Lucha contra el phising: 44 maneras de protegerte

Es una estafa que genera billones de dolares en pérdidas, incluso aún cuando sólo el 5% de los usuarios caen en la trampa. Amenaza la integridad de las transacciones online entre clientes y banca electrónica principalmente. Es un juego constante del perro y el gato entre los estafadores y los especialistas en seguridad quienes les siguen los talones. Phising, carding, brand spoofing, web spoofing (falseo de web), llámalo como quieras, pero no escapamos al hecho de que este timo se esta volviendo cada vez más peligroso.

España es el tercer país del mundo que más estafas bancarias sufre, y el más afectado de toda Europa. .

Los estafadores tienen a su disposición un gran arsenal de armas, aparentemente enlaces incrustados en emails que redirigen a sitios falsos, ventanas pop-up que animan a introducir información sensible, direcciones URL que enmascaran su verdadero destino, y capturadores de pulsaciones de teclado que estan al acecho esperando capturar tu usuario y contraseña cuando las escribes en el teclado. No tienes porque ser un técnico experto para protegerte de estos ataques phising, basta con que tengas buen juicio, y ser consciente de que no todos los sitios en Internet son los originales, o los que dicen ser, y seguir una o varias combinaciones de los siguientes 44 consejos:

Simples pero efectivos....

1. Nunca confies en desconocidos: La misma regla que aplicabamos de pequeños entra en juego aquí: No abras correos provenientes de gente que no conoces. Configura tu filtro de basura y spam para entregar únicamente contenido de tu lista de contactos.

2. Esquiva aquellos links: ¿Qué ocurre si tu filtro de spam falla y empieza a entregar el contenido de esas carpetas en tu inbox?. Simple, NUNCA, hagas click en los links incrustados en tu correo.

3. Manten tu intimidad: Sin querer has hecho click sobre un link que te lleva a un sitio web donde te preguntan para que introduzcas información sensible como nombres de usuario, números de cuenta, contraseñas, números de tarjetas de crédito o de la seguridad social. Sólo tres palabras - NO LO HAGAS.

4. No temas: Muy a menudo, estos sitios web falsos te avisan de que tu cuenta está en riesgo de ser desactivada si no confirmas tu información de usuario, si recibes algún mail de estas características, simplemente, IGNORALOS.

5. Coge el teléfono y llama: Si dudas en que puede tratarse de una petición legitima, y tu banco te está preguntando para que les confirmes información sensible online. LLAMA al servicio de atención al cliente antes de hacer algo temerario.

6. Usa el teclado, no el raton: Escribe las URLs en vez de hacer click en los enlaces mientras realizas compras online o visitas tu banco y en aquellos sitios donde tengas que introducir números de tarjetas de crédito.

7. Busca el candado: Los sitios válidos que usan encriptación para transferir de una manera segura la información sensible se caracterizan por tener un candado en la parte inferior derecha de tu navegador, NO de la página web. Tambien, las direcciones web empiezn con https:// en vez de el normal http://

8. Nota la diferencia: A veces, simplemente la presencia de el candado es una prueba de que el sitio es auténtico, para verificar su autenticidad, haz doble click en el candado para mostrar el certificado de seguridad del sitio, y CHEQUEA que el nombre del certificado y el de la barra de direcciones coinciden. Si no coinciden, estas en un sitio problemático, por lo que sal de ese sitio.

9. Un razonable segundo intento: Si estas preocupado en que has alcanzado un sitio que se esta enmascarando como tu página del banco, algunas veces la manera fácil de comprobarlo, es introducir una password ERRONEA. El sitio falso la aceptará y normalmente te redirigirá a una página donde te dice que estan teniendo dificultades técnicas, e intentes el chequeo más tarde.
Tu sitio de banco original simplemente no te permitirá la entrada.

10. La clave aquí es la diferencia: Usa contraseñas DIFERENTES para sitios diferentes; lo se, es una tarea dificil en estos días, cuando la mayoría de las funciones de el cerebro se pasan a la tecnología, pero esta es una buena costumbre para prevenir a los phisers de recoger toda tu información de tranacciones sensibles, incluso si han llegado a comprometerte una cuenta. Además tambien ejercitarás el cerebro, es un ejercicio muy útil.

11. Manten tus ojos abiertos: Un email de spam está construido con errores gramaticales, generalmente no va personalizado y puede tener un enlace o un adjunto sospechoso. RECONOCELOS y denuncialos como spam.

12: La familiaridad produce desprecio: No estás seguro de que puedas distinguir un email con phising cuando lo recibes?, bien, echa un vistazo a este sitio, y conoceras como están generalmente construidos. Poco a poco aprenderas a diferenciarlos.

13: La codicia no paga: NUNCA participes en encuestas que te dan dinero por participar y a cambio te preguntan por información sensible. Estas son siempre intentos fraudulentos para conseguir tus datos personales. Puedes recibir los 20$ que te prometen, pero tambien hay una gran probabilidad de encontrar tu cuenta limpia.

14. No salgas: Nunca dejes tu ordenador DESATENDIDO cuando estes logeado con tu cuenta del banco o cuando has dado información de la tarjeta de crédito en un sitio de compras online.

15. El salir apropiadamente cuenta: Una vez que has terminado tus transacciones online, DESCONECTATE apropiadamente en vez de simplemente cerrar el navegador, especialmente si estas usando un terminal público.

16. Nunca puedes ser demasiado cuidadoso: Haz login en tu cuenta del banco regularmente y lleva cuenta de tu dinero. No querrás levantarte un día y encontrar que un phisher ha estado desviando unos pocos de cientos de dolares cada vez.

17. Un poco de conocimiento no es peligroso: Mantente al día con las últimas noticias e INFORMACIÓN sobre el pishing.

18. Pruebas difíciles: Se muy cuidadoso cuando te deshagas de tu viejo ordenador o disco duro. En ordenadores reciclados se ha encontrado información confidencial perteneciente a bancos de Internet. Utiliza software para BORRAR y sobre-escribir los datos de tu disco duro para asegurar que no se pueden recuperar los datos borrados.

19. ¿Lo conozco, o debería conocerlo?: Ten cuidado con el arpón del pishing, cuando tu cuenta corporativa se ha comprometido y los correos solicitando información privada parece que vienen de tus compañeros de trabajo o amigos, es mejor llamar a la persona en cuestión y verificar la autenticidad del correo.

20. Examina concienzudamente esos documentos: Como parte del trabajo en tu empresa, hay mucho que puedes hacer para prevenir que los pishers comprometan la seguridad de tu empresa. Configura Firewalls y manten tus sistemas de Antivirus actualizados. MONITORIZA los logs de tus equipos proxy ,DNS, firewalls y otros equipos de detección de intrusos de una manera regular para chequear si has sido infectado.

21. La política es la mejor política: Crea un conjunto de POLÍTICAS estrictas para la creación de contraseñas de tus usuarios, servidores y routers y asegurate de que tu personal sigue estas políticas.

22. Sin intromisiones: Establece sistemas de detección de intrusos que protejan el contenido de tu red y la prevenga de enviar y recibir emails con phising. Protege tu GATEWAY con herramientas antipishing, antivirus y firewalls.

23. Vigila lo que mantienes en tu compañía: Crea y manten una lista de los DISPOSITIVOS aprobados que tienen permiso para conectar en la red de tu empresa.

Tomando la tecnología de nuestro lado...

24. Es cuestión de confianza: Una questión importante es, ¿Puedes confiar en que el certificado del sitio sea auténtico?. Verisign fue culpable de emitir certificados de seguridad a sitios que reclamaban ser parte de Microsoft no hace mucho. La última versión de los navegadores IE 7, y Opera, en breve serán capaces de proveer a los usuarios con certificados EV SSL (Validación Extendida de SSL) que asegurarán que un sitio es el auténtico. La barra de direcciones muestra verde para los sitios buenos y rojo para los dudosos.

25. Pishers con codicia: Los emails tambien pueden ser spoofeados. La única manera de asegurarte de que no lo sean, es usar clientes que soporten firmas digitales S/MIME. Primero chequea si la dirección del remitente es correcta, y busca la firma digital. Esta es una táctica anti-phising muy efectiva ya que la firma es generada por el cliente despues de que el mail ha sido abierto y autenticado, y está basada en robustas técncias de criptografía.

26. Mantente actualizado: Asegurate de que tu sistema operativo y navegador estan regularmente ACTUALIZADOS. Chequea por los últimos parches y aplicalos inmediatamente.

27. Create un muro: PROTEGE tu ordenador con software anti-spam y antivirus que sean efectivos, y configura firewalls para mantener esos peligrosos caballos de troya alejados. Estos son capaces del peor tipo de phising instalando por ejemplo software de keylogging en tu sistema para capturar todas las pulsaciones realizadas en tu teclado y enviarlas a un sitio desconocido donde el atacante las pueda recoger. Lo que es peor, es que este ataque se puede expandir desde tu PC a demás ordenadores conectados al tuyo, comprometiendo así todos los equipos de la red.

28. Dos son mejor que uno: Usa autenficación de dos factores para hacer login en sitios sensibles. La combinación de un token vía software como una contraseña y un dispositivo hardware como una tarjeta ATM doblan la dificultad de conseguir abrir una cuenta que con sólo uno o ningún factor de verificación.

29. Paso a paso: Es muy dificil para los pishers tener acceso a tu password si DIVIDES el proceso de login en dos fases - introduciendo el ID de usuario en el primero y otras credenciales en el segundo. El proceso es incluso más seguro cuando introduces tus detalles de identificación en la segunda fase sólo si la ventana de entrada se ha personalizado de alguna manera, por ejemplo, si se muestra una imagen explicitamente seleccionada por tí.

30. No solo con un token: Considera usar un dispositivo "ID vault USB token" que encripte todos tus ids y contraseñas y los almacene en una unidad flash, la cual se puede utilizar para hacer login de una manera segura en los sitios web. El dispositivo por si mismo está protegido por contraseña para que los ladrones tengan una capa más de encriptación que afrontar.

31. Hashing para confundir: Plugins de software están entrando en la lucha contra el phising, un ejemplo es el PwdHash, o la herramienta hash de contraseña desarrollada por dos profesores de Stanford que codifica cualquier password que introduces, y crea un único sign-on por cada sitio que visitas. Incluso si los phisers consiguen tu contraseña, no podrán hacer nada.

32. Espío que no me espíen: Otra aplicación desarrollada en la línea de PwdHash, y tambien creada por los mismos profesores de Stanford que la anterior, es SPYBLOCK, una herramienta que previene a los programas caballos de troya de capturar pulsaciones de teclado y robar tus contraseñas.

33. Extendiendo la protección: Las extensiones de navegador como antipish usadas como plugin en el navegador Firefox de mozilla, ofrecen protección contra ataques de phishing manteniendo LISTAS de contraseñas y demás información sensible, y mostrando advertencias cuando el usuario escribe esta información en sitios falsos.

34. Marcando políticas: Los Bancos y casas de negocios online harían bien en usar el marco de políticas de remitente Open Source, un standard que previene el falsear las direcciones de email listando a los servidores que están permitidos enviar mail.

35. Tomando confianza: Como alternativa, podría usar un SERVICIO DE CONFIANZA como Geotrust's True Site que permite a los clientes verificar la autenticidad del sitio web.

Protección eventual contra el phising...

36. Enviando señales positivas: Nuevas tecnologías como el Marco del ID de remitente están entrando en la lucha contra los sitios web suplantados verificando el origen de cada email. Distribuidas por Microsoft y CipherTrust.

37. Salvo que no haya confianza: Trustbars, que son componentes seguros y a prueba de trampas de navegadores, permiten la VISUALIZACIÓN de la información de sitios. Los usuarios son alertados con avisos cuando existe una discrepancia en la visualización de la barra del navegador.

38. Disminuye estos ataques: Otra técnica, revelación de contraseña retardada (DPD), protege contra las ventanas emergentes que solicitan información sensible, (acertadamente calificados como ataques de ventana) trabaja contra los ataques phising cuando los usuarios introducen su contraseña letra a letra, una siguiendo la otra sólo despues de que la correspondiente imagen sea reconocida.

39. Prueba positiva: Los sitios web que deseen demostrar que son auténticos, pueden utilizar extensiones HTML llamadas PROOFLETS para aumentar un contenido del servidor. Estos son verificados por los navegadores a través del uso de servicios web especiales.

Enfoques alternativos...

40. Timos en los móviles: A medida que los consumidores van comprendiendo estos timos, los phisers se mueven a nuevos medios para seguir con sus estafas. Los teléfonos móviles, una necesidad en el mundo de hoy, son las últimas víctimas. Mensajes de texto aparentando ser un aviso de tu banco indicando que a menos que confirmes tu información de cuenta, será desactivada. IGNORA estos mensajes, siempre son spam.

41. Dudas de la voz: Otro campo caliente de actividad, es la tecnología VoIP, está siendo aprovechada como una herramienta de phising con una regularidad alarmante. Los criminales la encuentran EFECTIVA EN EL COSTE para hacer numerosas llamadas y ganar una buena suma con los gastos incurridos. Esto es doblemente peligroso porque la gente, que generalmente piensan en el correo para sospechar, generalmente tienden a confiar en las llamadas telefónicas.

Haz la diferencia....

42. Entra en la lucha: Si te encuentras con un timo de phising REPORTALO al grupo de trabajo anti-phising, o en España a la Asociación de Usuarios de Internet, ambos sitios trabajan para acabar con el phishing y capturar a los responsables.

43. Di adios: Si alguna de tus cuentas han sido comprometidas, CIERRALAS en seguida.

44. El cambio es bueno: Si sospechas que alguna de tus contraseñas ha caido en malas manos, CAMBIA todas tus contraseñas y números de pin en tus cuentas online inmediatamente..

El phishing es un campo de actividad donde la ignorancia nunca es feliz. En tanto exista gente crédula, habra timadores para aprovecharse de las vulnerabilidades humanas como el descuido, pereza, avaricia, e ignorancia. Ayudados y apoyados en la tecnología, estos ataques están incrementando día a día. Un largo camino nos queda en la lucha contra estos cibercriminales, mientras tanto, permanezcamos alerta.

Este post es mi granito de arena para contribuir en esta lucha.

Este artículo ha sido traducido de su original y adaptado en algunos puntos para la versión española.

Grep utility question

Tenemos un archivo llamado nombres.txt con las siguientes entradas:

aperez.2
aperez_
apepito

Queremos realizar una búsqueda exacta de aperez, que no tendrá que aparecer en este archivo.
Pero voilá;

[root@server tmp]# grep -w aperez nombres.txt
aperez.2

¿Porqué aparece?

El man del grep dice:
-w, --word-regexp
Select only those lines containing matches that form whole words. The test is that the matching substring must either be at the beginning of the line, or preceded by a non-word constituent character. Similarly, it must be either at the end of the line or followed by a non-word constituent character. Word-constituent characters are letters, digits, and the underscore.

¿Cómo evitar que aparezca?

Un impacto positivo en la seguridad de las aplicaciones web (sobre WASC)

SAP ha entrevistado a Jeremiah Grossman, uno de los fundadores de la WASC, en esta entrevista habla sobre esta organización, comenta algunas luces sobre lo que hacen, y a donde van. Esta organización, referente en cuanto a seguridad web, tiene proyectos donde han colaborado españoles, y donde cualquiera puede colaborar.

Las vulnerabilidades en la seguridad web impactan continuamente en el riesgo de realizar negocios sobre la web.

Jeremiah es uno de los fundadores de la WASC.

El Consorcio de Seguridad de Aplicaciones Web (WASC) intenta juntar a los expertos y líderes para desarrollar una clasificación común de los problemas de la seguridad web

Corrige permisos de propietario en cualquier ruta

Situación:

[root@server utilidades]# ls -la /usr/local/etc4/
total 584
drwxr-xr-x 95 root root 4096 Jan 10 15:32 .
drwxr-xr-x 19 root root 4096 Jan 10 16:00 ..
drwxr-xr-x 11 servera bkp 4096 Jan 9 17:17 SERVERA
drwxr-xr-x 7 serverb bkp 4096 Jan 9 17:17 SERVERB
drwxr-xr-x 10 serverc bkp 4096 Jan 9 17:17 SERVERC
drwx--xr-x 12 error err 4096 Jan 9 17:17 SERVERD
...

Los directorios tienen el mismo nombre que su propietario, pero el último tiene los permisos erroneos tanto de usuario como de grupo. En una situación donde nos encontremos con multitud de directorios así, podemos corregirlo con el siguiente script en bash.
Antes que nada, podemos tener en un fichero los que queremos corregir para sólo tocar los que hayamos indicado previamente en este fichero, y no todos los que forman parte del directorio.

[root@server utilidades]# cat corrige-permisos.sh
#!/bin/bash

RUTA="/usr/local/etc4/
for i in `find $RUTA -type d -maxdepth 1`
do
MUID=`echo $i |tr 'A-Z' 'a-z' | cut -d '/' -f 5`
for j in `cat servers.txt`
do
if [ "$j" = "$MUID" ]
then
chown -R $MUID.bkp $i
fi
done
done

1. Con el primer for mostramos la ruta que nos interesa, en este caso
/usr/local/etc4/SERVERA
....

2. En la variable MUID dejamos sólo la parte que nos interesa en minuscula
servera

3. Miramos el fichero donde tenemos los directorios a modificar, si coincide con el nuestro lo modificamos.

servera = servera

4. Si coincide ejecutara
chown -R servera.bkp /usr/local/etc4/SERVERA

Y corregiremos todos los permisos erroneos de dicho directorio.

Muy rápido y simple, pero me sirve para tener algunas notas de bash.

Expresiones regulares

Las expresiones regulares en la administracion de sistemas te salvan de muchas tareas pesadas.
Ahora me encuentro con una pequeña tarea a realizar;

Se tiene un fichero /etc/passwd

-------------------------------------------------------
servera:x:588:501::/usr/local/etc4/servera:/bin/bash
serverb:x:589:501::/usr/local/etc4/serverb:/bin/bash
-------------------------------------------------------

Por requerimientos de estructura, necesito que este fichero con cientos de registros como estos, tenga este nuevo formato

-------------------------------------------------------
servera:x:588:501::/usr/local/etc4/SERVERA:/bin/bash
serverb:x:589:501::/usr/local/etc4/SERVERB:/bin/bash
-------------------------------------------------------

Pasar a mayúsculas el campo en negrita, pero tener en cuenta que esa cadena está repetida dos veces por línea, con lo que no vale un simple tr/a-z/A-Z, hay que hacer algo más. ¿Cómo?

Nota: No es necesario modificar todas las entradas del fichero passwd, sólo unas especificadas a través de otro fichero externo.

El fichero externo tendrá:
-------
servera
serverb
serverc
...
-------

¿Cómo solucionarlo?

Solución 1.
--------------------------------
#!/usr/bin/perl
open (PASSWD, "passwd");
while (){
$str = $_;
chomp($line);
$str =~ s#(.*:.*/)(.*):(.*)$#$1\U$2\E:$3#;
print "$str";
}
close(PASSWD) || die "No se cerro SERVERS";
---------------------------------

El kernel de linux resumido

Greg Kroah-Hartman uno de los hacker del kernel linux. -Este es uno de los usos correctos de el término hacker.- ;)

Presenta esta gran obra. Una comprensiva guía de la configuración del kernel y diversos aspectos, sin necesidad de saber programación, muy útil para usuarios de Linux y Administradores.

Palabras del autor: "Si quieres conocer como construir, configurar e instalar un kernel de linux customizado en tu máquina, compra este libro."



El libro esta disponible integramente para descargárselo en varios formatos.

Eliminar contenido de la cache de Google

Hace días recibí una petición de un dpto para borrar una página de la cache de Google, ya que la habían modificado y google estaba mostrando la versión antigua en sus búsquedas.

Esto es algo normal, ya que existe un lapso de tiempo hasta que google indexa toda la web de nuevo, durante este tiempo que dura generalmente de 6 a 8 semanas, se mostrará la versión antigua del documento, la versión cacheada.
Si esto es algo que nos preocupa, podemos pedir a google que nos elimine esa página o que no muestre la versión cacheada.

Si no podemos esperar a que Google indexe de nuevo nuestra web, y queremos borrarla ya de su cache, tal y como vemos en la segunda Nota de el link anterior, la podemos borrar directamente pero este proceso durará unos 5 días aproximadamente.

Una vez que has realizado la petición de borrar un documento de la cache o cualquier otra, podemos consultar el estado de la solicitud.

Información sobre como eliminar contenido de Google.

¿Por qué la publicidad no funcionará en un sitio sobre tecnología?

La gente que conecta con los sitios como digg, slashdot, o techmeme, no son el mejor público de tu sitio web en términos de clicks en publicidad. Si no todos, la gran parte de ellos tendrán instalado software de bloqueo de banners. Y estos usuarios tampoco harán click en tus adsense porque sí, son un público muy especializado. Tambien es cierto que puede haber anuncios adsense del tipo "Aprende .NET en 24 horas online", y demás cursos de lenguajes de programación de los cuales este público aborrece y odia, aunque se ganen la vida con ellos.

Otro hecho, es que el público que lee digg/del.icio.us/slashdot/etc es probablemente el 1-5% de Internet. Conozco un blog de jardinería que generá 1000 euros al mes con adsense. Y otro sitio de diseño de cocinas que he visto que gana algo parecido. Ambos sitios ganan esto con unas 4000-5000 páginas vistas diariamente, ¿cómo? Normal, los usuarios no técnicos harán click en publicidad porque:

1. Ellos no la bloquean
   
2. Los anuncios son buenos.
   

Si llevas un sitio web tecnológico medianamente popular, entonces adsense no será para tí (véase Microsiervos). No puedo recomendar ningún otro producto porque no es fácil experimentar con ellos. Los sitios de pago por click como adsense o adbrite o cuaquiera de este tipo, tienen todos un pago mínimo, lo que significa que parte de tu "etapa de experimentación" estarás estancado con ellos hasta que ganes una cierta cantidad de dinero (generalmente entre 30$ o 100$) antes de que puedas recoger tu dinero y experimentar con otro software de este tipo. Para la mayoría de sitios esto es una gran temporada, por lo que tu "etapa de experimentación" es algo más parecido a un compromiso que a una prueba.

El otro estilo de publicidad en Internet, es alquilar un espacio en tu sitio (por ejemplo un banner de 728x90) por una cierta cantidad al mes. Pero esto tampoco es una opción a menos que tengas un cierto ranking en Alexa, un cierto número de links apúntandote, un cierto número de hits al día, etc por lo que esta tampoco es una opción para la mayoría de la gente.

Para sitios tecnológicos, adsense no es ideal, pero no puedo encontrar un proveedor mejor en este momento. Si tienes una aplicación web popular, no uses anuncios como tu fuente de ingresos principal, a menos que tus usuarios vengan del otro 95% (la gente que no refresca DIGG cada 3 minutos), en cuyo caso funcionará OK. No hay más que ver plentyoffish. Este sitio está el primero en la lista de los que más ganan con adsense.

Extraído y adaptado de el artículo original de Des Traynor.

Desmitificando mitos de como acceder a páginas bloqueadas.

Parte de mi trabajo, consiste en gestionar y administrar filtros de contenidos.
Este post no está relacionado con los bloqueos de páginas de Internet en países de dudosa reputación democrática, sino de las restricciones que existen en los lugares de trabajo para acceder a Internet.

Son muchos los posts que veo sobre como saltarse este tipo de restricciones. Pero como este tema casi me afecta directamente rebatire algunos puntos de por ejemplo este post.

Dejaría mi opinión personal al respecto, pero entonces este post sería off-toppic, vayamos pues al grano. :)

Antes de empezar, pongamonos en situación. Lo normal en una empresa que tiene restringido el acceso a Internet para sus empleados, es que la conexión sea a través de proxy. De esta manera se controlan todas las conexiones desde los equipos de los usuarios, luego implementar las políticas adecuadas ya es tarea de los administradores del sistema, aquí es donde entro y donde nos situamos, en el lado del servidor donde llegan todas las conexiones. Veamos que pasa con los trucos que se comentan:

• La mayoría de filtros de contenido que se precien, antes de entregar una página realizan una resolución inversa si lo que se solicita es la direccion IP, si lo devuelto por la resolución inversa está en su lista de bloqueo, el filtro actuará.

• Cuando utilizamos la cache de google para intentar ver una página que esta filtrada, la petición HTTP que envía Google cuando solicita la versión en cache es algo como: http://216.239.59.104/search?q=cache:4p8WEdw0oU0J:www.playboy.com/ +playboy&hl=en&ct=clnk&cd=1. La cadena de la página que queremos ver en negrita, es la que se envía para consultar, el filtro actuará de igual manera inspeccionando esta cadena y viendo que coincide con sus listas de bloqueo. Lo mismo se aplica con los servicios de traducción.
  

• Utilizando un anonimizador, podría funcionarnos si es que encontramos uno que no lo tengamos bloqueado por defecto. Los filtros de hoy en día, vienen predefinidos con varias listas de bloqueo como pueden ser: pornografía, violencia, spyware, anonimizadores.., y generalmente estas listas se actualizan diariamente o conforme van viendo el tráfico que circula por ellos, tambien existen los mal "llamados inteligentes", esto quiere decir que un día podrás acceder al contenido pero no al día siguiente. Lo de mal llamado inteligentes es por alguna experiencia que he tenido con ellos, pero esta fuera de lugar explicarla ahora.
  

Resumiendo, hoy en día, si las empresas tienen montado un buen sistema de filtrado, será inmune a este tipo de trucos.

Existen multitud de sistemas de filtrado tanto gratuitos como de pago, en mi caso tenemos una mezcla de ambos. Gratuitos en cuanto al proxy y de pago el sistema de filtrado que está encadenado al proxy, se actualiza diariamente y tiene soporte 24 horas de atención para desbloquear sitios bloqueados por error o viceversa. En general, la calidad de servicio es muy aceptable.


Para los que esteis interesados en más información aquí van algunos links:

• Squid
• SquidGuard
• Modulos de filtro para squid
• DansGuardian

Las anteriores son algunas de las mejores soluciones libres para el filtrado de contenidos, existen multitud de soluciones comerciales pero por motivos obvios no las mostraré. Si alguien estuviera interesado se lo indicaría personalmente sin hacer publicidad. ;)

Ataque Universal XSS en PDFs

Vaya como hemos empezado el año en cuanto a seguridad web se refiere.
PDF es vulnerable a inyección XSS sin importar si tienes control sobre el archivo. Esto es, cualquier sitio con archivos PDF disponibles, es vulnerable a inyección XSS.

Podemos buscar pdfs en internet y realizar

La prueba: http://path/to/pdf/file.pdf#blah=javascript:alert(”XSS”);



Mi consejo es que sólo hagamos esto si tenemos algún sitio de nuestra propiedad donde poder testearlo más a fondo.

Simple, es realmente un tema muy delicado, cualquier redirección automática o consiguiendo que alguien haga click en un enlace, puede comprometer el sitio web si tienen el lector de Adobe PDF installado (practicamente todo el mundo lo tiene). Esta es una de las peores amenazas que he visto, ya que cualquier sitio web tiene PDFs, (documentación, ventas, formularios, cursos..).

Por ahora es vulnerable en:

Ataque vulnerable sólo en sistemas Windows.
• IE 6 SP 1 with version of Acro Reader older than 8.0
• Firefox 2.0.0.1 win32
• Firefox 1.5.0.8 win32
• Opera 8.5.4 build 770 win32
• Opera 9.10.8679 win32

Hasta ahora han dado varias soluciones,

1. Solución en el servidor. Que el servidor web trate los archivos .pdf como de tipo mime "application/octet", de esta forma los archivos serán salvados en disco en vez de abrirse con el plug in del navegador". Esto es:

SetEnvIf Request_URI ".pdf$" requested_pdf=pdf
Header add Content-Disposition "Attachment" env=requested_pdf

Se puede seguir el hilo de la lista de webappsec.
O en los comentarios de slashdot.
Y en castellano kriptópolis


Vía: ha.ckers

UPDATE: Leonard Rosenthol de Adobe Systems dice:

• Esta vulnerabilidad sólo afecta a la plataforma Windows. Los usuarios de Mac, Linux, etc. no están afectados.
• Encontramos esta vulnerabilidad nosotros mismos durante unas pruebas internas de seguridad testeando Acrobat, y hemos arreglado la vulnerabilidad en Acrobat / Reader 8 para Windows. Por ello los usuarios de Acrobat / Reader 8 (independientemente del navegador), NO ESTAN AFECTADOS.
• Tenemos ya parches preparados para las versiones anteriores de Acrobat y las liberaremos tan pronto como esten listas para aplicarse. Esto será una solución para aquellos usuarios que por la causa que sea, no puedan actualizarse a Acrobat / Reader 8.

¡GRACIAS FRESQUI!

¿Google y peticiones Spam?

Hoy era el primer día de trabajo despues de unos días de vacaciones. Empezamos a revisar que tal va nuestra red. Y al realizar una búsqueda en Google, esto es lo que nos encontramos:

En inglés
y castellano
Decir que estamos en una red con más de 4000 equipos que utilizan nuestros servicios, y todos ellos al realizar una búsqueda en Internet veían este mensaje.

¿Qué es esto?

Lo primero que hicimos, fue mandar un mail a Google indicándoles lo que nos estaba ocurriendo.

En paralelo, buscamos en nuestros equipos estadísticas de tráfico generado. Para ello la herramienta calamaris hizo el trabajo.
Esto es el dato que nos llamó la atención:

-------------------------------------------------------------------------------
# Incoming TCP-requests by host
host request hit-% sec/req Byte hit-% kB/sec
------------------------------ --------- ------ ------- -------- ------ -------
X.X.X.X 15776 0.00 0.66 279081K 0.00 26.78
C.C.C.C 9885 46.80 0.10 71578829 29.55 71.74
A.A.A.A 9865 23.13 1.30 119149K 9.58 9.29
B.B.B.B 8610 7.14 0.37 38128322 3.67 11.67
....
-------------------------------------------------------------------------------

Esos datos se contrastaron con otras estadísticas de días anteriores, y se pudo ver
que el tráfico generado era inusual.
La persona que estaba detrás de esa IP tenía un programa que realizaba búsquedas automáticas en Google a partir de ciertos términos específicados. Con los datos obtenidos generaban estadísticas para investigaciones.

Mientras tanto, en menos de 12 horas, Google respondio a nuestro correo con lo siguiente:

----------------------
Thank you for your note. The captcha page you're referring to is served by
Google when we experience a quick spike in traffic on Google.com. In order
to continue using Google, simply type the squiggly word into the box on
the captcha page. A captcha image helps us determine whether traffic is
coming from automated robot software or individual users, since most
robots aren't smart enough to read the squiggly text. We apologize for any
inconvenience this page may have caused.
-----------------------

Google respondió nuestro mail en menos de 12 horas.

En los términos de servicio de Google, el tercer punto, dice que no permiten las búsquedas automáticas. Esto es lo que nos hizo encontrarnos con las restricicones anteriores.

Cuando Google capta más de 1000 peticiones GET en un corto periodo de tiempo desde la misma IP hace este tipo de restricción, ya que este tipo de patrones se corresponde con tareas automatizadas para recopilar mails, o realizar spam indiscriminado.

Google permite abrir una cuenta especial para estos casos especiales.

Dos conclusiones:

1. Leer las políticas de uso de los servicios que se utilizan, y respetarlas.
   
2. Google tiene un buen soporte a cuestiones de usuarios.
   

Primer consejo del año: Crea pequeños archivos HowTo

Hace tiempo que llevo guardando todo tipo de comandos y chuletas varias sobre linux, vi, ldap, squid, apache, perl y mucho más. Son pequeños comandos o instrucciones que realizan una tarea muy específica, y que puedo recurrir a ellos cuando los necesite y de una manera ágil. Actualmente tengo un archivo de texto con más de 2000 lineas donde guardo todo eso. Pero despues de leer un post de Matt Cutts, donde hablaba de algo relacionado, voy a probar esta nueva técnica, creo que es más efectiva y útil para poder compartirla.

Se trata de tener pequeños howtos con instrucciones de cualquier cosa, puede ser lo que quieras, como obtener el proceso que más memoria consume, reiniciar un servicio, ejecutar alguna instruccion de algun servicio para comprobación de errores, cualquier tarea que se te ocurra, que sepas que la puedes volver a necesitar en un futuro. Todo documentado como pequeños howtos.

Por ejemplo.

Como tracear con tcpdump.

tcpdump -nXvSs 0 ip and host x.x.x.x -w milog.txt
tcpdump -r milog.txt -nXvSs 0|more

Feliz 2007

Voy a estar fuera unos días, y como en blogger aún no es posible programar una entrada como en wordpress, o al menos yo no se, pues aqui la dejo ya.



¡FELIZ 2007!

Intentemos cumplir aquello que nos hemos propuesto para este nuevo año, y mucho más!.

Aquí os dejo un regalito. ;)
Nos vemos!.

10 signos que nos muestran cuando debemos cambiar de trabajo

¿Hora de cambiar de trabajo?

Llega un nuevo año, y todos nos llenamos de propósitos
Mi último post del año es para aquellos que quieren o desean cambiar de trabajo pero no estan seguros de ello. Me incluyo.

Llevas unos cuantos años en tu trabajo actual. Tienes un sueldo decente junto con algunos beneficios. Pero te preguntas si te estas perdiendo algo. Te intentas convencer a ti mismo de que deberías ser feliz por tener este trabajo, pero algunos días, te das cuenta de lo infeliz que eres en él.

Pero, ¿cambiarías de trabajo?, ¿te arriesgarías?, personalmente, encuentro que los motivos para no arriesgarse son la comodidad y la seguridad que te proporciona. Esto hace nivelar la balanza frente a aquellos días que te sientes tan mal y a disgusto. A veces tenemos que arriesgar, pero, tengamos claro cuando es el momento.

¿Estas preparado?. ¿Estas realizando un trabajo con el que realmente no te sientes ilusionado o feliz.?

Veamos una lista de 10 pistas para determinar cuantas de estas questiones reflejan tus sentimientos respecto a tu trabajo actual.

1) Te deprimes cada vez que piensas en volver al trabajo despues de el fin de semana, un puente, o unas vacaciones.

Cuanto más se acerca la mañana del lunes, más temor tienes. Sientes un pinchazo en tu estomago que no puedes ignorar. Deseas que algo, cualquier cosa ocurra que evite que vayas a trabajar.

2) Gastas más tiempo recuperándote de tu trabajo que divirtiéndote.

Despues de dejar el trabajo cada día, te lleva unas cuantas horas volver a sentirte tu mismo. Te sientes tan cansado que lo único que tienes ganas es de tumbarte en tu sofá y ver la televisión. Puedes tener hasta dificultades para hacerte una cena decente, porque estas tan cansado de todo el estres en tu trabajo. A veces, sientes que no tienes la energía necesaria para salir un rato con tus amigos, en vez de esto, prefieres un vaso de vino, una taza de leche o una bolsa de palomitas y un DVD como vía de escape.

3) Miras la hora durante todo el día.

Miras el reloj en tu ordenador, en tu teléfono móvil, en el pasillo de la oficina.
Y el tiempo cada vez pasa más despacio. ¿Cuantas veces miras la hora en una hora.?
Cuando el tiempo pasa tan despacio, es un buen signo de que no te diviertes con él.

4) Gastas más tiempo chequeando tu correo personal que trabajando.

Existen muchas maneras de entretenerte cuando en tu puesto, sientes que no quieres trabajar, pero tienes que hacer algo, como chequear tu correo personal, enviar mensajes de texto, navegar por Internet, buscar tu trabajo favorito en sitios de busqueda de empleo online.
¿Cuanto tiempo gastas en actividades no relacionadas con tu trabajo en un día típico?

5) Tienes pequeñas depresiones algunos días.

Algunos días te levantas y sólo sabes que no puedes encarar ese día con el trabajo. ¿qué haces?
¿Te inventas una excusa para no ir?, ¿Te creas una cita con el médico?, o vas a trabajar y dejas la oficina antes de lo previsto con alguna escusa. Este tipo de actitudes tienen que hacer pensar
porque nos sentimos así con nuestro trabajo.

6) Tienes un borrador de una carte de resignación esperando.
(no comments)

7) Te quejas de tu trabajo a cualquiera que te escuche.
¿Quien sabe que no te gusta tu trabajo?. Una pregunta mejor puede ser:
¿Quién no lo sabe?.
¿Tus mejores amigos saben lo frustado que estas en tu trabajo?
¿Y tu familia?
¿Y tus compañeros de trabajo?
Hablas con tu estilista, peluquera, o cualquiera que te escuche a la fuerza sobre lo a disgusto que
estas con tu trabajo?
En vez de hablar sobre lo mal que te sientes, puede ser la hora para realizar una busqueda interior y determinar nuestro próximo movimiento.

8) Eres un tonto aburrido en tu trabajo.

Las actividades que haces en el trabajo, no te llaman. Son monótonas, sientes que puedes hacer mucho más. Que puedes dar más de ti.
Mientras realizas tu trabajo, suenas con otra actividad que te llene verdaderamente y con significado. No sabes que será, pero tienes esperanza de que existe algo así.

9) Constantemente llegas tarde al trabajo.

No importa lo que te esfuerces, siempre llegas tarde a trabajar.
Antes de salir de casa, te distraes con cualquier simple tarea, intentado hacer algo más antes de salir al trabajo. Puedes percatarte tambien de que no eres puntual en reuniones, llamadas que deberías haber hecho. Tu tendencia para llegar tarde puede tambien manifestar tu incapacidad para cumplir objetivos de trabajo. Aunque puedes achacar tu mal hábito a otro como la pereza, el típico de dejar las cosas para más tarde. Es un signo claro de que no quieres hacer lo que sientes que debes hacer. Hora de ver otras opciones.

10) Tienes esperanza en ganar la lotería, y solucionar todos tus problemas.

Cuando todo va mal, es un hecho común esperar un milagro que te saque de esa pesadilla.

Algunos sueñan con ganar la lotería, para no volver a trabajar más. Otros pueden soñar en recibir una herencia, o encontrar una pareja que estabilice económicamente. Cualquier que sea tu sueño, el significado es la confirmación de que tu tiempo en tu actual trabajo esta llegando a su limite.

Si reconoces alguno de estos signos en tu persona, es tiempo de meditar.
No gastes los días de tu vida en un trabajo que no te gusta.
Incluso si no puedes cambiar hoy mismo, si que puedes empezar a explorar otras opciones ya.
Tan pronto como imagines lo que quieres hacer, el camino hacia tu futuro trabajo se hara cada vez más claro.

Este es un texto de Carol McClelland, PhD, adaptado por mí.

Fresqui no abandonó.

No, como ya sabeis, sólo se trataba de una broma más, como muchas de las que había ayer por Internet.
Una broma muy lejana a la realidad, y es que el proyecto fresqui, ha sido valorado como uno de los mejores proyectos españoles en la red del 2006, así lo dice una encuesta realizada por el diario online el mundo.

Espero que los chicos de fresqui, no se tomaran a mal esta broma. En principio pensé en otro tipo, como que Fresqui había sido comprado por una gran empresa conocida, pero esa broma ya la gasto el año pasado raulito el friki, qué por cierto está en plena migración.

Algunos datos:

- La noticia llegó a portada, actualmente con 52 votos y 17 comentarios.
- El blog falso de fresqui donde se daba la noticia, el día 28 recibió un total de 475 visitas.

Los mayores referers fueron:
http://tec.fresqui.com/el-proyecto-fresqui-com-abandona
http://tec.fresqui.com/
http://manuls.inopia.net/archivos/recopilacion-de-inocentadas
http://www.pixelydixel.com/2006/12/28-de-diciembre-de-2006.html
http://newsdo.se/

- En los comentarios tanto de la noticia en fresqui, como en el post que hice, se puede ver que hubo usuarios que cayeron. :-P

Nos vemos en fresqui.

Triste noticia la de hoy

Según pone en el blog de fresqui, tienen que abandonar el proyecto por falta de apoyo y medios.
Siempre estaremos con vosotros!.

El último navegador para la nueva Internet.

El último navegador ha llegado y todo el mundo puede descargárselo, los fallos en el sistema son aparentes, pero aún así es completamente una nueva experiencia, nada parecido a Firefox o Internet Explorer.

Los principios básicos de el nuevo navegador son los mismos: click para visitar otros lugares. Inmediatamente te darás cuenta de las características innovadoras que posee.

• El contenido es en 3D y navegas en 3D
• Cada usuario crea el contenido
• Se centra en la interacción con la gente.
  

Puedes utilizarlo para conseguir un trabajo, jugar, hacer negocios, salir con amigos, escuchas música, las posibilidades parecen infinitas. Algunos lo llaman incorrectamente "video juego", pero no lo es. Es un navegador para un mundo virtual con gente y una economía real.

Este nuevo navegador se llama Second Life.

Personalmente aún no lo he probado, pero aunque son muchos los que dicen que no es para tanto
le daré una oportunidad en cuanto tenga tiempo, y comprobar quién tiene razón.

Vía Youngsterinc

Crea tu monólogo personalizado.

Hoy me he encontrado navegando, este curioso adsense que ha llamado mi atención.
Al pincharlo, te lleva hasta la página de J&B Nightology.
Donde puedes crearte un monólogo personalizado listo para enviar.

Queda algo como esto:

Propósitos para el 2007

Alcanjo me envía este meme acorde con la fecha actual. ¿Cuales son mis propósitos para el 2007?:

• 1. Prácticar más Inglés a nivel de conversación para poder llevar una conversación fluida con nativos. Este año, he perdido una de mis mayores oportunidades por esto.
• 2. Ahorrar algo. Actualmente conforme entra sale.
• 3. Comida más saludable. Puedo pasar un día entero en el trabajo con sólo un cafe y un pincho de tortilla o sandwich de jamón y queso.
• 4. Poner en marcha una idea que me ronda hace bastante.
  
• 5. Realizar una escapada sorpresa con mi novia.

Lo malo de esto es que el año que viene echaremos la mirada atrás a ver que ha sido de ellos. :-P

Le paso esto a:
Rubendomfer Davinxi Xulian y si alguno más lo quiere coger, ahí lo tiene.

Rocky VI

Regalo de Navidad gracias a getverderrie
Para practicar un poco de inglés estas Navidades.

La voz originial de Silvester Stallone, ¿ no os recuerda a alguien ? :-)

¿Google adopta samba?

Despues de los recientes sucesos y confirmación de el último gran fichaje de Google "Jeremy Allison", parece que vamos a ver cambios significativos en cuanto al proyecto samba se refiere.
Son varias las veces que he dado mi opinión refiriéndome al proyecto samba como uno de los mejores proyectos Open Source. Son notables las apuestas de Google por este proyecto, por
ejemplo con el "Summer of Code" de ediciones pasadas.
Pero, ¿Que vuelco puede dar que Google haya fichado a uno de sus principales desarrolladores?
¿Qué espera y oculta Google de Samba?, ¿Qué veremos los próximos meses en relación a este proyecto?.
Pues parece que todas las respuestas son positivas, y lo mejor esta aún por venir. Este mail de Jeremy Allison enviado a la lista de Samba y OpenSuse es una prueba de ello.

NAVIDAD

Tal vez el mejor adorno de navidad es una gran sonrisa

¡Feliz, feliz Navidad, la que hace que nos acordemos de las ilusiones de nuestra infancia, le recuerde al abuelo las alegrías de su juventud, y le transporte al viajero a su chimenea y a su dulce hogar! (Charles Dickens)

Aunque se pierdan otras cosas a lo largo de los años, mantengamos la Navidad como algo brillante.…. Regresemos a nuestra fe infantil. (Grace Noll Crowell)

¡Feliz Navidad y Felices Fiestas!

Guru de Google y su opinión sobre próximos desarrollos en la Industria IT

Interesante entrevista, donde podemos ver al denominado "Padre de Internet" Vint Cerf respondiendo a cuestiones como:

• ¿Por qué adquirio Google el sitio social de la red YouTube?
• El Reino Unido tiene problemas para atraer a los estudiantes a los cursos de IT. ¿Qué puede hacer la industria IT al respecto?
• Qué desarrollo informático de los 50 años anteriores crees que ha sido el más rompedor?
• ¿Qué recientes desarrollos son los que más te han impresionado ?
• Volviendo atras en tu carrera, hay algo que harías de manera diferente?
• ¿Cuales son los futuros problemas de Internet?
• Todavía necesita la web predicadores. ¿Cómo ves tu rol?
• Es el desarrollo de la web semántica el próximo gran desafío de Internet.

Lee la entrevista completa.

¿Cómo enviais y leeis las noticias de fresqui?

Quiero decir, para enviar una noticia se puede hacer de varias formas:

• Con el boton enviar tal y como nos ofrece fresqui.
  

• Con los botones fresqui que podemos encontrar en cualquier blog, incluso en blogger.

• O mediante comandos con yubnub
  

fq -d http://fresqui.blogspot.com -t titulo Blog

Y para leer noticias que aún no estan en portada y votarlas, se puede hacer;

• Por la vía normal con el boton de botar pendientes de fresqui, e ir viendo la lista.
  

• O vía el espía, ver que noticias van saliendo, y abrir tabs en el navegador con cada una de ellas, para luego consultarlas. Personalmente esta es mi preferida.

Pero me pregunto si la gente lo hace de otra manera, existe algún plugin que desconozco o herramienta o cualquier otra forma diferente a las que he descrito anteriormente.

Sólo es por curiosidad.

Confianza.

Hace días, comentaba en un post, alguna nueva característica que el equipo de SourceForge estaba pensando en añadir a su sitio.
Esta información estaba sacada de un cuestionario que se realizó a algunos de los usuarios de la plataforma de Sourceforge.

Como recompensa a "perder" 20 minutos de tu tiempo realizando el cuestionario que solicitaban, te recompensaban con 10$, bien vía cheque, o vía PayPal, como todavía no
tengo cuenta PayPal, elegí el pago vía cheque. Aunque en realidad, no esperaba recibir
nada, ya que pensé que total por 10$, no se iban a tomar la molestia de enviarlos fuera de EEUU para tan insignificante cantidad, pero así como yo rellené el cuestionario, ellos cumplieron su parte del trato. Hace unos días me llego una carte de Chicago y esto es lo que contenía.



Obviamente es algo para guardar como recuerdo, pero son estos detalles los que te
hacen apreciar y reconocer un extraordinario équipo y el servicio que realizan con
la comunidad.

¿Cuantas personas hay en España con tu apellido?

En el padrón lo puedes consultar, y ver como de extendido está tu apellido por las diferentes zonas.

Novell la GPL y Jeremy Allison

Jeremy Allison uno de los principales desarrolladores de samba, fichó por Novell en Abril del 2005. Pero el último acuerdo de Novell con Microsoft y la seguridad de que éste puede invalidar la licencia GPL, entre otros motivos, han hecho que ahora Jeremy Allison deje su puesto explicando sus motivos en esta carta.



UPDATE: Jeremy Allison fichar por Google, y seguirá trabajando en el proyecto samba.
Extracto de la entrevista de Mary Jo Foley, una de las mayores expertas sobre Microsoft a Jeremy despues de todo esto.

MJF: ¿Cual es el futuro de Samba, dados estos últimos acontecimientos?
Allison: Trabajar duro de aquí en adelante :-) . Google no contrata gandules :-) :-)

Vía Google Dirson

Sorteo de Navidad 2006: ¿Qué dice Google?

No acostumbro a escribir este tipo de posts, pero tenía curiosidad.
Ultimamente veía anuncios de Google contestando a diversas preguntas

¿Por qué no preguntarle lo que cualquier persona quisiera saber?, excepto Anthony Blake.
¿e indicando que queremos tener Suerte.?


y nos cuenta...



¿Será uno de esos acertijos que tanto gusta a Google?

Mañana 22 de Diciembre de 2006 comprobaremos si el número premiado fué comprado en Sort, para probar suerte el año que viene.

UPDATE: Esta vez, no supo la pregunta que le hicimos.

El término hacker

Existe una lucha constante con el término hacker, originada mayoritariamente por el uso sensacionalista de esta palabra por los medios de comunicación.
Nadie mejor que los auténticos hackers para definir el verdadero significado de la palabra

Hacker: Persona que practica la programación informática como una especie de pasión artística y que forma parte o se identifica con la cultura de los hackers es decir con el grupo de programadores que históricamente esta en los origenes de Internet de Linux y de la WWW.

Evita que los spam-bots recojan tu dirección de correo de tu página.

Ultimamente a modo generalizado el envío de spam se ha incrementado notablemente.
Una de las técnicas que está funcionando y con la que podemos comprobar como los spammers se adaptan a los tiempos, es que ahora los mensajes de spam, vienen dentro de una imagen. Como el de abajo:


De esta manera los servidores no son capaces de reconocer los patrones establecidos y nos llenan los buzones.

Entonces luchemos con sus propias armas. Por lo menos mientras no sean capaces de scanear imágenes.

En vez de poner tu dirección de correo como de costumbre, pon algo como:



Con esto pondremos nuestro pequeño grano de arena para que no puedan recopilar automáticamente direcciones de e-mail de nuestra web.

Icono creado con E-mail Icon Generator.

Botones varios en Blogger Beta

Son muchas las peticiones que he recibido sobre cómo poner los botones de fresquí, meneame, technorati y alguno más debajo de cada post.

Por ello, es por lo que escribo este post, para evitar tener que contestar personalmente cada petición, y tenerlo más a mano para cualquiera que desee implementarlo en su blog.

¿Sobre como conseguí implementarlos?, pues la primera referencia que vi fue una noticia en fresqui,
que me llevo hasta la web de plantea.
Pero, siguiendo las indicaciones no es del todo fiable, hay que leer los comentarios para corregir algún fallo, al final podréis comprobar que funcionan perfectamente.

Efecto Barrapunto y Meneame

Whow!, el otro día fui víctima de el tan conocido efecto barrapunto y meneame.
Podeis ver las estadísticas de tráfico que tuvo el post de los mitos sobre móviles.

Fue sorprendente ver esas estadísticas, lo bueno es que ni me enteré de que lo habían puesto en portada de barrapunto, sino que empeze a notar un incremento en el número de comentarios de el post, y vi que no era normal, entonces es cuando fui a barrapunto y pude comprobar que ahí estaba, en la portada. Al poco tiempo, estaba en la cola de meneame y tambien salio a portada. Algunos comentarios me ayudaron a corregir algunos pequeños errores que tenía el post. En definitiva, un buen empujón para seguir adelante.

¿Sólo en las películas?: Un escenario de el peligro de nuestra privacidad

La privacidad en Internet, es algo que queramos o no tendría que preocuparnos, o por lo menos tendría que ser un aspecto de Internet al que tendríamos que dedicar unos minutos para pensar en ello.

La privacidad en la Red a la que estamos acostumbrados, siempre aparece como aquella donde pueden intervenir espías en el proceso de la navegación. ¿Pero que ocurre con la privacidad de nuestros datos que dejamos en los cientos de servidores que utilizamos diariamente de manera transparente?

Aquí va una pequeña historia, adaptada de un post del blog de John Battelle , que aunque no deja de ser una historia de ficción, puede reflejar los peligros extremos a los que potencialmente estamos expuestos.

--
En nuestras redes, tanto Intranets como en Internet, existen toneladas de información sobre todos nosotros que de buena gana (redes sociales, datos de registro, emails encadenados, historias de búsquedas) y a veces de no tan buena (clicks, historial de navegación, compras, consultas), dejamos en los servidores. Ahora, debemos creer y confiamos en que las personas que tienen acceso a esos servidores, no revuelven en nuestros datos, ni realizan ninguna acción sucia con ellos, nunca lo harán, o mejor dicho, en la mayoría de los casos, ya que hablamos de humanos, de cualquier manera si hicieran algún tipo de manipulación con nuestros datos, podría ser el fin de su carrera al tratarse de un delito. Pero Google, Yahoo, Microsoft, eBay, Amazon, etc, no son compañías pequeñas. Las constituyen miles de individuos, y entre estos miles, puede haber una mínima cantidad de sujetos que pueden equivocarse y actuar como no debieran.

El siguiente escenario implica esta clase de sujetos.

Imagina que un Ingeniero de una de estas grandes compañias decide aprovecharse de su situación, piensa que este Ingeniero trabaja para una compañía que tiene un buscador local, redes sociales, servicio de blog, historial de búsquedas, registros, y correo todo de la misma compañía. No es difícil pensar aquí en compañías como Google, Yahoo, Amazon o Microsoft, pero no hay que irse tan lejos, cualquier mediana empresa hoy día tiene sus propios sistemas de Información con personal propio a su cargo.

Este Ingeniero tiene acceso, o puede conseguirlo, a toda la información que quiera sobre pongamos por ejemplo, de todas las chicas que utilizan los servicios de su compañia, y decide buscar datos de aquellas chicas que vivan en los alrededores (vía Codigo Postal, palabras de búsqueda, registros, etc).

En un periodo determinado de tiempo, este Ingeniero recopila una enorme cantidad de datos sobre estas chicas, incluyendo direcciones, correos personales, fotografías, posts de sus blogs, conexiones de sus redes sociales, historial de búsquedas, etc. Esta cantidad de datos son recopilados despreocupadamente en su ordenador personal de su casa. donde lo ha protegido todo en un directorio con el password "chicas jóvenes".

Ahora, veamos la historia en acción. En la ciudad de este Ingeniero, empiezan a ocurrir una serie de violaciones no resueltas, y en todas ellas están involucradas chicas jóvenes.

Las autoridades locales y los políticos, intentan llevar este asunto con la más absoluta discrección ,para evitar una posible rebelión de los padres asustados y evitar así que estos puedan empezar a tomarse la justicia por su mano, pero la policía local esta muy intrigada. Los medios locales sacan a la luz esta noticia, pero sólamente es mencionada de pasada en las noticias nacionales.

Entonces, una de las víctimas, es encontrada cruelmente asesinada, y a los pocos días le sigue otra en las mismas circunstancias. La prensa nacional se hace eco y la presión para encontrar al asesino se intensifica de manera dramática. Cada día, imagenes de las jovenes víctimas son mostradas a través de los medios y el miedo en la población es latente.

Mientras tanto, un compañero de nuestro Ingeniero, se da cuenta de como éste esta actuando de una manera extraña estos últimos días, con extraños comentarios sobre las noticias de las jóvenes, faltando al trabajo, y una manera de comportarse muy inusual en él.
Este compañero de trabajo, habla con su jefe, y le menciona esa comportamiento de su compañero, el jefe, corrobora estos rumores, y se lo cuenta a la policía.

La policía, a la espera de cualquier indicio, obtiene una orden de registro para la casa de este Ingeniero, y mientras él esta fuera, ellos irrumpen en su apartamento, encontrando algunas evidencias que le relacionan con los asesinatos. Recogen su ordenador y a través de una serie de sencillas acciones de analisis forense en el equipo, descubren la contraseña de una carpeta protegida, desenterrando el tesoro de la información contenida en ella. Descubren un documento escandaloso de datos de mujeres jóvenes, y lo más inquietante sobre él, es lo fácil que resulto para este Ingeniero recopilar todos esos datos.

Algún miembro de el departamento de la Policía, filtra a un reportero que el Ingeniero es el asesino, y que la password usada en el documento de sus víctimas era "chicas jóvenes".

Los medios de comunicación Nacionales e Internacionales, inmediatamente empiezan una batalla de información alrededor de "El asesino de las jóvenes", y establecen un dispositivo de noticias 24 horas al día alrededor de el lugar de trabajo de este Ingeniero. Cada posible historia, especulación, y cada movimiento de cualquiera involucrado en este caso, es examinado, todo en directo las 24/7. Es el asesino de los medios de el momento. Es como el nuevo Jack el destripador de los medios.

¿El principal gancho de la historia?, la facilidad con la que el asesino, recopilo datos e identifico a sus todas sus víctimas con un gran nivel de detalle gracias a los datos a los que tenía acceso en su trabajo. ¡Una pesadilla sobre la privacidad!.

¿Quién sabe a lo que estamos expuestos?, Google, Yahoo, MSN, etc son bombardeados con peticiones sobre sus políticas de privacidad; ¿Qué información tienes sobre mí?, ¿Cómo puedo verla?, ¿Para qué la usais?, vamos, decirme TODO, ¿quien más tiene acceso a ella?, ¿Cómo puedo editarla?, ¿Protegerla?, ¿Borrarla? ¿Manegarla?. Las compañías actualmente no alcanzan todo esto, y al menos inicialmente no tienen los recursos necesarios para manejar todas las demandas de los miles de usuarios que estan llenando sus cuentas de correo y saturando sus líneas de teléfono en busca de respuestas. De hecho, algunas de ellas NO pueden prometer que puedan encontrar o incluso borrar la información, concudiendo a más protestas.

Para finalizar, se hace casi imposible para la Industria de Internet hacer algo con los datos de los individuos a menos que se genere un acuerdo para ello, y se establezcan leyes consistentes y adecuadas. El debate es breve, las acciones tienen que ser por unanimidad. La innovación y los nuevos productos se marchitan, las búsquedas y todo lo relacionado se estanca. Un temeroso público empieza a usar Internet cada vez menos, preocupados hasta que las compañías con las que ellos interactuan puedan garantizarles su privacidad personal, la compensación simplemente es enorme.

¿Ahora qué?

¿O mejor aún?, ¿qué se puede hacer para mitigar tal escenario?
El guión está abierto.


Son muchos los peligros asociados a el trabajo en el area IT.

Mitos sobre usos desconocidos de los móviles

Hay muchos mitos sobre los usos que no sabías de los móviles, ¿pero que hay de cierto en todo ello?

Despues de enviar un artículo relacionado a fresqui, veo que el enlace que he enviado ya no existe, por lo que decido buscar más información relacionada e intentar averiguar que hay de cierto en todo ello, esto es lo que he encontrado.




1. En caso de emergencia, puedes llamar al 112 sin cobertura y con el teclado bloqueado. Al menos intenta la llamada al 112, si la haces a cualquier otro teléfono directamente te da el mensaje "sin cobertura".
(VERDADERO).
Actualizado: Incluso puede hacerse sin tarjeta SIM.

2. ¿Te has dejado las llaves dentro de el coche?. Si tu coche tiene dispositivo de apertura remoto, lo puedes abrir llamando a tu casa y que alguien con una llave de repuesto y con apertura a distancia, a través de el móvil pulse la llave para abrir mientras sujetas tu móvil cerca de la cerradura del coche.
(FALSO)
Actualizado: El RKE (Remote Keyless Entry) transmite flujos de datos encriptados a un receptor dentro de el coche vía RF (señal de Radiofrecuencia), una señal que no puede ser enviada a través de Teléfono, si podría funcionar si la señal estuviera basada en sonido, pero no es el caso. Además los sistemas RKE y los móviles operan en frecuencias completamente diferentes. Es posible que este método funcione en coches que no utilicen el método estándar de RKE, pero estos seran una minoría.
En esta página podemos consultar información más detallada.

3. Carga secreta de batería. Sólo Nokia, pulsando *3370#, te cargará un 50% y podrás tener esa llamada tan urgente.
(FALSO)
Actualizado: Lo que hace es cambiar el modo de transmisión de la información.
Mas detalles en la página de trucos para nokia.
La información para la actualización gracias a ediskrad
Al parecer esto tampoco funciona, no hay una carga extra de batería.

4. Deshabilitar un móvil robado. Guarda el número de serie de tu móvil. *# 0 6 #. y si te lo roban llama a tu compañia, y diles este código para que lo bloqueen.
(VERDADERO).
Actualizado: Tambien lo puedes conseguir en el manual de instrucciones o te lo puede proporcionar tu operadora.

5. Prueba tu microondas. Mete tu móvil dentro del microondas y cierra la puerta. Llamalo desde otro teléfono, si suena, deberías tirar tu microondas, no está aislado correctamente.
Actualizado: A menos que se trate de un microondas de calidad, el móvil sonará, pero la teoría dice que tendría que estar completamente aislado.
(FALSO)
Actualizado 2: Más detalles en los comentarios.

6. Cocinate un huevo. Un famoso bulo que dice que una llamada de 65 minutos entre dos móviles, a una distancia de escasos centimetros, entre los cuales se coloca el huevo, éste se cocinará.
Por mucho que exista un video demostrándolo.
(FALSO)


Los que vienen, son todos ciertos, pero aunque parecen características propias de un móvil, los incluyo por su peculiaridad.

7. Situate donde estas y conoce donde quieres ir, apostaría a que no sabías que casi cualquier teléfono con bluetooth puede ser usado como GPS. Es cierto, sólo conectale un receptor GPS bluetooth como puede ser el sistema de navegación TomTom.
Es una pequeña caja que conecta vía Wireless con tu móvil. Tambien viene con software que te permite ver mapas y direcciones en tu teléfono.
Uno de los mejores teléfonos pare esto es el T Mobile SDA.
(VERDADERO).

8. Navega por internet gratis, no te preocupes no hay nada sospechoso en esto. Alrededor de todo el mundo, existen miles de puntos Wifi que estan abiertos para navegar gratis. Todo el mundo sabe que puedes acceder desde tu portatil, pero ¿sabías que tambien podías acceder a traves de ellos desde algunos teléfonos móviles?, es cierto. El móvil T Mobile SDA mencionado anteriormente puede hacer esto con toda facilidad.
(VERDADERO)

9. Saca tu melodía, sabemos que existe gran cantidad de móviles con función de reproductor de MP3. Pero tambien hay teléfonos que pueden reproducir música con gran calidad de sonido y en estéreo. El móvil T Samsung t809 viene con altavoces estéreos.
(VERDADERO)

10. Manten seguros a tus hijos, los chicos hoy en día estan empezando cada vez más pronto a manejarse con los móviles. Seguro que no quieres que tus hijos esten llamando a todas horas a sus amigos, pero sin embargo quieres que puedan llamarte por si te necesitan en cualquier momento. O puedes querer poder hablar con ellos cuando tu quieres. Bien, entonces hay un teléfono para tí, T-mobile Firefly.
Con el puedes elegir los números que tus hijos podran llamar, para que no malgasten ni tiempo ni dinero.
(VERDADERO)

Finalmente he encontrado este video donde comprueban de manera práctica el mito de el coche y se destapan algunos más.

ACTUALIZADO: He modificado la url del enlace del video, estaba mal, ahora sí se puede ver el video.
En los comentarios hay explicaciones más detalladas sobre algunos puntos, actualizaré el post con ellas.

ACTUALIZADO 2: Añadido un mito que faltaba, el del huevo.

¿Hasta donde puede llegar el modelo Open Source?

Hace unos días escribía un post sobre que pasaría si las prácticas y beneficios que tiene el modelo de trabajo Open Source, se aplicaría en las empresas Españolas. Indudablemente no a modo general, pero esto podría aplicarse a empresas Tecnológicas como pudieran ser de desarrollo, I+D, sistemas o soporte técnico.
Pues bien, parece que el Open Source va más alla de todo esto.
Hasta ahora, el Sistema Operativo Linux y el navegador Firefox, están considerados como las dos grandes creaciones de el movimiento Open Source. Son programas que todo el mundo puede modificar, transformar y compartir estas modificaciones con la comunidad. Pero Linux y Firefox están hechos de bits, es decir es sólo software, algo intangible. Por ello, pueden ser compartidos y enviados por la red fácilmente para que gente desde cualquier lugar de el planeta pueda trabajar sobre ellos de una forma concurrente, los bugs se corrigen de una manera casi instantánea, las nuevas versiones contienen actualizaciones, nuevas funcionalidades, solicitudes de usuarios. etc.

Pero aquí viene la cuestión.

¿Pueden las prácticas y el modelo Open Source aplicarse para crear Hardware, objetos tangibles y tan complejos como sus homólogos en bits?, digamos por ejemplo, ¿un Coche?.

Pues parece que sí, o al menos eso es lo que se persigue en el proyecto OScar

Su meta es desarrollar y construir un coche siguiendo los principios de el modelo (OS) .
El joven Alemán Markus Merz, es el fundador de este ambicioso proyecto.



Su manifiesto (el cual está disponible en su web) expone:

"Construir un coche sin un centro de Ingeniería, sin jefes, sin dinero, y sin fronteras.
Pero con la ayuda de la colaboración y creatividad de la comunidad de Internet.
Tres o cuatro meses deberían ser suficientes para la fase de definición de el proyecto.
Entonces, liberaremos el concepto y empezaremos el desarrollo,
con un poco de suerte y mucho esfuerzo, dentro de el próximo año
deberemos ser capaces de construir un prototipo"

¿Hasta donde podrá llegar el Open Source?

Como aprovechar mejor el tiempo

Trabajar como administrador de sistemas a veces te hace llegar a situaciones donde no sabes exactamente que es lo que estabas haciendo. Puedes estar modificando unos scripts de migración de cuentas de un sistema, entonces te llega una alarma de nagios sobre un problema con un servidor en producción, vas a comprobar que es lo que ocurre en ese servidor y mientras estas comprobandolo te llaman por teléfono para comentarte otro problema en un servicio diferente, y todo ello mientras tienes al compañero de al lado de mesa esperando para revisar un gráfico juntos. ¿Como manejas este tipo de situaciones? ¿Cual es el mejor método.?

Mi experiencia me dice que no hay un método mágico, pero sí algunos pasos a seguir para que todo no sea tan caótico como parece y poder llevar un orden en el trabajo que haces. Aunque muchas veces no los puedas cumplir, siempre viene bien tener en la cabeza algunos puntos a seguir para este tipo de situaciones;

• Prepara tu entorno para trabajar y empezar a ser productivo.
  
• Anota en un papel o agenda las tareas más importantes que tengas para ese día.
• Anota sólo las que crees que puedas terminar en ese día.
  
• Empieza con las tareas más fáciles y continua hacia las difíciles.
• Trabaja sólamente en una tarea al tiempo, no intentes hacer varias a la vez.
• Cuando sientas que ya no puedes más, relájate, levantate y date un paseo para que te de el aire, esto te relajará y tu mente se dará un respiro para continuar.

Yo soy el primero que no las cumplo, pero siempre intento hacer alguna de ellas, y realmente funcionan. En la realidad es muy dificil seguir un guión establecido, como mucha gente intenta, ya que es el propio día a día en el trabajo el que te lo da el guión a seguir, pero si tienes unas mínimas normas que te ayuden a sobrellevar un día duro, todo irá mejor.

En la lista anterior me he dejado alguna cosa, y es que hoy en día en el trabajo tenemos muchas distracciones, el ruido de el correo cada vez que a alguien le llega un mensaje, el compañero que siempre te esta preguntando sobre cualquier cosa, y es que hay que intentar crear un buen ambiente de trabajo teniendo en cuenta todo esto, y realizar tu trabajo de una manera profesional sobreviviendo a todas las interrupciones que puedas tener.

Software: Linux vs Windows

No es un post sobre las típicas y más que oidas comparaciones de programas entre los dos principales sistemas operativos, sino algo más útil.

No todo tiene porque ser blanco o negro, si no puedes vencer a tu enemigo únete a él, pero cuanta más información dispongas mejor. Yo utilizo ambos sistemas operativos, porque tanto uno como el otro dispone de el software que necesito en cada momento y, ya sea por comodidad o porque realmente no existe otra alternativa, los dos sistemas operativos son necesarios para mí.

De todas maneras la intención de este post, era para guardarme algunas referencias que he encontrado con los programas equivalentes entre ambos sistemas. Algo muy útil para refutar lo que he dicho anteriormente.

Proyecto de los equivalentes Linux
Alternativas Open Source

Imagina

Situación: España.
Quién: Empresa tecnológica o departamento IT.

Imagina que los trabajadores son verdaderos entusiastas con su trabajo.
Imagina que son expertos y realmente saben lo que hacen o no lo son aún pero su forma de trabajo les conducirá a ello algún día.
Imagina que sus productos y desarrollos son de gran calidad, mejor usabilidad y encajan perfectamente en el mercado.
Imagina que su método de trabajo se basará en méritos, ganados con la experiencia y su contribución al proyecto o productos.
Imagina que NO solamente ellos tienen el derecho exclusivo a trabajar con su proyecto, sino que está abierto para que todo el mundo pueda contribuir en la medida que pueda, gente igual de entusiasta que ellos en el proyecto, aunque las decisiones finales las tengan aquellos que más contribuyan al proyecto y se hayan ganado el respeto gracias a sus aportaciones (meritocracia).

Deja de imaginar y piensa que producto saldría de las ideas anteriores.



Saldría un producto Open Source de calidad como cualquiera de los cientos de miles que existen actualmente. Un producto que cubre las necesidades de todo el que lo usa, gracias a las contribuciones personales hechas, basadas en necesidades propias. Un producto con mayor seguridad y rápidez de correción de fallos que sus semejantes que no son Open Source. Productos de indiscutible calidad usados alrededor de todo el mundo e incluso en mayor proporción que los productos semejantes de caracter propietario. Sólo por mencionar algunos; apache, mozilla, samba, squid, iptables, linux, wikipedia, en esta página puedes ver una extensa lista y votar tu favorito..

El movimiento Open Source tiene un fuel que difiere totalmente de la Industria de Software Propietario, mientras el dinero es el "fuel" que mueve esta industria, el Software Libre se ha estado sustentando en una de las principales necesidades básicas de el hombre. "La necesidad de reconocimiento por el trabajo bien hecho."

Ahora piensa en esta empresa Tecnológica Española, aplicando los métodos de trabajo del Open Source. ¿Viable?.