Menú principal

miércoles, 30 de abril de 2014

Apple patenta Secure System iWallet con iBeacon

El 16 de Enero de 2014, la Oficina de Patentes y Marcas Registradas de EE.UU. publicó una solicitud de patente de Apple que revela un sistema de iWallet seguro que va más allá del uso de NFC, para incluir nuevas interfaces de aire incluyendo una forma de Bluetooth, como iBeacon. Apple comenzó a desplegar iBeacon en las Apple Store en Diciembre y parece ser que estamos cerca de la aplicación iWallet de Apple. El invento de Apple se refiere generalmente a métodos y dispositivos para la realización de una transacción comercial de manera inalámbrica, que a la vez sea segura y fácil de utilizar. 

Antecedentes sobre tecnologías de proximidad

Las tecnologías de proximidad permiten la comunicación de dispositivos que se encuentran próximos en el espacio, como por ejemplo comunicaciones NFC o RFID. Estos protocolos pueden establecer enlaces de comunicación inalámbrica entre dispositivos de forma rápida y cómoda, sin que se necesite instalación alguna. NFC se puede utilizar en transacciones electrónicas, por ejemplo para enviar información de forma segura, para realizar pagos online, etcétera. 

Hoy en día, la información de pago, como pueden ser los datos de tarjetas de crédito en los dispositivos móviles, se envía directamente a partir de un elemento seguro, situado en el dispositivo tal como un dispositivo móvil. Existe una necesidad de un método seguro en la ejecución de la transacción comercial, y que sea sencilla y segura.

El iWallet

El invento de Apple se refiere entonces a los métodos generales para llevar a cabo una transacción comercial inalámbrica. Un dispositivo móvil puede realizar compras mediante el uso de comunicaciones NFC, pero para establecer una conexión segura con un punto de venta, denominado POS, el cual se conecta con un back-end que se encuentra configurado para ejecutar transacciones comerciales. Este enlace seguro puede ser establecido mediante el posicionamiento del dispositivo sobre un punto de venta.

Los usuarios disponen de movilidad cuando van de compras, y es por esto que se propone proporcionar un segundo enlace seguro que utilice un protocolo diferente, como Wi-Fi Bluetooth, el cual tiene características deseables para mantener el vínculo con el tiempo.

Figura 1: Gráfico descriptivo a alto nivel del sistema

Parece que Apple se está refiriendo a iBeacon sin mencionarlo abiertamente. Se ha rumoreado que iBeacon podría permitir los pagos en el punto de venta (POS) prescindiendo totalmente de carteras o billeteras . Podría ser un posible competidor de NFC.

Visto lo visto, puede ser que Apple prepare una revolución para sus tiendas y dispositivos iOS. Puede que la compra sea aún más cómoda con esta patente. Aparentemente Apple prepara una revolución para sus tiendas y dispositivos iOS. Es posible que, gracias a esta patente, a partir de ahora comprar sea mucho más cómodo. En un próximo artículo ahondaremos en los aspectos técnicos de esta patente, explicando de forma detallada su funcionamiento.

martes, 29 de abril de 2014

Adobe actualiza Flash Player para acabar con exploit Sirio

En febrero se descubrió una gravísima vulnerabilidad de Adobe Flash que permitía que un atacante tomase el control de nuestro equipo de forma remota. Afortunadamente el equipo de Adobe publicó a los pocos días una actualización que arreglaba el problema.

Por desgracia ahora una nueva vulnerabilidad de Adobe Flash Player que permite obtener acceso a información confidencial de los usuarios mediante la ejecución de exploits, ha sido descubierta este mismo mes y ayer se publicó el ABSB14-13 para solucionar el CVE-2014-0515.

Investigadores de la firma de seguridad Kaspersky Lab descubrieron el problema cuando detectaron varios ataques procedentes de una web perteneciente al Ministerio de Justicia de Siria. Aunque no se sabe quien está detrás de los ataques, todos los servidores afectados están en Siria, así que se cree que puede tener como objetivo a los grupos disidentes del gobierno.

Figura 1: Adobe Flash Player Installer para OS X

Esta semana Adobe ha lanzado una nueva versión, la 13.0.0.206 para Windows y OS X y la 11.2.202.356 para Linux, que elimina la vulnerabilidad. Aquí podéis consultar una lista completa de todos los cambios que incluye. Una vez más, aquí tenemos un ejemplo de por qué es de vital importancia mantener nuestro software actualizado. Si tienes Mac OS X conéctate a esta URL y descarga el actualizador de Adobe Flash Player.

lunes, 28 de abril de 2014

Apple reemplazará los botones de apagado en iPhone 5

Botón de encendido en un iPhone5
Tras las quejas de muchos usuarios de que el botón de encendido de los terminales iPhone 5 era muy delicado y se rompía con facilidad, Apple ha decidido abrir un programa de reemplazo de dicha pieza para ciertas tiradas de iPhone 5 localizadas en las que parece que los controles de calidad no fueron lo suficientemente buenos. Para saber si tu terminal es uno de los que puede tener esta debilidad, debes entrar en la web del Programa de reemplazo de botón de encendido en iPhone 5 y poner tu IMEI para ver si tu terminal es uno de los afectados.

Para localizar el IMEI de tu terminal iPhone 5 solo debes mirar en la carcasa del mismo, pero en este artículo tienes otras formas de localizar el IMEI de tu teléfono entrando en las opciones del sistema operativo o mirando en los ficheros de backup de Apple iTunes.

Figura 1: Web del programa de reemplazo para buscar tu IMEI

El programa es a nivel mundial, y en España en concreto comenzará a partir del 2 de Mayo de 2014. Si tu terminal es uno de los afectados debes llevarlo a la tienda Apple Store o entregarlo por correo siguiendo las instrucciones que se detallan en la web de soporte de Apple. Podrás recibir un terminal de sustitución mientras el dispositivo se está reparando.

domingo, 27 de abril de 2014

Fue Noticia en Seguridad Apple: del 14 al 26 de Abril

Tras otras dos semanas repletas de noticias y novedades, es de nuevo el momento de recopilar lo más destacado que hemos publicado aquí, en Seguridad Apple durante las últimas fechas.

El lunes 14 informábamos de que Apple ya ha aprobado la nueva versión de Latch para iOS 1.3, que añade nuevas e interesantes posibilidades, como utilizar la aplicación para monitorización de accesos a nuestras cuentas. Con Latch, cada vez es más sencillo proteger nuestras identidades digitales.

Al día siguiente presentamos una estadística que habla de la buena acogida que ha tenido iOS 7 desde su lanzamiento en 2013. Nada menos que el 87% de los dispositivos móviles Apple hacen uso de esta versión del sistema operativo.

El miércoles propusimos siete consejos para que la utilización de dispositivos iOS en la empresa sea mucho más segura, especialmente si existe una política BYOD y se quieren evitar fugas de información.

El jueves 17 publicamos una noticia realmente impactante. La posibilidad de hacer jailbreak en iOS 7.1 con iPhone 4S, iPhone 5 e iPhone5S, lo que hasta ahora parecía poco menos que una quimera, es posible como se puede ver en un vídeo. Aunque no se conocen muchos detalles, la noticia es significativa puesto que implica que a pesar de los esfuerzos de Apple, iOS sigue siendo vulnerable y será posible tenerlo en breve.

El viernes iniciamos una serie de posts sobre cómo hacer hacking de dispositivos iOS mediante ataques Man In The Middle con SSLStrip a un iPhone. En esta primera entrega presentamos una pequeña prueba de concepto.

Un día más tarde publicamos la segunda parte del post, en la que exponemos la forma práctica de realizar el ataque sobre un iPhone y analizamos el comportamiento del dispositivo y su incapacidad para alertar al usuario.

Para terminar la semana, una noticia preocupante. Un nuevo malware que afecta a dispositivos iOS con jailbreak, denominado como Unflod Baby Panda, está siendo distribuido a través de markets  de apps alternativos en China.

La nueva semana comenzó con una actuualización de Java 7 en Mac OS X que pone fin a 37 CVEs  y 17 bugs que, entre otras cosas, permitían a un atacante controlar de forma remota el equipo de la víctima.

El martes 22 presentamos una reflexión sobre las diferencias de Apple y Microsoft respecto a sus políticas de soporte a Sistemas Operativos, a raíz del fin del soporte a Windows XP, uno de los SO más usados, que tuvo lugar hace unas semanas.

El miércoles, comenzamos el día con el anuncio por parte de Apple de una actualización para iOS 7.1.1 que soluciona hasta 19 CVEs de seguridad, la mayoría de ellos - un total de 16 bugs de seguridad - en el módulo WebKit de Apple Safari.

El ya archifamoso Heartbleed, lejos de estar plenamente solucionado, sigue dando problemas y causando revuelo. El jueves publicamos la noticia de que Apple ha publicado actualizaciones de seguridad del firmware de Airport Base Station de los modelos de estaciones base AirPort Extreme y AirPort Time Capsule .

Este viernes revisamos el Security Update 2014-002 para sistemas OS X Lion, Lion Server, Mountain Lion y Mavericks, con controversia ya que los fallos de Webkit fueron solucionados solo para la última versión de Mavericks a la espera de la publicación de Apple Safari 7.0.3 - que se espera para el martes que viene -.

Por último, ayer sábado dedicamos la entrada a unas herramientas curiosas sobre el famoso Drunk-Mode o modo borracho de iPhone para que te proteja de ti mismo cuando hayas tomado unas copas de más. Hay apps tanto para sistemas con y sin jailbreak que bloquean contactos para que no se puedan hacer llamadas o enviar mensajes por iMessage o WhatsApp.

Hasta aquí todo lo publicado durante este periodo, pero como ya es habitual desde hace tiempo, en esta sección os recogemos otra serie de artículos que han sido publicados durante este periodo y que merece la pena que leáis. Aquí va la selección:
- Cómo se implementa la aleatoriedad en la seguridad informática: En el blog de Eleven Paths, nuestro compañero Juan Luís explica cómo se producen muchos fallos de seguridad a la hora de elegir un mal pseudogenerador de números aleatorios, en concreto, el sistema Android e iOS 7 han fallado en esa parcela. 
- Cómo robar WhatsApp con un Meterpreter de Metasploit: Prueba de Concepto para sistemas Android en la que se explica cómo se podría instalar un APK fraudulento en un terminal Android para robar la base de datos de WhatsApp de la víctima. 
- Aparecen rastros de Touch ID para iPad en iOS 7.1: Mirando en los archivos de configuración se puede presuponer que en la próxima versión de iPad habrá Touch ID incluido también en el dispositivo. 
- Recuperados trabajos perdidos de Andy Warhol en un Amiga: Si eres fan de los 8 bits, probablemente esta noticia te encantará, ya que se han recuperado los trabajos del genial artista que estaban perdidos en unos disquetes de Amiga que ha habido que restaurar. 
- Google devolverá dinero a las víctimas de Fake AV en Google Play: Los falsos Antivirus son una lacra y alguno se ha conseguido colar en el Google Play para infectar a muchos usuarios. Google ha dicho que devolverá el dinero a todas las víctimas. 
- Se publica emulador de Nintendo DS for IOS: Está disponible solo para dispositivos con Jailbreak, pero si tienes iOS 5.1 o superior con Jailbreak, lo puedes descargar directamente. 
- WhatsApp no cifra el mapa cuando compartes la localización: Durante este periodo se publicó otro fallo de privacidad en WhatsApp, en este caso al no cifrarse los mapas de localización cuando se comparte una ubicación con otra persona. 
- Viber no cifraba los mensajes en sus servidores:... y un investigador localizó la forma de llegar a ellos. Lo comunicó, Viber no respondió. Lo hizo público y Viber reaccionó. ¿Qué sistema de mensajería usas tú? 
- Vídeos de la PyCON: Nuestros amigos de Cyberhades han recapitulado todos los vídeos de todas las charlas de la PyCON. Si te gusta Python, tienes material para aprender más que de sobra.. 
- Eleven Paths cumple un año: Parece que ha sido mucho más tiempo, pero solo ha sido un año desde que comenzamos a trabajar en esta nueva andadura profesional. Gracias a todos los que nos habéis ayudado.
Y esto ha sido todo, que como podéis ver no ha sido poco. Esperamos que este resumen os mantenga al día de los temas más importantes de Seguridad y tecnologías Apple. Esperamos veros dentro de dos semanas en esta misma sección y cada día en los artículos de Seguridad Apple.

sábado, 26 de abril de 2014

Herramientas de Modo Borracho o "Drunk Mode" para iOS

Cuando uno sale y se toma varias copas de más puede arrepentirse de los mensajes enviados o de las llamadas realizadas a altas horas por culpa del alcohol. El modo borracho o Drunk Mode es una de las peticiones más generalizadas dentro de una cultura popular. ¿En qué consiste? Simplemente permite que el dispositivo detecte que vamos un poco ebrios e impida enviar mensajes o hagamos llamadas que se se hubiera preferido no hacer al día siguiente. Se puede usar el modo borracho o Drunk Mode para iPhone en dos sabores, un Drunk Mode en iTunes que bloquea los contactos y también gracias a un tweak disponible para terminales con jailbreak que evita que envíes mensajes a nadie..

Los tweak para iPhone son pequeñas funcionalidades que permiten añadir o extender las acciones que el sistema operativo trae de serie y no deja tocar con las API de programación normales, en este caso nos permite bloquear los mensajes que queremos enviar, una vez que no estamos en condiciones de manejar la app.

Figura 1: Activación de la protección del Drunk Mode

El tweak se puede obtener desde Cydia y se encuentra disponible en el repositorio de BigBoss. Este tweak añade un nuevo botón de tipo slider dentro de los ajustes del sistema, justamente debajo del modo avión. Cuando se activa el control se impide al usuario enviar cualquier tipo de mensaje, siempre y cuando sean mensajes de iMessages, aunque en un futuro quizá lo veamos bloqueando mensajes de WhatsApp, Line o Facebook. Más de uno se salvaría de ver al día siguiente una imagen desgarradora en su tablón de Facebook...

Figura 2: Protección del Drunk Mode

Es cierto que el tweak no aporta gran funcionalidad, pero si hace su tarea correctamente y es que impide que un usuario pueda enviar mensajes salientes desde la aplicación. Es un primer paso, curioso, de integrar un modo borracho.

viernes, 25 de abril de 2014

Security Update 2014-002 para OS X

Al mismo tiempo que Apple publicó la actualización de iOS 7.1.1 y Apple TV 6.1.1, la compañía puso en circulación un Security Update para solucionar 13 CVEs de seguridad en los sistemas operativos a los que aún da soporte, es decir, Lion, Mountain Lion, y Mavericks.

Figura 1: Actualizaciones de Seguridad para Security Update 2014-002 disponibles

La lista de los 13 bugs de seguridad resueltos se puede ver en el Security Advisory publicado en la web de soporte y las descargas están disponibles en las siguientes URLs, además de a través de Software Updates y Mac App Store:
- Security Update 2014-002 para OS X Mavericks
- Security Update 2014-002 para OS X Mountain Lion
- Security Update 2014-002 para OS X Lion
- Security Update 2014-002 para OS X Lion (Server)
Esta actualización de seguridad, por desgracia y mala suerte para todos no soluciona los 16 CVEs de Webkit - solo en la versión de Mavericks - que fueron puestos en conocimiento de todo el público en el Security Advisory de iOS 7.1.1, y los deja sin parchear hasta la nueva revisión de Apple Safari, algo que por supuesto no ha gustado a ningún responsable de sistemas. De momento, lo único que se puede hacer es - o utilizar otro navegador - o esperar pacientemente a que Apple ponga los parches a disposición pública el martes que viene, antes de que nadie utilice los bugs para explotarlos en su provecho.

jueves, 24 de abril de 2014

Nuevo firmware para AirPort Base Station por HeartBleed

El bug de seguridad que tambaleó la seguridad en Internet, conocido como Heartbleed aún no ha muerto, y es que aunque la mayoría de las miradas se centraron en las aplicaciones web y el protocolo HTTPS es cierto que existe una gran cantidad de protocolos que hacen uso de OpenSSL por debajo Por esta razón si la versión de OpenSSL que utiliza dicho protocolo es vulnerable tenemos el mismo problema de seguridad que con el ya archiconocido ataque de HeartBleed a servidores web que nosotros hemos automatizado en Faast. Ante estos problemas conocidos Apple ha decidido liberar una actualización de seguridad para el firmware de los modelos AirPort Extreme y Time Capsule

La actualización proporciona el firmware con versión 7.7.3 y es sólo para las estaciones base AirPort Extreme y Time Capsule con 802.11ac, como se comentaba anteriormente. Además, la actualización es lanzada para las versiones de estos dispositivos comprados desde Junio de 2013

Figura 1: Security Advisory para AirPort Base Station Firmware Update 7.7.3

Apple ha querido comentar al respecto de la actualización lo siguiente:
"La actualización del firmware ofrece una solución para la reciente vulnerabilidad de OpenSSL para la última generación de estaciones base, tanto AirPort Extreme y AirPort Time Capsule. Esta vulnerabilidad sólo afecta a dispositivos recientes (Junio 2013 en adelante). Los clientes con la generación anterior de los distintos modelos de AirPort no necesitan actualizar sus estaciones base."
La vulnerabilidad no filtraría contraseñas, como ocurre en otros ámbitos de explotación de heartbleed, por ejemplo en un servidor web. Sin embargo, la vulnerabilidad permitiría a un atacante realizar un man in the middle entre un usuario y un router y poder acceder a las pantallas de sesión de un router o un equipo. Sin embargo, a diferencia, como se mencionó anteriormente, los Apple ID y otras contraseñas no serían filtrados o extraídos. Se recomienda que si se está utilizando un modelo de AirPort nuevo (Junio 2013) y se tiene activo Back My Mac actualices inmendiatamente. Los modelos más antiguos no se ven afectados.

miércoles, 23 de abril de 2014

Apple publica iOS 7.1.1 con solución para 19 CVEs

Apple publica iOS 7.1.1
Ayer, con nocturnidad y alevosía, mientras todo el mundo habla ya de las huellas de iOS 8 en las redes debido a las pruebas que pueden estar realizando los ingenieros que lo están desarrollando, Apple publicó una nueva revisión para iOS 7.1.1 donde se arreglan un total de 19 CVEs de seguridad.

La mayoría de ellos en el módulo WebKit de Safari Mobile for iOS, donde se han solucionado 16 bugs de seguridad. Dos más se encuentran en la implementación del protocolo HTTP en el sistema operativo, donde un fallo en set-cookie podría permitir a un atacante acceder a una sesión incluso en una conexión segura y otro en la negociación SSL del sistema, donde se podría conseguir negociar dos sesiones con la misma clave de cifrado, lo que sería un serio problema de seguridad.

El último de ellos, es un fallo en el kernel del sistema que podría ser utilizado para hacer saltarse el ASLR del sistema, algo que permite a los exploiters desarrollar exploits consistentes, como por ejemplo en el caso del jailbreak. La lista de todos los CVE está recogida en el Security Advisory APPLE-SA-2014-04-22-2 iOS 7.1.1.

Figura 1: Security Advisory de iOS 7.1.1 con la descripción de los 19 CVEs

Apple TV 6.1.1

Estos mismos fallos se han solucionado en la versión de Apple TV 6.1.1, tal y como se describen en el Security Advisory APPLE-SA-2014-04-22-3 Apple TV 6.1.1, así que si tienes un iPad, iPhone, iPod Touch o Apple TV soportado por Apple, debes actualizarlo cuanto antes.

martes, 22 de abril de 2014

Apple, Microsoft y el soporte de Sistemas Operativos OS X

Muchas veces se valora la seguridad de un sistema operativo u otro sin cuantificar muchas de las características que afectan en el día a día de la seguridad de las empresas. Muchos usuarios valoran las vulnerabilidades que se detectan en los sistemas operativos, sin observar la rapidez del fabricante a la hora de solventar la vulnerabilidad, el tiempo de soporte que proporciona del producto o su cuota de mercado para medir el impacto.

Hace poco tiempo que uno de los sistemas operativos de Microsoft más utilizados de la historia ha terminado su soporte, el famoso Windows XP, y nos hemos interesados por saber un poco las reglas del juego que aplica Apple respecto al tiempo que da de soporte a sus sistemas operativos. Por supuesto, sin objetivo alguno de valorar si uno es mejor o peor, pero sí por comparar el tiempo que soportan sus productos cada una de las dos compañías. 

Ciclo de vida de producto

Apple siempre ha sido bastante firme en cuanto a su regla de 5 años de soporte para el hardware, y después no habrá soporte para dicho elemento. Los desarrolladores de soluciones que se basen en el hardware de Apple son conscientes de ello y aunque a veces hay pequeñas variaciones temporales, esta viene siendo la tónica habitual.

Por otro lado, Apple no dispone de un ciclo de vida oficial para software, y deja bastante en el aire en qué se basa y qué decisiones tomará en el futuro sobre el fin de soporte de sus software. ¿Podemos predecir lo que cuesta OS X en la empresa? Si tuviéramos un fallo grave de seguridad se podría requerir una actualización de versión del sistema operativo, y en tal caso un ciclo de producto permitiría a un departamento TI saber bien lo que cuesta mantener esta flota de sistemas.

Figura 1: Mac OS X 10.1 Puma con Internet Explorer como navegador por defecto

Actualmente las nuevas versiones de OS X son gratis para todos los que tengan un equipo Apple que lo soporte y se vienen dejando sin soporte cada dos o tres versiones de sistemas operativos, más o menos, porque Snow Leopard aún tiene soporte de parches críticos de seguridad. 

¿Qué política sigue Microsoft para el soporte de sus sistemas operativos?

Microsoft ofrece un política clara que se puede utilizar para hacer planificación presupuestaria y gestionar un ciclo de vida completo de sistemas informáticos en una empresa: 
  • El producto es apoyado oficialmente durante 5 años después de la liberación del producto.
  • Los parches de seguridad y correcciones están disponibles. 
  • Durante este tiempo el fabricante presta actualizaciones funcionales y tecnológicas, añadiendo nuevas tecnologías y soporte para nuevos estándares.
Además, en una segunda fase se establece un periodo de mantenimiento de seguridad, donde se fija por un período mínimo de 2 años una política donde sólo los bugs de seguridad se solucionan con parches o service packs. Así que, en teoría, una empresa puede contar como mínimo con un sistema soportado por fabricante durante al menos 7 años, y ser capaz de estimar lo que durante ese periodo será el costo de usar ese software.

Por supuesto que lo más probable es que desee nuevas características y pueda pensar en actualizar a los nuevos sistemas operativos durante ese periodo. Pero al menos tienen un paréntesis de como mínimo 7 años de vida, si no más, como en el caso de Windows XP donde se ha pasado la década de soporte al sistema operativo.

¿Qué ha sucedido con los sistemas operativos de Apple?

En la siguiente imagen se puede visualizar un resumen de cuándo se publicó la versión del sistema operativo de OS X y cuándo se liberó la última versión, por lo que se puede estimar con cierto grado de precisión cuándo se dejó sin soporte el sistema.

Figura 2: Lista de sistemas operativos de OS X y fechas de publicación de versiones

Como se puede ver, el sistema operativo que salió a la para de Windows XP fue la versión Mac OS X 10.1 Puma, que fue abandonada al año siguiente. Mientras que Microsoft ha dado soporte a Windows XP, Apple ha abandonado un total de 5 sistemas operativos - teniendo en cuenta que aún saca Security Updates que soportan Snow Leopard.

Algunos piensan que realmente las versiones de nuevos sistemas operativos OS X no son cambios tan radicales, pero lo cierto es que entre una versión Windows Vista, Windows 7 y Windows 8 de Microsoft tampoco hubo cambios de arquitectura. Sí que es cierto que entre Windows XP con el kernel 5.X y las nuevas versiones de Windows Vista, con el kernel 6.x hubo un cambio que podría ser equivalente al paso de PowerPC a Intel de los equipos OS X, algo que Apple tampoco alargó demasiado cuando decidió pasar a Intel definitivamente.

Tal vez, si alguna vez Apple decide que quiere entrar de forma definitiva en los sistemas operativos de escritorio de una empresa, sería deseable que hubiera un roadmap más longevo y un soporte más largo que de soporte a las aplicaciones y sistemas que se integren con él, aunque si bien es cierto, cada vez las aplicaciones son más independientes del sistema operativo y más dependientes de plataformas y tecnologías web. 

lunes, 21 de abril de 2014

Actualiza Oracle Java 7 en OS X para solucionar 37 CVEs

En el ciclo trimestral de despliegue de actualizaciones críticas, el pasado 14 de Abril Oracle puso en circulación una nueva actualización de seguridad de todos sus productos, entre los que por supuesto se encuentra Oracle Java 7 para OS X. En esta versión de Abril en concreto de Oracle Java 7 Update 55 se han solucionado un total de 37 CVEs y 17 Bugs del software. Esta actualización tiene asignado un nivel de severidad Highly Critcal, por lo que es fundamental que actualices tu máquina virtual Java cuanto antes para evitar verte afectado con cualquier exploit que utilice uno de estos bugs para tomar control remotamente de tu sistema OS X.

Para actualizar Oracle Java 7 debes ir al panel de control de Java y hacer clic en la pestaña de Update para hacer un Update Now. Os recordamos que como buena medida de precaución, se recomienda tener activada la casilla de Check for Updates Automatically para que nos recuerde que hay una nueva actualización cuando salga.

Figura 1: Actualización a Oracle Java 7 Update 55

Si eres usuario de Java 6 en un sistema operativo de Apple aún soportado, como Snow Leopard, Lion o Mountain Lion, deberás esperar al siguiente Security Update de Apple, que probablemente coincidirá con la actualización de OS X Mavericks 10.9.3 que ya está en beta 5.

domingo, 20 de abril de 2014

Unflod Baby Panda: Nuevo malware para iOS con jailbreak

Con ese nombre, Unflod Baby Panda, ha sido bautizado un malware que se ha descubierto en dispositivos iOS con jailbreak por usuarios del sitio de Reddit que parece que se está distribuyendo a través de markets de apps alternativos en China.

El malware ha sido analizado por la firma alemana SektionEins y podría estar dedicado a analizar el tráfico SSL que genera el terminal iOS para localizar la información de Apple ID y robar las credenciales para enviarlas a servidores controlados en China.

El malware solo está disponible para dispositivos con jailbreak, así que si es tu caso deberías revisar a ver si tienes el fichero Unfold.dylib en tu sistema y borrarlo, además de cambiar inmediatamente tu contraseña de Apple ID y activar la Verificación en 2 Pasos lo antes posible. En el post de SektionEins tienes más información sobre el código del malware para que veas cómo funciona en detalle. En su análisis descubrieron que viene firmado digitalmente por un desarrollador llamado WANG, y éste es su certificado digital. Habrá que tener cuidado con todas las apps de este ciber-criminal.

Figura 1: Detalles de la firma digital de Unflod Baby Panda

Esta protección, que a priori parece suficiente, podría no ser del todo eficaz  ya que el malware tiene la capacidad de descargar ficheros desde los paneles de control, así que podría ser que hubiera bajado algún otro fichero malicioso que garantizase la permanencia en el sistema infectado, así que si tienes una copia de seguridad anterior en la que no se encuentre ese fichero malicioso, mejor que mejor restaurar primeramente.

Por supuesto, si se produce la restauración esto significaría que habría que volver a realizar el jailbreak, y por tanto las posibilidades son las que son, hasta que se liberé el jailbreak para iOS 7.1: Se puede hacer un jailbreak para todos los sistemas hasta iOS 7.0.6 y Untethered Jailbreak para iOS 7.1 solo con dispositivos iPhone 4.

sábado, 19 de abril de 2014

Hacking de iPhone & iPad con SSLStrip sobre iOS (II de II)

En la primera parte de este artículo se enseñó cómo se mostraba una conexión segura en el navegador Safari para iOS además de explicar y qué es y cómo funciona la técnica de hacking SSLStrip. Hoy vamos a ver cómo llevar a cabo el ataque SSLStrip sobre un terminal iPhone o iPad y cómo se comporta Safari para iOS ante este tipo de ataques.

Paso 1: Realizar un ataque man in the middel con ARP Spoofing

En primer lugar hay que realizar un ataque de man in the middle, en este caso con la técnica ARP Spoofing, que permita capturar todo el tráfico entre el dispositivo móvil y, por ejemplo, el router. Para ello se debe activar la opción de ip_forward para realizar reenvíos de tráfico desde nuestra máquina, y después utilizar la herramienta arpspoof, la cual se puede utilizar en OS X a través de los ports. En este caso, y por simplicidad se utilizará una distribución Kali Linux para realizar el envenenamiento de la caché ARP.

Dicho esto, vamos a ejecutar la instrucción echo 1 > /proc/sys/net/ipv4/ip_forward, con permisos de administrador, para hacer que nuestra máquina reenvíe el tráfico. Después, lanzaremos la herramienta arspspoof, tal y como se puede visualizar en la imagen. La sintaxis es sencilla arpspoof -i "interfaz de red" -t "direccion IP iphone" "dirección IP router". Esta instrucción tenemos que ejecutarla en ambos sentidos, es decir envenenando a la víctima y después también al router.

Figura 1: ARP Spoofing sobre un dispositivo iPhone

PoC - Paso 2: Jugando con iptables y SSL Strip

El siguiente paso es configurar nuestra máquina para redirigir lo que pase por nosotros con destino puerto 80 se envíe al puerto 10000 de nuestra máquina, dónde tendremos a SSL Strip esperando. A continuación se muestra cuál es la sintaxis de iptables para lograr esto:

   iptables -t nat -A PREROUTING -p tcp --destination-port 80 -j REDIRECT --to-ports 10000.

Una vez ejecutado esto como administrador, debemos arrancar el script de sslstrip, simplemente ejecutando sslstrip -w.

Figura 2: SSL Strip a la escucha

PoC - Paso3: ¿Cómo se comporta Safari?

Lo primero que hace Safari para iOS es mostrarnos el sitio web de Gmail, sin ningún tipo de alerta, porque como se mencionó en el artículo anterior, no hay SSL por ningún lado, todo va sobre HTTP puro. Como se ve en la siguiente imagen la página es la misma, porque es la original, pero el candado ha desaparecido.

Figura 3: Gmail sin SSL en la conexión

Como se puede ver, por diseño, Safari para iOS oculta el protocolo, que no es mostrado ni estando bajo SSL, ni sin estar bajo SSL. por lo que perdemos una referencia visual sobre qué tipo de conexión estamos teniendo y el icono del candado es lo único que nos puede ayudar. Pero, como hemos dicho en la parte anterior, al instante de cargar el sitio web, Safari para iOS sube hacia arriba la barra de direcciones por lo que si el candado no está, tampoco lo echaremos en falta en una navegación normal. En la imagen superior se puede visualizar la falta del protocolo, y en la imagen siguiente como realmente estamos navegando por HTTP.

Figura 4: Navegando por HTTP

Por último, una vez que la víctima confía en el sitio web e introduce sus credenciales, podemos ver como éstas son recogidas por el atacante en un fichero, ya que como la comunicación es HTTP no hay problema alguno de cifrado.

Figura 5: Recogida de credenciales de gmail

Esta técnica es una de las más comunes en los ataques de hacking a iPhone & iPad, y por eso muchas apps usan conexiones con Certificate Pinning para evitarlos. Poned los ojos bien abiertos cuanto utilicéis los navegadores móviles, ya que trucos como éstos, o como los que hemos visto en el artículo sobre phishing en dispositivos móviles están a la orden del día.

viernes, 18 de abril de 2014

Hacking de iPhone & iPad con SSLStrip sobre iOS (I de II)

La técnica SSL Strip no es algo novedoso, ya que lleva entre nosotros más de 5 años desde que Moxie Marlinspike la presentase al mundo en la conferencia de BlackHat 2009 que os dejamos a continuación. Cuando se realiza esta técnica a una víctima que tiene un dispositivo móvil encontramos curiosidades como que es muy difícil apreciar cuando estamos bajo una conexión segura y cuando no, y por eso es una técnica muy explotada en el hacking de dispositivos iPhone. Antes de ponernos manos a la obra con la prueba de concepto vamos a explicar en qué consiste la técnica SSL Strip.

 
Figura 1: 2009 BlackHat DC Presentation on SSL Stripping de Moxie Marlinspike

El atacante realiza un ataque de de Man in the Middle, por ejemplo ARP Spoofing, estando en la misma red que la víctima, en este caso supongamos un iPhone. El atacante colocará el script en Python de SSL Strip a la escucha en el puerto 10000, el cual es por defecto aunque lo podemos cambiar.

Necesitamos redirigir toda petición de la víctima que vaya al puerto 80 hacia el puerto 10000 para que sea tratada por el script en Python. Por esto cuando la víctima indique que quiere acceder a gmail.com, esto de no indicar el protocolo es un fallo grave, el navegador entiende que quiere acceder a http://gmail.com por lo que se realiza una petición que si no estuviéramos por medio el servidor de Gmail se encargaría de redirigir hacia el puerto 443.

Como nosotros nos encontramos en medio de la comunicación lo que nos llega con destino puerto 80 lo redirigimos al puerto 10000 de nuestra máquina en el que se encuentra el SSL Strip. Como se puede visualizar en la imagen cuano el servidor legítimo indica al cliente que redirija hacia el puerto 443, nosotros nos encargamos de cambiar esas referencias para que la conexión siga siendo por protocolo HTTP y de este modo se encuentre en una conexión no segura. 

Figura 2: Esquema SSL Strip

SSL Strip a dispositivos iOS

Dicho esto, nos toca realizar una pequeña prueba de concepto sobre esto. En primer lugar vamos a ver como, accediendo a la web de gmail.com desde un dispositivo móvil, los indicadores de que estamos bajo una conexión segura son pocos, y algunos son escondidos por el propio comportamiento del navegador. Esto lo hemos comentado por aquí desde el primer momento en que vimos como la gestión de HTTPs en iOS tiene muchos riesgos de seguridad.

En la imagen se puede ver que el candado nos indica que estamos bajo una conexión cifrada, y como entendemos que no hay fallo en la validación de la identidad del sitio estamos conectados a Gmail, pero ¿Dónde se encuentra el protocolo? El protocolo es tapado en la barra de direcciones para aprovechar el espacio y que aparezca el dominio o subdominios a los que estamos conectados. Este indicador hace que el SSL Strip pueda ser "colado" más fácilmente.

Figura 3: Conexión cifrada con Gmail

Como se puede ver en la imagen superior, en la ventana de la izquierda es cuando se accede al sitio de gmail y podemos ver el candado como único símbolo de seguridad. Además, al poco de cargar la web el navegador Safari para iOS, para mejorar la experiencia de usuario y aprovechar la pantalla del dispositivo, hace desaparecer la barra de direcciones con todo lo que ello conlleva en ataques con SSL Strip o los problemas de seguridad que ha tenido con ataques de Phishing en iOS 4, en iOS 5.1

La técnica de SSL Strip no hará que el certificado falle y el navegador nos de un fallo de validación de identidad del sitio que haya que subsanar - tal y como se hace en los ataques de man in the middle con fake CAs -, sino que realmente hará que la víctima vaya por protocolo HTTP constantemente, por lo que si el sitio lo acepta, tendríamos un serio problema, porque como vamos a ver diferenciar esto en un dispositivo móvil es complejo.

En la siguiente parte de esteartículo veremos cómo llevar a cabo un ataque SSLStrip contra un iPhone y veremos cuál es el comportamiento del dispositivo. La diferencia entre la pantalla vista anteriormente y la que obtendremos es que el candado desaparecerá, sin más rastro.

jueves, 17 de abril de 2014

Jailbreak para iOS 7.1 en iPhone 4S, iPhone 5 o iPhone 5S

¿Opciones de Jailbreak hay en iOS 7.1?
La actualización a iOS 7.1 supuso decir adiós a los bugs que se explotaban para hacer jailbreak a las versiones anteriores de iOS 7 con evasi0n7, y por supuesto a todas las posibilidades que acompañan al terminal en estado de jailbreak. El esfuerzo que invirtió Apple en cerrar todas las brechas que permitían esta escalada de privilegios fue notable, y aparentemente, la puerta del jailbreak se cerró definitivamente para los terminales más modernos.

Solo los iPhone 4 podrían continuar con un tethered Jailbreak basado en BootROM exploit. Sin embargo, a menos de tres meses de la presentación oficial de iOS 8, ha llegado a nuestros oídos una noticia sorprendente: ya es posible hacer jailbreak a la versión 7.1. Esto, que hasta hace poco era una utopía, es lo que asegura @iH8sn0w, autor del descubrimiento. Aunque aún no se saben los detalles, ni siquiera si es tethered o untethered, iH8sn0w afirma que es posible hacer jailbreak a un iPhone 4S.


Figura 1: Jailbreak en iOs 7.1 con un iPhone 4S

A pesar de tratarse de una buena y esperanzadora noticia para todos los usuarios de jailbreak que lo necesitan para realizar auditoría de apps, análisis forense de terminales móviles como se explica en el libro de Hacking iOS, ih8sn0w ha aclarado que no trabajará en un exploit para iPhone 5 o iPhone 5S, debido a la proximidad de la nueva versión de iOS. Invertir tiempo y esfuerzo en una versión que en breve quedará obsoleta no parece rentable. Así pues, no habrá un jailbreak público de iOS 7.1 y se quedará en lo que es ahora, una prueba de concepto.

Pero también hay un lado positivo. Resulta obvio que, a pesar de sus esfuerzos, Apple no ha sido capaz de cerrar todas las vías de acceso a su sistema operativo, y es más que probable que la comunidad de hackers consiga, más pronto que tarde, vulnerar iOS 8. Habrá que estar atentos. Por otro lado, que exista este exploit y no sea público, hace que se convierta en algo muy valioso y por el que mucha gente pagaría mucho dinero.

miércoles, 16 de abril de 2014

7 Consejos de seguridad básicos para iOS en la empresa

La gente tiende a pensar que la seguridad informática concierne únicamente a los desarrolladores de software, y por tanto se desentiende del tema. Esto conlleva un gran riesgo, puesto que muchos usuarios adoptan hábitos poco recomendables con sus dispositivos, que pueden afectar a la efectividad de las medidas de seguridad establecidas por los fabricantes. A pesar de los esfuerzos de Apple por hacer dispositivos y software más seguros, en muchas ocasiones es el usuario final el punto débil de la cadena. El sitio CSO Online ha realizado un estudio donde presenta los siete errores más comunes que pueden comprometer la seguridad de los dispositivos.

1.- Pon Passcode

En primer lugar, una característica a priori tan básica como el bloqueo puede suponer la diferencia entre exponer todos tus datos o mantenerlos a salvo. Ya sea con un pin, un patrón complejo o biometría, el bloqueo del teléfono es fundamental, y mucha gente no lo aplica de forma adecuada en pos de una mayor comodidad.

2.- Actualiza el software y las apps

Otro punto crítico es la actualización de aplicaciones. La gente tiende a no actualizar el software de su dispositivo por pereza, olvidando que las actualizaciones tienen su razón de ser: no solo añaden nuevas características, sino que parchean fallos de seguridad. No actualizar supone dejar una puerta abierta a potenciales atacantes. En Apple estos resultados son bastante buenos, como atestigua el 87% de actualizados a iOS 7 y un 11% de usuarios en iOS 6.

3.- Pon una política de BYOD controlada en tu empresa

La implantación de la política BYOD (Bring Your Own Device) por parte de muchas empresas supone otro problema en lo que a seguridad se refiere. Almacenar datos corporativos sensibles en un dispositivo no autorizado se ha vuelto una práctica habitual, y puede tener consecuencias muy graves, por lo que es recomendable que esos datos solo estén en dispositivos seguros y autorizados por la empresa. De esta forma evitaremos fugas de información.

4.- Controla donde accedes

El acceso a contenido “sospechoso” o “cuestionable” también es clave. Hay gente que no duda en hacer clic sobre los links que recibe vía Whatsapp o SMS, sin saber de quién proceden o a dónde llevan. Esa imprudencia, unida a la tendencia a descargar aplicaciones desde sitios de terceros en lugar de hacerlo desde la App Store/Google Play, compromete la seguridad del dispositivo. En el mundo de Internet, la desconfianza es la mejor defensa. Esto en Apple solo se puede hacer si el dispositivo tiene jailbreak, así que controla si permites estos dispositivos en tu política BYOD.

5.- Controla qué se publica a través de los terminales en las redes sociales

Muchas compañías tienen políticas para controlar la exposición de sus trabajadores en las redes sociales. Sin embargo, son pocos los que realmente siguen estas directivas. Hacer caso omiso de la política de empresa y revelar información, incluso el más nimio detalle, en una red social, puede desencadenar una fuga de información y meterte en un problema.

6.- Gestiona los dispositivos de una empresa con un MDM

Por parte de las empresas, el no aplicar ningún tipo de gestión de dispositivos móviles (MDM) o no usar cifrado puede poner en riesgo información vital, especialmente si se aplica una política BYOD, donde el control de los dispositivos es mucho menor.

Gracias a una gestión centralizada mediante un MDM podrás configurar todos los consejos de seguridad que se citan en este artículo.

7.- Conéctate solo a redes WiFi seguras o usa VPN

Por último pero no por ello menos importante, un consejo de sentido común: conectarse a redes WiFi públicas conlleva siempre un grave riesgo. Conectándonos a estas redes nos estamos exponiendo a que atacantes accedan a nuestro dispositivo, pudiendo desde robar información hasta tomar el control del mismo, así que hazlo solo a las redes seguras y siempre que te conectes a alguna usa una conexión VPN que proteja tu tráfico.

Si aplicamos el sentido común a la hora de usar nuestro smartphone, estamos concienciados frente a las amenazas de seguridad y respetamos las sugerencias anteriormente mencionadas, nuestro dispositivo será mucho más seguro. Conviene recordar, no obstante, que la seguridad absoluta es inalcanzable, y siempre habrá un riesgo, aunque en nuestra mano está poder minimizarlo.

martes, 15 de abril de 2014

iOS 7 está instalado en el 87% de los dispositivos de Apple

Lanzado en el mes de Septiembre de 2013, considerado por muchos como el cambio estético que necesitaba el producto, la verdad es que ya ha conseguido instalarse en más de 87% de los dispositivos móviles de Apple

En sus estadísticas de uso del sistema operativo móvil Apple informa de estos números de dispositivos iOS activos, mientras que sólo un 11% de usuarios permanecen en iOS 6 y el resto, un 2%, en versiones inferiores. Esto último es altamente probable que sea debido a que sean dispositivos que no puedan ser actualizados, por ejemplo el iPhone 3 o el primer iPad 1.

Según Apple el sistema operativo está teniendo una adopción más rapida que la última versión de Android en este terreno. Comentan que la adopción de iOS 7 ha aumentado en 5 puntos porcentuales desde Febrero y 2 desde Marzo. ¿A qué se debe esto? La mayoría de los usuarios han visto en el cambio de apariencia una razón para dar el salto rápidamente, y otros usuarios más concienciados con la seguridad, debido a las incorporaciones y mejoras en seguridad que el sistema iOS 7 propone.

Como dato de interés, más de la mitad de los usuarios de iOS actualizaron a la nueva versión del sistema operativo la primera semana que éste estuvo disponible. El número de usuarios de iOS 7 aumentó hasta un 72 % debido, en gran parte, a las ventas de dispositivos que ya vienen con el sistema preinstalado durante la campaña de navidad. Como se ha comentado anteriormente, debido a las incorporaciones de nuevas características y mejoras de seguridad, los desarrolladores prefieren desarrollar aplicaciones específicas para iOS 7, ya que siempre será un valor añadido que tu app esté preparada para el último sistema operativo de Apple.

lunes, 14 de abril de 2014

Latch para iOS versión 1.3 trae novedades y mejoras

Ya está aprobada por el equipo de Apple que controla la App Store la nueva versión de Latch, en concreto la versión 1.3 que además de solucionar algún bug menor, ha añadido algunas opciones interesantes. En concreto, hay que destacar tres nuevas opciones para mejorar la seguridad del uso de las protecciones Latch en la protección de cuentas, que después del caos de Heartbleed, es más que recomendable que lo utilices en todos los sitios en que te sea posible. Puedes descargar la nueva versión desde App Store en la siguiente URL: Latch para iOS.

La primera de las opciones a destacar es la posibilidad de que en la configuración se pueda seleccionar que el sistema avise cuándo se haya accedido a una cuenta y el Latch estuviera desbloqueado. Esto permitiría detectar si hay más de un acceso a cada una de las cuentas mediante una nueva alerta.

Figura 1: Latch para iOS versión 1.3

También se ha mejorado la alerta que avisa de que se ha producido el despareado de una cuenta de Latch de uno de los servicios. Es recomendable que este despareado sea protegido con una operación, tal y como se explica en este artículo de Latch para Django, Demonios, Secretos y Despareado Seguro. Además, la última opción que se ha añadido ha sido la posibilidad de forzar un cierre de sesión automático.

domingo, 13 de abril de 2014

Fue Noticia en Seguridad Apple: 31 de Marzo a 13 de Abril

Una vez más, como hacemos cada dos semanas desde hace ya años, aquí estamos en esta sección de Fue Noticia en Seguridad Apple para volver la vista atrás y dar un breve repaso a todos los posts que se han publicado en este blog durante este periodo, junto con las recomendaciones de lectura de otros posts de otros blogs que no hemos tratado.

Empezamos con el lunes 31 de Marzo hablando de una vulnerabilidad que afecta a OS X 10.9.2 y Safari 7.0.2, permitiendo realizar una DoS remota explotando un bug de los controles de memoria de funciones relacionadas con expresiones regulares.

Al día siguiente nos despertamos con una noticia realmente sorprendente con el objeto de sumarnos al día de los inocentes americanos: la intención de Boeing de militarizar la tecnología de Apple debido a las increíbles propiedades aerodinámicas de los MacBook Air. Boeing pretendería utilizar esta tecnología para, entre otras cosas, el desarrollo de drones. Algo que nos pareció muy gracioso.

A mitad de semana, con motivo del April fools' day, hicimos un breve repaso de las mejores "inocentadas" publicadas, como el Selfie bot, el soporte de LinkedIn para añadir mascotas y sus habilidades, o la compra de iFixit por parte de Apple.

El jueves retornamos a la seriedad con una buena noticia desde el punto de vista de seguridad: dos actualizaciones de Safari que cerraban 27 CVEs, poniendo punto y final a vulnerabilidades que permitían, por ejemplo, inyectar una shellcode en la memoria del proceso del navegador desde una web maliciosa.

El viernes 4 descubrimos un bug en iOS 7.1, que permite a una persona con acceso al dispositivo deshabilitar el servicio Find My iPhone sin tener las credenciales que a priori se necesitan, y de esta manera imposibilitar el tracking del teléfono.

Para comenzar el fin de semana os presentamos una sencilla forma de conocer el consumo de datos de la conexión los servicios del sistema y de Siri así como medir las consecuencias que puede tener para nuestro bolsillo su uso fuera de nuestras fronteras.

El domingo una nueva patente por parte de Apple fue la temática del post. En este caso, la extracción segura de tarjetas SIM en dispositivos. Esto podría tener importantes implicaciones de seguridad, porque recordemos que es en la SIM donde se almacena la clave privada de cifrado de cada usuario y se busca que los ladrones tengan aún más difícil reutilizar los iPhone robados por los amigos de lo ajeno.

Nueva semana y noticia 'ecológica' para comenzar con buen pie. Según un estudio llevado a cabo por la organización GreenPeace, Apple iCloud es el servicio cloud más eficiente y limpio desde el punto de vista de consumo energético, y por tanto el más respetuoso con el medio ambiente.

El martes 8 descubrimos cómo un estudiante de informática logró falsificar tarjetas de embarque para Passbook, el gestor de tarjetas virtuales de Apple, para así volar gratis por toda Europa.

Un día después, presentamos una técnica para hackear Mac OS X a través de  un conector Thunderbolt con un simple FPGA, haciendo posible que, por ejemplo, una contraseña siempre se de por buena en el proceso de autenticación local.

El jueves toco hablar de Heartbleed, la gravísima vulnerabilidad que afecta a varias versiones de OpenSSL para saber si te afecta en tu equipo OS X.

Para terminar el repaso, el termina con los avisos de actualizaciones de productos Apple para XCode 5.1.1 y sobre todo para Microsoft Office 2011 para Mac Update 14.4.1 que soluciona 3 CVEs de nivel de severidad crítico, que deberían ayudarte a mantener tu sistema operativo lo mas protegido posible.

Hasta aquí el resumen de todo lo publicado, pero aquí os dejamos la lista de otros artículos en otros blogs que creemos que no debéis dejar pasar en este periodo:
- Fácil fallo en Google Chrome para Windows y para Mac OS X permite que un servidor web te escuche: Utilizando las funciones de Speech Recognition, un programa en HTML5 podría escuchar todo lo que dice un usuario forzándole a hacer un clic en la web. Un bug que se suma al fallo de seguridad al no advertir del envío de contraseñas en URLs. 
- Quizás el contrato más importante de la historia de Apple: Nuestros amigos de Cyberhades - autores del libro de Microhistorias - nos traen la anécdota del contrato entre Apple y Shepardson Microsystems para conseguir terminar Mac OS a tiempo con soporte para el acceso a disqueteras. 
- Plugin de HeartBleed para Metasploit: Pablo González, autor del libro de Metasploit para Pentesters nos trae una descripción de cómo cargarlo y cómo se utiliza en el framewok de explotación por excelencia. 
- El AMSTRAD CPC 464 cumplió 30 años en el mercado el pasado 11 de Abril de 2014. Un recuerdo para todos los que aprendieron informática con estos Z80 con cinta y monitor en fósforo verde. 
- SCCAID, Cambio de contraseñas automático: En Security By Default nos hablan de esta herramienta que permite cambiar de forma automatizada todas las contraseñas de tus servicios online. Con panic button controlado por Latch, si lo quieres. 
- Proteger tu cuenta de Shodan con Latch: En el blog de Eleven Paths nos enseñan cómo configurar la protección Latch en una cuenta del popular buscador Shodan. Hazlo con la tuya.
Y esto ha sido todo, os esperamos dentro de dos semanas en esta sección y cada día en los artículos publicados en Seguridad Apple.

sábado, 12 de abril de 2014

Actualización Crítica de Microsoft Office 2011 for Mac

Microsoft ha publicado en el Security Bulletin MS14-017 la lista de versiones afectadas por 3 bugs con CVEs de nivel de severidad Crítico, al existir exploits públicos para conseguir ejecutar código remoto en las máquinas vulnerables. Entre la lista de software afectado se encuentra Microsoft Office 2011 para Mac, por lo que urge aplicar la actualización de seguridad.

Figura 1: Lista de software vulnerable

Dicha actualización de seguridad ha sido publicada vía Microsoft AutoUpdate con el código de Microsoft Office 2011 fro Mac Update 14.4.1 y también está disponible en la web de descargas de Microsoft para Mac.

Figura 2: Actualización de Microsoft Office 2011 for Mac Update 14.4.1 en Microsoft AutoUpdate

Las vulnerabilidades tienen los códigos CVE-2014-1757, CVE-2014-1758 y CVE-2014-1761, y pueden ser explotadas con ficheros maliciosos especialmente creados para ello, lo que les permitiría tomar el control de la máquina. Si usas MicroSoft Office para Mac actualiza urgentemente tu software.

viernes, 11 de abril de 2014

Sale Apple XCode 5.1.1 con solución de bugs pero sin CVEs

Apple ha liberado el pasado jueves la última versión de XCode 5.1.1 solucionando algunos errores que habían sido reportados y aplicando mejoras de estabilidad a la herramienta de desarrollo apps iOS y de aplicaciones para OS X de Apple.

Sobre las correcciones llevadas a cabo en la actualización la más importante es la de que se marca como erróneas las pruebas unitarias que realmente si habían pasado las pruebas. El resto se puede resumir en:
  • Otro bug corregido es el código errático introducido por el compilador en determinadas circunstancias, en otras palabras ha mejorado la generación de código.
  • Otros errores solucionados eran un problema en el componente Interface Builder y como éste mostraba ciertas cosas.
  • Se corrigió un fallo en el código compilado cuando se hacía uso de iOS 5.1.1.
  • Corrección de otros errores en el compilador. 
Para llevar a cabo la instalación de la actualización se puede utilizar la vía de "Actualización de Software", en el caso de disponer de una versión antigua del sistema operativo, OS X Lion o anteriores. En este caso la actualización será de unos nada despreciables 2,18 GB. Si dispones de un sistema operativo superiror al indicado podrás obtenerlo a través de la Mac App Store.


Entrada destacada

Proteger tu cuenta de Google y de Gmail con Latch Cloud TOTP #Latch #Gmail #Google

La semana pasada se liberó la nueva versión de Latch y nuestro compañero Chema Alonso hizo un repaso de todo ello en su artículo Latch ...

Otras historias relacionadas

Entradas populares