martes, 8 de abril de 2014

Vulnerabiliad en Librerias OpenSSL

TA14-098A: OpenSSL 'Heartbleed' vulnerability (CVE-2014-0160)
NCCIC / US-CERT
National Cyber Awareness System:

TA14-098A: OpenSSL 'Heartbleed' vulnerability (CVE-2014-0160)
04/08/2014 08:46 AM EDT

Original release date: April 08, 2014
      Systems Affected
  * OpenSSL 1.0.1 through 1.0.1f
  * OpenSSL 1.0.2-beta

      Overview

A vulnerability in OpenSSL could allow a remote attacker to expose
sensitive data, possibly including user authentication credentials and
secret keys, through incorrect memory handling in the TLS heartbeat
extension.

      Description

OpenSSL versions 1.0.1 through 1.0.1f contain a flaw in its
implementation of the TLS/DTLS heartbeat functionality. This flaw allows
an attacker to retrieve private memory of an application that uses the
vulnerable OpenSSL library in chunks of 64k at a time. Note that an
attacker can repeatedly leverage the vulnerability to retrieve as many
64k chunks of memory as are necessary to retrieve the intended secrets.
The sensitive information that may be retrieved using this vulnerability
include:

  * Primary key material (secret keys)
  * Secondary key material (user names and passwords used by vulnerable
    services)
  * Protected content (sensitive data used by vulnerable services)
  * Collateral (memory addresses and content that can be leveraged to
    bypass exploit mitigations)

Exploit code is publicly available for this vulnerability.  Additional
details may be found in CERT/CC Vulnerability Note VU#720951

      Impact

This flaw allows a remote attacker to retrieve private memory of an
application that uses the vulnerable OpenSSL library in chunks of 64k at
a time.

      Solution

been released to address this vulnerability.  Any keys generated with a
vulnerable version of OpenSSL should be considered compromised and
regenerated and deployed after the patch has been applied.

US-CERT recommends system administrators consider implementing Perfect
to mitigate the damage that may be caused by future private key disclosures.


      References

  * OpenSSL Security Advisory
  * The Heartbleed Bug <http://heartbleed.com/>
  * CERT/CC Vulnerability Note VU#720951
  * Perfect Forward Secrecy
  * RFC2409 Section 8 Perfect Forward Secrecy


Prueba si tu site es vulnerable o no --> http://filippo.io/Heartbleed/

Creditos
Lacnic/Seguridad

jueves, 2 de mayo de 2013

4 cosas que odio de ti usuario


Recordando algo que leí hace un tiempo fue interesante y a la vez gracioso me ha pasado muchas veces
ahi les va..

Todo el mundo se queja, y se queja por todo, que la economía esta mal, que los partidos políticos no sirven, que el servicio al cliente de la compañía de internet es una absoluta mierda, quejas, quejas y más quejas y es que expresar nuestro descontento ante algo que creemos debe ser de otra manera, es una reacción de lo más natural y humana. Pues bien, los programadores también nos quejamos (a parte de todo lo anterior) tenemos quejas bien propias de una persona muy especial de nuestra profesión: el usuario.

1) Que no recuerdes que yo soy el experto!!!
Cuando Ud. quiere hacer una modificación a su casa, ampliar un cuarto, reparar el techo o agregar otra ventana, generalmente llama a un buen Sr. albañil, que por un justo precio, en cuestión de un par de días o unas cuantas horas hace lo que le pidió, le paga y todos terminan contentos. Ud. no sabe cómo construir casas, si lo supiera lo hubiera hecho Ud. mismo!! necesito de un experto para cubrir su necesidad. En alguna parte del proceso, guiado por su desconocimiento de las “técnicas para construir casas” se vio sorprendido que el albañil hiciera ciertas cosas, estuvo tentado a decirle “oye no será que eso se hace de otra manera” pero, no lo hizo, y no lo hizo porque sabía muy bien, que ese tipo que contrato, es el experto y sabe lo que hace.
En mi trabajo me he topado con usuarios que quieren dictarte lo que haces, no técnicamente, pero, siempre están sobre uno, diciéndote como debes resolver los problemas, donde poner cierto botón, donde poner ese mensaje de error, que esos mensajes se verán mejor en un pop up con letra tamaño 1000px y el color rosado. Recomendaciones y ordenes, basadas exclusivamente en gustos personales, caprichos o cualquier otra cosa menos las buenas prácticas y estándares. ¿Porque si un doctor, albañil, panadero, carpintero te dice “esto se hace así porque así se tiene que hacer” nadie lo contradice pero, si un programador (o diseñador) les dice que hay ciertas formas de hacer las cosas, el usuario toma una actitud de “me vale un carajo eso, esto lo haces como yo digo”? Es una actitud que detesto.

2) Tus malditos cambios
Alguna vez vi en un programa de televisión que alguien decía “Todos los cambios son buenos” y ahora estoy más que seguro que eso no es cierto! El cambio, la acción de modificar algo para llevarlo de un estado a otro estado completamente diferente al original, no siempre es deseable, no siempre es necesario, no siempre es bueno.
Un cambio en el desarrollo de una aplicación web puede tener distintos efectos colaterales, dependiendo de qué tan grande sea el cambio, aquí me concentraré en esos grandes cambios de último momento que si no se hacen toda la aplicación puede tirarse al traste. Una modificación de esa envergadura es completamente detestable, porque puede significar tirar a la basura semanas, meses de arduo trabajo, todo porque a algún usuario se le olvido que eso no debe ser así o peor aun se le ocurrió la brillante idea que es mejor cambiarlo. Una brillante idea que solo ordeno llevarse a cabo sin considerar si es viable o no.
Un cambio inconsulto, de última hora, completamente radical, que bota, horas y horas de trabajo y que atrasa otras actividades, es algo que detesto que los usuarios hagan.

3) Que no contestes el correo!!!
Las reuniones son importantes, los correos son importantes, las llamadas son importantes porque es a través de ellas que nos comunicamos con el usuario, conocemos sus problemas y tratamos de comprenderlos lo mejor que podamos y si no lo logramos es por medio de esas reuniones y cortos correos en las que podemos corregir. Pero, los usuarios tienen la falsa ilusión que con una vez que nos medio explicaron lo que querían, y por el hecho de estarnos pagando, nosotros ya estamos dotados con habilidades especiales como: leer la mente, ver el futuro y alargar el tiempo, así que se olvidan de estar en contacto con nosotros. Se olvidan que el tipo que les llama por teléfono no lo hace solo por escuchar el backtone de su teléfono, sino porque necesita evacuar dudas y conseguir respuestas del experto del negocio: el usuario, el cliente.
Cuando te desapareces completamente, evitas el contacto, no respondes mis dudas y luego vienes a exigir resultados en tiempos imposibles. Es otra de las cosas que odio de ti usuario.

4) Que no aceptes tu responsabilidad
“Si te vienen a contar cositas malas de mi….diles que yo no fui…que fue el programador”
Los desarrolladores no nos inventamos las cosas, los problemas el cliente los dice, buscamos soluciones, las proponemos y cuando el usuario nos dice “Justo esto es lo que quiero!” es entonces que nos recogemos las mangas, ajustamos nuestros lentes y empezamos a escribir código, como si componiendo música clásica estuviéramos. Y luego llega el momento de presentar lo desarrollado y alguna autoridad de los presentes te dice “Eso es justo lo que yo no quería” Te sorprendes, te asustas, te da un ataque de pánico pero, conservas la suficiente calma para decir…”pero, esto fue lo que el usuario me pidió”, las miradas se desvían de ti momentáneamente y así como se fueron regresan luego de que tu usuario responda “Yo no se lo pedí así”. Y entra el dilema de quien tiene la razón, quien dice la verdad y si desafortunadamente no tienes un documento que avale que recibiste esas instrucciones, estas realmente jodido.
Cuando no aceptas tu responsabilidad, alguien más tiene que pagar los platos rotos y desgraciadamente ese alguien mas casi siempre es el programador. Y eso lo odio.
Qué bien se siente desahogarse  porque no lo intentas y me cuentas que cosas, actitudes o acciones odias que tus usuarios hagan.

Jajaja muy buena sacada de 
A todos los que alguna vez se han topado con un informatico :D.

martes, 28 de agosto de 2012

Seguridad Web en Peru

Es increíble, que luego de un tiempo de visitar diferentes blogs y pasearme por el mundo de la seguridad informática me tope con una triste realidad, que el nivel de seguridad para el caso: Paginas web en Perú no tengan las mas mínimas consideraciones de seguridad.

Es que acaso el desarrollo seguro no es posible, ver que con una simple "Inyección SQL", puedes tener acceso a una Base de Datos (esto es muy critico), hemos llegado al punto en donde solo importa desarrollar una pagina web con fines lucrativos mas no de mejorar cada día nuestros conocimientos acerca de lo que hacemos y brindar un desarrollo seguro y mantenible (supuestamente estudiamos para hacer lo que nos gusta y hacerlo bien).

Cada día me queda mas claro porque es tan dificil poder obtener un cierto nivel de aceptación cuando el nivel de seguridad en el mismo "Estado Peruano"  no se tiene un estandar de seguridad.

Lo rescatable, es que hay un alto crecimiento de interés en lo que respecta a la seguridad informática, interés en mejorar sus conocimientos y trabajar bajo estándares de seguridad , en el caso de Seguridad Web aun somos muy deficientes pero creo que si seguimos con este interes podremos mejorar y no ser "el raton de laboratorio" de otros países ni servir de ejemplo de que es lo que no se debe hacer.

Tenemos mucho que mejorar solo he optado un punto el de Desarrollo Web pues es nuestra carta de presentación respecto al resto de Sudamérica.

Saludos
ZeroKernel