Skype elimina versiones antiguas pero habrá para Leopard

Con el anuncio de Skype de eliminar las versiones antiguas se anunció para descarga la disponibilidad de las nuevas versiones para OS X Snow Leopard 10.6 a OS X Mavericks 10.9, pero no hubo ningún anuncio, ni ninguna versión disponible para descarga de Skype para Mac OS X 10.5 Leopard, lo que llevó a todo el mundo a pensar que se había acabado, de una vez por todas, el soporte de Skype en Leopard, lo que les obligaba a usar la vieja versión hasta que se muriese o buscar otras alternativas.

Pero, según parece esto no va a ser así, y en breve habrá una versión de Skype compatible para Mac OS X Leopard, tal y como cuentan en The Next Web, algo que la cuota de usuarios de Skype en Leopard - que aunque pequeña es existente - ha agradecido.

Figura 1: Al final podrás seguir usando Skype en Mac OS X Leopard pero, ¿es una buena idea?

De todas formas, si eres usuario de Mac OS X Leopard, el que exista o no versión de Skype debería ser el menor de tus problemas, ya que desde hace tiempo el sistema operativo está sin soporte, lo que indica que muchos de los nuevos bugs que han salido desde que se discontinúo el mantenimiento te afectan. Plantéate una migración si vas a usar ese equipo como un herramienta profesional de trabajo.

Signal - Private Messenger: Llamadas cifradas en iPhone

Hace tiempo, el investigador de seguridad Moxie Marlinspike publicó RedPhone para Android, un sistema de comunicación por voz que permitía cifrar las llamadas entre dos dispositivos Android con claves que solo estaban disponibles extremo a extremo. Esta misma solución es la que se ha aplicado a su homóloga en el mundo iPhone, llamada Signal - Private Messenger, que ha sido publicada por Open Whispers Systems, la organización que gestiona el proyecto Free and Open Source detrás de esta app que ya está disponible para usar.

La app permite, además de hacer llamadas cifradas, contar con sistemas de notificaciones push y espera contar un sistema de mensajes de texto cifrado y seguro tal como ya existía en el pasado Secure Text para Android.

Figura 1: Signal - Private Messenger para iPhone

Si quieres probar la app, necesitas contar con un terminal iPhone y un amigo que la haya instalado también para tener a alguien a quién llamar. Conociendo el trabajo que suele hacer Moxie en el pasado con sus sistemas seguro que no te defrauda en la usabilidad ni en el cifrado para evitar los ataques VoIP conocidos.

Skype parchea la vulnerabilidad XSS de la semana pasada

Hace una semana publicamos la noticia de una vulnerabilidad XSS sobre la aplicación Skype, con la que se podría obtener el address book, o libreta de direcciones, de un usuario. Skype ha liberado una actualización de su aplicación de VOIP para el sistema operativo iOS.

Oficialmente no se documenta en la lista de cambios de la actualización, aunque un portavoz de la compañía afirmó que en la versión 3.5.84 de Skype soluciona la vulnerabilidad de Cross Site Scripting que permitía ejecutar código en un dispositivo remoto.

Las últimas versiones de Skype para dispositivos iOS incluyen la tecnología anti-vibración para mejorar la experiencia del usuario en torno al chat de vídeo. Otros cambios que se incluyen en la liberación de esta actualización son el soporte integrado para auriculares bluetooth y la no visualización de publicidad para los ususarios que tienen crédito en su cuenta.

Desde Seguridad Apple recomendamos que todos los usuarios de Skype que dispongan de la versión móvil de la aplicación la actualicen en sus dispositivos con iOS y eviten de este modo el ya famoso XSS de Skype en el nombre de usuario del chat.

XSS en el chat de Skype para iOS permite robar contactos

Si eres uno de los que utiliza Skype en iOS debes extremar las precauciones de seguridad, ya que se ha descubierto una vulnerabilidad de XSS con el que un atacante puede robar la libreta de direcciones con todos los contactos.

Todo lo necesario para explotar esta vulnerabilidad es simplemente un mensaje de chat con el exploit de XSS. Segúnn TechCrunch, el problema fue encontrado por Phil Purviance, quién dice que esta vulnerabilidad fue descubierta hace un mes.

El atacante enviará un mensaje de chat a la víctima mediante Skype, el cual lo estará utilizando en un terminal iPhone, iPad o iPod Touch. Tan pronto como la víctima ve el mensaje, el código "malicioso" empieza a ejecutarse en el dispositivo móvil. El atacante recibirá información, como puede ser la ansiada libreta de direcciones, las cookies, etc. Una vez esa información está en manos del atacante puede sentarse con un café a filtrar los datos y ver lo que ha conseguido. El siguiente video presenta una demostración de como se puede llevar a cabo el proceso del robo de información en Skype.

El fallo es totalmente de Skype, y nada tiene que ver Apple en esta ocasicón. Además, como piropo a los chicos de Cupertino se ha de decir que, gracias a como se ha diseñado iOS, "sólo" determinados archivos, incluyendo la libreta de direcciones, son vulnerables. Skype está trabajando para solucionar el problema de seguridad, el cual esperan atajar de manera inminente con un parche. Skype 3.0.1 y versiones anteriores son vulnerables a este XSS.

¿Cómo se realiza el ataque de XSS?

El problema radica en que Skype no filtra correctamente los nombres de los perfiles de los usuarios, un problema clásico en los chats vía web, por lo que si un usuario malintencionado inserta algo del estilo <iframe src=' ' onload=alert('hola')> (cerrando previamente con > el nombre) cuando inicie un chat con otro usuario ejecutará dicho código sobre el iOS remoto. Sencillo y efectivo, así que ten cuidado.