Menú principal

lunes, 30 de junio de 2014

XSecurity: Plugin de análisis de código estático en XCode

Cuando se desarrolla un app para iOS existen muchos riesgos que deben ser controlados para evitar fallos de seguridad. Para eso, durante los últimos años se ha insistido mucho en las prácticas de desarrollo seguro, teniendo en cuenta los principales bugs que suelen cometer los programadores menos experimentados. Para evitar estos fallos las apps deben pasar por herramientas de auditoría, de análisis dinámico de la app, pero antes de ello deben ser revisadas por una herramienta de análisis de código estático, que revisando el código fuente sea capaz de detectar ciertos defectos en el código.

Estas herramientas, lo ideal es que estén incluidas directamente en el compilador, tal y como hizo hace ya muchos años Microsoft con FXCop dentro de Visual Studio. La idea es que nada más dar a compilar, la herramienta de análisis de código estático busque los bugs directamente en el código fuente y alerte a los usuarios de posibles bugs.

Figura 1: XSecurity alerta de un posible bug en el código al compilar

Esto es lo que se propone desde XSecurity Project, un proyecto de OWASP que se integra directamente dentro de XCode y que conocimos vía SecurityByDefault, para dotar al compilador de una solución integrada de análisis de código estático. La presentación de la herramienta se hizo en AppSec 2014, y puedes ver aquí.

Como se puede ver, lo que intenta es ayudar al desarrollador directamente donde el trabaja, en el compilador, sin necesidad de esperar a que pase por las manos de los analistas y auditores de seguridad de apps. Puedes descargar el plugin para instalar en tu compilador desde XSecurity.

domingo, 29 de junio de 2014

Apple pondrá Touch ID en iPad Air 2, iPhone 6 & iPad mini

Todas las especulaciones de los medios de comunicación apuntan a que durante el próximo mes de septiembre, cuando se rumorea que está la fecha elegida en la que Apple va a presentar sus nuevos dispositivos - se presupone el día 19 de Septiembre -, entre los que presuntamente estarán los nuevos terminales iPhone 6, iPad Air 2 y la evolución a iPad 2 mini, veremos un avance también en el uso de las técnicas de biometría, y en concreto del servicio Touch ID que permite desbloquear el terminal utilizando una huella dactilar en lugar de tener que poner el passcode en todo momento.

El servicio Touch ID estaba solo destinado a terminales iPhone 5S, pero según las especulaciones por la demanda de materiales, parece que en los nuevos terminales todos tendrán disponible el servicio. 

Figura 1: Inserción del sensor biométrico en iPhone 5S

En su momento Touch ID generó mucha polémica en cuanto a seguridad y privacidad, ya que abre la puerta a que alguien pueda forzar a una persona a poner su huella dactilar en el dispositivo para desproteger toda la información. En segundo lugar, el problema de la biometría es que si alguien se hace con tu huella dactilar, se hace con ella para siempre, y vimos como se pudo saltar Touch ID levantando una huella de un objeto.

Figura 2: Patentes de Apple para el uso de biometría en pantallas de MacBook y en iPad

Por otro lado, el uso de Touch ID ha gustado mucho a los usuarios, por la posibilidad de no tener que poner el código nada más que en el arranque o cuando Touch ID haya fallado un número de veces concreto, lo que consigue para algunos el equilibrio entre usabilidad y seguridad justo. Por eso, Apple ha estado apostando por nuevos servicios sobre la biometría y Touch ID tal y como se puede ver en la cantidad de patentes biométricas que ha publicado [Patentes Biométricas 1, Patentes Biométricas 2, Patentes Biométricas 3]

Figura 3: Réplica de iPad Air 2 con inserción del sensor biométrico

Ahora, en las réplicas que se han visto de iPad Air 2, parece que los que han podido ver los productos completos tienen claro que el sensor biométrico vendrá en la línea de iPad, por lo que es más que probable que todos los nuevos terminales acaben usando esta característica, e incluso se extenderá, como hemos visto en iOS 8 para que las apps puedan usar también Touch ID.

sábado, 28 de junio de 2014

Ataque a iOS evita que la víctima actualice el sistema

En la pasada RootedCON 5ª Edición que tuvo lugar en Madrid, Raúl Siles, un conocido investigador en seguridad español, publicó una charla en la que hablaba de cómo mediante un fallo es posible convencer a un dispositivo iOS de que no existe una versión más actual. Este bug se explota mediante un ataque de red man in the middle - por ejemplo aprovechando las características de conexión a puntos de acceso WiFi maliciosos - y manipulando las cabeceras HTTP de la petición de actualizaciones.

El resultado es que desde iOS 5.0 a iOS 7.1.1 se puede convencer a un dispositivo de que no hay nuevas versiones disponibles y dejarlo fijado en esa versión, con todos los bugs que se hayan descubierto sin parchear.

Figura 1: Dispositivo iOS sin actualizaciones de sistema operativo

La presentación y el vídeo han sido publicados por RootedCON en su canal Youtube, y puedes verla aquí mismo. También la impartió en Area 41 en inglés y está publicada en este enlace.


Figura 2: Raul Siles - iOS: Back to the future

Como bien dice Raúl Siles, este bug podría ser explotado en un esquema de APT, sobre todo contra aquellos dispositivos iOS que solo se venden con WiFi y sin conexiones 3G, consiguiendo tenerlo controlado en todo momento a través de Rogue AP WiFi. Merece la pena que disfrutéis de la charla.

viernes, 27 de junio de 2014

Malware hace jailbreak silencioso e infecta terminales iOS

Para instalar un troyano en un terminal con iOS, ya sea iPhone, iPad o iPod Touch, se pueden utilizar diferentes técnicas como están descritas en este artículo de Instalar un troyano en iPhone y cómo se detallan en profundidad en el libro de Hacking iOS: iPhone & iPad. Dentro de las más evidentes se encuentran la de utilizar un provisioning profile con un troyano, técnica que vimos que utilizaba el spyware de FinFisher, o si el terminal tenía realizado el jailbreak, aprovecharse de ello para meter cualquier app maliciosa usando un repositorio no oficial.

Ahora, a través de nuestros amigos de Security By Default hemos visto que Kaspersky se ha tomado con muestras de software de Hacking Team, otra compañía dedicada a crear spyware para gobiernos, que realiza un jailbreak silencioso a los terminales iPhone cuando se conectan a su equipo OS XWindows

Figura 1: Explicación en Kaspersky del funcionamiento del spyware de Hacking Team

Es decir, la víctima es infectada mediante un exploit con un malware para Windows que espera a que se conecte a iTunes un terminal iPhone o iPad objetivo, después, cuando este está disponible vía iTunes y con el passcode desbloqueado, el malware realiza un jailbreak de forma silenciosa e instala el troyano de Hacking Team, llamado Galileo, para controlar todo lo que se hace en el terminal. Vigila que tu dispositivo no tenga hecho el jailbreak, y cuida la seguridad de tu OS XWindows, que puede afectar seriamente a la seguridad de tu iPhone o iPad si lo conectas a él.

jueves, 26 de junio de 2014

Latch para OS X se lanzará el 3 de Julio

Desde que se lanzó el servicio Latch de Eleven Paths, una de las constantes peticiones que se ha hecho ha sido la de poder controlar las cuentas de los sistemas operativos, para evitar que alguien pudiera entrar en el sistema si hubiera sido capaz de hacerse con la contraseña. El próximo día 3 de Julio tendrá lugar el evento de seguridad "Escenarios de seguridad contra atacantes internos con Latch", orientado a dotar a los sistemas de las redes locales de la protección de Latch.

Entre los productos que allí se van a presentar cabe destacar que habrá un lanzamiento de Latch para OS X que permitirá controlar el inicio de sesión con contraseña, la utilización de privilegios dentro del sistema o el desbloqueo de la pantalla.

Figura 1: Evento "Escenarios de seguridad contra atacantes internos con Latch"

Además, se presentará Latch para entornos empresariales con Windows, donde se podrá gestionar el inicio de sesión en el dominio con Latch, incluidas las máquinas con OS X conectadas a él.

Figura 2: Agenda del evento "Escenarios de seguridad contra atacantes internos con Latch"

El evento está orientado a responsables de seguridad, responsables de sistemas o administradores de infraestructura. El registro está disponible en la siguiente URL [Security Day Eleven Paths] y se confirmará la plaza por correo electrónico, así que si quieres asistir, regístrate ahora mismo.

miércoles, 25 de junio de 2014

Campaña de Spam y Phishing activa para robar tu Apple ID

Esta mañana ha llegado a nuestros buzones un correo electrónico perteneciente a una campaña de spam que lleva como objetivo dirigir víctimas hacia una web de Phishing de Apple ID. El correo electrónico avisa de que la cuenta de Apple ID va a ser bloqueada, y viene enviado desde un dominio @live.ca.

Figura 1: e-mail de phishing enviado

Cuando se ha clic en el enlace, lleva a un sitio que re-dirige a una página de phishing que pide los datos de la cuenta de Apple ID para robarlos. Esta técnica es la misma que se utilizó en la campaña de ransonmware de Oleg Pliss, tal y como se subo después cuando los culpables fueron detenidos.

Figura 2: Sitio de Phising de Apple ID activo en Apple Safari

A día de hoy, solo Google Chrome para OS X detecta que este sitio es fraudulento, mientras que Apple Safari y Mozilla Firefox siguen dándolo por bueno. Esperemos que pronto lo marquen como nocivo también.

Figura 3: Google Chrome para OS X lo detecta como malicioso.

Avisa a tus amigos y familiares de este ataque, y si puedes ponte la verificación en 2 Pasos de Apple ID para evitar que si algún día caes en un ataque similar, alguien pueda robarte la cuenta.

martes, 24 de junio de 2014

Jailbreak en iOS 7.1.1: ¿Se lo han robado a Stefan Esser?

Un grupo en hackers en China, conocidos como PanGu, han publicado una herramienta para hacer Jailbreak en iOS 7.1 a iOS 7.1.1 que ya está disponible. Esta herramienta viene en esta ocasión sin malware o tiendas de apps con piratería - recordemos la última controversia con Evsai0n7 y los evad3rs. Pero no viene exenta de polémica.

Figura 1: Jailbreak para iOS 7.1.1 de PanGu 

El popular hacker Stefan Esser ha clamado en Twitter que el exploit clave utilizado para hacer este jailbreak se lo han robado en uno de sus cursos - no es la primera vez que se queja de esto -. Según parece Stefan Esser, en los casi últimos dos años ha estado enseñando y entregando a sus alumnos un exploit que les permitía hacer el Jailbreak, algo que ya había dicho muchas veces en Internet y al que llamaba "mi jailbreak".

Figura 2: Quejas de Estefan Esser en Twitter sobre el robo del exploit

En esta ocasión, uno de los alumnos ha decidido saltarse la regla de confianza y vender este exploit - que se supone ha sido obtenido por una gran suma de dinero - para que se publique, lo que ha hecho que Stefan Esser entre en cólera por Twitter.

Figura 3: Jailbreak para iOS 7.1.1 disponible para Mac OS X y Windows

Lo cierto es que al estar ya publicado, se espera que Apple lo cierre en el próximo iOS 7.1.2 e iOS 8, por lo que es posible que Stefan Esser se haya quedado definitivamente sin "su jailbreak".

lunes, 23 de junio de 2014

Análisis Forense en OS X con SpotLight Inspector

Dentro de la larga lista de herramientas que componen el Arsenal de Black Hat USA 2014 hay varias de ellas para tecnologías Apple. Una en concreto es SpotLight Inspector, una solución para hacer análisis forense y extraer datos de gran utilidad de la base de datos que utiliza la herramienta SpotLight en OS X. Dicha utilidad es una mega-base de datos que indexa todo el contenido del sistema operativo, incluyendo aplicaciones, contactos, documentos y/o correos electrónicos. 

Las opciones de indexación de dicha base de datos se configuran en las preferencias del sistema, y hay una pestaña de Privacidad para indicarle al sistema qué no se quiere tener indexado, pero por defecto se indexa absolutamente todo.

Figura 1: Opciones de indexación de SpotLight en las Preferencias de OS X

La herramienta SpotLight Inspector, que puede ser descargada para OS X proporcionando únicamente un nombre y un correo electrónico, se encarga de analizar dicha base de datos y extraer toda la información que de cada elemento la aplicación SpotLight almacena. Una vez que se arranca, como toda herramienta centrada en el análisis forense, genera un caso nuevo en el que se añaden todas las evidencias posibles.

Figura 2: SpotLight Inspector para OS X

Para conseguir la base de datos de SpotLight hay que tener una copia del volumen e irse a la ruta siguiente a conseguirla. Como se puede ver, solo tiene acceso el usuario root de lectura y escritura, por lo que si quieres probar en tu sistema debes acceder con privilegios y copiar ese fichero.

Figura 3: Ruta de la base de datos de SpotLight en OS X

Una vez que lo tengas se lo pasas a la herramienta, que tardará unos minutos en procesarlo entero para poner los datos de la base de datos en un formato que te sea cómo de procesar.

Figura 4: Añadiendo la base de datos a SpotLight Inspector para su análisis

El resultado es una estructura en la que puedes ver todos los metadatos de todos los elementos que tiene indexado el sistema SpotLight de cada uno de los objetos. Por ejemplo, de los correos electrónicos o las páginas web visitadas hay información casi completa, por lo que si el usuario ha borrado el correo, pero tenemos copias de las bases de datos de SpotLight se podrá seguir contando con esa información.

Figura 5: Metadatos de correos electrónicos extraídos de la base de datos de SpotLight

La herramienta está disponible también para sistemas Windows y Linux tanto para 32 como 64 bits, así que si eres un analista forense ya puedes adjuntar esta utilidad a tu juego de herramientas, que seguro que te viene bien en el futuro.

domingo, 22 de junio de 2014

Fue Noticia en Seguridad Apple: 9 de Junio al 22 de Junio

Como hacemos desde hace mucho tiempo, cada dos semanas volvemos a traeros una recapitulación de todos los posts que hemos ido publicando durante este periodo junto con algunas noticias de otros blogs que os recomendamos leer. El objetivo es ofreceros un rápido vistazo a la más reciente actualidad de los productos de Apple y su seguridad. Vamos con ello desde el lunes de hace dos semanas.

El lunes 9 de Junio hablábamos de las nuevas fotos de iPhone 6 que habían salido a la luz. Se espera que Apple libere el producto después del verano, y la rumorología no hace más que crecer. ¿Serán auténticas?

El martes comentamos una noticia de la que habíaamos hablado con anterioridad. El caso Oleg Pliss y su ransomware a través de Apple iCloud. Los culpables, dos jóvenes rusos, han sido arrestados y se ha desenmascarado su modus operandi. En conclusión iCloud no había sido hackeado y si los Apple ID de los usuarios de dicha zona mediante ataques de phishing localizado.

El miércoles 11 de Junio publicamos un pequeño tutorial de cómo utilizar claves PGP en tu correo de gmail gracias al Add-On webPG disponible para Chrome y Firefox. Con este complemento es realmente sencillo integrar firmas en los correos o proteger la información cifrándola con la clave pública del destinatario.

El jueves vimos como Apple tiene un objetivo claro, y es el de meterse en el mundo de las compras online con el nuevo sistema operativo iOS 8. Por esto, vimos como el nuevo sistema operativo, a través de Safari puede escanear tus tarjetas de crédito con el objetivo de facilitar compras.

El viernes 13 hablamos de qué sistema operativo utiliza Apple para fabricar sus MacBook. Lo curioso del asunto es que no utilizan OS X, sino Windows. Esta noticia no deja de ser una curiosidad, pero ver a Tim Cook visitando la fábrica de MacBook en Estados Unidos y detrás justo un Windows tiene su morbo, y por ello ha saltado incluso a medios de comunicación como la televisión. Si esto pasa con Steve Jobs vivo, alguien sufriría seguro.

El sábado hicimos un "Regreso al pasado" comentando los materiales de marketing que utilizó Apple con los primeros ordenadores que produjeron. Aquí podéis encontrar verdaderas joyas del marketing norteamericano.

El domingo 15 de Junio hablamos de una noticia que puede afectar al mundo de la seguridad en el nuevo sistema operativo de iOS. Las apps que ejecuten en el nuevo sistema operativo podrán acceder a las contraseñas almacenadas en Safari. La idea es que si un usuario accede habitualmente vía Mobile Safari a una web, y un día después en el futuro decide descargarse el app para iOS8 asociada a esa URL, el programador de la app podrá consultar cuáles son las contraseñas cacheadas para esa URL en Mobile Safari y ofrecerle al usuario la posibilidad de usarlas en la app.

Latch 1.4 para iOS
El lunes, día en el que comenzamos la semana actual de repaso, hablamos de que Latch versión 1.4 estaba ya disponible en la AppStore para su descarga en iOS. Latch es una tecnología de Eleven Paths que permite que pongas "pestillos" digitales a tus identidades para gestionar desde tu app todas tus identidades digitales.  

El martes 17 de Junio hablamos de dos aplicaciones que permiten cifrar con AES las fotografías que se realizan. Estas dos aplicaciones son Photocrypt e Image Crypt. Dos aplicaciones para OS X, y nos han resultado curiosas como método rápido de proteger nuestras fotografías.

El miércoles publicamos la noticia sobre una guía que puede ayudaros a mantener vuestros dispositivos iOS seguros. La guía es del CCN-CERT y son más de 200 páginas dónde nos explican cosas tan importantes como la arquitectura de seguridad del sistema operativo, buenas prácticas en configuraciones del dispositivo para evitar que en comunicaciones podamos sufrir robo de identidades o de información, y muchas más cosas que os recomendamos leer.

El jueves 19 de Junio hablamos de la característica Activation Lock. La noticia es que en Nueva York, Londres y San Francisco el robo de dipsositivos iOS ha disminuido significativamente gracias al uso de dicha característica. Esta característica, cuando el dueño del terminal lo marca como robado, hace que al nuevo poseedor del terminal se le exija que active el dispositivo con la cuenta del dueño, lo que imposibilita su uso hasta que se active.

El viernes le dedicamos la entrada a la alerta desde una empresa británica sobre el uso de cargadores USB no oficiales para terminales iPhone. Su poca calidad hace que un chip importante del dispositivo que controla la carga de la batería, el chip U2 IC se queme, y te cueste más la reparación que el cargador oficial.

Por último, ayer acabamos con la noticia de que Apple está borrando los usuarios que hacen falsas reviews de apps en App Store o Mac App Store, algo utilizado como parte de las campañas de Black SEO para posicionar mejor las apps en las tiendas de aplicaciones. La política de Apple hace que sean eliminadas las cuentas que se detectan como bots o spam.

Hasta aquí todo lo que hemos publicado en Seguridad Apple, pero han pasado muchas cosas durante estas dos semanas y os hemos hecho esta pequeña selección de artículos que debes leerte para estar mucho más informado sobre la seguridad y el mundo de las tecnologías Apple.
- Mozilla publica Firefox 30: Actualiza la nueva versión del navegador en tu OSX. 
- Cómo proteger servidores OpenSSH y OpenVPN con Latch: Tutorial publicado en el Blog de Eleven Paths sobre cómo usar Latch en entornos SSH y VPN para aumentar la seguridad. 
- Rafa Nadal se apunta a programar: Dentro del program Talentum Schools, Rafa Nadal vino a programar con los niños. 
- Parallels trae acceso RDP a iPhone: Nueva herramienta para usar RDP desde iPhone. 
- Abierto el call for pappers de la Ekoparty 10: Quizá la conferencia más importante de hacking e investigación en seguridad abre su CFP para la edición de este año. 
- Apple publica OS X 10.9.4 beta para desarrolladores: Parece que no trae cambios significativos respecto a la versión anterior. 
- Se filtran más piezas del iPhone 6: En este caso la parte de los displays de supuestos iPhone 6 de 5.5 pulgadas. 
- Evento de Escenarios de Seguridad con Latch: Se presentan nuevos plugins de Latch para Windows, Linux y OS X a CSO, CISO, CTO e ITManagers. 
- Los smartphone ya tienen sentido del olfato: En el Blog Think Big nos cuentan el trabajo de unos investigadores de la Universidad que ha dotado de olfato a terminales smartphone.  
- El asesino en serie BTK Killer fue descubierto por los metadatos: Una curiosa historia en el que el análisis informático de un disquete llevó a la detección de un asesino 31 años después de su primer asesinato.
Y esto ha sido todo. Como siempre, nos despedimos de este artículo esperando veros de nuevo dentro de sos semanas en esta sección y cada día en los artículos que publicamos en Seguridad Apple.

sábado, 21 de junio de 2014

Apple borra reviews falsas en App Store y Mac App Store

El posicionamiento de las apps en las tiendas de aplicaciones de App Store y Mac App Store es fundamental para conseguir una buena llegada a los usuarios. Para ello, algunos de los desarrolladores solicitan constantemente revisión de la app por parte de sus usuarios o incluso pagan a gente para que pruebe y revise la app. Sin embargo, hay algunos de los desarrolladores que usan falsos usuarios para hacer falsas revisiones automatizadas y conseguir posicionarse mejor.

De siempre Apple suele borrar estas revisiones falsas en cuanto detecta que son falsas, automatizadas, o forzadas. Algo que los desarrolladores suelen hacer con cuentas creadas especialmente para eso. Este mes pasado Apple ha comenzado a tomarse en serio esto, con el objeto de evitar algún escándalo como el del falso antivirus en Google Play que engañó a muchos usuarios.

Figura 1: Comentarios en foros de desarrollo sobre el borrado de Fake reviews

En los foros, como se puede ver, muchos usuarios han empezado a darse cuenta de que Apple está borrando esas revisiones, lo que ha roto la estrategia de marketing de algunos. En todo caso, esta política revierte muy positivamente en el usuario, así que mientras que el algoritmo de detección de revisiones falsas sea bueno es una buena acción.

viernes, 20 de junio de 2014

Cargadores USB no oficiales pueden quemar tu iPhone

Las historias de muertes con cargadores iPhone no oficiales dieron la vuelta al mundo. Primero fue un ciudadano chino el que murió, pero más tarde hubo otra víctima tailandesa que también fue achacada al uso de cargadores iPhone no oficiales. Apple tomó cartas en el asunto y atacó el problema con dos estrategias. La primera de ellas haciendo un programa de re-emplazo de cargadores iPhone por un coste de unos 10 USD, lo que ayudaría a reducir la demanda de cargadores piratas.

La segunda, añadiendo un control en iOS 7 para el reconocimiento de dispositivos USB oficiales, y así dificultar la proliferación de esos cargadores para iPhone sin certificar. Estas medidas frenaron un poco el uso de cargadores no oficiales, pero aún así muchos usuarios en versiones anteriores, o con cargadores que han conseguido saltarse la detección de cargadores oficiales, siguen usándolos y, sin saberlo, pueden ser los responsables de los problemas de sus terminales iPhone con la batería.

Figura 1: Chip U2 IC fotografiado por MendMyI

La empresa inglesa Memd My i, centrada en la reparación de terminales iPhone & iPad, han publicado un post explicando en detalle que los cargadores piratas USB son los responsables de un error muy común en los terminales iPhone. El fallo es que la batería deja de cargar, y eso es debido a que el cargador no oficial de iPhone no controla correctamente la carga que envía y quema un pequeño chip del terminal iPhone, en concreto el chip U2 IC que se puede ver en las fotos.

Figura 2: El chip U2 IC está al lado del microprocesador A6

Según la empresa, ellos son capaces de repararlo, pero la avería cuesta unos 100 €, más o menos, así que tal vez merezca la pena comprar un cargador homologado u oficial, ya que económicamente parece que puede que no sea del todo rentable ahorrar en cargadores.

jueves, 19 de junio de 2014

Activation Lock reduce significativamente el robo de terminales iPhone en Londres, San Francisco y Nueva York

Desde que en iOS 7 Apple introdujera la característica de Activation Lock en sus terminales iPhone, iPad y los iPod Touch, parece que los ladrones de terminales Apple han perdido interés en este producto. Esta característica, cuando el dueño del terminal lo marca como robado, hace que al nuevo poseedor del terminal se le exija que active el dispositivo con la cuenta del dueño, lo que imposibilita su uso hasta que se active. Este es uno de los riesgos de comprar terminales Apple robados - o en tiendas sospechosas en la DeepWeb -, que ya no solo pueden estar bloqueados por las operadoras que marquen el IMEI del dispositivo como no autorizado, sino que además el sistema no deja funcionar.

Muchos son los comentarios que llegan a este blog de gente buscando como saltarse esa protección, pero hasta ahora lo único que se conoce es el supuesto fallo descubierto en Apple iCloud para hacer un man in the middle y activar el terminal. Aún no se ha hecho público. Según los responsables de seguridad ciudadana de Londres, New York y San Francisco, desde que Apple introdujera esta característica se han visto reducidos los robos de iPhone en un 24 % en Londres, un 19 % en New York y un 38 % en San Francisco, tal y como se explica en el New York Times

Figura 1: Activation Lock

Hay que recordar que el robo de iPhone se convirtió en un negocio muy lucrativo para las mafias - aunque muchos de ellos fueran ladrones que la cagan estrepitosamente -, lo que hizo que la policía tomara cartas en el asunto muy en serio, y que Apple se preocupara de verdad. No hay que olvidar que hasta el primer iPad de Steve Jobs fue robado de su casa, aunque por suerte se pudo detener al ladrón.

miércoles, 18 de junio de 2014

CCN-CERT: Guía sobre seguridad en iPhone

El CCN-CERT ha publicado una Guía de seguridad en dispositivos Móviles: iPhone. Este tipo de guías, en general, ayudan a proteger e informar sobre problemas de seguridad que nos podemos encontrar en el uso de las nuevas tecnologías. El CCN-CERT también ha publicado guías para el resto de los dispositivos móviles.

Las razones para crear estas guías es que las comunicaciones móviles y las nuevas tecnologías están revolucionando la forma en la que pensamos en el trabajo y en la forma en la que hoy día nos comunicamos. Detrás de todo esto también nos encontramos que existen las ciberamenazas. Sabemos que cada día hay más malware y elementos que ayudan a ciberdelincuentes a hacer caja en el mundo digital. Por esta razón, este tipo de guía ayudan a concienciarse y a saber como utililizar correctamente estos dispositivos para estar en un grado de seguridad aceptable.

Figura 1: Guía del CCN-CERT para gestionar la seguridad de iPhone

¿Estamos seguros con los dispositivos móviles? 

Según los estudios que se publican sobre vulnerabilidades en dispositivos móviles la seguridad es aceptable. ¿Por qué aceptable? Existen mecanismos y formas de protegerse, y cuando se realiza un jailbreak o rooteo de algún dispositivo se ha necesitado encadenar algunas vulnerabilidades para romper la protección. Esto es un indicador claro de que las cosas no se están haciendo mal en el mercado de los sistemas operativos móviles. Aunque, como todo en la vida para gustos los colores y sabemos que algunos fabricantes hacen más hincapié en la seguridad que otros.

Aunque los sistemas operativos son más robustos, siempre y cuando se encuentren bien configurados y no se eliminen capas de seguridad por parte del usuario, hay que recordar que el eslabón más débil es el propio usuario. Por ejemplo, los casos de phishing siguen existiendo y toman nuevas formas para aprovecharse de los elementos disponibles.

¿Qué podemos encontrar en la guía?

La guía presenta diferentes capítulos, de los cuales enumeramos una síntesis a continuación:
  • Actualizaciones del sistema operativo. 
  • Modelo y arquitectura de seguridad de iOS. Este apartado es realmente interesante para las perosnas que quieren saber como funciona y gestiona la seguridad del sistema operativo. También se explica el uso de la sandbox dentro del sistema operativo.
  • El iPhone en la empresa. En este apartado se especifican soluciones para integran al dispositivo en la organización. Fundamental para los departamentos IT. 
  • Detalles sobre el acceso al físico. Qué cosas se tienen que tener en cuenta, por ejemplo el uso de un Passcode, el pin de la tarjeta, vulnerabilidades conocidas para desbloquear el dispositivo, en función de la versión de iOS, etcétera.
  • Cifrado de datos en el sistema operativo. Se detalla como se explica, y qué áreas se diferencias: aplicaciones, almacenamiento interno del sistema operativo, datos, etcétera.
  • Gestión de certificados digitales y credenciales en iOS. 
  • Localización geográfica. 
  • Seguridad en comunicaciones. Aquí se trata todo tipo de escenarios, desde un entorno Wi-Fi, Bluetooth, pasando por 2G/3G hasta una comunicación USB.
  • Seguridad en aplicaciones del propio dispositivo, en otras palabras, configuración para el gestor de correo, Safari, Find My iPhone, Siri, etcétera.
Más de 200 hojas de guía la cual recomendamos que se descargue y que se haga una lectura para comprender los riesgos y soluciones disponibles. Aunque la guía está enfocada a versiones 5.x de iOS, muchas de las amenazas y técnicas de hacking de iOS que se reflejan siguen siendo válidas hoy en día.

martes, 17 de junio de 2014

PhotoCrypt e Image Crypt: Cifrado AES de fotos en OS X

De vez en cuando, cuando el tiempo nos lo permite, revisamos el contenido de la Mac App Store en busca de herramientas de seguridad  que sean curiosas o nuevas y que puedan estimularnos mentalmente o ayudarnos en nuestro día a día. En una de esas últimas revisiones de la tienda encontramos las utilidades PhotoCrypt e ImageCrypt, un par de herramientas para OS X que son básicamente la misma solución pero en version Lite o gratuita y completa o de pago y que permiten proteger archivos de formatos de imagen usando un algoritmo de cifrado AES con una clave, que puede ser de longitud variable de 1 a 16 caracteres.

Tras descargar PhotoCrypt, la versión gratuita, probamos con un archivo PNG, en concreto la foto que contaba la noticia del uso de Windows para hacer MacBook. La usabilidad es extremadamente sencilla y puede verse que más o menos el archivo queda irreconocible al ojo.

Figura 1: Uso de PhotoCrypt en OS X. Foto sin cifrar y foto cifrada.

Sin embargo, al probar con diferentes contraseñas de diferentes tamaños se puede ver como en algunas fotografías se pueden ver los contornos o formas de los objetos que están en la fotografía. Esto es porque el cifrado del archivo se hace con la contraseña pero con fragmentos de la fotografía, así que si hay zonas que son más o menos iguales, acabarán dando resultados gráficos más o menos iguales.

Figura 2: La misma imagen cifrada con dos contraseñas distintas

Desde luego, no es lo mejor cuando se quiere proteger un contenido, ya que un atacante podría reconocer un color en un pixel y hacer un ataque de fuerza bruta al sector de la fotografía cifrado con esa clave y probar todas las combinaciones de passwords de 1 a 16 caracteres - o al menos una gran parte de ellos - para sacar la original. Dicho esto, para una protección del día a día puede que sea más que suficiente.

Figura 3: ImageCrypt en la Mac App Store

La versión completa de la app, llamada ImageCrypt, viene acompañada con el soporte de un número mayor de formatos, solo por si fuera una solución útil para ti.

lunes, 16 de junio de 2014

Latch 1.4 para iOS disponible en la App Store

El viernes de la semana pasada Apple aprobó la actualización de Latch 1.4 para iOS, que ya puedes descargarte desde la AppStore. Latch es una tecnología de Eleven Paths que permite que pongas "pestillos" digitales a tus identidades para gestionar desde tu app - sin compartir ningún usuario, ni contraseña, ni dato personal - todas las identidades que ya soporten esta medida de seguridad (ya son más de 1.300 los sitios integrados). Esta nueva versión ha sufrido mejoras en su diseño para conseguir que la usabilidad sea aún mejor, por lo que se han hecho cambios que debes conocer para que saques lo mejor de ella.

En primer lugar se ha hecho que el Latch que aparece en el Dashboard principal cierre los latches de todas tus identidades digitales, permitiendo que cuando se haga el unlock, todo quede como estaba antes de que se cerrase. Para dejar claro que está todo cerrado, en el momento en que se aplica el latch, no es posible modificar ninguno de los latches por debajo. Además, en la parte de configuración de un latch concreto, se ha hecho que el autobloqueo y la programación sean autoexcluyentes, evitando cualquier confusión sobre cómo se encuentra un latch en un instante de tiempo. También se ha añadido un nuevo icono en el latch que permite visualmente saber que está configurado con programación.

Figura 1: Latch 1.4 para iOS disponible en la AppStore

Por último, para no tener que configurar de uno en uno los autobloqueos, ahora se ha pasado a settings globales la configuración del tiempo de autobloqueo que es común para todos. Desde cada Latch solo se debe seleccionar si se quiere activar o no el autobloqueo. Si quieres comenzar a utilizar Latch en tu vida digital, en este artículo tienes un paso a paso sobre cómo crearse la cuenta de Latch, y cómo poder utilizar la herramienta en un buen número de sitios.

domingo, 15 de junio de 2014

iOS 8: Apps podrán usar passwords guardadas en Safari

Poco a poco vamos conociendo más novedades de iOS 8. En este caso otra peculiaridad con la seguridad de las apps que nos ha llamado la atención. En este caso se trata de una característica que le permitirá a una app usar una contraseña guardada en Apple Mobile Safari para una determinada URL. Dicho así, seguro que a muchos de vosotros os habrán saltado todas las alarmas, y no es para menos, pero esperemos que esté bien diseñada y no tengamos ningún problema en el futuro con apps maliciosas que quieran robar las passwords cacheadas en el navegador del terminal.

La idea es que si un usuario accede habitualmente vía Mobile Safari a una web, y un día después en el futuro decide descargarse el app para iOS8 asociada a esa URL, el programador de la app podrá consultar cuáles son las contraseñas cacheadas para esa URL en Mobile Safari y ofrecerle al usuario la posibilidad de usarlas en la app.

Figura 1: App en iOS 8 accediendo a una credencial cacheada en Apple Mobile Safari

Se supone que el usuario será informado de este hecho por una alerta, tal y como muestran en MacRumors, pero estas cosas de mezclar tanta usabilidad con la parte de seguridad del sistema siempre acaban por darnos cierto respeto. ¿Podrán las apps solicitar las cuentas de Facebook en lugar de solicitar una autorización OAuth? Veremos.

sábado, 14 de junio de 2014

Materiales de marketing de los primeros Apple Computer: Apple I, Apple II, Apple IIe, Apple III, Lisa y Macintosh

No es la primera vez que hablamos de Computer History Museum, un sitio centrado en recuperar para la memoria colectiva todos lo relativo al nacimiento de la informática en todas sus facetas. Ya les dedicamos una entrada cuando fueron capaces de recuperar el código fuente del sistema Apple II y ponerlo a disposición para todo el mundo. Uno de los principales activos que están recuperando son los materiales de marketing para la memoria, donde sorprende ver cómo eran los brochure de producto de equipos como UNIVAC o PDP-11 para la empresa. Piezas de coleccionista que sin duda disfrutarás revisando.

El sitio recoge los materiales desde los años 50 hasta principios de los años 80, y por supuesto Apple tiene su hueco dentro de la lista de elegidos que crearon la industria tal y como la tenemos hoy en día.

Figura 1: Manual de Operación del Apple I

Entre la lista de materiales de marketing que se puede consultar de Apple están disponibles los siguientes documentos para descarga y estudio de las nuevas generaciones de estrategas en la venta de productos informáticos:
- 1976: Apple I - Operation Manual
- 1977: Apple II - Simplicity is the ultimate sophistication: Introducing Apple II, the personal computer
- 1980: Apple III - Information Analyst More Than a Worksaver
- 1982: Apple IIe - The Apple IIe Personal Computer System
- 1983: Lisa - Apple Invents the Personal Computer. Again
- 1984: Macintosh - Selling Guide
Además de estos productos, podrás ver catálogos de juegos que se vendían para equipos Apple, como los de Broderbund Software, donde verás cómo era la diversión de nuestros mayores cuando aún eran niños, o te traerá muchos recuerdos de tus años jóvenes, que seguro que más de uno de vosotros - como nos sucede a nosotros - ha tocado uno de ellos en algún momento.

viernes, 13 de junio de 2014

Para hacer los MacBook con OS X Apple utiliza Windows

Desde luego los chicos de Microsoft se están frotando las manos con esta campaña de promoción inesperada que le ha llegado de manos de su eterna némesis Apple, en la que en la foto de la visita de Tim Cook a una de sus fábricas se puede ver en el fondo un equipo con un Windows.

Figura 1: En la fábrica de Apple en Estados Unidos se usa Windows

Sí, es así. A día de hoy Windows sigue siendo muy útil para muchas cosas por lo que hasta la propia Apple aún tira de la vieja competencia en sus procesos internos. Al final, es tecnología para hacer negocios y hay que dejar las guerras aparte. Business es Business, ¿no?

jueves, 12 de junio de 2014

Apple Safari en iOS 8 escaneará tus tarjetas de crédito

Es más que evidente que Apple ha definido un claro objetivo para la nueva versión de su sistema operativo móvil iOS 8 metiéndose en el mundo de las compras online a través de la usabilidad. Hoy vamos a analizar una funcionalidad que, sin ser tan impactante como HealthKit, HomeKit, Swift y las demás novedades en seguridad que trae consigo iOS 8, resulta realmente interesante. Nos referimos a la posibilidad que ofrece Safari en iOS para escanear tarjetas de crédito.

Muchas veces, cuando queremos realizar un pago en Internet, nos vemos en la necesidad de introducir el número de tarjeta de crédito, tarea susceptible a errores y que puede hacerse bastante tediosa. Apple ha puesto fin a este inconveniente. Ahora, cuando se muestre un formulario de datos bancarios en pantalla, aparecerá la opción Scan Credit Card. Si el usuario la selecciona, se le pedirá que proporcione permisos para utilizar la cámara trasera del iPhone, así como para acceder a la lista de contactos. Una vez superado el trámite, la cámara del dispositivo se activará, lista para escanear la tarjeta y rellenar automáticamente los campos, de una manera muy similar a como se introducen los códigos de las tarjetas regalo en iTunes.

Figura 1: Scan Credit Card en Apple Safari para iOS 8

Su uso es muy sencillo. Basta con encuadrar la tarjeta en el marco que muestra la pantalla del dispositivo, y el software de reconocimiento de caracteres de Apple hará el resto. Además, la aplicación intenta asociar los números de tarjeta con las personas de la lista de contactos del usuario. Obviamente Apple es consciente de las posibles amenazas de seguridad de este sistema, por lo que no se automatiza todo el proceso de compra. Como medida de precaución, es necesario introducir manualmente el CVV (los tres dígitos de seguridad de la parte posterior de la tarjeta) para validar cualquier operación.

No cabe duda de que Apple está buscando llevar al extremo la facilidad en los pagos. Es posible que esta nueva tecnología pretenda allanar el camino para iWallet, que como ya vimos hace un tiempo, promete cambiar la forma de realizar transacciones en las tiendas. Eso sí, no parece que vaya a usar por ahora NFC... mala noticia.

Entrada destacada

Proteger tu cuenta de Google y de Gmail con Latch Cloud TOTP #Latch #Gmail #Google

La semana pasada se liberó la nueva versión de Latch y nuestro compañero Chema Alonso hizo un repaso de todo ello en su artículo Latch...

Otras historias relacionadas

Entradas populares