|
Weblog d'en Xavi Caballé
 |
dissabte, 24 / abril / 2004 |
[Netcraft] 'Bin Laden Captured' E-mail Downloads Trojan explica l'existència d'un troià que es distribueix en un missatge que té com a tema: «Osama Bin Laden Captured», mentre que al text diu això:
Hey, Just got this from CNN, Osama Bin Laden has been captured! Go to the link below to view the pics and to download the video if you so wish: (URL) "Murderous coward he is." God bless America!
Si l'usuari segueix l'enllaç va a un document .CHM que s'aprofita de la vulnerabilitat de l'Internet Explorer i s'executa automàticament, instal·lant una porta secreta que podrà ser utilitzada per a realitzar enviaments d'SPAM.
|
22:42 (# Enllaç permanent) ()
|
|
 Això cada vegada s'assembla més a un photoblog...
Fotografia d'alta resolució feta per la xarxa de satèl·lits EOS (Earth Observing System) de la NASA, publicada pel centre de meteorologia de la base nord-americana de Rota.
En la fotografia completa es pot apreciar la neu dels Pirineus, el corrent d'aigua de l'Ebre dins del Mediterrani i, fins i tot, l'ombra dels pocs núvols...
Per cert, a Visible Earth de la NASA podeu trobar un bon recull de fotografies realitzades amb aquest satèl·lit amb una resolució encara més elevada: arriba a 5200x4200 i, per exemple, es distingeix perfectament el nucli urbà de Terrassa (i d'altres poblacions). O d'altres imatges tan espectaculars com l'erupció de l'Etna a Sicília.
|
21:58 (# Enllaç permanent) ()
|
|
 Aquest és un dels llibres més complets publicats fins a la data en tot allò que fa referència a les comunicacions sense fil, A més, és un llibre adreçat a tots aquells amb interès en el tema, tant pels que no tenen cap coneixement previ com per a aquells que ja hi tenen experiència.
El llibre està dividit en vàries parts. La primera, com és natural, és una introducció al Wardriving, la detecció i penetració de xarxes sense fil. Per il·lustrar la detecció s'utilitzen dues eines bàsiques: NetStumbler (i MiniStumbler) i Kismet, la primera per a Windows i la segona per a Linux.
La segona part tracta sobre com introduir-se a les xarxes identificades, tot saltant-se les principals mesures de protecció que habitualment s'utilitzen.
La tercera part mostra l'altra punt de vista: com protegir les xarxes sense fil per evitar que puguin ser atacades.
Títol: Wardriving. Drive, Detect, Defend
Autor: Chris Hurley, Michael Puchol, Russ Rogers, Frank Thornton
Editorial: Syngress
1a edició (abril 2004)
512 pàgines
ISBN: 1-93183603-5
El llibre a Amazon.com i Amazon.co.uk.
|
17:27 (# Enllaç permanent) ()
|
|
 ClamAV és un antivirus distribuït amb llicència GPL i especialment optimitzat per a ser utilitzat en la detecció de virus dins del correu electrònic. Funciona directament des de la línia d'ordres. Malgrat no ser un antivirus que detecta tots els virus i cucs, sí que en detecta els més importants i que representen el major volum dins el correu electrònic.
ClamAV oficialment dóna suport als sistemes Unix (principalment Linux), però també hi ha una versió per a Windows (s'executa dins d'un entorn Cygwin). També hi ha disponible una interfície gràfica, ClamWin, pels entorns Gnome i Windows. Aquesta interfície, a més, es pot incloure dins de l'Outlook i l'explorador de Windows.
|
16:42 (# Enllaç permanent) ()
|
|
El govern dels Estats Units i el crim informàtic:
CHIP (Computer Hacking and Intellectual Property) FACT SHEET
Nine additional units will be added to a program called CHIP (Computer Hacking and Intellectual Property) that has proven successful in Northern California. That project demonstrated the benefits of a unit of prosecutors working closely with the FBI and other agencies to establish a relationship with the local high tech community and encourage them to refer cases to law enforcement. In addition, the project provides the skills and training not yet available to law enforcement on a widespread basis.
The new CHIP units are the next phase in the Department's ongoing efforts to combat cybercrime and Intellectual Property theft. In 1991, the Department created what is now the Computer Crime and Intellectual Property Section (CCIPS) in the Criminal Division. This Section is comprised of 22 attorneys who specialize in these crimes and provide national training, advice and coordinate prosecution of computer intrusion and intellectual property cases. The CHIP team members will complement the highly trained network of prosecutors at CCIPS and the US Attorneys’ Offices.
|
13:53 (# Enllaç permanent) ()
|
|
|
divendres, 23 / abril / 2004 |
[Netcraft] New Exploit Allows Compromise of SSL Servers parla sobre la publicació d'un exploit (disponible a http://www.thc.org/) que s'aprofita de les vulnerabilitat PCT (descrita al butlletí de seguretat MS04-011) i que pot ser utilitzada per atacar als servidors web amb SSL basats amb Windows NT i 2000 i IIS, permetent a l'atacant obtenir el control de la màquina.
The code published Wednesday by The Hackers Choice web site has already been downloaded more than 2,200 times. "This particular exploit, now that it's moved to root access, has a very high likelihood of someone writing a new worm (or as the current trend is, patch one of the current worms or bots) to take advantage of this one," the SANS Institute warned. "Be sure to install the MS04-011 Security Update or be prepared to rebuild the IIS server later."
More than 132,000 web-facing SSL servers are running either Windows 2000 or Windows NT4, according to our March Secure Server Survey, representing nearly 45 percent of all SSL servers. The PCT and SSL 2.0 protocols targeted by the exploit are enabled by default in Win2K and NT4. As we noted last week, many SSL sites have a poor track record applying patches for known security holes, including those enabling a system compromise.
|
20:43 (# Enllaç permanent) ()
|
|
La Direcció General de Competència de la Comissió Europea ha publicat a la web el text íntegre de la sentència contra Microsoft. És un monstre de més de 300 pàgines que ni els que l'han escrit l'entenen... però que acaba amb aquestes conclusions:
Article 2
Microsoft Corporation has infringed Article 82 of the Treaty and Article 54 of the EEA Agreement by:
- refusing to supply the Interoperability Information and allow its use for the purpose of developing and distributing work group server operating system products, from October 1998 until the date of this Decision;
- making the availability of the Windows Client PC Operating System conditional on the simultaneous acquisition of Windows Media Player from May 1999 until the date of this Decision.
Article 3
For the infringement referred to in Article 2, a fine of EUR 497,196,304 is imposed on Microsoft Corporation.
The fine shall be paid, within 3 months of the date of notification of this Decision, into Bank account No 001-3953713-69 (Code SWIFT GEBABEBB . Code IBAN BE71 0013 9537 1369) of the European Commission with FORTIS Bank, Rue Montagne du Parc 3, 1000 Brussels.
 Incloc el nombre de compte corrent per si algú té canvi a la butxaca i vol fer l'ingrés dels 497 milions d'euros en lloc de Microsoft...
A Reuters i News.com han publicat un resum de la sentència, més fàcil d'entendre... I a Slashdot hi ha un interessant debat.
|
18:35 (# Enllaç permanent) ()
|
|
 El projecte pam_usb és un mòdul pel PAM (Pluggable Authentication Module) que permet l'autenticació dels usuaris amb claus públiques/privades DSA que estan emmagatzemades dins d'un dispositiu d'emmagatzematge USB (com poden ser les claus de memòria).
|
16:50 (# Enllaç permanent) ()
|
|
Aquest matí he aprofitat que havia de baixar a Barcelona per un encàrrec per badar una mica pel centre, la zona de la Plaça Catalunya, les Rambles, els voltants de la Catedral i la Plaça Sant Jaume... tot i que sovint acostumo a fugir de les multituds i aglomeracions de gent, la veritat és que avui és un dia prou especial. Quin altre dia i a quina altra ciutat un es pot creuar pel carrer amb tot un Nobel de literatura?
|
15:10 (# Enllaç permanent) ()
|
|
|
dijous, 22 / abril / 2004 |
[Redbook d'IBM] Lotus Security Handbook
This IBM Redbook provides best practices and guidance for building a secure collaboration infrastructure utilizing IBM Lotus technologies. It is the third Lotus security oriented Redbook to be published. However, unlike the previous two Redbooks in this series, “The Domino Defense: Security in Lotus Notes 4.5 and the Internet” (SG24-4848) and “Lotus Notes and Domino R5.0 Security Infrastructure Revealed” (SG24-5341), this third book focuses not just on Notes/Domino - but on all IBM Lotus collaborative products, as well as general security best practices for any infrastructure. This book should be considered essential reading for anyone responsible for Lotus technology based applications, systems, and infrastructures.
|
23:50 (# Enllaç permanent) ()
|
|
Alguns enllaços amb informació sobre com substituir Windows NT Server o Windows 2000 per Linux:
|
23:46 (# Enllaç permanent) ()
|
|
[Microsoft] What you should know about spyware, una guia d'introducció sobre els programes espies, els riscos que comporten, les diverses variants i com configurar els productes de Microsoft per reduir la possibilitat d'introducció de programes espies.
|
11:25 (# Enllaç permanent) ()
|
|
Prova de concepte de la vulnerabilitat setsockopt a Linux 2.* (fins a 2.6.3)... printf ("Calling setsockopt(), this should
crash the box...n");
sockprot = setsockopt (mysocket, SOL_IP,
MCAST_MSFILTER, &mygroup, optlen);
Aquesta vulnerabilitat penja la màquina... però està preparada per, modificant-la, poder obrir un shell remot.
Més detalls sobre la vulnerabilitat: http://isec.pl/vulnerabilities/isec-0015-msfilter.txt
|
11:00 (# Enllaç permanent) ()
|
|
Aquests dos programes, NetStumbler per a Windows i MiniStumbler per a Pocket Windows, són una eina imprescindible per a la identificació de les xarxes sense fil que estan a l'abast.
|
00:11 (# Enllaç permanent) ()
|
|
|
dimecres, 21 / abril / 2004 |
Linux Kernel Hardening explica com enfortir el nucli de Linux, amb les diverses opcions de compilació existents i els diversos paquets (com Openwall, Exec Shield, PaX) que inclouen extensions per evitar els desbordaments de memòria intermèdia, les condicions de carrera, el processament de caràcters especials...
|
23:59 (# Enllaç permanent) ()
|
|
Practical PERL for Security Practitioners explica com utilitzar PERL per a tasques habituals del professional de la seguretat informàtica: processament de fitxers de registre d'activitat, identificació de ports, creació de paquets a mida, verificació dels sistemes de detecció d'intrusions, creació de desbordaments de memòria intermèdia...
|
23:55 (# Enllaç permanent) ()
|
|
Al roser del pati de casa ha sortit la primera rosa... Són unes roses de color rosa, que fan moltíssima olor... però només duren, un cop obertes, un parell de dies. És un roser que té més anys que jo i feia molts anys que no havia sortit cap rosa abans de Sant Jordi.
|
18:46 (# Enllaç permanent) ()
|
|
[Topix.net] The secret source of Google's Power explica una mica quina pot ser la infraestructura de Google per mantenir un servei com GMail.
Google has 100,000 servers. [nytimes] If a server/disk dies, they leave it dead in the rack, to be reclaimed/replaced later. Hardware failures need to be instantly routed around by software.
Google has built their own distributed, fault-tolerant, petabyte filesystem, the Google Filesystem. This is ideal for the job. Say GFS replicates user email in three places; if a disk or a server dies, GFS can automatically make a new copy from one of the remaining two. Compress the email for a 3:1 storage win, then store user's email in three locations, and their raw storage need is approximately equivalent to the user's mail size.
|
01:27 (# Enllaç permanent) ()
|
|
[Via Slashdot] Avui és el desè aniversari de Webcrawler.com, un dels primers robots que navegava automàticament per les pàgines i indexant el seu contingut. Encara recordo quan el feia servir... :-)
Avui WebCrawler.com ja no és pròpiament un motor de cerca, sinó un metacercador: mostra el resultat de diversos cercadors a una petició en concret.
És interessant, no obstant, llegir la història de Webcrawler.
|
01:23 (# Enllaç permanent) ()
|
|
[SecurityFocus] Fighting Spammers with Honeypots (primera i segona part) avalua la viabilitats dels honeypot en la lluita contra el correu brossa.
|
00:07 (# Enllaç permanent) ()
|
|
|
dimarts, 20 / abril / 2004 |
El CERT acaba de publicar un avís (Vulnerabilities in TCP) sobre una vulnerabilitat al protocol TCP que pot ser utilitzada per realitzar atacs de Denegació de Servei (DoS) contra les connexions persistents.
Potencialment el protocol més afectat per aquesta vulnerabilitat és BGP, Border Gateway Protocol, un protocol utilitzat per a l'intercanvi d'informació d'encaminanet i que permet als proveïdors d'accés a Internet mantenir les taules d'encaminament per a les adreces IP. Aquest protocol utilitza connexions TCP persistents, sense autenticació, entre cada un dels extrems.
La vulnerabilitat descoberta (documentada a Vulnerabilities Issues in TCP i provada amb una prova de concepte que serà presentada properament a una conferència de seguretat) pot permetre a un atacant remot la finalització de la sessió establerta (originant l'atac de denegació de servei).
Per ara únicament s'ha verificat amb el protocol BGP però hi ha d'altres protocols, com DNS i els protocols que fan servir xifrat SSL que són també potencialment vulnerables ja que també mantenen connexions permanents.
Quan s'estableix una sessió TCP, les dues parts negocien la mida de la finestra TCP. Aquesta finestra redueix el nombre de paquets que un atacant ha d'enviar per tal d'aconseguir que un paquet TCP falsificat sigui acceptat per la víctima, ja que no cal enviar totes les possibles combinacions vàlides de nombre de seqüència. Únicament haurà de calcular un nombre que correspongui al nombre de seqüència esperat més/menys la meitat de la mida de la finestra.
Segons l'estudi publicat, això permet la ràpida identificació dels nombres de seqüència a utilitzar en els paquets falsificats: una connexió amb una ample de banda de 80 Kbps (línia DSL típica) pot inserir un paquet falsificat en qualsevol connexió permanent en aproximadament cinc minuts. Amb més ample de banda (línia T-1, de 1,5 Mbps) es pot arribar a inserir el paquet en només 15 segons.
En general qualsevol protocol que es basi en la utilització de connexions TCP persistents (llarga durada), que facin servir un port TCP d'origen fàcilment identificable i amb adreces IP de l'origen i la destinació fàcilment identificables poden arribar a ser vulnerables.
Com a mesura de protecció és suggereix la utilització d'IPSEC, l'autenticació MD5 a les capçaleres TCP o establir algun sistema d'autenticació entre les dues parts de la comunicació TCP.
Molts fabricants estan afectats per aquesta vulnerabilitat. Al document on es descriu la vulnerabilitat és manté un apartat on s'informa de les mesures i recomanacions de cada fabricant concret.
També en parlen d'aquest problema a News.com: TCP flaw threatens Net data transmissions i a Slashdot.org.
|
23:08 (# Enllaç permanent) ()
|
|
[Vnu] Climbing Firewalls
The role of the firewall is generally becoming more important, and instead of deploying one firewall, many companies are using two or more
(...)
Segregating the network is really just good practice, (...) firewalls can help but only in a limited way. "If you are using an inter-departmental firewall you are saying that authorised users are not allowed access to certain resources, but they are still authorised users.
(...)
firewalls are having to work harder. Performance is more important because the lines they are protecting now are often carrier-class multi-gigabit connections, and this means deploying bigger, meatier hardware platforms.
(...)
Another rising trend is the use of the firewall as the virtual private network (VPN) end-point
|
22:32 (# Enllaç permanent) ()
|
|
[Information Security Magazine] A 'Hard' Line on Malware explica un projecte de la universitat de Washington que ha consistit en dissenyar un hardware especialitzat en la detecció de virus i cucs.
|
21:13 (# Enllaç permanent) ()
|
|
Microsoft ofereix la possibilitat de demanar el CDROM Security Guidance Kit... és diferent al CD amb els pegats (del que en vaig parlar ja fa un temps i que, per cert, tot just he rebut avui). Sincerament no sé pas que inclou aquest CD, però com és gratuït, doncs l'he demanat... tot sigui per reduir una mica els beneficis de Microsoft...
|
19:32 (# Enllaç permanent) ()
|
|
[Via Pjorge.com] Quants planetes caldrien si tothom visques exactament com vius tu... una mostra més del molt bé que vivim uns quants privilegiats, mentre la gran majoria amb prou feines pot sobreviure. Només cal respondre a una dotzena de preguntes molt concretes sobre el nostre ritme de vida.
En el meu cas, si tothom visqués com jo farien falta 4,2 planetes... en canvi, si elimino la utilització de l'avió (faig més de 100 hores de vol a l'any), llavors el meu índex es redueix a 1,5 planetes.
|
19:13 (# Enllaç permanent) ()
|
|
[BBC News] Passwords revealed by sweet deal explica la facilitat amb que la gent pot arribar de desvetllar informació potencialment privada sense donar-hi major importància:
More than 70% of people would reveal their computer password in exchange for a bar of chocolate, a survey has found.
It also showed that 34% of respondents volunteered their password when asked without even needing to be bribed.
A second survey found that 79% of people unwittingly gave away information that could be used to steal their identity when questioned.
Recordo que ja fa uns anys es va fer un estudi semblant; aleshores en comptes de donar xocolatines es van regalar bolígrafs. En aquesta ocasió l'enquesta s'ha fet entre treballadors normals:
The survey data was gathered by questioning commuters passing through Liverpool Street station in London and found that many were happy to share login and password information with those carrying out the research.
Aquest estudi ens mostra la poca qualitat de les contrasenyes habitualment utilitzades:
Family names, pets and football teams were all used by those questioned to provide inspiration for a password
i el martiri que pot arribar a ser recordar les contrasenyes:
The survey found that, on average, people have to remember four passwords, though one unlucky respondent had to remember 40.
i el problema que molta gent està començant a detectar:
The RSA survey (una segona enquesta) found that maintaining online identities is becoming a burden for many people who, on average, use 20 sites that require them to register and then log on afterwards.
|
18:19 (# Enllaç permanent) ()
|
|
[Jon Udell] Proxy power comenta la seva última columna a InfoWorld, però va més enllà mostrant com un proxy local ens pot ajudar per alliberar-nos de les «palles mentals» de molts dissenyadors web (== contingut flash). En el cas concret, Jon ens explica com utilitzar el proxy per convertir el contingut de les web a format XHTML en temps real per tal de filtrar-ne i reformatejar-ne el contingut.
|
01:04 (# Enllaç permanent) ()
|
|
Acaba de publicar-se la nova versió 3.8.1p1 d'OpenSSH,la versió lliure de la família de protocols SSH que ofereixen una alternativa segura als serveis telnet, rlogin, ftp i similars. Tota la informació que envia SSH va xifrada per la xarxa. A més, OpenSSH aplica un sistema fort per identificar els dos extrems de la comunicació, detectant qualsevol possible atac de suplantació.
Quan va sortir la versió 3.7, vaig explicar els passos a seguir per a descarregar el fitxer, verificar-ne la integritat, compilar-lo i configurar-lo.
Aquesta nova versió soluciona diversos problemes detectats a la versió 3.8.
|
00:23 (# Enllaç permanent) ()
|
|
Microsoft ha publicat a la web, accessible de forma gratuïta, el seu compilador optimitzador de C/C++. Només és la versió en línia d'ordres, però permet compilar tota mena de codi font (de fet és el mateix compilador i biblioteca inclosos a Visual Studio .NET).
|
00:00 (# Enllaç permanent) ()
|
|
|
dilluns, 19 / abril / 2004 |
[SecurityFocus] Solaris 10 Security explica les noves característiques de seguretat de la versió 10 de Solaris: contenidors, gestió dels permisos dels processos, gestió dels permisos dels usuaris, gestió automàtica de pegats, entorn criptogràfic...
|
23:39 (# Enllaç permanent) ()
|
|
 Ara fa uns quatre anys, quan em dedicava a fer auditories i valoracions de la seguretat de les xarxes, hauria agraït moltíssim tenir aquest llibre a l'abast.
La verificació de la seguretat és una tasca força complicada de fer... vull dir, és molt complicat fer-la bé i molt fàcil fer-la malament. Consisteix en analitzar la configuració dels diversos dispositius, ja sigui analitzant-la directament o bé mirant-los externament tal com es presenten a la xarxa, per tal d'identificar els possibles problemes de seguretat que puguin tenir.
Aquets llibre és una guia per a la realització de valoracions de seguretat a nivell de xarxa, sense accés directe al sistema. Mostra les principals tècniques, els trucs i la metodologia utilitzats en les proves de penetració per identificar els problemes potencials de seguretat que poden ser aprofitats de forma remota.
La primera part és una introducció a les valoracions de seguretat: que són i quins són els seus objectius; quines eines cal disposar.
A continuació ja s'entra en matèria: com fer l'enumeració i identificació d'objectius, valoració dels serveis d'informació (DNS, LDAP, SNMP, RPC..), accés als serveis (Web, SSH, Citrix...), valoracions de servidors FTP i de bases de dades (SQL Server, Oracle i MySQL), màquines Windows i les seves particularitats; el correu electrònic, les xarxes privades virtuals; identificació de problemes a nivell d'aplicació...
Es tracta d'un llibre pràctic però a més proper a la realitat, ja que mostra exemples pràctics que ens podem trobar a la vida real i fent referència als sistemes que habitualment es troben avui en dia a les xarxes.
Títol: Network Security Assessment
Autor: Chris McNab
Editorial: O'Reilly
1a edició (març 2004)
371 pàgines
ISBN: 0-596-00611-X
El llibre a Amazon.com i a Amazon.co.uk.
|
21:48 (# Enllaç permanent) ()
|
|
 Tots els anuncis televisius dels candidats a la presidència dels Estats Units, des de 1952 (Eisenhower) fins al 2000 (Bush). També hi ha una breu biografia dels candidats i el mapa dels resultats.
|
21:10 (# Enllaç permanent) ()
|
|
[The Register] The future of Weblogging
This weekend the best and the brightest in the blogosphere will schlepp their WiFi-enabled laptops to the Harvard Law School in Cambridge, Mass., where they will “celebrate the art and science of Weblogs” at BloggerCon II.
|
19:28 (# Enllaç permanent) ()
|
|
Detecting Wireless LAN MAC Address Spoofing
This paper describes some of the techniques attackers utilize to disrupt wireless networks through MAC address spoofing, demonstrated with captured traffic that was generated by the AirJack, FakeAP and Wellenreiter tools. Through the analysis of these traces, the author identifies techniques that can be employed to detect applications that are using spoofed MAC addresses.
|
19:19 (# Enllaç permanent) ()
|
|
Iomega ha presentat recentment la seva nova unitat de disc extraïble, la Rev amb una impressionant capacitat de 35 GB (90 GB amb compressió). Es tracta del 'fill de la unitat Jaz', el primer disc dur extraïble d'alta capacitat (1 GB inicialment i posteriorment 2 GB).
Jo durant bastant temps vaig fer servir una unitat Jaz... i funcionava molt bé, quan funcionava. Vaig tenir molts problemes amb ella, ja que de cop i volta deixava de funcionar i havia de trucar al servei tècnic, que sempre acabaven enviant-me una unitat nova. Així es com vaig passar de la unitat d'1 GB a la de 2 GB... i quan es va acabar la garantia d'aquesta em vaig desprendre de la unitat. A diferència d'aquelles Jaz, que eren SCSI, la Rev és un dispositiu USB 2.0.
Per cert, els discos d'aquesta nova unitat estan garantits per 30 anys...
|
11:33 (# Enllaç permanent) ()
|
|
|
diumenge, 18 / abril / 2004 |
iDefense ofereix una recompensa a totes aquelles perdones que els facilitin informació sobre vulnerabilitats o exploits no publicats.
Our Vulnerability Contributor Program (VCP) compensates individuals who provide iDEFENSE with advance notification of unpublished vulnerabilities and/or exploit code. Alternately, iDEFENSE can donate any earned funds to a charity of the contributor's choice in their name.
Criteria
The payment amount is based on the following criteria:
- The kind of information being shared (i.e., vulnerability and/or exploit code)
- The amount of detail provided
- The potential severity level for the information shared
- What applications, operating systems, etc. are affected
- iDEFENSE's verification of accuracy
- What level of exclusivity, if any, is granted to iDEFENSE for the data (see below)
- The number of users of the affected application
- The potential value to iDEFENSE customers
|
23:13 (# Enllaç permanent) ()
|
|
The Fifth HOPE, la cinquena edició de la conferència HOPE (Hackers on Planet Earth), esponsoritzada per la revista 2600. A New York, del 9 a l'11 de juliol.
|
23:10 (# Enllaç permanent) ()
|
|
Data Thief és una eina pensada per mostrar als administradors i desenvolupador de webs el fàcil que és extreure dades de les aplicacions web que són vulnerables a atacs d'injecció SQL.
Data Thief està pensada per extreure dades d'aplicacions vulnerables que interactuen amb un servidor Microsoft SQOL Server. Un cop identificada la vulnerabilitat d'injecció SQL, Data Thief fa tota la feina d'obtenir informació dels servidors SQL.
|
23:08 (# Enllaç permanent) ()
|
|
[Barrapunto] "Hechos técnicos demostrables" prueban según Microsoft la superioridad de Windows sobre GNU/Linux comenta un article publicat a "El Pais", La evangelización de Windows on es parla sobre una campanya de Microsoft per presentar els avantatges de Windows respecte a Linux
Microsoft ha identificado cuatro grandes tipos de público a los que dirigir su mensaje. Entre ellos, ha eliminado, directamente, a uno: el de los defensores de Linux, que suelen ser también enemigos acérrimos de Microsoft. Un segundo grupo es el de sus empleados. Acomplejados por la dureza de los ataques, en unos casos, o asustados por el brutal desafío que representa Linux, en otros, Microsoft decidió el año pasado que todos sus trabajadores -incluidos los que desarrollan trabajos burocráticos- utilizaran productos Linux durante un par de meses, para compararlos con los propios. "Y esa acción ha marcado un antes y un después en el ánimo", asegura Martín.
Los otros dos grupos son el mercado informático en general y, en particular, los clientes y socios que tienen "percepciones equivocadas" sobre Linux y Windows.
(...)
En este primer año de funcionamiento del plan antilinux, Microsoft se defenderá: se trata de negar que sea más seguro, más barato y que innove más. En el segundo año, Microsoft quiere pasar al ataque: el mensaje es que Windows es más escalable e interoperable.
|
22:58 (# Enllaç permanent) ()
|
|
[Jon Udell] Always-on identification parla sobre els problemes associats als sistemes d'identificació que s'instal·len als aeroports, amb la intenció d'identificar delinqüents a través del vídeo.
|
22:44 (# Enllaç permanent) ()
|
|
Potser no és per una altra cosa que donar la nota, però ja hi ha algú que bloqueja el correu de Gmail:
Thank you for contacting us. Unfortunately, due to potential privacy and confidentiallity considerations, we are not accepting inbound email from Google's Gmail service. In order for us to respond to your email, you will need to resend it from a different email account.
El que dic... em penso que l'únic objectiu ara per ara és donar la nota...
|
22:37 (# Enllaç permanent) ()
|
|
Ja fa un temps vaig comentar el concepte del «Port Knocking», un mètode per a realitzar una connexió a un ordinador que no té cap port obert. Els ports s'obren en rebre una seqüència pre-establerta (per això s'anomena Knocking, per que es truca a la porta) contra determinats ports que estan sent monitoritzats.
Via Slashdot he conegut l'existència del primer daemon per a realitzar «Port Knocking», a la plataforma Linux. Malgrat estar en una fase de prova de concepte i no ser plenament operatiu, si que és interessant per provar-ho.
|
22:34 (# Enllaç permanent) ()
|
|
 [Via Slashdot], un robot dissenyat per anar dins dels tubs d'aire i ventilació i convertir-se em un sistema de suport a les mesures de seguretat (vídeo, enregistrament, seguiment de visitants). Tot això controlat per un enllaç WiFi.
|
20:58 (# Enllaç permanent) ()
|
|
[Computing Security Pipeline] The Economics of Information Security sobre la poca fiabilitat dels ROI (càlculs del retorn de la inversió) en aspectes de seguretat:
ROI (or bang for the buck) can't be applied perfectly to information security because often the return on information security purchases and deployments is intangible. Sure, companies invest in some solutions that offer benefits beyond security--faster network throughput in a new router that supports VPNs, for example--and they can calculate the ROI of these indirect benefits. But security requires factoring in the expectation of loss. Statistically, some losses are expensive but unlikely to occur in any given year, for instance, so the expectation of loss over a period of years has to include years in which there is no loss.
(...)
"Investing" in security is not like investing in a more efficient metal-bending machine or sending an employee to a training class.
|
19:52 (# Enllaç permanent) ()
|
|
|
