Archive for Privacidad

Privacidad en la navegación (II)

El pasado Miércoles os traje un artículo de “Privacidad en la navegación”  donde se aconsejaban una serie de complementos para proteger nuestra navegación de rastreadores, publicidad y observar la reputación cada sitio con las herramientas citadas.

Como en estos temas toda configuración segura es poca, he creado este segundo artículo para otorgarle un extra más de “seguridad” a nuestro navegador. Hay que decir que me baso en Firefox porque es el que uso siempre y que desde hace años uso porque me da muy buenos resultados. O por manía, puede ser :P.

En este segundo post vamos a tratar otros tres complementos que suelo utilizar en mi día a día, trabajo, consultas, etcétera y que cuando te acostumbras a tenerlos es difícil prescindir de ellos. Estos complementos seguramente os suenen, son:

  • NoScript
  • ServerSpy
  • Certificate Patrol

PARTE2

Read more

Privacidad en la navegación (I)

La privacidad en la navegación es un aspecto muy importante hoy en día en cuanto a sitios Webs se refiere. Este término, privacidad, es utilizado ya en todos los ámbitos de la informática ya que por fin, se le está prestando atención (poca pero algo) a la seguridad informática. Aunque aún queda mucho por hacer, el término se va asentando entre los gremios de no-profesionales de este campo.

Por ello, hoy os traigo un pequeño tutorial de como podemos configurar nuestro navegador para que las páginas por las que navegamos no obtengan información a nuestra costa. Información de navegación, ubicación, popups y la infinidad de aplicativos que se ejecutan fuera de la vistas del navegador. Y no digas que te da igual que utilicen tu información ¡por favor! 😛

Aunque usemos la navegación privada quedan “resquicios” para obtener datos interesantes sobre tu navegación por ello vamos a intentar, basándonos en Firefox, configurar este navegador para “fortificar” la navegación. No requiere ser un As de la informática y cualquiera puede hacerlo por ello, no hay excusas ;).

forbes.com

forbes.com

Read more

Extraer conversaciones Skype

Nos remitimos a la frase que nuestro compañero Miguel Ángel Arroyo viene utilizando hace ya años ¿Estás seguro de que estás seguro?. Juego de palabras acertadísimo que resume toda la “lucha” contínua de la (in)seguridad informática que hoy es igualmente aplicable para el artículo que vamos a tratar.

Por ello,  y tras observar en un cliente el uso intenso del Skype en su día a día en el “curro”, me propuse buscar como podría extraer conversaciones Skype que este realiza con sus proveedores. La tarea se planteaba tediosa ya que se supone que tendría que remover ficheros, interceptar conversaciones, cifrados, escama de dragón, etcétera… Todo esto antes de ponerme con la faena.

Un momento Doc, ¿me estás diciendo que has construido una máquina del tiempo con un De Lorean?” Pues casi. Vamos a instalar una “máquina del tiempo” que viaja solo al pasado (hay que perfeccionarla xD) para ver conversaciones antiguas de Skype.

reversing_skype

Read more

Localiza a tu presa con Prey Project

Robo de móviles Android o iPhone, tabletas e incluso portátiles… hoy en día están aumentando cada vez más este tipo de delitos y son muchos los usuarios que nos piden ayuda para poder recuperar sus dispositivos por la importancia de la información que tienen en ellos.

En seguridad siempre solemos buscar remedio a las cosas cuando el daño ya está hecho. Con el artículo de hoy vamos a ver como podemos localizar a nuestra “presa”, para ello haremos uso de Prey Project, un servicio/herramienta que nos permite infinidad de posibilidades a la hora de monitorizar nuestros dispositivos.

Entramos en la Web de Prey Project y nos damos de alta con un correo electrónico, este nos servirá para entrar a nuestro panel de usuario donde monitorizar nuestros dispositivos.

prey01

Podemos añadir todo tipo de dispositivos, desde nuestros terminales móviles  (iOS o Android) hasta nuestros equipos de sobremesa o portátiles (Mac OS X, Windows o Linux). La versión gratuita nos permite monitorizar hasta 3 dispositivos. En nuestro caso hemos añadido dos terminales móviles y un portátil, todos ellos los podemos monitorizar desde nuestro panel de administración. prey02

Para añadir estos dispositivos en nuestro panel de control tenemos que instalar la aplicación en aquellos dispositivos que queramos monitorizar, por ejemplo en nuestro terminal Android, donde nos aparecerán muchos permisos que conceder a la App, pues con ella vamos a poder a acceder a toda la información que queramos del teléfono.

preyAndroid

Una vez dentro del panel de administración seleccionamos el dispositivo Android y vemos todas las posibilidades que tenemos.

prey03

Dentro de las opciones que tenemos hemos elegido la de Mapa y acciones, donde vemos en el panel de la derecha como podemos hacer sonar el teléfono, enviar un mensaje en pantalla, ocultar la App en el terminal o incluso bloquear el terminal con una clave, además de la geolocalización del terminal.

Una de las posibilidades más interesantes de este servicio es la posibilidad de Marcar como perdido, lo que hace que se nos envíen a nuestro correo electrónico constante información sobre donde está el terminal con información de longitud/latitud, redes que tiene a su alcance o incluso fotografías desde todas las cámaras del mismo.

prey04

Estos Reportes los podemos consultar a posteriori con muchísima información sobre nuestro terminal, la cual nos permitirá cazar a nuestra “presa”, incluso tener fotos de la misma.

reporte

Vemos como se nos ofrece información exacta de geolocalización con coordenadas del dispositivo, modelo, IMEI, IP pública desde donde se conecta a Internet, fotografías de las cámaras delantera y trasera e incluso la lista de redes que tiene el dispositivo al alcance.

Tenemos también opciones de ver los Informes de Actividad de los dispositivos, donde podemos hacer un seguimiento de todo lo que ha ido haciéndose desde el terminal (ubicaciones, redes a las que se conecta…)

prey05

Otro información importante que podemos obtener desde la opción Información de Hardware son datos como el IMEI o la MAC del dispositivo.

En definitiva, una herramienta en cuya versión gratuita nos brinda muchas posibilidades para recuperar nuestros dispositivos. Dentro de la versión de pago incluye mejoras en cuanto a recuperación remota de datos y otras opciones.

Existen otras herramientas en Android muy conocidas como puede ser Android Manager o Cerberus, las cuales pueden complementar a Prey Project en dar caza a nuestra “presa”.

Dar las gracias a Miriam García por enseñarnos de la existencia de esta herramienta, la cual es muy interesante que conozcáis.

Un handshake a todos y como ponen los chicos de Prey Project en sus mails:

Happy Hunting !!

@eduSatoe

“Cada dolor te hace más fuerte, cada traición más inteligente, cada desilusión más hábil y cada experiencia más sabio…”

Controlando dispositivos USB con soluciones Endpoint – Parte II

Volvemos con la segunda parte de nuestro artículo “Controlando dispositivos USB con soluciones Endpoint“. En esta segunda parte vamos a ver como utilizar otro EndPoint de un fabricante muy conocido por su amplio despliegue de productos y sobre todo la calidad de los mismos.

Hablamos de ESET EndPoint.

Si el anterior artículo lo orientamos a la gestión cloud de nuestro EndPoint para una red de equipos considerable, ya que puede ser más cómodo, en el post de hoy vamos a desgranarlo en modo local usando ESET EndPoint.

Si te perdistes en el anterior artículo puedes volver a verlo aquí.

Como ya sabéis, la fuga de información es otra forma de “ataque” a empresas. Quizás cuando hablamos de (in)seguridad nos centramos en las agresiones externas por parte del típico hacker con pasamontañas que pretenden reventar nuestros servidores, Webs, etcétera… pero hay frentes abiertos por todos lados.

Aunque para nada soy ducho en la materia de enfermería ni tengo conocimientos de ningún tipo sobre ello, me atrevería a hacer el símil para explicar, sencillamente, la inseguridad informática.

Las desventajas del “Internet de las cosas” deja abierta una herida que es muy difícil cerrar o más bien, imposible de cicatrizar.

Por ello, y hablando metafóricamente, necesitamos utilizar cuanto más “povidona yodada” mejor para que siempre esté limpia y seca la “herida”.

Pero no solo vamos a usar un determinado “antiséptico” o medicina para combatir las fisuras de seguridad sino que vamos a complementar unos con otros. Si tenemos un Firewall, WAF, Antivirus, Antimalware, Sistema de backup, etcétera… sería aconsejable tener alguna política anti “fuga” de información, por ejemplo.

270x240-endpoint-security Read more

Controlando dispositivos USB con soluciones Endpoint – Parte I

El panorama actual de la seguridad informática es bastante interesante puesto que cada vez vemos más información sobre este tema. Ataques, robos de credenciales, amenazas, suplantación de identidad… es evidente que en el “Internet de las cosas” toda protección es poca.

Muchos gremios profesionales se interesan, poco a poco eso sí, por formarse o al menos asistir a charlas y/o eventos de carácter no excesivamente técnico (como Hack&Beers) para iniciarse o aprender ciertas pautas a tomar para su empresa.

Antivirus o con suerte Firewalls, es lo que más podemos encontrar en todas las empresas. Otra cosa es encontrarse antivirus actualizados. Esta protección no está de más, como ya comentamos. Si todo está al día, y configurado correctamente, esta solución nos “protege” del exterior, bloquea malware, avisa de phishing, etcétera… Aunque a los más “arcaicos” les puede resultar una auténtica molestia el recibir bloqueos y/o avisos, esto puede salvarnos de una catástrofe de dimensiones casi mundiales en nuestro negocio.

¿Y qué pasa con la fuga de información?

Fugas-de-información

Read more

Bloqueando accesos desde TOR

Muchas o mejor dicho miles de veces oímos hablar de la red TOR. Ya no es un término usado por gurús de la seguridad sino que más o menos es conocido por los aficionados a la informática.

Hay mucha suspicacia en el tema del anonimato en la red y obviamente esto tiene sus motivos. Pero tanto positivos como negativos.

Cuando hablamos de anonimizar tu conexión para que no te “espíen” podemos suponer que ya de hecho vamos a cometer un delito o vamos a practicar actividades de dudosa legalidad. Esto es muy relativo.

Pero como primera premisa, indiscutible (e “impepinable” como se dice por Córdoba :P) es que nadie tiene porque espiar tu actividad en la red. Podemos entrar en el debate de que se sospecha o se tiene indicios de que “tal” y “cual” pero un usuario de “a pie” no tiene por qué ser rastreado.

73280

Read more

PrivacyFix: Tu privacidad depende de la privacidad de los demás

¿Crees que eres dueño de tu privacidad? Redes sociales, portales de Internet, grupos de Whatsapp, aplicaciones móviles que solicitan muchos permisos… hoy día es muy difícil proteger nuestra privacidad, pues nuestra vida virtual está conectada con nuestra vida real.

¿Realmente controlas las fotografías que aparecen tuyas en las redes sociales, conoces aspectos tan importantes como la geolocalización, sabes qué aplicaciones móviles requieren los datos de tu teléfono…? En definitiva, ¿sabes qué información se publica de ti en Internet?

A día de hoy es imposible controlar nuestra privacidad al completo ya que nuestra privacidad depende de la privacidad de los demás, una foto en el teléfono de un amigo, un perfil de Twitter con geolocalización activada donde se te etiqueta en una foto, un perfil de Facebook público donde aparecen fotos de menores… Son algunos ejemplos de que no somos dueños de nuestra privacidad.

A continuación vemos algunos ejemplos de información sensible:

twitter

  • Geolocalización que guarda Gmail desde nuestra cuenta configurada en nuestro teléfono Android (¿Está tu cuenta de gmal entre los 5 millones de cuentas vulneradas hace unos meses? Ver aquí)

gmail

  • Perfiles públicos en Facebook con información sensible u obtenidos a partir de un número de teléfono móvil publicado en Internet (MilAnuncios, BlaBlaCar, etc).

facebook

Además de estos ejemplos, tenemos también un caso muy importante a tratar sobre la privacidad, concretamente de las fotografías que otras personas suben de nosotros a Internet, bien por redes sociales o chats. A continuación podéis ver un video donde se aclara perfectamente:

Como complemento a esta información podéis ver un artículo sobre El peligro de las Redes Sociales que publicamos hace unos meses.

Algunas de estas fugas de información se pueden evitar para proteger nuestra privacidad, tan sólo hay que configurar de manera correcta nuestras redes sociales, cuentas de correo u otros perfiles de usuario utilizados en Internet. Ahora esto es muy sencillo haciendo uso de la herramienta Privacy Fix de AVG.

¿Qué es PrivacyFix?

Privacy Fix es su panel de privacidad en línea. Este complemento para navegadores y app para dispositivos móviles realiza un análisis para detectar problemas de privacidad y te ayuda a configurar los ajustes para corregirlos.

Concretamente podemos llevar a cabo el fixeo de la configuración de los siguientes apartados:

  1. El seguimiento de navegación del usuario.
  2. Cuenta de Gmail.
  3. Perfiles de Twitter, Facebook y LinkedIn.

1. En la siguiente imagen vemos cómo podemos corregir fallos de privacidad respecto al seguimiento de cookies o widgets que rompan nuestra privacidad en Internet.

00privacyfix

A medida que vamos corrigiendo los diferentes ajustes veremos como la barra de proceso va avanzando.

2. El seguimiento que Google hace de nosotros conlleva entre otras cosas el almacenamiento del historial de búsqueda, cosa que podemos corregir. También el seguimiento de cookies por parte de anunciantes para poder ofrecernos sus productos independientemente de la Web que visitemos.

01google

3. Por último vamos a corregir nuestra configuración de seguridad/privacidad de nuestras redes sociales.

Dentro de Twitter podemos corregir varios aspectos que vemos a continuación.

02twitter

En la siguiente imagen vemos como PrivacyFix nos asiste para desactivar de manera correcta la geolocalización en los tweets.

02_1twitter

Dentro de Facebook podemos corregir varios aspectos que vemos a continuación.

03facebook

Dentro de LinkedIn podemos corregir varios aspectos que vemos a continuación.

04Likedin

Una vez que tenemos todos los puntos corregidos veremos la barra de proceso al 100%, lo cual quiere decir que los aspectos de privacidad de nuestras redes sociales y cuentas están bien configurados.

A medida que naveguemos por Internet podemos ver en la barra de navegación el complemento de PrivacyFix y consultar aspectos de privacidad sobre la Web que visitamos en ese momento.

panel

Espero que seáis conscientes de la importancia que tiene preservar nuestra privacidad en la red y lo que nos puede ayudar esta herramienta a ello. Para finalizar os dejo un video que puede darnos que pensar sobre el camino que lleva nuestra sociedad en relación al uso de las redes sociales y la importancia de las mismas:

Hasta la próxima y cuidar de vuestra privacidad porque de ella depende también la privacidad de los demás.

¡Un handshake!

@eduSatoe

“Antes de cambiar el mundo, da tres vueltas por tu casa”

Proverbio chino

iOS Hacking: credenciales Google Analytics sin cifrar

Revisando la seguridad de algunas aplicaciones iOS me he encontrado con una sorpresa, que no esperaba, al menos en uno servicio como el de Google Analytics, y es que revisando la seguridad y privacidad en Local Storage del dispositivo Apple he encontrado que mis credenciales de Google Analytics estaban almacenadas en claro, sin ningún tipo de cifrado.

A nivel de almacenamiento local, tal y como veremos en próximos artículos de la serie “iOS Hacking” en este blog, destacar que existen varias localizaciones donde poder encontrar información sensible de las aplicaciones o del propio sistema. Ficheros de configuración, temporales, cookies, bases de datos, capturas, logs del sistema o aplicación, etc. Entre estas localizaciones nos encontramos también un contenedor cifrado que almacena algunos datos sensibles como pueden ser nombres de usuarios, contraseñas, o certificados, se trata del Keychain de iOS.

Ha sido en este contenedor donde he encontrado mis credenciales sin cifrar.

Google Analytics - iOS

Un acceso físico al dispositivo, a causa de un descuido, robo o pérdida, fuga de información debido a un malware, o acceso a una copia de seguridad del dispositivo, permitiría extraer esta información del usuario.

Permaneced atentos que próximamente iremos publicando más artículos relacionados con la seguridad en aplicaciones y dispositivos iOS dentro de la serie de posts que ya hemos comenzado y nombrado como “iOS Hacking“.

¡Hasta pronto!

El peligro de las redes sociales

Como bien sabéis en Hacking-etico.com estamos comprometidos con la Seguridad en la Red. A través de eventos y charlas y sobre todo mediante nuestro blog, queremos concienciar a las personas tanto adultos como menores sobre los peligros de la red.

Hace escasos minutos a través del Twitter oficial de la Guardia Civil @guardiacivil hemos visualizado un tweet con un vídeo que nos ha gustado de manera especial ya que hace un símil de la vida real con la cibernética y que desde hacking-etico.com recomendamos visualizar con tus menores (hijos, sobrinos, primos, hermanos, amigos, etc…) para mostrarte lo fácil que puede ser para un menor caer en la trampa de gente con intenciones muy muy malas y abominables. El peligro de las redes sociales pretende hacer llegar este tema a el mayor número posible de padres o tutores de menores para proteger lo máximo posible a los más débiles, los niños.

También recomendamos que lean un artículo que ha publicado en cordopolis.es nuestro compañero de hacking-etico.com Miguel Ángel Arroyo en donde habla de también de esta problemática.

Os dejamos el vídeo: