Trucos y consejos para fortificar la seguridad en tu iPhone

Los Smartphones de Apple son de los más seguros en el mercado, pero muchas veces la seguridad no depende solo del sistema operativo o del dispositivo en sí. Por desgracia el punto más débil de nuestros Smartphones somos nosotros, en la mayoría de los casos podremos prevenir un ataque teniendo un poco de cuidado. Algunos de los malos hábitos más comunes a la hora de manejar nuestro teléfono son pinchar en enlaces que nos envía gente que no conocemos, instalar software de desconocidos, utilizar la misa contraseña en todas nuestras cuentas, no disponer de two-step verification en nuestras cuentas o simplemente conectarnos a una red wifi publica.

Para paliar los posibles daños y ayudarnos a mejorar la seguridad en nuestros dispositivos, Apple pone a nuestra disposición una gran cantidad de herramientas que si sabemos cómo usarlas hará que nuestro iPhone sea mucho más seguro, a continuación os daremos una serie de consejos o trucos para fortalecer la seguridad de vuestros terminales:

• Disponer de una buena contraseña: las contraseñas son el punto más importante de la seguridad en tu dispositivo, es recomendable utilizar una contraseña alfanumérica ya que es más segura y será requerida cuando fallen los sensores biométricos.                                                                       
• Antirrobo de Face ID y Touch ID: estos dos controles biométricos están en nuestros dispositivos para hacer que desbloquearlos sea más rápido y fácil, por eso mismo también cuentan con un mecanismo antirrobo que los desactivará pulsando una serie de botones cuando el teléfono esté bloqueado.                                                                                                                      
• Utilizar un segundo Factor de Autenticación: hoy en día los segundos factores de autenticación son vitales para proteger nuestras cuentas ya que será necesario introducir un token de 6 dígitos además de contraseña para acceder a tu cuenta.                                                                                
• Auto bloqueo: a veces puede resultar tedioso que el móvil se bloquee tras 30 segundos de inactividad, pero esto minimiza las posibilidades de que alguien acceda a tu dispositivo.

Figura 1: Configuración de autoborrado en iPhone

• Configurar un borrado de datos: desde hace un tiempo Apple ofrece a sus usuarios la posibilidad de borrar sus datos si alguien introduce mal la contraseña 10 veces seguidas, puede parecer una locura, pero si haces backups regularmente no debería suponerte ningún problema.   
• Find My iPhone: es una función que te permite permitirá localizar tu iPhone en caso de pérdida o robo, también podrás eliminar tus archivos remotamente.                                                                  
• Protección de tu localización: por defecto los dispositivos Apple obtienen información de donde te encuentras, esto puede ser útil a veces pero hay algunas aplicaciones que no necesitan permisos para obtener tu localización aunque los soliciten.                                                                   
• Control de pago: si puedes realizar pagos desde tu dispositivo y no tienes configurada la opción de que te solicite autorización cualquiera podría hacer compras desde tu móvil.                                   
• Quien está leyendo: la app de mensajes permite configurar un auto borrado de los mensajes con mayor antigüedad a 30 días, esto puede ser muy útil si pierdes el móvil y alguien logra desbloquearlo. 

Figura 2: Mensajes en la pantalla de bloqueo de iPhone

• Bloqueo de pantalla: es común que los iPhone muestren los mensajes en la pantalla de bloqueo, esto puede ser útil, pero cualquier persona cercana podrá leer tus mensajes.                                        
• Controla los anuncios: hace un tiempo Apple implemento Ad Tracking, una herramienta que te permite bloquear los anuncios ya que algunos pueden ser maliciosos y conducirnos a páginas fraudulentas.                                                                                                                                       
• Utiliza una VPN: Todo tu tráfico de internet se realiza a través de servidores que pueden ser monitoreados, para mejorar la seguridad en tu navegación puedes utilizar una VPN que encripte tu actividad en la red para estar más seguro.                                                                                
• Reciclado: si quieres reciclar tu teléfono o dárselo a alguien cuando no lo vayas a usar más asegúrate de haber borrado todos tus datos y contenido de él, no es raro que al comprar un iPhone de segunda mano no pare de solicitarnos la contraseña de Apple ID del anterior propietario.

Nos volvemos a ver mañana Lunes desde Seguridad Apple con toda la actualidad del mundo de la manzana.

Este verano no te olvides de proteger tu smartphone

Los teléfonos y dispositivos móviles se han convertido en un objeto indispensable en nuestra vida diaria. Desde gestionar servicios de banca, realizar compras, compartir fotos y videos en los medios sociales hasta ver series y películas desde algunas aplicaciones, se podría decir que existe una aplicación para cada aspecto de nuestra vida. Los dispositivos móviles son demasiado valiosos para dejarlos desprotegidos, la seguridad ha pasado de ser algo opcional a convertirse en un deber. Si ya has perdido algún móvil y con él el contenido que este tenía sabrás que es un autentica molestia y un gran gasto de tiempo tratar de recuperar el máximo de archivos posibles.

Independientemente de sistema operativo que utilices habitualmente, has de saber que cada distinto ecosistema móvil tiene sus puntos fuertes y sus debilidades. Tanto iOS como Android disponen de aplicaciones dedicadas a la seguridad integradas en su SO. Esto crea una capa entre las aplicaciones y los datos personales del propietario. A pesar de ello ambos sistemas se han visto expuestos a ataques con virus y malware, por eso es importante que como usuarios prestéis atención a las noticias sobre cómo mejorar la seguridad en vuestros dispositivos. Normalmente en cuanto una vulnerabilidad se hace pública ambos sistemas desarrollan un parche para arreglar esas brechas lo antes posible. La diferencia clave entre los dos sistemas es su grado de accesibilidad.

Figura 1: Distintas aplicaciones de seguridad.

En los sistemas Android es sencillo para los desarrolladores acceder al código fuente, ya que este es open source facilitando así la creación de software especializado. En cambio Apple es un sistema cerrado haciendo que su software no este al alcance de todos los usuarios. Donde mas notable es esta diferencia es en las tiendas de aplicaciones. En la App Store todas la aplicaciones que encontramos han sido verificadas por los desarrolladores, al contrario que en la Play Store de Google. Estos sistemas operativos no solo están controlando dispositivos móviles, también controlan un segmento de la tecnología llamado Internet of Things (IoT). Cada vez más dispositivos están siendo controlados por Android e iOS. Los Smartwatches, asistentes de hogar (como Google Home o Homepod), algunos dispositivos de entretenimiento (Chromecast, Apple TV…) se encuentran alrededor nuestra escuchando y listos para acatar nuestras instrucciones y hacernos la vida más fácil.

Formas de proteger tu macOS contra el Ransomware

La entrada de hoy la dedicamos a enseñar formas de proteger tu Mac contra el malware, por desgracia, de moda, el ransomware. Ya hemos visto con anterioridad como el ransomware existe en malware con el caso del ransomware que no descifraba aunque se pagara, el KeRanger que afectó a Transmission o el caso de Mabouia y Gopher. Hoy hablaremos de cómo protegernos para evitar que este tipo de malware afecta a nuestro equipo, nuestra red y nuestros archivos. 

En primer lugar, debemos tener el software del sistema operativo y aplicaciones actualizado. Esto es importante ya que por este motivo pueden darse situaciones de aprovechamiento para ejecutar código o de propagación del malware. Hay que asegurarse de que las medidas de seguridad configuradas en el equipo están correctamente actualizadas y configuradas. Otra medida a tener en cuenta es la utilización de backups. Es algo fundamental para, en el caso de tener un episodio de ransomware, poder salir adelante, simplemente restaurando la información. Por supuesto, el backup no debe estar accesible desde la máquina, por que el ransomware podría propagarse hacia el backup y afectarlo.

Figura 1: Ransomware en Mac

Almacenar los datos de forma segura mediante técnicas de cifrado, por ejemplo FileVault2, y tener controlados los dispositivos que se utilizan en el equipo es importante. Si se comparte el Mac con Windows Boot Camp hay que fortificar el Windows igual que haríamos con el Mac. Es de vital importancia controlar estos aspectos. Tomando estas medidas se rebaja exponencialmente la forma en la que un ransomware puede afectarnos en nuestra vida digital.

Eleven Paths Talks: Asegurando los Host (modo paranoico)

Hoy 11 de Mayo tenemos una nueva sesión de Eleven Paths Talks con nuestros compañeros Arsene Laurent y Gabriel Bergel. El talk tratará sobre el modo paranoico y cómo proteger los host. Las protecciones a nivel de red, de aplicaciones y hasta de servidores son una práctica que la mayoría de las empresas medianas y grandes han tomado por estos tiempos. En cuanto a la seguridad en las estaciones de trabajo el panorama es bastante distinto y es frecuente el encontrarse durante una auditoría de seguridad con equipos muy poco protegidos.

La gran mayoría de las empresas han dedicado esfuerzos a la protección contra el malware y contra la falta de parches de seguridad automatizando sus actualizaciones, pero son muy pocas las que realmente se han dedicado a analizar los riesgos a los que una organización podría exponerse por la falta de una adecuada protección. En este webinar hablaremos de cuáles son los principales riesgos a los que se enfrenta una organización, tanto por parte de un atacante externo como por parte de un insider o empleado descontento.

Figura 1: Eleven Paths Talks

La sesión comenzará a las 15.30, hora española. El talk dura unos 50 minutos, divididos entre 10 minutos de comentarios sobre noticias interesantes relacionadas con las diferentes temáticas, 30 minutos de debate entre dos de nuestros CSA y 10 minutos sobre consejos y herramientas. Se publicarán en nuestro canal de Youtube. Si te perdiste algún capítulo de la primera temporada o de la segunda temporada puedes revisarlos en el canal de Youtube de Eleven Paths. Además, no pierdas la ocasión de exponer tus ideas y hablar con otros usuarios en la Community de Eleven Paths ¡Te esperamos!

Ya puedes ver la presentación de Apple en BlackHat USA 2016

Ya se ha publicado el vídeo de la presentación que Apple hizo en la conferencia Black Hat USA 2016, donde de forma inesperada Apple anunció públicamente la apertura de su programa de Bug Bounty - al que se puede participar solo por invitación -. Eso sí, hay otros programas que pagan más y están abiertos a todo el mundo. El vídeo está disponible en Youtube y lo tienes aquí mismo para que puedas verlo.

Figura 1: Behind de Scenes of iOS Security

Además, tienes el resto del material de las presentaciones de BlackHat disponibles online. Merece la pena estar una hora escuchando la presentación y las reacciones del público en esta primera presentación de Apple ante la comunidad de investigadores de seguridad después de tantos años de "desafortunados encuentros".

OSX Config Check: Comprueba el "hardening" de tu OSX

Apple ha ido evolucionadno su mensaje sobre la seguridad, el malware y otros tópicos del día a día. Antiguamente el mensaje de la no existencia de malware para Mac tuvo que ser cambiada por un sistema construido para ser seguro. El mensaje, claramente, no era lo mismo. Hoy hablaremos de cómo los usuarios de Mac cada día ven más necesaria la seguridad sobre sus sistemas y para verificar cómo es de buena la seguridad de su sistema tenemos el script OSX-Config-Check. Este script reúne diferentes pruebas, más de un centenar, a modo de checklist y es capaz de generar un informe o log con los resultados de dichas pruebas.

Este script es similar al de Lynis para entornos GNU/Linux. El script se basa en comprobar la correcta configuración de las medidas de seguridad que el propio sistema nos proporciona. El script se encuentra escrito en Python y comprueba hasta 103 configuraciones en la actualidad. Lo más interesante es que, aparte de auditar el sistema, nos ayuda a cambiar las configuraciones no seguras para que se ajusten a las buenas prácticas de seguridad. Esto hace que ejecutar, al menos una vez, este script en nuestro OSX sea algo obligatorio. La ejecución de la aplicación es tan sencilla como python app.py.

Figura 1: Ejecución de la aplicación

Este script automatiza las recomendaciones que se pueden recoger en el proyecto OSX Security and Privacy Guide, el cual está disponible en Github. Este proyecto es una gran colección de buenas prácticas relacionadas con la seguridad en OSX. Como se puede ver en la imagen anteiror, se van realizando pruebas sobre el estado de las preferencias del sistema, es decir, si está cerrado o no, si el usuario actual no es una cuenta administrativa, si el firewall está activo, etcétera. Así hasta llegar a 103 chequeos y comprobaciones que harán que nuestro Mac esté un poco más seguro.

"On Demand" Jailbreak para iOS 9.2 & iOS 9.3.3

Tras la actualización de seguridad de iOS 9.3.3, muchos de los usuarios que tenían instalada una versión anterior de iOS con Jailbreak estaban preocupados. El número y la severidad de los bugs que se han solucionado en la nueva versión han hecho que la comunidad de jailbreakers tenga que moverse rápido.

Para ello, primero salieron tweaks para solucionar los bugs más importantes que afectaban a los usuarios, como el CVE realativo a la ejecución de código remoto en terminales iOS por medio de imágenes TIFF enviadas por iMessage, para lo que salió como workaround TIFF disabler.

Pero lo que ha hecho PanGu, equipo responsable de las últimas herramientas de Jailbreak, ha sido anunciar una nueva versión de su tool para hacer Jailbreak en versiones iOS 9.2 & iOS 9.3.3, que además funciona de una forma muy especial que ellos llaman "On demand Jailbreak". 

Figura 1: Anuncio de disponibilidad de Jailbreak para iOS 9.2 & iOS 9.3.3. por parte de Pangu

La idea es que cada vez que se reinicie el terminal se perderá el Jailbreak, como si fuera una Tethered Jailbreak, pero para volver a tenerlo con Jailbreak el usuario solo deberá ejecutar una app que se instala en el sistema una única vez y que se llama PP. Aún no está disponible la descarga, pero se espera que en unas horas esté disponible en Pangu.io.

iOS 9 y los ajustes de privacidad y seguridad

El famoso blog norteamericano ZDNet ha publicado una guía de buenas prácticas visual para mejorar la experiencia en tanto a la privacidad como a la seguridad en sus dispositivos iOS. Es cierto que con iOS 9 se han añadido nuevas características que permiten mejorar la experiencia de uso en lo que a privacidad y seguridad se refieren. Esta guía visual ofrece información sobre esto de forma totalmente gráfica, dónde se pueden identificar los elementos que hay que configurar para mejorar la experiencia. El sistema operativo iOS 9 viene con una serie de mejoras tanto en seguridad como en privacidad que merece la pena repasar.

Antes de nada hay que realizar la personalización del dispositivo, teniendo en cuenta estas funcionalidades. En la guía se pueden visualizar 15 hitos que podemos ir comprobando y configurando para encontrarnos un poco más seguros y con una mejor experiencia en privacidad. Uno de los clásicos, pero que ha  evolucionado, es el famoso Passcode. Este elemento protege nuestra información cuando el dispositivo está apagado, y cuando éste está bloqueado. Con iOS 9 tenemos la actualización del Passcode más utilizado, el numérico, a 6 digitos. La guía explica cómo configurar el Passcode y como se puede vincular al Touch ID. 

La opción de trackear los sitios recientes puede ser deshabilitada en Ajustes - Privacidad - Localización y ahí se podrá deshabilitar. Además, de limpiar el histórico de ubicaciones. En la imagen se puede visualizar cómo afectaría a la privacidad del usuario.

Figura 1: Geolocalización de lugares frecuentes

Para las aplicaciones que quieren localizarnos o utilizar recursos de nuestro dispositivo se podría desactivar desde Ajustes - Privacidad indicando que aplicaciones pueden o no acceder a datos privados nuestros. En la imagen se puede ver como aplicaciones, como por ejemplo Twitter, pide acceso a los contactos. En el momento que estas aplicaciones tengan acceso a esta información.

Figura 2: Acceso a los contactos

En la pestaña Ajustes - iCloud se puede encontrar la posibilidad de habilitar la función Find My iPhone la cual permite encontrar el dispositivo en caso de pérdida o robo. Es reomendable habilitarlo. La funcionalidad Send Last Location permite enviar la última ubicación cuando el dispositivo se encuentra con batería crítica. Esto puede permitir encontrarlo o rastrear la zona dónde estuvo por última vez activo.

Otra funcionalidad que permite iOS para mejorar privacidad y seguridad es la opción de requerir la contraseña para realizar compras. Se puede configurar para que siempre sea requerida, lo cual es algo más seguro que requerir después de 15 minutos, que es la otra opción.

Figura 3: Requerir contraseña para realizar compras

Respecto a los mensajes de voz es recomendable hacer que expiren con el tiempo. En Ajustes - Messages se puede encontrar la opción de indicar el tiempo que debe transcurrir para que los mensajes de audio expiren. Esto fue introducido en la versión 8 del sistema operativo, pero es algo realmente útil para no dejar perpetuos ciertos mensajes en el dispositivo.

Figura 4: Tiempo para la expiración de mensajes de audio y video

Por supuesto que se habla de otras medidas como el cambio por defecto de la red WiFi del hotspot por defecto, la utilización del Touch ID y cómo se presentan las notificaciones en el dispositivo. Interesante guía que os dejamos para que visualicéis y podáis exprirmir las funcionalidades que aporta iOS para cuidar la privacidad y seguridad.

Gatekeerper: Una extensión del kernel de OS X para mejorar Gatekeeper

En la pasada Virus Bulletin 2015, el investigador Patrick Wardle dio una charla llamada Exposing Gatekeeper en la que explicaba cómo saltarse las protecciones de Gatekeeper en OS X. Los ataques se basan en que OS X Gatekeeper comprueba principalmente el binario que se ejecuta y no las librerías enlazadas con lo que es bastante sencillo para un atacante exponer un binario que pase las verificaciones de seguridad y que luego enlace el código malicioso en una librería dinámica que no será comprobado por Gatekeeper. Las diapositivas de la presentación de Patrick Wardle están disponibles online, y se pueden ver en detalle todas y cada una de las técnicas para saltarse la protección.

Ahora en Reverse Engineering Mac OS X se ha publicado una extensión para el kernel de OS X llamada Gatekeerper que extiende el análisis de Gatekeeper para que se comprueben todas las librerías cargadas dinámicamente. La extensión está disponible en este repositorio de GitHub.

Figura 1: Gatekeerper para el kernel de OS X

En un entorno de máxima seguridad esta protección puede evitar un ataque malicioso pensado para saltarse Gatekeeper, y hay que tener en cuenta que cuando se acabe por migrar el ransomware al mundo OS X, esto va a ser lo primero a por lo que van a ir.

Mi iPhone es mío y las llamadas las atiendo solo yo

Tras muchos años con el mismo número de teléfono son muchas las personas que han conseguido, de una forma o de otra, tener una combinación de 9 números para llamarme. El número de interrupciones en mi vida era tan alto casi como lo son las que tengo por el correo electrónico, así que un día comencé a hacer uso de las funciones de No Molestar en iPhone... y mi vida comenzó a ser un poco más placentera. Desde entonces mi terminal iPhone está siempre en No Molestar y así consigo mantener la atención en las cosas que hago y disfrutar de una comida, una cena o la concentración necesaria para sacar el trabajo.

El modo No Molestar en iPhone está muy pensado, ya que está a tiro de Control Center, basta con darle a la Luna y todo se apaga. Así que tenía a tiro de un scroll up y un tap la configuración que deseara en cada instante. Esto, sumado a todas las precauciones que ya tengo en el terminal para que nadie me lo toque, que son:

- Eliminación de todas las previsualizaciones de mensajes en pantalla bloqueada.
- Eliminación de Siri de la pantalla bloqueada.
- Eliminación de Control de voz con la pantalla bloqueada.
- Eliminación del Centro de Notificaciones con la pantalla bloqueada.

Hasta no hace mucho tenía solo el Centro de Control con la pantalla bloqueada, para hacer uso de esa configuración tan cómoda de No Molestar haciendo tap en la "lunita", pero desde que apareció la forma de robar una cuenta de WhatsApp atendiendo una llamada, además de bloquear los números de teléfono que usa WhatsApp para hacer sus llamadas VoIP y de asegurarme de bloquear mi buzón de voz, decidí que ya era hora de acabar con que alguien pudiera atender una llamada sin que fuera yo.

Figura 1: No Molestar en Centro de Control de iPhone

Desde ese día, el modo No molestar solo se configura cuando se ha desbloqueado el terminal, y para hacerlo cómodo y a la vez seguro, uso Touch ID con un passcode de más de 8 caracteres. Si quiero recibir llamadas, desbloqueo el móvil con mi huella y quito el modo No Molestar. Si no las quiero recibir, bloqueo el teléfono y me aseguro que nadie pueda recibir ninguna llamada, porque no llegarán.

JavaRuleSetter: Cómo evitar la explotación de 0days con Applets Java en OSX

Desde hace años Java ha sido uno de los puntos débiles y con gran cantidad de 0days en el mundo de la informática. En artículos como el de cómo tomar el control de OS X con un exploit de Java, el del CVE-2013-2460: Java Applet ProviderSkeleton, o el del ataque con applet y portal cautivo a un usuario con Metasploit podemos ver la inseguridad que provocan los applets, y la poca confianza que los usuarios van cogiendo en ellos. Desde el laboratorio de Eleven Paths se ha publicado la herramienta JavaRuleSetter, el cual es un firewall para los applets de Java.

La idea es sencilla, utilizando esta herramienta el usuario puede bloquear la ejecución de cualquier applet por defecto, y elegir cuales son los que quiere que realmente se ejecuten en su equipo. En otras palabras, la herramienta configura uan regla por defecto, la cual representa el nivel más alto de seguridad en Java y cualquier applet que quiera ejecutarse debe cumplir los requisitos de esos niveles o estar en la lista blanca.

Figura 1: Configuración de JavaRuleSetter

Por ejemplo, si un usuario quiere utilizar el plugin de keepvid simplemente debería añadir el dominio de donde se carga el applet en la lista blanca de la herramienta. En este momento, y con la configuración que podemos ver en la imagen anterior, el usuario puede navegar por Internet sabiendo que la herramienta bloqueará cualquier intento de ejecución de un applet que no encaje con la lista blanca o los niveles de seguridad configurados. En la imagen siguiente se puede visualizar como si accediendo a un sitio web no autorizado, el applet no se ejecutará y se mostrará una alarma.

Figura 2: Bloqueo del applet de keepvid

En la imagen anterior se puede ver como se bloquea la ejecución del applet de Java porque keepvid, no se encuentra en la lista blanca autorizada para ejecutar un applet. Si el usuario quiere poder descargar videos de Youtube con keepvid, se necesitará añadir a la lista blanca el dominio. Es importante considerar que el orden de las reglas es importante. Cuando se destapa un 0day de Java, millones de usuarios quedan expuestos a la posible ejecución de código arbitrario, y seguramente acabar siendo parte de una botnet. Por esta razón, cuando se destapa un 0day es recomendable configurar un modelo de no ejecución de applets a través de la herramienta, con la que aunque el usuario visite un sitio web con Java no se puede ejecutar ningún tipo de código. 

Figura 3: Regla paranoia para evitar 0days

El administrador puede utilizar la herramienta para desplegarla entre sus usuarios con el fin de proteger la navegación y la exposición a riesgos en los que Java es un factor clave. Se puede reducir el riesgo de ataque con solo añadir el permiso de ejecución de applets en las direcciones URL de los sitios de confianza, o con los que deban trabajar los empleados. También podemos configurar una regla para que no se alerte de las incidencias y sean transparentes al usuario.  La herramienta está disponible para entornos Microsoft, OS X y GNU/Linux, recomendamos el uso de la herramienta y que se fortifiquen los sistemas de los usuarios.

Flextivity: Gestión de la seguridad de OS X en PYMES

Flextivity para OS X

En el mundo de la seguridad las PYMESsufren a menudo de carencias en cómo asegurar la información que manejan, muchas veces ocasionado por la poca conciencia que tienen. La herramienta Flextivity proporciona a las PYMES< una herramienta de manejo sencillo para administrar las tareas relacionadas con la seguridad. La idea de esta herramienta de Intego es facilitar el uso de capas de seguridad y concienciar a la PYME de que es importante el uso de medidas de fortificación para proteger sus activos.

Las funciones que Flextivity proporciona al usuario son las siguientes:

- Seguridad en los dispositivosMac:El usuario puede proteger de malware con el motor AV que incorpora, y gestionar de manera sencilla el uso de reglas en el firewall, con el fin de evitar intrusiones. El análisis que se lleva a cabo se realiza en tiempo real, examina clientes de correo electrónico populares y configura normas de red en función de la ubicación. 

- El acceso a aplicaciones: Esta funcionalidad es realmente interesante, ya que permite que se puedan incluir el uso de normas para el uso de aplicaciones para la empresa, grupos concretos de usuarios, o incluso dispositivos. También se puede definir normas de uso de aplicaciones según la ubicación.  

- Limitación de acceso a Internet o web. Se pueden configurar normas según la ubicación, como en las funcionalidades anteriores, pero además se puede incluir unos límites diarios para el uso de redes sociales, y otras páginas de Internet que pueden afectar a la productividad de la empresa. 

- Filtrado web: Se pueden configurar niveles de restricción a sitios web, con el fin de proteger el acceso a conetenidos no apropiados o sospechosos de contener malware.Reporting. Se detalla en informes el uso de aplicaciones y la navegación a sitios web, pudiéndose encontrar informes por dispositivos, estadísticas, etcétera.

Figura 1: Creación de política de red

El uso de este tipo de herramientas que aportan un plus de seguridad a entornos corporativos de pequeño y mediano tamaño son importantes para concienciar y proteger. Además, la interfaz que Flextivity proporciona hace que sea más sencillo el aplicar capas de seguridad y protección en estos entornos.

Capa extra de seguridad en la PYME con Latch Silver

Desde Eleven Paths e Incibe se ha lanzado un servicio de ciberseguridad para ayudar a mejorar la seguridad de las PYMES mediante el uso de Latch, concienciando a los empleados y fortificando los servicios expuestos en Internet y o los equipos OS X. Gracias a este acuerdo las PYMES pueden disfrutar del plan Latch Silver gratis durante un año, registrándose en Latch Silver para PYMES. Puedes configurar hasta 100 equipos OS X con Latch, por ejemplo, para proteger tus equipos corporativos.

Apple actualiza los bloqueos de Adobe Flash Player

Desde Apple se ha lanzado un Security Advirory para anunciar la actualización de su política de bloqueos para plugins desactualizados de Adobe Flash Player en los navegadores de Internet. En este caso, el APPLE-SA-2014-12-12-1 OS X: Flash Player plug-in blocked lleva a una nueva página de Apple Support que informa de los nuevos comportamientos.

Figura 1: Security Advisory de Apple sobre Adobe Flash Player en Apple Safari

Ahora, cuando una página web intente cargar un contenido en Adobe Flash Player en el cliente, el navegador mostrará una alerta de seguridad que informará de la obsolescencia del plugin, además de dar la opción de actualizarlo.

Figura 2: Nueva alerta de seguridad en Apple Safari
con Adobe Flash Player desactualizado

De esta forma, Apple intenta con esta nueva alerta ayudar a los usuarios a tener mejor experiencia de uso, ya que antes los plugins antiguos eran bloqueados y no se ayudaba demasiado al usuario a estar actualizado.

Cómo proteger OS X frente a ataques de ICMP redirect

Esta semana ha salido a la luz una herramienta para hacer un ataque, que aunque no es nuevo pone de manifiesto que es posible realizar un Man In The Middle con mensajes ICMP Redirect a diversas plataformas, entre las que se encuentran Android, iOS y OS X. El problema que sucede es que, a día de hoy, muchos usuarios de OS X son vulnerables a esto, aunque dispongan de la versión más moderna como OS X Mountain Lion & OS X Yosemite, y suponen un riesgo sobretodo si conectamos el equipo a una red insegura, como pudiera ser una Wi-Fi del centro comercial, supermecardo, etcétera.

Existe para ello una herramienta con la que podemos aprovecharnos de este fallo y realizar un Man In The Middle de manera sencilla. Para ver si somos vulnerables debemos abrir un terminal y escribir el siguiente comando sysctl net.inet.icmp.drop_redirect. Si la salida del comando es 0 somos vulnerables. Podemos cambiar esto en memoria para la sesión actual, por lo que los cambios no se harán permanentes, pero puede ser útil para realizar pruebas con este ataque. Para deshabilitarlo de manera volátil debemos ejecutar el siguiente comando sudo sysctl -w net.inet.icmp.drop_redirect=1. 

Figura 1: Deshabilitar ICMP Redirect

Para pruebas está bien, pero si queremos fortificar más nuestro OS X, lo ideal sería lanzar de manera persistente esta acción. Por ello debemos comprobar la existencia del fichero /etc/sysctl.conf, y en caso de no existir crearlo. Dentro del fichero debemos insertar la instrucción que se comentó anteriormente, net.inet.icmp.drop_redirect=1. Hay que tener en cuenta que puede haber otras directivas configuradas en el propio fichero.

Figura 2: sysctl.conf para deshabilitar de forma permanente ICMP Redirect

Esto también afecta a ICMPv6, así que si no usas IPv6 lo puedes deshabilitar en OS X. Hay que tener claro el alcance del ataque y los escenarios dónde podemos ser más vulnerables. Es difícil tener en mente siempre este tipo de cosas, por lo que se recomienda configurar de manera permanente la directiva y fortificar nuestro sistema OS X. 

iCloud avisa de accesos web y permite cerrar sesiones

Con la Keynote de hoy en el calendario de todo tecnólogo y el revuelo que estos días ha supuesto el escándalo de las famosas y el iCloud, Apple decide notificar en cada inicio de sesión que se realice de una cuenta de iCloud a través del navegador web. Esto ocurre como parte de los esfuerzos de la compañía para reforzar la seguridad de iCloud y prevenir el acceso no autorizado. Realmente, esto no lo previene como se indica en la noticia, si no que es una acción de detección del robo de la contraseña y su uso en login interactivo vía web browser. Solución a medias.

Realmente un comportamiento preventivo sería la inclusión de un segundo factor de autenticación que evite el acceso a la cuenta y la información que allí existe. Apple por defecto enviará a los usuarios un correo electrónico cuando alguien, que ha robado tu contraseña, inicie sesión en su cuenta de iCloud a través de un navegador web.  Esta práctica comenzó el Lunes 8 de Septiembre. En el correo electrónico se informa al usuario que alguien utilizó su AppleID para iniciar sesión en su cuenta de iCloud, eso sí a través del navegador web. Además, la nota incluye una fecha y una hora a la que se realizó la acción.

Figura 1: Email de Apple notificando acceso a iCloud a través del navegador

Además, Apple proporciona un enlace dónde poder restaurar rápidamente la contraseña, ya que si el usuario no ha realizado dicho inicio de sesión, su contraseña ha sido comprometida - perfecto para que los spammers hagan phishing con él -. La nueva medida de seguridad se encuentra, como se comentó anteriormente, activa por defecto a diferencia de otros métodos más efectivos como el segundo factor de autenticación, por ejemplo.

Eliminación de sesiones de iCloud

Además de esa modificación, ahora desde Apple iCloud se pueden cerrar las sesiones abiertas de otros usuarios, lo que no sabemos si ayuda también a mejorar la seguridad o no de la cuenta contra ataques, pero sí para evitar descuidos.

Figura 2: Gestión de sesiones en Apple iCloud

Tim Cook señaló la semana pasada que su compañía planeaba lanzar nuevas alertas de seguridad de iCloud, y también que la autenticación en dos pasos estaría disponible para una mayor cantidad de usuarios de iCloud en el mundo. Un ejemplo de cómo se puede robar un Apple ID y qué es lo que les pudo pasar a las famosas de Hollywood se encuentra en el blog de nuestro compañero Chema Alonso.

Apple lleva Verificación en 2 Pasos a Centro y Sur América

Desde que Apple puso en circulación la medida de seguridad de Verificación en 2 Pasos, las críticas fueron los pocos países en los que estaba disponibles. Tras una segunda actualización llegó a España - solo hace unos meses - pero se dejó por el camino todos los países de Sudamérica, Centro América y gran parte de Europa, algo que no gustó a muchos. Ahora se ha expandido esta protección a 59 nuevos países, llegando a gran parte del mundo.

Ahora en Argentina, Bolivia, Chile, Brasil, Costa Rica, Colombia, México, Ecuador, Perú, Guatemala, Honduras, Costa Rica y demás países de la región ya se puede configurar el sistema de Verificación en 2 Pasos para proteger las cuentas de Apple ID, lo que hará más difícil el que se roben las cuentas de los usuarios de Apple y reducirá aún más el robo de terminales. 

Figura 1: Configuración de Verificación en 2 Pasos para Apple ID

Poner un sistema de autenticación en dos pasos es fundamental para proteger las identidades digitales, ya sea vía SMS, implementando una protección como Latch o configurando soluciones como Google Authenticator. Si eres usuario de Apple ID, aquí tienes un tutorial para configurar la Verificación en 2 Pasos desde hoy mismo.

OSX: Controlar con Latch los dispositivos USB conectados

Este viernes, en el blog de Eleven Paths, se ha publicado un curioso e ingenioso hack para controlar con Latch la conexión o desconexión de cualquier dispositivo USB que sea enchufado al equipo. Entre los dispositivos USB pueden estar los típicos pendrives para almacenamiento de datos, pero también webcams que pudieran ser activadas con algún tipo de software malicioso sin nuestro consentimiento, teclados USB, keyloggers por hardware e incluso dispositivos Teensy 3.0 que puedan utilizarse para ataques como el del famoso USB Rubber Ducky.

Cualquier dispositivo USB que se conecta al sistema generará eventos en el sistema OSX que podrán ser controladas con los estados que un usuario seleccione en la cuenta de Latch que tenga pareada. Lo mejor de todo, es que para hacer este control no es necesario hacerlo a nivel de kernel o con drivers instalados allí, y se puede hacer desde la API en userland que ofrece el sistema a través de instancias de IOUSBInterface e IOUSBDevice que conectan con IOUSBLib del sistema.

Figura 1: Artículo que explica paso a paso cómo controlar los USB en OS X

Haciendo uso de estas funciones, David Barroso explica cómo hacer un programa que corra como servicio en el sistema operativo y controle en todo momento los dispositivos que se conecten. Después, cuando un evento de conexión aparezca se puede aplicar cualquier regla de seguridad que se quiera definir consultado el estado de un Latch además de los datos que se pueden obtener de OSX, como el vendorID o el productID del dispositivo.

Figura 2: Una cuenta de Latch para OSX controlado el USB

Esas reglas podrían ser deshabilitar, permitir la conexión o simplemente informar de que se ha conectado. Para que puedas personalizar el funcionamiento a tu gusto, en el blog de Eleven Paths tienes el código en Lenguaje C para que lo adaptes a tus necesidades.  

Apple añade Verificación en 2 Pasos a iCloud

Una de las quejas habituales de los especialistas de seguridad es que Apple se había dejado los servicios de iCloud, entre otros el acceso al backup de los terminales iPhone & iPad, fuera de su sistema de verificación en 2 pasos. Ahora parece que la compañía ha querido atajar ese problema y desde ya está disponible el sistema para todas las aplicaciones de iCloud.

Figura 1: WebApps en iCloud protegidas con verificación en 2 pasos

El funcionamiento es completamente similar al que describimos para poner Verificación en 2 Pasos en Apple ID, y en este vídeo que han realizado desde MacWorld puedes seguirlo en detalle y ponerlo en tu cuenta en unos minutos.

Figura 2: vídeo demostrativo de cómo poner Verificación en 2 Pasos en iCloud

Tener una verificación en dos pasos en tu cuenta de Apple te ayudará a evitar el impacto que pueda tener el robo o adivinación de la contraseña que protege tu cuenta y tu vida digital, así que aprende cómo se hace y fortitifica tus cuentas.

CCN-CERT: Guía sobre seguridad en iPhone

El CCN-CERT ha publicado una Guía de seguridad en dispositivos Móviles: iPhone. Este tipo de guías, en general, ayudan a proteger e informar sobre problemas de seguridad que nos podemos encontrar en el uso de las nuevas tecnologías. El CCN-CERT también ha publicado guías para el resto de los dispositivos móviles.

Las razones para crear estas guías es que las comunicaciones móviles y las nuevas tecnologías están revolucionando la forma en la que pensamos en el trabajo y en la forma en la que hoy día nos comunicamos. Detrás de todo esto también nos encontramos que existen las ciberamenazas. Sabemos que cada día hay más malware y elementos que ayudan a ciberdelincuentes a hacer caja en el mundo digital. Por esta razón, este tipo de guía ayudan a concienciarse y a saber como utililizar correctamente estos dispositivos para estar en un grado de seguridad aceptable.

Figura 1: Guía del CCN-CERT para gestionar la seguridad de iPhone

¿Estamos seguros con los dispositivos móviles? 

Según los estudios que se publican sobre vulnerabilidades en dispositivos móviles la seguridad es aceptable. ¿Por qué aceptable? Existen mecanismos y formas de protegerse, y cuando se realiza un jailbreak o rooteo de algún dispositivo se ha necesitado encadenar algunas vulnerabilidades para romper la protección. Esto es un indicador claro de que las cosas no se están haciendo mal en el mercado de los sistemas operativos móviles. Aunque, como todo en la vida para gustos los colores y sabemos que algunos fabricantes hacen más hincapié en la seguridad que otros.

Aunque los sistemas operativos son más robustos, siempre y cuando se encuentren bien configurados y no se eliminen capas de seguridad por parte del usuario, hay que recordar que el eslabón más débil es el propio usuario. Por ejemplo, los casos de phishing siguen existiendo y toman nuevas formas para aprovecharse de los elementos disponibles.

¿Qué podemos encontrar en la guía?

La guía presenta diferentes capítulos, de los cuales enumeramos una síntesis a continuación:

• Actualizaciones del sistema operativo. 
• Modelo y arquitectura de seguridad de iOS. Este apartado es realmente interesante para las perosnas que quieren saber como funciona y gestiona la seguridad del sistema operativo. También se explica el uso de la sandbox dentro del sistema operativo.
• El iPhone en la empresa. En este apartado se especifican soluciones para integran al dispositivo en la organización. Fundamental para los departamentos IT. 
• Detalles sobre el acceso al físico. Qué cosas se tienen que tener en cuenta, por ejemplo el uso de un Passcode, el pin de la tarjeta, vulnerabilidades conocidas para desbloquear el dispositivo, en función de la versión de iOS, etcétera.
• Cifrado de datos en el sistema operativo. Se detalla como se explica, y qué áreas se diferencias: aplicaciones, almacenamiento interno del sistema operativo, datos, etcétera.
• Gestión de certificados digitales y credenciales en iOS. 
• Localización geográfica. 
• Seguridad en comunicaciones. Aquí se trata todo tipo de escenarios, desde un entorno Wi-Fi, Bluetooth, pasando por 2G/3G hasta una comunicación USB.
• Seguridad en aplicaciones del propio dispositivo, en otras palabras, configuración para el gestor de correo, Safari, Find My iPhone, Siri, etcétera.

Más de 200 hojas de guía la cual recomendamos que se descargue y que se haga una lectura para comprender los riesgos y soluciones disponibles. Aunque la guía está enfocada a versiones 5.x de iOS, muchas de las amenazas y técnicas de hacking de iOS que se reflejan siguen siendo válidas hoy en día.

Latch 1.4 para iOS disponible en la App Store

El viernes de la semana pasada Apple aprobó la actualización de Latch 1.4 para iOS, que ya puedes descargarte desde la AppStore. Latch es una tecnología de Eleven Paths que permite que pongas "pestillos" digitales a tus identidades para gestionar desde tu app - sin compartir ningún usuario, ni contraseña, ni dato personal - todas las identidades que ya soporten esta medida de seguridad (ya son más de 1.300 los sitios integrados). Esta nueva versión ha sufrido mejoras en su diseño para conseguir que la usabilidad sea aún mejor, por lo que se han hecho cambios que debes conocer para que saques lo mejor de ella.

En primer lugar se ha hecho que el Latch que aparece en el Dashboard principal cierre los latches de todas tus identidades digitales, permitiendo que cuando se haga el unlock, todo quede como estaba antes de que se cerrase. Para dejar claro que está todo cerrado, en el momento en que se aplica el latch, no es posible modificar ninguno de los latches por debajo. Además, en la parte de configuración de un latch concreto, se ha hecho que el autobloqueo y la programación sean autoexcluyentes, evitando cualquier confusión sobre cómo se encuentra un latch en un instante de tiempo. También se ha añadido un nuevo icono en el latch que permite visualmente saber que está configurado con programación.

Figura 1: Latch 1.4 para iOS disponible en la AppStore

Por último, para no tener que configurar de uno en uno los autobloqueos, ahora se ha pasado a settings globales la configuración del tiempo de autobloqueo que es común para todos. Desde cada Latch solo se debe seleccionar si se quiere activar o no el autobloqueo. Si quieres comenzar a utilizar Latch en tu vida digital, en este artículo tienes un paso a paso sobre cómo crearse la cuenta de Latch, y cómo poder utilizar la herramienta en un buen número de sitios.