El sistema en línea del Servicio de Impuestos Internos estuvo bajo mantención durante la noche redireccionando a todos los usuarios a https://www.sii.cl/pagina/actualizada/suspension/hpi_suspension.htm. El problema es que el mensaje no se desplegaba al momento de ingresar al sitio, sino que luego de iniciar la sesión o más bien, luego de enviar el formulario de inicio de sesión o de intentar ingresar mediante certificado.
Prey es una herramienta que permite el rastreo de computadores y dispositivos móviles, pensado para encontrar tu portátil, tablet o teléfono móvil cuando se te pierde o te lo roban.
Basicamente, y como todo software o herramienta de rastreo, lo que hace es enviar información a un servidor centralizado con la ubicación y otros datos que te pueden ayudar a identificar dónde está tu dispositivo. Lo que me llamó la atención fue querer conocer cómo envia la información y cómo funciona la “api” de comunicación, por lo que me lo descargué y comencé a analizar el código.
La versión analizada es la 0.5.9 (md5: 1ff6cb6bb0de36415fde3382e72a8a6d), pero imagino que la información que voy a exponer afecta a todas las versiones anteriores.
Me atrevería a decir que en chile, estos dos bancos (que en realidad son lo mismo) son los únicos que no implementan un login con seguridad HTTP+SSL o más conocido como HTTPS.
Una implementación segura de este protocolo necesita que tanto el formulario de inicio de sesion como la URL de destino del formulario esten bajo HTTPS, de lo contrario perfectamente mediante un ataque MITM u otro tipo de ataque un atacante podría modificar los parámetros del formulario que está sin seguridad.
El pensamiento para implementar HTTPS de ambos bancos es: “Hagamos el login sin https, pero cuando el usuario presione ‘entrar’ se envie el formulario a un sitio con https“.
Es más común de lo que piensan que los usuarios suban archivos “basura” a servidores en producción/explotación. Muchas veces son distintos usuarios los que tienen acceso al directorio público de un sitio web, ya sea todos accediendo desde el mismo usuario o cada uno con su usuario.
El problema es cuando no tenemos control sobre las cosas que se suben a producción, por ejemplo como administrador de sistemas a muchos nos ha tocado que debemos crear cuentas de usuario ftp con acceso a subdirectorios de un sitio web, uno intenta aplicar todas las medidas de seguridad posible y hacer cumplir todos los procedimientos necesarios, como por ejemplo que un “usuario normal” no puede subir archivos a produccion vía FTP sin que sean correctamente validados ni filtrados, sin embargo, a ellos no le sirve. Otro ejemplo es cuando los desarrolladores tienen que subir desarrollos nuevos o actualizaciones, ya sea mediante un control de versiones o suciamente directamente desde ftp o ssh, nunca se controla qué tipo de archivos están subiendo, exponiendo nuestros servicios y servidores.
Este post es para presentarles un nuevo proyecto chileno de Shinee Labs, que busca acercar a padres e hijos al uso seguro de internet. Esto incluye el uso de redes sociales, navegacion segura, mecanismos de control y vigilancia, etc.
s-Safe4kids es un espacio creado con la finalidad de acercar a padres e hijos al uso seguro de la Internet.
El mayor poder existente es estar informado, esto nos ayuda a prevenir y tomar acciones en pro del bienestar de nuestros hijos.
La comunidad usualmente desconoce el poder de la tecnología y de los riesgos que por malas practicas se corren. Informar y crear conciencia es un paso importante en la lucha contra el acoso infantil.
La evolución en la Tecnología debe ir de la mano con la responsabilidad de quien la ocupa, cada vez es mas común ver a niños tener acceso a Internet por diferentes dispositivos a más temprana edad.
Si te interesa apyar esta iniciativa visita y difunde el sitio web https://www.e-safe4kids.org/ y síguelos en twitter @esafe4kids.
Un KeyLogger es una herramienta que permite almacenar todo lo que un usuario escribe con el teclado, permitiendo almacenar contraseñas, nombres de usuarios, datos bancarios, textos, etc. Ser víctima de esta herramienta es potencialmente peligroso, ya que por lo general se oculta entre los procesos y no nos damos cuenta de que alguien está registrando todo lo que hacemos y enviandolo a un servidor externo.
La empresa INFOMIN, dedicada a otorgar servicios de consultoría tecnológicas a las mineras de chile, está almacenando en sus servidores información obtenida desde un KeyLogger aparentemente de un empleado. La información corresponde al año 2012 y recocleta todo tipo de información como usuarios y contraseñas de Facebook y tiendas comerciales, entre otros. Un claro espionaje de la empresa (o alguien de la empresa) hacia los empleados.
© 2024 El rincón de Zerial
Tema por Anders Norén — Subir ↑
Comentarios recientes