ALGUNAS AMENAZAS DE LOS SITIOS WEB

ALGUNAS AMENAZAS DE LOS SITIOS WEB


La vulnerabilidad de las páginas web están generando problemas serios para las organizaciones. Las empresas a diario realizan miles de transacciones, muchas de ellas de carácter económico por miles de millones de pesos y sus sitios web son atacados por personas inescrupulosas que se dedican a revisarlos, a descubrir sus debilidades y a aprovecharlas en beneficio propio o de terceros.

Las técnicas de vulneración son conocidas como ataques (forma en la que se explota una vulnerabilidad de seguridad). Todos hemos escuchado algunos de ellos, como por ejemplo el DoS, desbordamiento de buffer o inyección de código SQL, por mencionar algunos que en el vocablo diario de los sistemas son tocados con regularidad.

Los expertos en estas materias han realizado muchos escritos sobre el tema. En particular hoy quiero contribuir con un resumen de la clasificación de esos ataques.


La siguiente clasificación fue tomada de un documento realizado por Web Application Security Consortium (Clasificación de Amenazas) que en mi criterio ayudará de forma amplia el entendimiento de conceptos que muchos de nosotros no manejamos adecuadamente.


TIPOS DE ATAQUES


Autenticación

Hace referencia a ataques cuyo objetivo es el mecanismo utilizado por un sitio web para validar la identidad de un usuario, servicio o aplicación. La autenticación es realizada bajo uno de estos tres mecanismos: "algo que se tiene ", "algo que se conoce" o “algo que se es ". Algunos ejemplos fuerza Bruta, autenticación insuficiente, débil validación y recuperación de contraseñas.


Autorización

Enfoca los ataques que tienen como fin un método de los sitios web para determinar si un usuario, servicio o aplicación tiene los permisos necesarios para ejecutar una acción solicitada. No debemos olvidar que un atacante puede obtener privilegios de ROOT lo que generaría graves inconvenientes. Ejemplos predicción de credenciales / sesión, autorización insuficiente, expiración de sesión insuficiente, fijación de sesión.


Ataques en la parte cliente

Su eje es la extralimitación o aprovechamiento de los usuarios de los sitios web. Cuando un usuario visita un sitio web, se establece una relación de fatuidad entre las dos partes, tecnológica y psicológicamente. El usuario espera que el sitio web que visita le entregue un fondo válido. El usuario también espera que el sitio web no le ataque durante su permanencia. Teniendo en cuenta estas ilusiones en la relación de fatuidad, un atacante puede emplear diversas técnicas para aprovecharse del usuario. Ejemplos: suplantación de contenidos, Cross-site Scripting.


Ejecución de comandos

Abarca los ataques diseñados para ejecutar comandos remotos en el sitio web. Todos los sitios web utilizan datos suministrados por el usuario para satisfacer solicitudes. A menudo los datos facilitados por el usuario son usados para crear comandos de construcción resultando en contenido activo de una página web. Si este proceso es hecho de forma no segura, un atacante puede modificar la ejecución de comandos. Ejemplos: desbordamiento del buffer, ataques de formato de cadena, inyección LPDA, comandos de sistema operativo, inyección de código SQL, inyección de código SSI .


Revelación de información

Hace hincapié en los ataques diseñados para adquirir información concreta del sistema sobre un sitio web. La información específica del sistema incluye distribución de software, números de versión y niveles de parcheado.

La información puede contener la ubicación de ficheros de backup y ficheros temporales. En muchos casos, no se requiere la divulgación de esta información para llevar a cabo las necesidades del usuario.

La mayoría de sitios web revelarán una cierta cantidad de datos, pero lo mejor es limitar, siempre que sea posible, la cantidad de datos que pueden ser revelados.

Cuanta más información acerca del sitio web disponga el atacante, más fácil le resultará comprometer el sistema. Ejemplos: indexación de directorio, fuga de información, localización de recursos predecibles y demás.



Ataques lógicos

Se centra en el abuso o explotación del flujo lógico de una aplicación web. La lógica de la aplicación es el flujo de procedimientos esperados para realizar una cierta acción.

Recuperación de contraseñas, alta de una cuenta, puja en subastas y compras en comercios electrónicos son ejemplos de lógica de aplicación. Un sitio web puede requerir a un usuario un proceso específico de varios pasos para completar una acción particular. Un atacante puede ser capaz de burlar o abusar de esas características para dañar un sitio web y a sus usuarios. Ejemplos: abuso de funcionabilidad, denegación de servicio y validación de proceso insuficiente.


Es importante el constante estudio de estos conceptos, toda vez que son muy dinámicos y por consiguiente lo que hoy vemos mañana seguramente será diferente. Por eso mi invitación a continuar investigando sobre el tema.



Referencias
Web Application Security Consortium:
Clasificación de Amenazas
www.webappsec.org
Versión: 1.00

Read More

T grande

Innovar en mercados emergentes:
EL PARADIGMA DE LA T GRANDE


La innovación no es un tema relacionado únicamente con el desarrollo e investigación de tecnología y nuevos productos, pues depende de las condiciones de la economía en que se encuentra, los países emergentes o en vía de desarrollo por ejemplo no cuentan con los recursos suficientes para la Investigación y el desarrollo de este tipo de economía, por lo que se limitan al consumo y adaptación de estos productos y tecnologías generados por los países desarrollados y su atención se está centrando en el desarrollo e innovación en el negocio (T grande) y no en el producto (t pequeña), lo que abre las puertas a una ventaja para los países en desarrollo, pues en lugar de invertir en crear se puede destinar más recursos en el desarrollo del negocio. Tal es el caso de Cemex, una de las más grandes productoras de cemento, el producto en sí no ha variado pero lograron adaptar la tecnología existente para mejorar su logística, servicio y costos (35%). La tecnología que usaron no es nueva pero la fusión de esta tecnología en un nuevo proceso logístico si es una admirable innovación.

La economía de t pequeña surge cuando se centra en el producto impulsada por la tecnología, por otro lado la economía de la T grande busca su ventaja competitiva en otras áreas de funcionamiento de la organización, como operaciones, comercial, finanzas, marketing, entre otras. De manera que esta economía implica cambios en el modelo de negocios y es impulsada por “ideas”.

La economía de t pequeña al implicar innovación en el producto sólo involucra a una parte de la empresa mientras la economía de T grande implica un proceso no lineal donde la innovación encuentra su camino en todas las áreas de la empresa. Para ello la empresa debe generar un ambiente propicio que permita la participación de todos los trabajadores de la empresa sin importar su rango o ubicación así lo hizo Cemex, con base en la firme creencia que las mejores ideas pueden surgir de cualquier parte de la empresa principalmente en la parte operativa y usaron el método de la evolución biológica: Variación (Detectar y estimular sugerencias), Selección (elegir las sugerencias) y Diseminación (Transferir las innovaciones a las operaciones de la empresa). Así creó varios mecanismos para la conducción de ideas como: Un comité de Innovación y un banco de Ideas a partir de la alineación con la estrategia corporativa, bajo la Misión de buscar respuestas innovadoras a preguntas comunes según las necesidades de la organización y sus áreas.
Otras de las innovaciones en el negocio de Cemex surgió en la investigación de la demanda en distintas culturas y poblaciones, personas viviendo en un lugar específico por un promedio de tiempo de un año, identificando los hábitos de consumo, necesidades y capacidad de la población, así identificaron fuertes oportunidades, como maneras de acercarse a las personas con su producto, formas de financiamiento, velocidad de entrega, asesorías, capacitaciones, publicidad etc, logrando la fidelidad y reconocimiento. Se enfocaron en vender soluciones y servicio más que un producto cambiando las reglas competitivas del sector, por esto es aquí donde esta el futuro de la competitividad de los países emergentes.

Para la mayoría de empresas en Latinoamérica la gran oportunidad de innovar radica T grande, es decir, en introducir innovaciones al modelo de negocios. Pero las empresas en países desarrollados cuentan con una gran trayectoria tecnológica y con poderosas y bien financiadas unidades de I&D, lo que les permite un fuerte énfasis en innovaciones de t pequeña, es decir, en el producto mismo. Así se da una interacción entre la t pequeña y la T grande en cuyo centro está la pregunta clave de cuál debe ser el foco estratégico de la empresa en las distintas etapas del desarrollo de un producto y de maduración de un mercado.

No tener un foco estratégico claro y pretender innovar tanto en el modelo de negocios como en el producto es un error que se paga caro, pues no se entrega señales claras a la empresa y al mercado sobre las prioridades de negocios de la organización.



Artículo Harvard Business Review

Read More

porque son vulnerables las contraseñas

POR QUE SON VULNERABLES LAS CONTRASEÑAS

Diofanor Rodríguez CPP

Cuando accedemos a un computador, generalmente se nos pide una contraseña de ingreso, que es la protección inicial más común del equipo y de los documentos que contiene.

Ese mecanismo de protección, lamentablemente, no está realmente bien entendido. Muchos de nosotros (los usuarios) desconocemos que la seguridad de la computadora, de los programas y de los documentos, inicia con esta pequeña secuencia de datos y por ello muchas veces los descuidamos o los dejamos tan sencillos, que todo queda al descubierto en un abrir o cerrar de ojos.
Iniciemos por conocer la forma en que nuestras claves pueden caer en manos de personas no gratas, mediante un antiguo método denominado "Fuerza Bruta", donde el atacante simplemente prueba distintas combinaciones de palabras hasta dar con la clave del usuario.
Muchas claves de acceso se pueden obtener con gran facilidad, toda vez que casi siempre se encuentran involucrados datos que nos ligan a dichas claves, como por ejemplo el nombre, fecha de nacimiento, fechas de cumpleaños, nombres de los hijos y aniversarios, entre otras, por mencionar algunas de las más comunes. A esto se suma el hecho de que rara vez se tiene por costumbre el cambio de la contraseña, lo que facilita en gran medida la obtención de la clave a través del método de prueba y error.
Otra forma de ataque es el denominado “sistemático”, que a través de programas especiales y “diccionarios”, de manera rápida y corta prueban millones de claves hasta encontrar la correcta.
Los “diccionarios” son archivos con millones de palabras que pueden ser contraseñas de usuario. En la actualidad existen diccionarios de gran tamaño orientados, incluso, a un área especifica dependiendo del tipo de organización que este siendo victima de un ataque.
En el siguiente cuadro se muestra el tiempo de búsqueda encontrar una clave a partir de su longitud y el tipo de caracteres utilizados. Expertos afirman que la velocidad de la búsqueda se encuentra en 100.000 claves por segundo.

Se observa, por ejemplo, que si se utiliza una clave de 8 caracteres de longitud, tomados de los 96 caracteres posibles, el tiempo que alguien tardaría en descifrarla es de 2.288 años. Esto se debe a que en este escenario, el número de claves posibles es de 7.214 billones (millones de millones).
Por supuesto, nadie dispone de todos esos años para analizar y encontrar las claves a través del método de fuerza bruta. Los delincuentes entonces se dirigen a las llamadas claves débiles, en donde el descuido de los usuarios hace fácil encontrar las claves.
Un experimento realizado sobre 2.134 cuentas, con una velocidad de prueba de 227.000 palabras por segundo, demostró que con un diccionario 2.030 palabras, se obtuvieron las claves de 36 cuentas en solo 19 segundos (1,77%) y con un diccionario de 250.000 palabras, se obtuvieron las claves de 64 cuentas en 36 minutos (3,15%).
Otro estudio muestra el resultado obtenido al aplicar un ataque, mediante un diccionario de 62.727 palabras, a 13.794 cuentas: En un año se obtuvieron 3.340 contraseñas (24,22%), en la primera semana se descubrieron 3.000 claves (21,74%) y en los primeros 15 minutos se descubrieron 368 palabras claves (2,66%).
Como se observa en el segundo análisis, el porcentaje de hallazgos casi no cambia entre un año y una semana. Esto pasa por que las primeras claves que se pueden descubrir son las más sencillas, que muy seguramente corresponden a secuencias del tipo “abcd”, secuencias numéricas como “1234”, secuencias observadas en el teclado del tipo “qwer", palabras que se encuentran en el diccionario del usuario y, lo más seguro, al nombre del usuario, en donde por ejemplo la persona se llama Cristina y su clave es “cristi” o se llama Fernando y su clave es “fercho”.
Estos estudios demuestran que nosotros no sabemos escoger bien nuestras contraseñas, muchas veces por pereza, otras por desconocimiento, y ello incrementa de forma sustancial el riesgo si el atacante conoce algo sobre la victima, ya que podría utilizar diccionarios orientados a lo que conoce de la persona.
Algunas normas dadas por expertos que se deben tener en cuenta al elegir una clave:
No utilizar contraseñas que sean palabras (aunque sean extranjeras), o nombres (el del usuario, personajes de ficción, miembros de la familia, mascotas, marcas, ciudades, lugares u otro relacionado).
No usar contraseñas completamente numéricas con algún significado (teléfono, fecha de nacimiento ó placa del automóvil).
No utilizar terminología técnica conocida.
Elegir una contraseña que mezcle caracteres alfabéticos (mayúsculas y minúsculas) y numéricos.
Deben ser largas, de 8 caracteres o más.
Tener contraseñas diferentes en máquinas diferentes y sistemas diferentes. Es posible usar una contraseña base y ciertas variaciones lógicas de la misma para distintas máquinas. Esto permite que si una clave de un sistema cae no caigan todos los demás sistemas por utilizar la misma clave.
Deben ser fáciles de recordar, para no verse obligado a escribirlas. Algunos ejemplos son:
Combinar palabras cortas con algún número o carácter de puntuación: soy2_yo3
Usar un acrónimo de alguna frase fácil de recordar: A rio Revuelto Ganancia de Pescadores: ArRGdP
Añadir un número al acrónimo para mayor seguridad: A9r7R5G3d1P
Mejor incluso si la frase no es conocida: Hasta Ahora no he Olvidado mi Contraseña: aHoelIo
Elegir una palabra sin sentido, aunque pronunciable: taChunda72, AtajulH, Wen2Mar
Realizar reemplazos de letras por signos o números: En Seguridad Más Vale Prevenir que Curar: 35M\/Pq< href="http://consult.cern.ch/writeups/security/security_3.html" target="_blank">CERN Security Handbook on Passwords. CERN. Noviembre de 1998.
- FAQ de alt.2600 versión .014
- Tabla de Tiempos del John the Ripper 1.4 by +NetBul. SET N°15-0x07. Junio de 1998.
Ritos de la criptografía moderna

Read More