Archivo de la categoría: informatica

El fin del hacking por ingeniería social

Posted on por
1

La mayor parte de los sistemas de acceso a las webs, correos o cualquier otro sistema informático son técnicamente lo suficientemente robustos para que utilizar métodos de fuerza bruta o criptográficos sea muy, muy complicado (hablo de webs que ya tengan ssl, ordenadores que no tengan keyloggers ni cosas de esas). De hecho los medios para romper una clave rsa que tuvo que poner la NSA (11.000 millones de dólares) no están al alcance de cualquier hacker y, desde luego, no de cualquier hacker que ande por ahí. Sin embargo, se siguen produciendo ataques, filtraciones e intrusiones en nuestras cuentas usando el método más barato de todos: la ingeniería social.

Mediante ingeniería social lo que un hacker hace es tratar de que tu mismo le entregues tus claves o, en el peor de los casos, utilizar alguna clave tuya conocida para derivar la que puede ser tu clave para ese sistema. En 2004 el New York Post publicaba un artículo en el que se describía un experimento por el que un desconocido ofrecía un dulce a cualquiera que le diese la contraseña de su correo… Y el resultado fue sorprendente, 7 de cada 10 personas entregaron la contraseña de su correo. De esta manera da igual que tengamos SSL, TLS, un sistema límpio, y todas las medidas que queramos que mediante ingeniería social cualquier atacante puede descubir nuestras contraseñas. Además, nuestro cerebro no es capaz de recordar secuencias de caracteres aleatorios, o al menos no muchas, por lo que al final solemos usar alguna heurística para tener una sola contraseña y derivar otras en base a esas. Un sistema que conduce, irremisiblemente a regalar nuestras contraseñas a cualquiera que esté interesado por ellas.

¿Cual es mi solución? Muy sencillo, que el usuario no sepa las contraseñas, no es necesario cambiar ningún sistema, ni recordar nada, ni preocuparse lo más mínimo, simplemente olvidate de las contraseñas. Para conseguir esto he creado el sistema nomorepass, que además de generarte contraseñas y almacenarlas de manera segura en tu dispositivo móvil (y solo en tu dispositivo, nada de copiarlo en la nube, ni en nuestros servidores, ni en los ordenadores) te permite enviarlas de manera segura a la web o el dispositivo que la necesita… Todo ello sin que tu tengas que saber cual es la contraseña y, por tanto, sin poder ser presa de la ingeniería social.

Llevando esto al extremo, he desarrollado un nuevo plugin para wordpress que permite hacer los registros de usuario de manera automática, sin tener que elegir un password y que lo almacena directamente y de forma segura en tu app nomorepass. Puedes hacer la prueba registrándote en este blog, simplemente pincha aquí, escribe tu nick y tu email, pincha en el icono de nomorepass y luego escanea el qr con la app usando el botón rojo. ¡voila! ya estás registrado y con tus credenciales en tu teléfono… ¡Y ni siquiera sabes qué contraseña has usado!!

Deja de usar sistemas obsoletos, de escribir las contraseñas en papeles, tener una sola contraseña (con variaciones) para todas tus cuentas o, simplemente, deja de acordarte de tus contraseñas… Usa nomorepass. Es gratis, pero si, además, quieres tener una seguridad extra puedes suscribirte, si dejas un comentario en esta entrada te enviaré un código para que puedas disfrutar de todas las funcionalidades premium durante un mes… ¿Qué esperas?

Errores de gestión… Las empresas de becarios

Posted on por
Responder

Uno no deja nunca de aprender, sea de informática o sea de gestión, en este caso me toca hablar de una tendencia que se afianza día a día en las empresas de informática y de la que he tenido un ejemplo flagrante hace muy poco. La lección de hoy, queridos lectores, es que, nunca, nunca, nunca, hay que dejar que tu empresa sea solo un conjunto de becarios.

¿Son malos los becarios? Claro que no, seguro que en poco tiempo se convierten en unos excelentes profesionales. Con la guía adecuada, y aprendiendo de los profesionales de verdad, todos aprendemos y nos convertimos en profesionales, con poca experiencia, pero profesionales. Entonces, ¿porqué me quejo? Veamos el ejemplo.

Una startup de la que prefiero no acordarme, comenzó su andadura en un nicho de mercado en el que partía con ventaja. Sus socios eran lo mejor de lo mejor en sus áreas de experiencia. Unos provenientes de la parte académica, pero con experiencia en proyectos de investigación, otros con experiencia en el desarrollo de software a nivel profesional y un gestor que creía que sabía de todo que encontró el dinero y los inversores necesarios.

Como toda startup su obligación es focalizarse en su proyecto principal y quemar dinero hasta que consigue sacar al mercado su idea o se queda sin dinero. No obstante, por errores que no vienen al caso, la idea principal se marchitó y se lanzaron a intentar crear productos en mercados cada vez más abarrotados, donde no contaban con las ventajas anteriores y con el dinero ya mermado. En esas los socios más interesantes y menos comprometidos fueron abandonando el barco, o bien se vieron obligados a abandonar al no tener expectativas de obtener un salario digno (digo digno, no a la altura de sus méritos, que eso siempre es mucho más, pero, oye, estamos en una startup). Estas personas son reemplazadas por becarios de manera que, al final, solo queda un socio con conocimiento y experiencia y el resto que se limita a aprender lo mejor que puede intentando no romper demasiado.

Y el error principal viene cuando el gestor, en su afán por prolongar una agonía innecesaria, decide sustituir a este socio «excesivamente caro» por otras personas de un nivel muy inferior, sin capacidad de trabajo ni compromiso con la empresa pero obedientes y baratitos… El resultado, el de siempre, una mierda.

¿Puede una empresa sin conocimiento práctico, sin experiencia, sin foco y sin socios comprometidos trabajando en la misma triunfar? ¿puede acaso sobrevivir? A los ojos de quien solo mira números y no valora el trabajo real de ninguna manera es la consecuencia evidente, pongo dos por el precio de uno y gano en el cambio… ¿Ganar qué? Duplicas el numero de problemas, dilapidas el poco conocimiento que tenías y llevas a cero la confianza de los inversores en una empresa que se puede montar con cualquiera que pase por allí y que no premia ni valora experiencia ni conocimiento… En fin…

Exportar passwords en chrome y firefox

Posted on por
Responder

Ahora que ya tenemos la conciencia de que guardar los passwords en nuestros navegadores es algo sumamente inseguro y que solo debemos hacer en contadas ocasiones y en ordenadores que jamás nunca dejemos a nadie, es posible que nos interese ver la manera de recuperar todos esos passwords que hemos dejado olvidados en nuestros navegadores y así poder borrarlos con seguridad. Es un procedimiento sumamente sencillo, pero el resultado es un archivo donde se pueden ver en claro todas las claves que has usado, así que es mejor que lo destruyas cuanto antes.

Vamos al lío:

Sacar las claves de Chrome

  1. Ejecuta chrome y en la barra de direcciones escribe chrome://flags o about://flags dependiendo de la versión (la que te funcione).
  2. Busca en la ventana que te aparece (ctrl+f) «importar y exportar contraseñas» y cambia su estado a «Habilitada»
  3. Reinicia el navegador
  4. Navega a la configuración (menú configuración) y dentro de esta página pincha en «Mostrar configuración avanzada«, baja un poco y pincha en «Administrar contraseñas«.
  5. Aparecerán dos botones que antes no estaba ahí «Importar» y «Exportar«
  6. Pincha «Exportar» para descargarte todas tus claves. Dependiendo del sistema operativo es posible que te pida autorización (entrar la cuenta de windows, por ejemplo).
  7. Se mostrará un selector de archivos, elige el directorio y el nombre que deseas darle al archivo. Se generará un archivo texto en formato csv con los siguientes campos:
    • Nombre: nombre del wesite
    • URL: dirección del website donde se introdujo la contraseña
    • Usuario: nombre de usuario
    • Password: password del usuario
  8. El botón «Importar» hace lo contrario, así que puedes pasar contraseñas de otro sitio a chrome usando este método.

Sacar las claves de Firefox

Para extraer las claves de firefox utilizaremos una extensión, que podemos encontrar aquí: Password Exporter. Una vez instalado seguiremos estos pasos:

  1. Ve a Preferencias->Seguridad, verás que aparece una nueva opción Importar/Exportar contraseñas
  2. Pincha en el botón, te aparecerá la pantalla para que selecciones si quieres encriptar o no las claves (si las encriptas solo podrás importarlas en otro firefox)
  3. Después de un par de pantallas de advertencia se nos pedirá que seleccionemos un archivo. Para maximizar compatibilidad yo suelo usar el formato csv que finalmente se grabará con los siguientes datos:
    • Hostname: nombre del wesite
    • Username: nombre de usuario
    • Password: password del usuario
    • formSubmitURL: dirección del website donde se introdujo la contraseña
    • httpRealm: en autenticación basica de http pone el nombre del dominio.
    • usernameField: nombre del campo donde se pone el usuario
    • passwordField: nombre del campo donde se pone el password
  4. Para importar habría que hacer el camino inverso

Por desgracia los formatos no son intercambiables, por lo que tendrás que modificarlos a mano si quieres pasar passwords de firefox a chrome o viceversa.

¡Advertencia! : una vez usados estos archivos para lo que queramos es muy recomendable destruirlos, ya que así evitamos problemas de filtraciones.

Usando google drive desde Ubuntu

Posted on por
Responder

Una de las cosas a los que los linuxeros estamos acostumbrados es a que las grandes empresas nos «ninguneen» constantemente y oferten servicios multiplataforma solo para windows y mac, aunque el esfuerzo de haberlos hecho para linux pueda ser mínimo. Uno de estos productos, y que uso mucho ya que tengo cuenta de empresa desde hace más de 10 años es google drive.

 

Si accedemos a la página web para descargarnos el software de google, este nos indica que no hay cliente para nuestro sistema «todavía», y lleva diciendo esto desde hace más de cinco años, sin embargo el acceso mediante la API es realmente sencillo (yo lo uso en NoMorePass por ejemplo desde una app para móvil), por eso me extrañaba mucho esta carencia.

Pero, como siempre, la comunidad de software libre viene al rescate y ya hay algunos que han desarrollado el cliente que necesitamos. Esta es la receta para instalarlo:

sudo add-apt-repository ppa:alessandro-strada/ppa
sudo apt-get update
sudo apt-get install google-drive-ocamlfuse

Una vez instalado, hay que crear el directorio donde queremos que se sincronice (por ej. ~/google-drive) y ejecutar (como usuario):

google-drive-ocamlfuse

Esto nos abrirá una ventana en el navegador para autorizar a la aplicación y darle acceso a tu cuenta, si todo va bien terminará apareciendo esta pantalla:

Y el proceso terminará con un «Access token retrieved correctly». A partir de este momento ya puedes montar la unidad con el comando:

google-drive-ocamlfuse ~/google-drive

Para desmontar el directorio basta con escribir:

fusermount -u ~/google-drive

Y eso es todo, yo lo he hecho y aparentemente funciona, ahora queda ver si es operativo o no…

Cambiando clef por NoMorePass

Posted on por
Responder

Clef era un plugin de wordpress que tenía más de un millón de instalaciones activas. Para los que no lo conozcan de antes esto significa que está en el top de los plugins utilizados en el mundo.

La verdad es que la comodidad y seguridad que aportaba eran notables, sin embargo los autores decidieron dejar el proyecto y enrolarse en otra aventura distinta sin tomar en cuenta a sus usuarios.
Para todos aquellos que hagan estas búsquedas:

Tengo una buena noticia… El reemplazo ideal es tecnología 100% Española, aunque esté disponible para todo el mundo y en varios idiomas. Se trata de NoMorePass. Si quieres probar el plugin solo entra aquí:

NoMorePass WordPress plugin