceflinger o de mediaserver. Otras 16 de ellas son de gravedad alta y otras cuatro de importancia moderada.

Por otra parte en el nivel de parches de seguridad 2017-01-05 ("2017-01-05 security patch level") se incluyen vulnerabilidades en controladores y componentes incluidos solo por algunos fabricantes en sus versiones de Android. En este bloque se solucionan 35 fallos en subsistemas del kernel, controladores y componentes OEM. Siete de las vulnerabilidades están consideradas críticas, 23 de gravedad alta y cinco de riesgo medio. Cabe destacar que los componentes Qualcomm son los más afectados.

Los problemas críticos podrían permitir la ejecución remota de código a través del controlador crypto de Qualcomm, o elevaciones de privilegios en el sistema de archivos del kernel, en el controlador GPU NVIDIA, en el subsistema de red del kernel o en el controlador Wi-Fi de Broadcom.

A pesar de las actualizaciones de Google para Android, estas solo llegan puntualmente a los dispositivos Pixel y Nexus, los propios de Google. Es destacable el esfuerzo realizado por otros fabricantes, como Samsung o Blackberry, que también están aplicando las actualizaciones con periodicidad. En otros casos, la actualización también incluye a las operadoras de telefonía, lo cual alarga aun más el proceso de actualización. Lamentablemente esto no ocurre con todos los fabricantes. En la mayoría de los casos, que la actualización llegue al usuario, si llega, puede alargarse muchos meses desde su publicación por parte de Google. Por ello, como ya hemos comentado en múltiples ocasiones las actualizaciones siguen siendo uno de los puntos débiles de Android.

Utilizan malware de Mac para espiar a activistas iraníes

Cada día vemos como muchos usuarios cambian sus hábitos y se adentran en el mundo Mac. Por esta razón, estamos viendo como, supuestamente, muchos activistas o personas influyentes son espiadas a través de software hecho para sistemas Mac, ya que estos activistas utilizan estos equipos. La noticia de hoy es que activistas iraníes pueden estar siendo espiados y trackeados a través de malware para Mac, según se indica en el informe publicado. Este hecho pone de relieve el flujo constante de gobiernos que interrumpen y rastrean movimientos activistas. 

Collin Anderson, uno de los investigadores de seguridad detrás el informe comentó que la utilización de plataformas alternativas, como el caso de OS X, hacen que también se busquen nuevas formas de espionaje orientadas a las plataformas alternativas. Los investigadores encontraron por primera vez un malware denominado MacDownloader en un sitio web que se hacia pasar por la empresa aeroespacial estadounidense United Technologies Corporation. Los investigadores ya habían vinculado este sitio a las campañas de malware iraní y sabían que era un sitio de ensayo para desplegar malware de Windows. El malware MacDownloader viene como una actualización falsa de Flash, siendo descargada por los objetivos. El malware se conecta a un servidor externo, con la intención de descargar código externo para el malware. Al mismo tiempo, MacDownloader transfiere información del sistema a un servidor controlado por el atacante, incluyendo el contenido del keychainy una lista de aplicaciones instaladas. También se solicita credenciales a la víctima, de manera fraudulenta.

Figura 1: Actualización falsa de Flash

Mientras que Chrome y Firefox no almacenan credenciales en el keychain, Safari y macOS si lo hacen.Esta informaciónes jugosa para los atacantes. A partir de aquí, los atacantes pueden entrar en cuentas de correo electrónico y redes sociales. Cuando se publicó el informe, VirusTotal no marcaba el malware como tal, por lo que se puede decir que el malware pasaba desapercibido. Por último, en el informe se subraya que los usuarios de Mac pueden sentir una falsa sensación de seguridad, por el simple hecho de utilizar Mac y esto deben vigilarlo, porque como se puede ver, estos son usuarios son objetivo.

Una investigación de ElevenPaths junto con Kaspersky destapa varias apps maliciosas en Google Play

Kasperksy ha hecho pública una investigación conjunta realizada por ElevenPaths y su equipo GReAT (Global Research and Analysis Team) en la que se desvela cómo están operando las últimas campañas de apps fraudulentas en Google Play que suscriben a usuarios a números de tarificación especial. Se analiza qué tipo de aplicación utilizan para llamar la atención de las potenciales víctimas, qué tácticas de difusión han utilizado, el código e incluso la infraestructura y paneles de gestión usados.

Hace algunos años era bastante sencillo subir un "dialer" (o algún tipo similar de aplicación maliciosa) a Google Play, pero ahora subir estas aplicaciones es cada vez más difícil ya que se han mejorado los mecanismos de detección. Esto ha provocado que muchos grupos se centren en otros repositorios de aplicaciones no oficiales aunque, esto no quiere decir que los repositorios oficiales estén exentos de estas amenazas. De hecho, no hace tanto, un grupo español consiguió subir con éxito una aplicación no oficial del conocido programa de televisión "Gran Hermano".

Su éxito de aparecer en Google Play se basa en usar un viejo truco. En primer lugar, subieron una versión limpia que por supuesto pasó los controles de seguridad de Google Play. Algunos días después, actualizaron la aplicación añadiendo nuevas funcionalidades, entre ellas la suscripción a servicios de pago. Este truco es extremadamente simple pero ha resultado ser muy provechoso, ya que la aplicación permaneció alrededor de dos meses disponible en Google Play (desde mediados de Septiembre hasta mediados de Noviembre de 2015).

Esta app utilizaba técnicas interesantes y novedosas para gestionar la suscripción fraudulenta y monetizar la infección de víctimas.
  
Este grupo de "programadores" también han intentado algo similar empleando otras fuentes de difusión además de Google Play. Uno de los servicios web usados por esta aplicación exponía un panel de control que mostraba información sobre los "usuarios". En septiembre de 2016, volvieron a intentarlo en Google Play de nuevo, siempre con el reclamo del popular programa de televisión.

Este grupo ha tenido bastante éxito subiendo aplicaciones a Google Play, utilizando un tema atractivo como puede ser el programa de televisión "Gran Hermano". España y Polonia han sido dos países tradicionalmente objetivo de este tipo de aplicaciones. Sin embargo, no habíamos visto en estos últimos años ningún grupo que fuera capaz de subir aplicaciones en repositorios legítimos con tanta facilidad. Este tipo de aplicaciones cuyas funcionalidades se encuentran muy cerca de la frontera entre lo que se consideraría un negocio legítimo y una actividad fraudulenta ponen a prueba a los sistemas de detección automática. Esto ocasiona que dichas aplicaciones lleguen a estar disponibles en Google Play, aunque acaben por ser retiradas algún tiempo más tarde.

WhatsApp informará de tu ubicación a los miembros de grupos

Whatsapp permitirá compartir nuestra ubicación con otros miembros de un grupo durante unos minutos o de forma permanente. Esta característica puede hacer más fácil, por ejemplo, encontrar a nuestro amigos cuando quedemos en algún lugar, pero seguro que también levanta alguna polémica para los más celosos de la privacidad ya que hará más difícil inventarse excusas al llegar tarde. Como era de esperar, puedes deshabilitar esta función. Y la opción estará desactivada por defecto.

WhatsApp le dirá a tus contactos de un grupo donde estás en tiempo real

WhatsApp está probando una beta en Android e iOS con esta función. El funcionamiento es bastante simple, ya que básicamente hace lo que te hemos dicho.

La próxima actualización de WhatsApp incluirá la opción de geolocalizar a los contactos dentro de un grupo

Durante 1, 2 o 5 minutos, WhatsApp informará de cuál es tu ubicación exacta en tiempo real. Resulta curioso que esta función, de momento, solo se habilitará en los grupos, así que no debes temer por los chats individuales. Como era de esperar, puedes deshabilitar esta función, ya que de lo contrario sería un grave -e ilegal- ataque a los usuarios de la aplicación.

Live Location

Suponemos que el sentido de esta medida es el de facilitar a los miembros de un grupo tu ubicación, en caso de que quieras quedar con ellos en un punto concreto. Por el momento, si se puede deshabilitar y si se reduce a los grupos no debería dar demasiados problemas.

Crece el número de secuestros de datos online

El equipo de investigadores de amenazas de Check Point ha descubierto dos nuevas familias de ransomware. La firma destaca el incremento de los ataques de ransomware.

El ransomware es uno de los métodos de ataque más comunes y efectivos en la actualidad, y todo indica que esta tendencia no cambiará a corto plazo. Así lo asegura Check Point Software Technologies, quien en su índice de Amenazas Global aseguraba que el que el número de secuestros de datos online había crecido. “El número de ataques usando Locky y Cryptowall había aumentado un 10%”.

Asimismo, Check Point da más información sobre dos de los ransomware más peligrosos: DeriaLock y PHP Ransomware.

“DeriaLock es un peculiar malware que ha evolucionado de manera muy rápida. Cuando apareció por primera vez el 24 de diciembre de 2016, lo único que hacía era tomar el control de la pantalla de la víctima e impedirle acceder a su ordenador. Era una molestia, pero no causaba daños reales. Dos días después, se descubrió otra variante. Esta vez incluía un mecanismo de cifrado de archivos, y amenazaba a los usuarios con borrar todos sus ficheros si reiniciaban sus equipos”, destaca la compañía.

El equipo de investigadores de Check Point también ha descubierto un nuevo ransomware en forma de un script PHP. La primera vez que lo encontraron fue accediendo al dominio hxxp://med-lex[.]com. Aunque esta amenaza encripta los archivos de la víctima, no es exactamente un "ransomware" per se.

“A diferencia de la mayoría del malware de secuestro de datos más populares, este script no muestra ninguna nota de rescate ni intenta recibir un pago para descifrarlos archivos. Por el contrario, sólo los cifra sin ofrecer ninguna opción para recuperarlos. Tampoco se intenta comunicar con un servidor de comando y control, lo que generalmente permite rastrear el número de máquinas infectadas, descargar ejecutables u otras actividades malignas”.

La seguridad de los Teclados virtuales

Cada vez se hace mas evidente que la mayoría las páginas web, no tienen en cuenta la importancia de la protección de los datos, paginas con contenido confidenciales, como por ejemplo, los bancos, o webs de e-commerce, son objetivos de los atacantes o de la causa “hacktivista” del momento, solo veamos los siguientes escenario para hacernos una idea de lo que piensan los roles involucrados.

Tres escenarios posibles, tenemos que considerar:

Del lado del usuario, nos conectamos a un banco o a una web de compras, ¿acaso podemos tener por lo menos una “pequeña tranquilidad” viendo el “candadito”?Del lado del proveedor de ese servicio, disponemos del último antivirus, parche y cumplimos con la ISO 1.000.001 ¿damos por asentado que los usuarios estarán seguros?Mientas Del lado del atacante, están contentos porque instalaron el ultimo keylogger, indetectable, y encima pueden saber si el usuario sale con la secretaria que trabaja en el proveedor

Posiblemente tu estés en alguno de esos roles y has pensado algo muy parecido a los escenarios planteados, te cuento que de cada 10 sitios webs que visito, y en el cual estén trabajando tanto con “HTTPS” como con teclados virtuales, noto que 7 de ellos tienen fallas que un atacante no perdonaría.

Hablemos de los teclados virtuales:

Un teclado virtual es una aplicación por lo general escrita en JavaScript que nos muestra una pagina web, y en el cual, mediante clics del mouse, podremos mandar nuestro o “clave”, sin utilizar el teclado y así poder tener acceso al servicio ofrecido.

Encontramos también, teclados que no obedecen ningún orden de aparición de teclas, esto significa que no están ordenadas como los teclados originales, y también tenemos teclados virtuales de números solos, o hasta gráficos (este es muy bueno, recomendable usarlo!!!)

De antemano, sabemos que es IMPORTANTE, no acceder a sitios que contengan teclados virtuales (por tanto con información sensible) desde lugares públicos, (llámese ciber, aeropuerto, hoteles, etc), dado que es más sencillo un ataque desde ahí.

Pero no siempre la seguridad de estos teclados es la mejor, algunos llegan al punto de guardar en “campos ocultos” los datos digitados sin cifrar, para luego ser enviados en métodos GET o POST, otros guardan una cookie en texto plano con esta información, sin contar con los que guardan toda la información digitada en la cache del navegador.

Existen métodos como la suplantación del teclado en la cache del navegador, que permiten a un atacante, sin modificar la pagina de la entidad bancaria o el sitio que contenga el teclado virtual, reemplazarlo con otro que además de enviar la información al sitio donde debería ir, también envía una copia de la misma a ellos y para esto solo es necesario que el usuario visite un sitio malicioso, para después acceder a la pagina legitima de la entidad.

Los atacantes casi siempre están un paso adelante, keyloggers indetectables, troyanos que graban videos, y aplicaciones que utilizamos para manejo de proxys, las cuales son de utilidad en el traslado de los paquetes hacia el destino, no se habla de un esnifeo, sino que se habla de la traslación de esos paquetes, que NO ESTAN CIFRADOS en el momento que los utilizamos en NUESTRO ORDENADOR.

La clave ingresada, sea pulsada o por teclado virtual, no está cifrada en su mayoría (al menos de cada 10 bancos que testee, 2 estaban cifrados), y pude capturar lo ingresado por teclado virtual, en TEXTO PLANO!!!!, en otros bancos, capture el hash que realizo el teclado virtual, pero no hay como un buen traductor (HASHONLINE).

CONCLUSION Y RECOMENDACIONES

De lado del cliente:

Utilizar software para la administración de contraseñas como LastPass.com o similaresRealizar nuestras transacciones desde equipos seguros y ojala siempre desde el mismo.Utilizar diferentes claves SEGURAS para cada sitio (ayuda mucho usar software de administración de contraseñas)

Del lado del sitio web:

CIFRA TODO, cada etapa del camino que recorre la información debe ser cifradaSi vas a almacenar la información temporalmente en alguna parte, asegúrate que esta este cifrada y que sea borrada cuando no se necesiteUtiliza un teclado que cambie cada la posición de las teclas cada vez que el usuario entre y ojala que maneje símbolos que acordaran utilizar mutuamente con anterioridad.No te quedes con el “OK, tengo todo controlado”, piensa mejor ¿¿tengo todo controlado??

Como conclusion, no nos podemos confiar del canadito y el teclado virtual pensando que son medidas altamente seguras y que nuestra informacion estará segura con ellas, como vimos anterioremente existen muchas formas de atacar estas medidas

Autor : Bacheiro

¿QUÉ ES BLOCKCHAIN, LA TECNOLOGÍA QUE VIENE A REVOLUCIONAR LAS FINANZAS?

El Blockchain (o cadena de bloques) es una base de datos compartida que funciona como un libro para el registro de operaciones de compra-venta o cualquier otra transacción. Es la base tecnológica del funcionamiento del bitcoin, por ejemplo. Consiste en un conjunto de apuntes que están en una base de datos compartida on-line en la que se registran mediante códigos las operaciones, cantidades, fechas y participantes. Al utilizar claves criptográficas y al estar distribuido por muchos ordenadores (personas) presenta ventajas en la seguridad frente a manipulaciones y fraudes. Una modificación en una de las copias no serviría de nada, sino que hay que hacer el cambio en todas las copias porque la base es abierta y pública.

Diagrama de un sistema de
bloques

Todos los bloques que conforman la cadena, tienen un hash (contraseña númerica) del bloque anterior, los bloques se ordenan en la cadena por orden cronológico gracias a ese hash todos los bloques están referenciados por el bloque que los creo, por lo que solo los bloques que contienen un hash valido son introducidos en la cadena y replicados a todos los nodos. Gracias a este sistema es prácticamente imposible modificar un bloque que ha estado durante la cadena un tiempo determinado.

Los nodos “mineros” se encargan de crear los bloques que forman la cadena,añadiendo a cada uno de ellos el hash correspondiente y todas las nuevas transacciones que se han introducido en la red. De esta manera podemos decir que el blockchain nos permite llevar una “contabilidad” publica de manera totalmente transparente de todas las transacciones de la red, sin casi posibilidad de fraude, congestionameinto ni perdida de datos y totalmente trazable.

Disrupción en el mundo de las finanzas

El blockchain es un método para registrar datos, una especie de archivo de Excel. Pero está compartido: existen copias en la Red y en los ordenadores de cada participante en la creación y modificación de ese archivo, al que no puede acceder cualquier persona sin permiso y en el que no se puede borrar información, solo añadir nuevos registros. Esto permite que la colectividad se encargue de proteger los datos que contiene, alertando de posibles faltas de concordancia derivadas de cada actualización. Gracias a ello, se protege la integridad del documento.

La forma en que funciona el blockchain permite que todos los participantes conozcan los movimientos y cambios que se han realizado en el documento, así como su autor. Al basarse en operaciones matemáticas, el blockchain es hasta ahora uno de los métodos más seguros que existen para crear, modificar, compartir y almacenar información, por lo que podría aplicarse a cualquier ámbito que necesitara realizar alguna de esas acciones, sobre todo si en ellas tienen que participan múltiples usuarios.