Lightbeam: Genera un gráfico para ver quién rastrea tus datos

La privacidad está en boca de todos estos días, secuela del terremoto del caso Cambridge Analytica. Yo mismo lo noto en la estadística de este sitio, las entradas sobre el tema están siendo más visitadas. Y sobre una entrada antigua vamos a hablar: en verano de 2013 le echábamos un vistazo a Collusion, un add-on para Firefox desarrollado por la propia Mozilla que nos permitía ver, en forma de gráfico, a qué sitios web (llamémoslos third-parties) eran enviados nuestros datos desde las webs que visitamos. Este proyecto entonces estaba en fase beta, pero unos meses más tarde llegaría la primera versión final ya con nombre nuevo: Lightbeam.

¿Cómo funciona Lightbeam? Pues la idea es esta: cuando tú visitas una web Lightbeam crea un gráfico que muestra qué third-parties (sitios de terceros) están activos en la misma. Ojo, no todos tienen por qué estar espiándote, pueden ser simplemente que cargue imágenes de un CDN externo, librerías de javascript o tipografías. En cualquier caso, ahí estarán representadas. Cuando visites un segundo sitio Lightbeam hará lo mismo, y así sucesivamente con todos. Lo interesante de esto es que verás como algunas aplicaciones de terceros se van uniendo desde varios sitios, permitiéndote saber quiénes pueden verte desde varios sitios distintos. Tienes la opción de descargar tus datos en formato JSON y de usar distintos formatos de visualización.

LightBeam Mozilla

¿Y la privacidad de esta aplicación? Según la propia Mozilla ellos no usan tus datos, estos se almacenan localmente en tu navegador, se puden borrar desde el mismo y se eliminan automáticamente también cuando se desinstala el add-on.

Al contrario que la versión beta, Collusion, Lightbeam sí que te permite habilitar una protección contra el rastreo que complemente y amplía la que de por si te ofrece ya Firefox. Puedes ver en la parte superior derecha un interruptor que pone Tracking Protection para habilitarlo o deshabilitarlo.

 

Anuncios

O que é a Tríade CID?

Esta é uma tradução ao português dum artigo antigo. Cá uma ligação ao orixinal.

A Tríade CID não tem relação com poemas medievais castelhanos nem com as bandas desenhadas do Hernández Palacios, mas é um conceito da cibersegurança que faz ênfase em três princípios que têm de trabalhar em conjunto para garantir a segurança de um sistema informático: Confidencialidade, Integridade e Disponibilidade.

 

  1. Confidencialidade: Os dados têm de estar só na mão dos utentes autorizados. Umas políticas de controlo do acesso têm de ser aplicadas para evitar que a informação classificada cair em mãos, seja ou não de forma intencionada, de utentes sem acesso.
  2. Integridade: O conceito integridade faz referência  a que os dados que temos armazenados sejam corretos e completos. Tem de se poder garantizar que os dados não foram mudados de forma não autorizada, que não é possível a perda destes dados é que os mesmos são consistentes, isto é que a informação é mesmo correcta à que temos no mundo exterior.
  3. Disponibilidade: Afinal, o conceito disponibilidade implica que a informação tem de estar acessível sempre para os utentes autorizados num tempo razoável. Isto é que os dados têm de estar sempre disponíveis para os utentes.

Na altura de desenhar uma estratégia de cibersegurança para uma empresa ou simplesmente na altura de armazenar qualquer coleção de dados confidenciais um deve considerar que estes três pontos têm de ser atingidos.  

¿Cómo reconocer un correo electrónico malicioso?

Tras una serie de días teniendo que arreglar problemas derivados de gente que abre correos a lo loco he creído útil dar aquí unas pautas que deberían ayudarnos a reconocer correos maliciosos. Si bien es cierto que la mayoría se servicios de correo electrónico populares tienen filtros contra el spam que evitan que nos inunde el correo basura, algunos más sencillos (Gmail, por ejemplo, te permite bloquear una dirección) y otros más configurables (volviendo al Gmail, en Gsuite da varios opciones)

Pero  a pesar de la inefable ayuda de estos filtros siempre puede colársenos algún correo malicioso, con archivos infectados o enlaces para hacer fishing, sea como fuere el filtro de spam no es infalible y en nuestro buzón siempre puede acabar apareciendo un correo trampa. ¿Cómo lo reconocemos? Aquí van unas pautas:

  • Si el correo electrónico no tiene asunto debemos empezar a desconfiar, o si el asunto está en un idioma que no conocemos.
  • Si el correo electrónico solicita la actualización de una cuenta y nos manda un enlace al que acceder para introducir nuestras credenciales… la mosca detrás de la oreja. Lo mejor es no pinchar ya, pero si accedes al enlace fíjate en la barra de direcciones para ver si te está llevando a la web legítima.
  • La ortografía cuenta: cuando el texto del correo electrónico tiene palabras mal escritas o puntuación extraña también debemos desconfiar. En muchos casos se usan traducciones automáticas, así que si vemos modismos extraños (shit yourself little parrot) tampoco hay que fiarse.
  • Cuando los enlaces del correo electrónico son largos, dirigen a direcciones IP o son crípticos lo mejor es no abrirlos.
  • Si por la forma parece provenir de una empresa legítima u organismo público y cumple alguna de las anteriores, entonces no lo dudes: malicioso seguro. Hacienda no te va a mandar un correo pidiéndote tu número de cuenta para realizarte una devolución de impuestos.
  • Si se solicita que el usuario abra un archivo adjunto ahí lo mejor es ya encender todas las alarmas, más aun si se trata de un archivo ejecutable o un fichero comprimido.

Aquí os dejo un ejemplo de un caso real que viene relatado en la web de INCIBE, para que le peguéis una ojeada.

¿Qué es la “Tríada CID” o el “Triángulo de la Seguridad”?

La Tríada CID no tiene que ver con cantares escritos en castellano medieval ni con tebeos de Hernández Palacios, sino que es un concepto de ciberseguridad que hace referencia a tres principios que deben trabajar en conjunto para garantizar la seguridad de un sistema informático: Confidencialidad, Integridad y Disponibilidad.

  • Confidencialidad: Los datos deben estar solo al alcance de los usuarios autorizados. Deben establecerse unas políticas de control de acceso para evitar que la información clasificada caiga en manos, ya sea de forma intencional o no, de un usuario sin acceso.
  • Integridad: El concepto integridad hace referencia a la correctitud y completitud de la informacion que tenemos almacenada. Debe poder garantizarse que no se realizan modificaciones de los datos no autorizadas, que no es posible la pérdida de datos y que los datos son consistentes, esto es que la información que tenemos almacenada es correcta respecto al mundo real exterior.
  • Disponibilidad: Finalmente, el concepto disponibilidad implica que la información tiene que ser accesible para los usuarios autorizados dentro de un tiempo razonable. Dicho de otra forma: la información debe estar siempre disponible para el usuario autorizado.

A la hora de diseñar una estrategia de seguridad informática para una empresa, o simplemente a la hora de almancenar cualquier colección de datos sensibles, estos tres puntos deben tenerse siempre en consideración.

Seguir leyendo “¿Qué es la “Tríada CID” o el “Triángulo de la Seguridad”?”

Shred: Borrado seguro en Linux

Con las herramientas forenses adecuadas no es complicado recuperar los datos que han sido borrados de un disco duro siguiendo el procedimiento normal. Con vaciar la papelera de reciclaje no basta para borrarlos totalmente, ya que esos datos simplemente han sido desindexados, pero permanecen en el disco y son recuperables. ¿Hay una forma de hacer esto sin recurrir a métodos tan drásticos como la destrucción del disco duro?

Sí, para todos los sistemas operativos hay programas de borrado que permiten realizar una eliminación más intensiva de los ficheros. Hoy nos centraremos en sistemas Linux y en el software de borrado seguro Shred.

Shred viene instalado por defecto en varias distribuciones, su sintaxis es shred [opciones] nombre de fichero y puede ser invocado usando las siguientes opciones:

  • f: Force. Cambia los permisos del archivo para forzar su borrado.
  • n: Número de veces que se sobrescribirá el archivo o partición (por defecto son 3). A mayor número, más difícil será la recuperación y más tiempo tardará. Hay que poner el número de escrituras después del parámetro
  • u: Trunca y elimina el archivo después de sobrescribirlo.
  • v: Muestra el progreso en pantalla.
  • z: Zero, sobreescribe con 0 para eliminar rastros.

 
Veamos un ejemplo, donde borraríamos un fichero llamado prueba.ls de forma contundente:

shred -n 15 -fuzv prueba.ls

De esta forma le decimos que elimine el fichero sobreescribiendo 15 veces, forzando el borrado, truncando y eliminando, sobreescribiendo con ceros y mostrando el progreso en pantalla. La recuperación del mismo tras esto puede que no fuera imposible, pero sí extremadamente compleja.

Hacer que un fichero en Linux no pueda ser borrado ni modificado.

A veces nos interesa que en nuestro sistema Linux haya algún fichero inmutable, que no pueda ser borrado o modificado incluso aunque se intente con permisos de superusuario. ¿Es posible? Sí, con el comando chattr y usando la opción +i. Por ejemplo:

chattr +i nombre_del_fichero

Si lo aplicamos a una carpeta esto haría no solo que la carpeta no pueda ser borrado o editada sino que tampoco se puedan añadir nuevos ficheros a la misma o borrarlos, pero sí se podrían editar estos ficheros. ¿Se puede hacer que estos tampoco puedan ser editados? Sí, habría que aplicar el comando de forma recursiva sobre la carpeta para que afecte a todo lo que esta contiene:

chattr +i -RV nombre_de_carpeta

¿Y para quitar este flag y poder borrarlo o editarlo? En lugar de +i se usa -i:

chattr -i nombre_del_fichero

¿Esto tiene alguna utilidad? Pues sí. Por ejemplo podéis hacer que el fichero de usuarios o de contraseñas del sistema sea inmutable, de forma que nadie podría darse de alta sin antes modificar los permisos del fichero para ello, dando un punto extra a la seguridad.

Generar contraseñas seguras en Linux con APG

Ya vimos en el pasado cómo generar contraseñas en linux con mkpasswd, hoy veremos otro método. APG, abreviatura de Automatic Password Generator, viene instalado en Ubuntu y sus derivados. Es un programa pensado para generar contraseñas “memorizables“. Si lo ejecutas a secas te pedirá una “raíz“, una serie de datos con los que trabajar, y en base a eso creará una contraseña “memorizable“, y con “memorizable” quiero decir que junto a la contraseña te mostrará una transcripción fonética para que la recuerdes mejor.

APG Ejemplo
Ejemplo de APG

También puedes generar contraseñas totalmente aleatorias usando el comando apg a -1, que ofrece resultados de entre 8 y 10 caracteres.

Ejemplo APG 2
Ejemplo de APG con a -1