PampaSeg segunda edición es un evento a realizarse el 3 y 4 de Diciembre en la ciudad
de Santa Rosa, provincia de La Pampa. El cual cuenta con importantes exponentes a nivel nacional y local sobre temas de vanguardia a nivel Tecnológico y Comunicaciones.
PampaSeg es una jornada donde profesionales en el tema podrán brindar sus conocimientos y experiencia, a todos los jóvenes y adultos interesados; ya sea porque estudian o trabajan en áreas relacionadas con las tecnologías de la información las comunicaciones, o simplemente desean ingresar a este mundo que sigue sumando adeptos,para enriquecer sus conocimientos y aplicarlos en la actividad diaria.
PampaSeg fue declarado de Interés Municipal mediante resolución 305-1/2009 HCD y de Interés Legislativo Provincial mediante resolución 130/09 C.D y recientemente declarado nuevamente de Interés Municipal, y de Interés Académico por la Universidad Nacional de La Pampa.
La url del evento es www.pampaseg.org. Donde también se puede acceder al material del año pasado.
Estas son algunas de las charlas de este año:
Atacando WiFi II
Una _breve_ charla en la que se enumeran todos los tipos de ataques
wireless contra los clientes (notebooks - no los access points)
Man in the middle SSL
Una de las tantas vulnerabilidades que se encuentra en redes lan en
gral. y la posibilidad de capturar información sensible.
Bacula. La Ultima Linea de Defensa
Todo informático sabe que el único realmente seguro, es que no hay
nada realmente seguro. Es por esto, que mismo aplicando todos los
métodos de seguridad conocidos para evitar accesos no autorizados,
siempre existirá la pregunta: Y que hacemos se todo esto falla ???
OpenVPN
OpenVPN es una solución de conectividad basada en software: SSL
(Secure Sockets Layer) VPN Virtual Private Network (red virtual
privada).
Linux Clustering y HA
Se presentan las soluciones y productos existentes para realizar alta
disponibilidad de servicios en GNU/Linux en plataformas medias y
grandes. Casos de éxito en implementaciones de 0 o migraciones de
plataformas privativas. Introducción a al montaje de un servicio de HA
con Xen Source bajo GNU/Linux Debian. Configuración de servicios de
Storage ISCSI master/master y master/slave. Algunas consideraciones
sobre DRBD, NFS y SAN.
Clientes delgados
Los clientes delgados son una alternativa de máximo interés por la
posibilidad de reciclar equipos que ya no tienen posibilidad de
brindar servicios por haber alcanzado la obsolescencia y son dados de
baja sin más trámite. Mi charla describe el estado del arte de una red
delgada basada en Ubuntu 9.04 y LTSP5 que hemos implementado en la
FCEYN. Todos los equipos involucrados (aún el servidor) son máquinas
de descarte (algunos fueron rescatados del depósito, otros fueron
donados por particulares desesperados por librarse de ellas).
Buenos Aires Libre
Es un Proyecto Tecnológico que tiene por Objetivo crear la Red de
Datos Comunitaria de Área Metropolitana de la Ciudad de Buenos Aires y
alrededores.
Gobierno electronico
El Estado nacional, los provinciales y municipales se encuentran hoy
ante el enorme desafío de modernizar la gestión pública. Las
Tecnologías de Información y Comunicación (TIC) se han introducido en
todos los ámbitos de la sociedad, cambiando drásticamente y en
especial la relación del ciudadano con su gobierno. El Consejo Federal
de la Función Pública (COFEFUP) es el ámbito que las provincias y la
nación se ha dado para trabajar sobre la modernización de la gestión
pública de sus respectivas administraciones por medio de 5 Comisiones.
Una de estas comisiones, la de Gobierno Electrónico, es coordinada
desde 2008 por La Pampa. Quien la coordina expondrá el estado de
avance del Gobierno Electrónico a nivel federal y de los planes,
programas y proyectos actuales.
Data Analytics en Seguridad de Gobierno y Sector Privado
Desde un enfoque moderno, como es el Análisis de Datos con
Inteligencia Artificial, se abordará la implementación de tecnicas y
herramientas aplicadas a la Seguridad en el ámbito gubernamental y
sector privado.
Programación para dispositivos móviles
Un repaso de las posibilidades de programación que tenemos para los
dispositivos moviles: JME, Android y .Net
Una forma divertida de aprender seguridad
Un simple resumen de lo sencillo y divertido que es entrar al mundo de
la seguridad informática con ejemplos simples y practicos para
aplicar.
Ingeniería Social
Conceptos y diferencias entre Ingeniería Social, casos reales y
experiencias vividas.
Recoleccion de datos en Google
El principal objetivo de la charla es demostrar la variedad de
información que es posible acceder sin utilizar mecanismos
sofisticados, al alcance de cualquiera.
Secure Software
Pautas para diseñar, desarrolar e implementar un software seguro
utilizando Software Libre.
Introducción al lockpicking
Lockpicking, una de las ramas de las auditorías físicas, la cual se
basa en violar los mecanismos de seguridad de las cerraduras para
abrirlas sin llaves o dispositivos de acceso. Veremos como protegernos
de dichos ataques para resguardar los activos de una empresa o el
hogar. El fin de esta charla es conscientizar a las personas sobre la
temática y además plantearles el dilema moral que implica adiquirir
este conocimiento totalmente accesible, para hacer el bien o el mal.
Fraudes en internet
El fraude en al red es un fenómeno ampliamente extendido y organizado,
la evolución del fraude electrónico en el ámbito mundial muestra una
tendencia creciente. Aca les mostraremos algunas de las tecnicas
usadas por los estafadores para enga;ar sus victimas.
El Servidor Linux para Pymes
Gestiona todos servicios de red a través una sola aplicación. Zentyal
puede actuar como Gateway, Servidor de seguridad (UTM), Servidor de
oficina, Servidor de infraestructura de red y Servidor de
comunicaciones. Por primera vez, la tecnología Linux le permite
gestionar toda su red como una sola unidad.
miércoles, 1 de diciembre de 2010
martes, 30 de noviembre de 2010
RootedLabs 2011
Es un conjunto de actividades formativas que se realizarán durante los tres días previos a RootedCON 2011, es decir, Lunes 28 de Febrero, Martes 1 y Miércoles 2 de Marzo de 2011.
miércoles, 24 de noviembre de 2010
BarCamp Security Edition en Medellin Colombia
Lugar y Fecha
Fecha: Sábado 4 de Diciembre
Hora: 9:09AM - 7:06PM
Lugar Medellín:
Auditorio
Museo de Antioquia
Carrera 52 No. 52-43
(Plaza de Botero)
Lugar Bogota:
Tecnoparque Bogotá
http://www.barcampse.org/
saludos amigos colombianos!!
Fecha: Sábado 4 de Diciembre
Hora: 9:09AM - 7:06PM
Lugar Medellín:
Auditorio
Museo de Antioquia
Carrera 52 No. 52-43
(Plaza de Botero)
Lugar Bogota:
Tecnoparque Bogotá
http://www.barcampse.org/
saludos amigos colombianos!!
jueves, 18 de noviembre de 2010
Phrack Magazine cumple 25 años!!!
Desde aqui nuestro mas sincero homenaje a una de las revistas precursoras de la cultura hacker underground junto con 2600 the hacker quarterly al menos desde mi punto de vista.-
El primer número fue publicado el 17 de noviembre de 1985 y desde entonces ha contribuido sobre todo divulgando bastantes conocimientos e ideas —a veces secretos—, razón por la cual sus editores han pasado más de una vez por las rejas. Por ejemplo, Knight Lightning, uno de sus fundadores, fue arrestado en medio de la Operación Sundevil liderada por el Servicio Secreto de los EE. UU. Phrak siempre se distinguió por la calidad técnica y el tono tecnopolítico de sus artículos. En los 67 números publicados podrás encontrar densos tratados sobre seguridad informática, así como profundas disertaciones sobre contracultura y cultura hacker en general.
Bajatelas desde
http://packetstormsecurity.org/mag/phrack/indexdate.html
http://www.2600.com/
El primer número fue publicado el 17 de noviembre de 1985 y desde entonces ha contribuido sobre todo divulgando bastantes conocimientos e ideas —a veces secretos—, razón por la cual sus editores han pasado más de una vez por las rejas. Por ejemplo, Knight Lightning, uno de sus fundadores, fue arrestado en medio de la Operación Sundevil liderada por el Servicio Secreto de los EE. UU. Phrak siempre se distinguió por la calidad técnica y el tono tecnopolítico de sus artículos. En los 67 números publicados podrás encontrar densos tratados sobre seguridad informática, así como profundas disertaciones sobre contracultura y cultura hacker en general.
Bajatelas desde
http://packetstormsecurity.org/mag/phrack/indexdate.html
http://www.2600.com/
miércoles, 10 de noviembre de 2010
Seminario Security Hacking Nea 5ta edición
Estan invitados a la 5ta edicion de SSHN, evento de Seguridad Informática (Seminario Security Hacking Nea) el cual se realiza todos los años. Esta vez el 19 y 20 de noviembre.Este evento se hace (a pulmón) para las personas en general entre los que se encuentran estudiantes, administradores, empresarios, gobiernos y otros.
Para mayor detalle visitar: www.securityhackingnea.com.ar Habrá concurso de hacking y regalo de libros.
La SSHN (SEMINARIO SECURITY HACKING NEA) nace por iniciativa del señor Pedro Matías Cacivio y el señor Hugo Serrani, en el año 2006 en la ciudad de Resistencia provincia del Chaco Argentina, con el objetivo de dar a conocer a la comunidad los riesgos que se corren en los sistemas informáticos, tanto en empresas, corporaciones, entidades gubernamentales, militares y otros, este evento fue realizado en el salón de la cámara de comercio en dicha ciudad.
En el mismo, el Señor Pedro Cacivio, mostró las principales fallas de seguridad que corrían los sistemas operativos Windows, GNU-Linux y Unix. Mostrando técnicas de ataques avanzado en tiempo real, contra servidores en Internet, explotándose distintos Bugs. Se tocaron temas como auditoria, pentest, investigación de sistemas,
políticas de seguridad, ventajas del uso de software libre orientado a la seguridad, etc. Debido al gran éxito y repercusión que tuvo en el auditorio, el público no se
hizo esperar y en el 2007 se realiza el Segundo evento, en el que además de seguridad Informática se tocaron temas de Software Libre, así como la participación de agrupaciones del medio, como el primer grupo de DB2 (IBM) en el mundo, y alumnos del instituto Instel, con charlas como Cracking en Software, Manejo estructural de Exploit, Seguridad en Redes, Hacking en Telefonía Celular, Principales Fallas de Seguridad en Internet Explorer, Principales fallas de Seguridad en motores de Base de datos SQL, y Administración de Servidores en GNU-Linux para empresas.
Este evento fue declarado de interés provincial así como sus posteriores. En el momento se contaba con un comité organizador, representado por el Sr. Hugo Serrani, Pedro Cacivio, Teresa Olmedo O’Higgins, Horacio Olmedo O’Higgins, y Mariano Lirussi. Nuevamente se realizó en la Cámara de comercio de la ciudad de Resistencia con la concurrencia de 250 personas,quedando el lugar muy chico para tal evento.
Es así que en el 2008 se decide realizar la SSHN3 en homenaje a uno de sus creadores, el señor Hugo Serrani quien hubiera dejado de existir. El mismo fue organizada por Pedro Cacivio, Tereza O’Higgins, Horacio O’Higgins, Alejandro Zapiola, Sebastian del Prado, Cacho Ledesma, Oscar Cáceres y Doris Cacivio, con la colaboración de mucha gente más, y el apoyo del Gobierno del Chaco. El mismo se realizó en las instalaciones de la Casa de Gobierno del Chaco, con una concurrencia de mas de 400 personas de las provincias de Salta, Jujuy, Catamarca, Corrientes, Buenos Aires, Misiones, Formosa, Tucumán, Santiago del Estero, Santa Fe y Chaco .Los expositores fueron de primer nivel, entre los que se encontraron el señor Diego Saravia (creador del primer GNU-Linux en Argentina y el primer sistema 100% GNU), Mauro Torres (creador de GNU-Linux Tuquito y uno de los responsables del proyecto OLPC), Daniel Castro (creador del sistema Interweb GNU), así como la participación de alumnos de Instel & Seguridad los cuales presentaron sus ponencias con el nivel y la altura de la situación. Ya las jornadas se habían extendido a dos días de corrido. En el 2009 se realizaran el cuarto Seminario “SSHE4” siendo su página oficial, www.securityhackingnea.com.ar donde se dieron lugar expertos de seguridad informatica de la republica argentina. Abarcando temas de interes nacional he internacional, que compete tanto a empresas locales como nacionales. Se lograron las espectativas de sus organizadores como de la gente en general.
Cabe destacar que este tipo de eventos es el mas grande de Informatica que se esta realizando en el NEA, no solo por la gran concurrencia con la que cuenta, si no
tambien por los temas relevantes que toca, siendo el grupo organizador el mismo que organizo las flisol (Festival,Latinoamericano de Software Libre) mas grandes de
argentina en los ultimos años, así como jornadas de capacitacion y ciclos de conferencias en el nordeste Argentino.
Fuente: Carlos Tori NNL
Para mayor detalle visitar: www.securityhackingnea.com.ar Habrá concurso de hacking y regalo de libros.
La SSHN (SEMINARIO SECURITY HACKING NEA) nace por iniciativa del señor Pedro Matías Cacivio y el señor Hugo Serrani, en el año 2006 en la ciudad de Resistencia provincia del Chaco Argentina, con el objetivo de dar a conocer a la comunidad los riesgos que se corren en los sistemas informáticos, tanto en empresas, corporaciones, entidades gubernamentales, militares y otros, este evento fue realizado en el salón de la cámara de comercio en dicha ciudad.
En el mismo, el Señor Pedro Cacivio, mostró las principales fallas de seguridad que corrían los sistemas operativos Windows, GNU-Linux y Unix. Mostrando técnicas de ataques avanzado en tiempo real, contra servidores en Internet, explotándose distintos Bugs. Se tocaron temas como auditoria, pentest, investigación de sistemas,
políticas de seguridad, ventajas del uso de software libre orientado a la seguridad, etc. Debido al gran éxito y repercusión que tuvo en el auditorio, el público no se
hizo esperar y en el 2007 se realiza el Segundo evento, en el que además de seguridad Informática se tocaron temas de Software Libre, así como la participación de agrupaciones del medio, como el primer grupo de DB2 (IBM) en el mundo, y alumnos del instituto Instel, con charlas como Cracking en Software, Manejo estructural de Exploit, Seguridad en Redes, Hacking en Telefonía Celular, Principales Fallas de Seguridad en Internet Explorer, Principales fallas de Seguridad en motores de Base de datos SQL, y Administración de Servidores en GNU-Linux para empresas.
Este evento fue declarado de interés provincial así como sus posteriores. En el momento se contaba con un comité organizador, representado por el Sr. Hugo Serrani, Pedro Cacivio, Teresa Olmedo O’Higgins, Horacio Olmedo O’Higgins, y Mariano Lirussi. Nuevamente se realizó en la Cámara de comercio de la ciudad de Resistencia con la concurrencia de 250 personas,quedando el lugar muy chico para tal evento.
Es así que en el 2008 se decide realizar la SSHN3 en homenaje a uno de sus creadores, el señor Hugo Serrani quien hubiera dejado de existir. El mismo fue organizada por Pedro Cacivio, Tereza O’Higgins, Horacio O’Higgins, Alejandro Zapiola, Sebastian del Prado, Cacho Ledesma, Oscar Cáceres y Doris Cacivio, con la colaboración de mucha gente más, y el apoyo del Gobierno del Chaco. El mismo se realizó en las instalaciones de la Casa de Gobierno del Chaco, con una concurrencia de mas de 400 personas de las provincias de Salta, Jujuy, Catamarca, Corrientes, Buenos Aires, Misiones, Formosa, Tucumán, Santiago del Estero, Santa Fe y Chaco .Los expositores fueron de primer nivel, entre los que se encontraron el señor Diego Saravia (creador del primer GNU-Linux en Argentina y el primer sistema 100% GNU), Mauro Torres (creador de GNU-Linux Tuquito y uno de los responsables del proyecto OLPC), Daniel Castro (creador del sistema Interweb GNU), así como la participación de alumnos de Instel & Seguridad los cuales presentaron sus ponencias con el nivel y la altura de la situación. Ya las jornadas se habían extendido a dos días de corrido. En el 2009 se realizaran el cuarto Seminario “SSHE4” siendo su página oficial, www.securityhackingnea.com.ar donde se dieron lugar expertos de seguridad informatica de la republica argentina. Abarcando temas de interes nacional he internacional, que compete tanto a empresas locales como nacionales. Se lograron las espectativas de sus organizadores como de la gente en general.
Cabe destacar que este tipo de eventos es el mas grande de Informatica que se esta realizando en el NEA, no solo por la gran concurrencia con la que cuenta, si no
tambien por los temas relevantes que toca, siendo el grupo organizador el mismo que organizo las flisol (Festival,Latinoamericano de Software Libre) mas grandes de
argentina en los ultimos años, así como jornadas de capacitacion y ciclos de conferencias en el nordeste Argentino.
Fuente: Carlos Tori NNL
sábado, 6 de noviembre de 2010
Yo te honeypoteo, tu me honeypoteas, el se honeypotea, etc
No, no es una referencia sexual, el titulo en realidad hace referencia a una costumbre que estan adoptando ahora los administradores de botnets, para "investigar" a los investigadores valga la redundancia.
Al investigar una pieza de malware relacionados con a la red de robots Zeus, un grupo de investigadores en The Last Line of Defense obtuvo el acceso a un servidor remoto utilizado para auxiliar al control del ataque. Este ataque en particular fue el envío de grandes cantidades de correo no deseado durante el mes de octubre, específicamente a los propietarios de negocios que presentan sus impuestos trimestrales. Conocido como el malware EFTPS, el spam incluye un enlace que envía a las víctimas a un sitio que tiene cargado el troyano Zeus en sus máquinas y luego las envía al sitio real del Departamento del Tesoro de EE.UU: que se encarga de estos pagos.
Pero la parte interesante fue lo que los investigadores encontraron al acceder al servidor back-end: una consola de administración falsa. Muchas, por no decir la mayoría, de las campañas de malware a gran escala ya tienen algún tipo de interfaz de administración en un servidor remoto que permite a los atacantes ingresar y acceder a las estadísticas sobre las infecciones, la distribución geográfica de las computadoras comprometidas y otras métricas. Y los investigadores han podido acceder a estas consolas en varias ocasiones, extrayendo la información importante para saber más sobre los atacantes que esta por detrás del malware y el modo de operar del ataque.
Pero en este caso, aparentemente los atacantes previeron esto y configuraron una interfaz de entrada falsa, con un nombre de usuario y una contraseña débil y una vulnerabilidad simple de inyección SQL. La consola claramente tiene la intención de atraer a los investigadores, y tal vez a otros atacantes, y así permitir al grupo por detrás de EFTPS observar sus movimientos y métodos.
"La interfaz de administración actúa como " honeypot para hackers" que registra la información detallada acerca de quienes intentaron acceder a la consola de administración, así como que trataron de introducirse en él. El sistema de entrada falsos convenientemente acepta fácilmente credenciales predeterminadas y cadenas comunes de inyección SQL . Después de que el investigador / hacker es 'autenticado´, se muestran de forma aleatoria estadísticas de la explotación", dijeron los investigadores en una entrada de blog.
La consola de administración también tiene una característica que permite a los usuarios remotos subir nuevos "robots", una táctica que, evidentemente está diseñada para atraer a otros atacantes para que intente comprometer el servidor para que el equipo EFTPS puede obtener una lectura de lo que están haciendo.
Los investigadores legítimos de seguridad han estado usando los sistemas honeypot desde hace años y se han convertido en una herramienta clave para la recopilación de información sobre nuevas vulnerabilidades, técnicas de ataque y la investigación de redes de robots. El ejemplo más destacado es el Honeynet Project, una red de voluntarios de todo el mundo que mantienen complejos honeypots y publican una gran cantidad de investigaciones sobre lo que recolectan y observan.
Comentarios: Bueno en realidad es una practica que se esta globalizando ya que al igual o tal vez mejor que los investigadores, la comunidad del crimen organizado informatico, esta mejor y mas organizadamente comunicada unos con otros por lo que las novedades para "hacer trampa" se difunden mucho mas rápido que las contramedidas que se puedan tomar.-
Links:
https://honeynet.org/papers/KYT_qebek
http://www.honeynet.org/
http://project.honeynet.org/
Spanish Honeynet Project ---> http://honeynet.org.es/ (esta en inglés!!!!) WTF?
Al investigar una pieza de malware relacionados con a la red de robots Zeus, un grupo de investigadores en The Last Line of Defense obtuvo el acceso a un servidor remoto utilizado para auxiliar al control del ataque. Este ataque en particular fue el envío de grandes cantidades de correo no deseado durante el mes de octubre, específicamente a los propietarios de negocios que presentan sus impuestos trimestrales. Conocido como el malware EFTPS, el spam incluye un enlace que envía a las víctimas a un sitio que tiene cargado el troyano Zeus en sus máquinas y luego las envía al sitio real del Departamento del Tesoro de EE.UU: que se encarga de estos pagos.
Pero la parte interesante fue lo que los investigadores encontraron al acceder al servidor back-end: una consola de administración falsa. Muchas, por no decir la mayoría, de las campañas de malware a gran escala ya tienen algún tipo de interfaz de administración en un servidor remoto que permite a los atacantes ingresar y acceder a las estadísticas sobre las infecciones, la distribución geográfica de las computadoras comprometidas y otras métricas. Y los investigadores han podido acceder a estas consolas en varias ocasiones, extrayendo la información importante para saber más sobre los atacantes que esta por detrás del malware y el modo de operar del ataque.
Pero en este caso, aparentemente los atacantes previeron esto y configuraron una interfaz de entrada falsa, con un nombre de usuario y una contraseña débil y una vulnerabilidad simple de inyección SQL. La consola claramente tiene la intención de atraer a los investigadores, y tal vez a otros atacantes, y así permitir al grupo por detrás de EFTPS observar sus movimientos y métodos.
"La interfaz de administración actúa como " honeypot para hackers" que registra la información detallada acerca de quienes intentaron acceder a la consola de administración, así como que trataron de introducirse en él. El sistema de entrada falsos convenientemente acepta fácilmente credenciales predeterminadas y cadenas comunes de inyección SQL . Después de que el investigador / hacker es 'autenticado´, se muestran de forma aleatoria estadísticas de la explotación", dijeron los investigadores en una entrada de blog.
La consola de administración también tiene una característica que permite a los usuarios remotos subir nuevos "robots", una táctica que, evidentemente está diseñada para atraer a otros atacantes para que intente comprometer el servidor para que el equipo EFTPS puede obtener una lectura de lo que están haciendo.
Los investigadores legítimos de seguridad han estado usando los sistemas honeypot desde hace años y se han convertido en una herramienta clave para la recopilación de información sobre nuevas vulnerabilidades, técnicas de ataque y la investigación de redes de robots. El ejemplo más destacado es el Honeynet Project, una red de voluntarios de todo el mundo que mantienen complejos honeypots y publican una gran cantidad de investigaciones sobre lo que recolectan y observan.
Comentarios: Bueno en realidad es una practica que se esta globalizando ya que al igual o tal vez mejor que los investigadores, la comunidad del crimen organizado informatico, esta mejor y mas organizadamente comunicada unos con otros por lo que las novedades para "hacer trampa" se difunden mucho mas rápido que las contramedidas que se puedan tomar.-
Links:
https://honeynet.org/papers/KYT_qebek
http://www.honeynet.org/
http://project.honeynet.org/
Spanish Honeynet Project ---> http://honeynet.org.es/ (esta en inglés!!!!) WTF?
martes, 26 de octubre de 2010
Hackear Facebook es cosa de niños
Disparen a la oveja o Firesheep
Firesheep es un plug in diseñado por Eric Butler para Firefox que automatiza todo el proceso, y que brinda a cualquiera la posibilidad de hackear una cuenta Facebook.
El mismo eRIC EN SU SITIO NOS LO DESCRIBE
"Firesheep
When logging into a website you usually start by submitting your username and password. The server then checks to see if an account matching this information exists and if so, replies back to you with a "cookie" which is used by your browser for all subsequent requests.
It's extremely common for websites to protect your password by encrypting the initial login, but surprisingly uncommon for websites to encrypt everything else. This leaves the cookie (and the user) vulnerable. HTTP session hijacking (sometimes called "sidejacking") is when an attacker gets a hold of a user's cookie, allowing them to do anything the user can do on a particular website. On an open wireless network, cookies are basically shouted through the air, making these attacks extremely easy.
This is a widely known problem that has been talked about to death, yet very popular websites continue to fail at protecting their users. The only effective fix for this problem is full end-to-end encryption, known on the web as HTTPS or SSL. Facebook is constantly rolling out new "privacy" features in an endless attempt to quell the screams of unhappy users, but what's the point when someone can just take over an account entirely? Twitter forced all third party developers to use OAuth then immediately released (and promoted) a new version of their insecure website. When it comes to user privacy, SSL is the elephant in the room.
Today at Toorcon 12 I announced the release of Firesheep, a Firefox extension designed to demonstrate just how serious this problem is.
After installing the extension you'll see a new sidebar. Connect to any busy open wifi network and click the big "Start Capturing" button. Then wait.
As soon as anyone on the network visits an insecure website known to Firesheep, their name and photo will be displayed:
Double-click on someone, and you're instantly logged in as them.
That's it.
Firesheep is free, open source, and is available now for Mac OS X and Windows. Linux support is on the way.
Websites have a responsibility to protect the people who depend on their services. They've been ignoring this responsibility for too long, and it's time for everyone to demand a more secure web. My hope is that Firesheep will help the users win."
Lo único que hace falta es instalar el plugin, conectarse a una red WiFi y esperar que algún desprevenido usuario use la misma red para conectarse a Facebook.
No deberíamos usar servicios que no sean estrictamente HTTPS cuando usamos un WiFI público.
Firesheep es gratuito, open source, y funciona en todo sistema donde funcione Firefox. En Windows hace falta tener instaladas las librerías Winpcap para capturar el tráfico WiFi
http://codebutler.com/firesheep
Comentario:Me quedo con la reflexion de Eric "Los sitios web tienen la responsabilidad de proteger a las personas que dependen de su servicio. Esta responsabilidad ha sido ignorada por mucho tiempo, y ha llegado la hora de que todos demandemos una web mejor y mas segura. Mi esperanza es que "Disparemos a la Oveja" ayude a los usuarios a ganar"
Firesheep es un plug in diseñado por Eric Butler para Firefox que automatiza todo el proceso, y que brinda a cualquiera la posibilidad de hackear una cuenta Facebook.
El mismo eRIC EN SU SITIO NOS LO DESCRIBE
"Firesheep
When logging into a website you usually start by submitting your username and password. The server then checks to see if an account matching this information exists and if so, replies back to you with a "cookie" which is used by your browser for all subsequent requests.
It's extremely common for websites to protect your password by encrypting the initial login, but surprisingly uncommon for websites to encrypt everything else. This leaves the cookie (and the user) vulnerable. HTTP session hijacking (sometimes called "sidejacking") is when an attacker gets a hold of a user's cookie, allowing them to do anything the user can do on a particular website. On an open wireless network, cookies are basically shouted through the air, making these attacks extremely easy.
This is a widely known problem that has been talked about to death, yet very popular websites continue to fail at protecting their users. The only effective fix for this problem is full end-to-end encryption, known on the web as HTTPS or SSL. Facebook is constantly rolling out new "privacy" features in an endless attempt to quell the screams of unhappy users, but what's the point when someone can just take over an account entirely? Twitter forced all third party developers to use OAuth then immediately released (and promoted) a new version of their insecure website. When it comes to user privacy, SSL is the elephant in the room.
Today at Toorcon 12 I announced the release of Firesheep, a Firefox extension designed to demonstrate just how serious this problem is.
After installing the extension you'll see a new sidebar. Connect to any busy open wifi network and click the big "Start Capturing" button. Then wait.
As soon as anyone on the network visits an insecure website known to Firesheep, their name and photo will be displayed:
Double-click on someone, and you're instantly logged in as them.
That's it.
Firesheep is free, open source, and is available now for Mac OS X and Windows. Linux support is on the way.
Websites have a responsibility to protect the people who depend on their services. They've been ignoring this responsibility for too long, and it's time for everyone to demand a more secure web. My hope is that Firesheep will help the users win."
Lo único que hace falta es instalar el plugin, conectarse a una red WiFi y esperar que algún desprevenido usuario use la misma red para conectarse a Facebook.
No deberíamos usar servicios que no sean estrictamente HTTPS cuando usamos un WiFI público.
Firesheep es gratuito, open source, y funciona en todo sistema donde funcione Firefox. En Windows hace falta tener instaladas las librerías Winpcap para capturar el tráfico WiFi
http://codebutler.com/firesheep
Comentario:Me quedo con la reflexion de Eric "Los sitios web tienen la responsabilidad de proteger a las personas que dependen de su servicio. Esta responsabilidad ha sido ignorada por mucho tiempo, y ha llegado la hora de que todos demandemos una web mejor y mas segura. Mi esperanza es que "Disparemos a la Oveja" ayude a los usuarios a ganar"
Suscribirse a:
Entradas (Atom)