Después del gravísimo ataque sufrido por Evernote, no nos asombra que pretenda implementar nuevas medidas de seguridad. Según InformationWeek, el servicio de almacenamiento de datos empezará a requerir autenticación de dos factores a partir de finales de año, aunque no se han aclarado los detalles del sistema a usarse. Por ejemplo, no se sabe si la autenticación utilizará mensajes de texto (que generalmente implican un gasto adicional a los usuarios), o si se hará por medio de una aplicación (que requiere del uso de un teléfono inteligente). Sea como sea, suponemos que la compañía no intentará inventar un nuevo sistema, sino que usará algo que haya sido comprobado como seguro, que podría ser similar a lo utilizado por compañías como Google.

De todas maneras, y aunque no hayas recibido una comunicación de Evernote, recomendamos que cambies tu contraseña en el servicio, y en cualquier otro sitio donde hayas usado la misma combinación de dígitos. Además, no está de más recordarte que usar la misma contraseña en varios lugares disminuye la seguridad.

Evernote acaba de reconocer en su blog que en las últimas horas ha sido objeto de varios ataques. Su equipo de operaciones y seguridad ha querido tranquilizar a los usuarios señalando que no hay pruebas concluyentes de que los cacos en cuestión hayan podido acceder a las notas y el contenido almacenado por los usuarios, pero sí que ha reconocido que parte de la información personal -como por ejemplo e-mails y contraseñas- podría haberse visto comprometida, a pesar de que dichos datos cuentan con un sistema de cifrado de un único sentido. En cualquier caso, la compañía ha puesto en marcha un protocolo de seguridad para resetear todas las claves y pide a sus clientes que inicien sesión lo antes posible y sigan los pasos necesarios para cambiar su contraseña. Así que ya lo sabes, si entre tus aplicaciones de cabecera se encuentra el famoso servicio de notas del elefante, no dejes de seguir las indicaciones de la firma para cubrirte la espalda; tampoco estaría de más que te quedaras atento a su blog y cuenta oficial en Twitter a la espera de nuevos detalles.

Leer - Blog de Evernote
Leer - Cuenta oficial de Twitter

Ya te contamos ayer que el registro de dominios Go Daddy estaba experimentando algunos problemillas técnicos, motivando que determinadas webs no cargaran correctamente, pero ya parece que lo peor ha pasado. Según ha confirmado la propia compañía, todos sus servicios han vuelto a la normalidad tras el apagón de ayer. En un primer momento hubo quien se aventuró a decir que la caída del servicio podría estar relacionada con el ataque de hackers, pero el CEO interino de la firma, Scott Wagner ha querido tranquilizar a sus usuarios diciendo que "no fue un hack, ni un ataque de denegación de servicio (DDoS)". Go Daddy achaca el problema a una serie de situaciones en su red interna que motivó que las tablas de datos de sus routers se corrompieran", añadiendo que la información de sus clientes no estuvo expuesta en ningún momento y que por supuesto, han tomado las medidas necesarias para que los hechos no se repitan.

A estas alturas, te habrá llegado por uno u otro lado la historia del conocido periodista de Wired, Mat Honan, que vio su vida digital literalmente fulminada mediante un sencillo ataque de hackers que accedieron a su cuenta de Amazon, de ahí a iCloud, Google y finalmente Twitter, objetivo último del ataque. Tras este incidente, tanto Apple como Amazon fueron puestos en tela de juicio por la sencillez mediante la cual se podía cambiar la configuración de una cuenta por teléfono, y ambos gigantes han decidido de forma simultánea impedir los cambios en las cuentas mediante llamadas de teléfono.

Amazon ha publicado ya un cambio en su política de uso que impide precisamente que se hagan cambios mediante llamadas de teléfono al soporte, y aunque Apple no ha sido tan explícita, Wired asegura que los de Cupertino han congelado esta forma de cambiar las cuentas durante al menos 24 horas hasta que decidan qué niveles de seguridad establecer en estos casos.

Ninguna de las dos empresas ha sido muy explícita sobre el asunto, y así, Amazon no ha realizado ninguna declaración, mientras que Apple ha asegurado que sus procedimientos internos no se siguieron correctamente.

Leer - Wired (1)
Leer - Wired (2)

A finales del pasado mes una corte del Reino Unido ordenó que los proveedores de internet bloqueen el acceso al sitio The Pirate Bay porque permite que la gente descargue contenido protegido por derechos de autor. Virgin Media empezó a hacerlo, y al poco tiempo se vio bajo el ataque del grupo Anonymous que empezó a usar el método conocido como DDoS para agredir al proveedor.

Mencionamos este hecho porque nos sorprende ver que el The Pirate Bay se exprese en contra del ataque, diciendo que:

No apoyamos estas acciones. Creemos en un internet abierto y libre, donde cualquiera pueda expresar su punto de vista, aunque estemos totalmente en contra de él y aunque nos odien.

No peleen usando métodos desagradables. Los DDOS y los bloqueos son formas de censura.

En realidad Virgin Media se había ya opuesto a este tipo de bloqueos en noviembre, pero esta vez no tuvo más opción que acceder con la orden de la Corte Mayor. El proveedor aclara, de todas formas, que se deben buscar maneras de "otorgar a los consumidores acceso a gran contenido al precio correcto".

Las compañías a cargo de servicios de DNS y certificados de autenticidad han sido víctimas de sofisticados ataques desde siempre, pero a pesar de ello, es ahora cuando VeriSign ha revelado que en 2010 hackers consiguieron robar valiosa información de la compañía. Los detalles no son claros desde ningún punto de vista; no obstante, VeriSign dice que sus ejecutivos "no creen que los ataques hayan vulnerado los servidores que ofrecen soporte de nuestra red de Domain Name System". El problema, como indica Reuters, es que nada ha sido confirmado. Información sobre el tipo de ataques, la cantidad, o las fechas específicas tampoco han sido compartidos, y hasta confirman que la gente a cargo de la seguridad no informó sobre estos problemas a los gerentes hasta septiembre de 2011.

La noticia es bastante grave; no sólo porque VeriSign es una de las compañías de seguridad más respetadas del mercado, sino porque además nos dejan con la impresión de estar ocultando demasiado, en vez de ser transparentes con los usuarios y sus propios clientes.

Hace unos días te hablábamos acerca de una vulnerabilidad de la opción WPS, que permite conectarse a redes WiFi por medio de un PIN, y ahora ya está disponible un software open source para quienes deseen utilizarlo. La herramienta apareció tan rápido porque Viehbock no fue la única persona en descubrir el problema, dado que Tactical Network Solutions (TNS) habría identificado esta peligrosa vulnerabilidad hace casi un año, y ellos fueron los primeros en publicar el software. Un poco después Viehbock lanzó su propia aplicación WPSCrack, que permite hackear el PIN de WPS en alrededor de dos horas (la de TNS necesita entre cuatro a diez horas).

Hasta que los fabricantes publiquen una actualización que parche la vulnerabilidad, te recomendamos desactivar WPS en tu ruteador. Y como buen geek de pro, sería bueno que ayudaras a hacerlo a amigos y familiares menos doctos.

[Vía The Verge]

Leer - Stefan Viehbock
Leer - Tactical Network Solutions

Desde 2007 algunos fabricantes de ruteadores inalámbricos han incluido una herramienta denominada WPS (WiFi Protected Setup) que sirve para que dispositivos usen nuestra red inalámbrica sin las complicaciones de la configuración WPA (hay que decirlo: es difícil memorizar la contraseña del WiFi). Una de las opciones de WPS requiere el uso de un PIN, y precisamente ahí estaría el origen de la vulnerabilidad, que abriría las puertas para que un ataque de fuerza bruta sea exitoso en un par de horas. Sucede que cada vez que se intenta enviar el PIN, el ruteador respondería con un mensaje indicando si los cuatro primeros números son correctos, ya que el quinto es un "checksum". Esto bajaría las posibilidades de PINs disponibles de 100 millones a solamente 11.000.

El riesgo de penetración a una red ajena es tan elevado que la agencia federal de Estados Unidos US-CERT ha recomendado desactivar esta opción en ruteadores hasta que los fabricantes ofrezcan una solución. Mientras tanto, Stefan Viehbock, el investigador que descubrió el problema, explica que intentó comunicarse con Buffalo, D-Link, Linksys y Netgear, y simplemente fue ignorado; razón por la que decidió hacer público su descubrimiento. Viehbock además dijo que pronto publicará una herramienta que permita que cualquier persona use esta vulnerabilidad, como manera de presión para que ofrezcan una pronta solución.

Al menos nos agrada saber que todos los ordenadores en tu red casera tienen un firewall instalado, que tienes al ruteador configurado con criptografía TKIP y que transfieres información personal importante únicamente usando sitios con SSL... ¿o nos equivocamos?

[Vía The Verge]

Leer - Stefan Viehbock
Leer - US-CERT

Los hackers últimamente se andan poniendo las botas, no podemos negarlo. El nuevo blanco de los ataques online en esta ocasión ha sido el servicio Sega Pass de Sega, que el pasado jueves sufrió una usurpación en su base de datos poniendo al descubierto información confidencial (como nombre real, fecha de nacimiento, contraseñas, emails, etc.) de nada menos que 1,3 millones de usuarios -que se dice pronto-. Por suerte los datos referentes a tarjetas de crédito no han sido destapados, pero no estaría de más que los afectados mantengan controladas sus cuentas bancarias en estos días y, claro está, restablezcan la información de su perfil, con cambio de cuenta y contraseña incluidos, una vez sea posible acceder de nuevo al servicio -en estos momentos está en "proceso de mejora" para reforzar su seguridad-. Como dato curioso de la jornada tenemos además al famoso grupo hacker Lulz Security, que, lejos de lo que pudieras pensar en un principio, se ha ofrecido a Sega por Twitter para dar caza a los responsables de su ataque, alegando lo mucho que aman a la Dreamcast -sí , el mundo hacker es así de... sorprendente-. Seguiremos informando.

[Vía The Inquirer]

Leer - Sega Pass
Leer - Sega admite el ciberataque de 1,3 millones de usuarios
Leer - Twitt de Lulz Security

Se está convirtiendo en una peligrosa tradición, y es que tras el ataque a Sony Pictures de hace unos días, ahora es Codemasters quien anuncia la violación a la seguridad de sus servidores. La compañía desarrolladora conocida por la saga Dirt ha informado que su sitio web fue hackeado el 3 de junio, quedando expuestos datos de los usuarios como los nombres, direcciones (domicilio y correo electrónico), cumpleaños, teléfonos, GamerTag de Xbox Live e incluso las contraseñas. En principio los datos relacionados con las tarjetas de crédito no se han visto afectadas, pero teniendo en cuenta que podrían tener el usuario y la contraseña, de poco nos serviría. Desde Codemasters aseguran que tomaron el control del sitio web en cuanto se detectó la intrusión, aunque se estima que los afectados asciendan a "decenas de miles". La empresa ya ha pedido disculpas a través de un correo electrónico, e invitan a visitar la página oficial en Facebook mientras terminan los trabajos de restauración del sitio web.

[Gracias math]

El blog de seguridad Contagio alertó allá por febrero de un ataque a las cuentas de GMail de miembros del gobierno y el ejército, y hoy, transcurridos cuatro meses, Google reconoce que es cierto. El alcance del ataque es considerable: han sido hackeadas cientos de cuentas personales de gente con puestos 'sensibles' y se cree que el ataque proviene de la provincia china de Shangdon.

La intrusión afecta también a conocidos activistas chinos, periodistas, personal militar, de diferentes países asiáticos (Corea del Sur, en su mayoría). Según parecem para el ataque se ha aprovechado un fallo de seguridad en la función de forward automático de GMail. A diferencia de lo que ocurrió con PSN, Google garantiza que los sistemas internos "no se han visto afectados".

[Vía The Washington Post]

Muchas personas han trabajado con Microsoft durante el transcurso de los años, por consiguiente, no nos asombra que algún antiguo empleado tenga algo malo que decir sobre la compañía, pero cuando se trata de un ex-vicepresidente, la situación se vuelve delicada.

Dick Brass, ex-VP del gigante de Redmond, publicó un artículo en el New York Times que dice que su antigua compañía "nunca desarrolló un sistema verdadero para la innovación", y que aunque Microsoft está bien ahora, se verá en problemas cuando los ingresos por Windows y Office disminuyan. Como un ejemplo de los problemas que tiene para implantar nuevos avances, indica que su equipo inventó ClearType en 1998, pero no fue hasta el 2007 cuando fue implementado con Windows Vista, debido a peleas y envidias dentro de la empresa. Añade también que el desarrollo de tablets fue muy restringido por el equipo de Office, porque no querían escribir una versión del software dedicada para el nuevo hardware.

Los elementos para hacer que esta historia termine en la primera plana de todos los periódicos australianos cayeron como piezas de rompecabezas. Empezamos por los hechos, que incluyen el ataque del virus W32.Virut.CF, que infectó a más de 1.000 ordenadores de la compañía de suministro eléctrico Integral Energy. Esta empresa se dedica a ofrecer electricidad a hogares y negocios en New South Wales y Queensland.

Una vez con el virus en la red, se descubrió que la "tormenta perfecta" empezó porque el antivirus no había recibido actualizaciones desde febrero. A eso le sumamos que la red de la empresa y la red de distribución eléctrica estaban conectadas entre ellas, y a la vez al internet. Por suerte los servidores que controlan el sistema utilizan Sun Solaris, y para los ordenadores terminaron instalando Linux, lo que prácticamente salvó al negocio.

Así aprendemos (una vez más) que conectar redes imprescindibles al internet, y no actualizar los programas de antivirus, equivale a buscar problemas gigantes donde antes no existía ninguno.

[Vía The PC Report]
[Artículo en inglés]

No hay mucha información al respecto, y aunque en el anuncio se dice que este desafortunado Optimus Maximus sobrevivió "la prueba del café", no estamos muy seguros de que eso sea 100% verdad. Se supone que "gracias a la construcción de la bandeja superior" el café regado no destruyó el teclado, pero a juzgar por la fotografía, parece que quedó en muy mal estado. El pequeño anuncio viene con la advertencia: "no derrames líquidos en ningún teclado porque es estúpido y anula la garantía", y estamos totalmente de acuerdo.

[Artículo en inglés]

Alrededor de todo el mundo existen gigantescos centros de datos, con servidores ofreciendo información las 24 horas del día. ¿Te imaginas lo catastrófico que sería si hackers malignos (o también conocidos como crackers) logran destruir esos servidores remotamente? Pues investigadores de los HP Security Labs realizarán una presentación en el EUSecWest, a celebrarse en Londres la próxima semana. El tema a tratar será el Phlashing, que podría causar un PDOS (permanent denial-of-service). Básicamente, se trata de actualizar el firmware de aparatos, con código dañino y remotamente. La actualización de firmware remota es una opción ofrecida por algunos servidores, y por ahora los ataques sólo son hipotéticos, pero aseguran que ese tipo de agresión podría ser real. Por suerte, los aparatos para consumidores (teléfonos, ordenadores, televisiones, etc.) por lo general no ofrecen esa opción, pero no nos gusta ni pensar en la posibilidad de que todo el centro de datos donde está hospedada nuestra cuenta de Gmail termine reciclado como latas de cerveza.

[Vía Slashdot]
[Artículo en inglés]