Seguridad

Seguridad, Trucos, Webs

Os muestro lo poco seguro que es “recordar contraseña” en las Webs

Hoy os quiero mostrar lo fácil que es obtener una contraseña de un navegador que tenga puesto lo de “recordar contraseña”. Nota: esto no es para enseñar nada de “hackeo”. Es para que tengáis cuidado y no dejéis vuestro ordenador accesible si tiene esta opción activada (o no la activéis). Si, con esta opción no hace falta descubrir la contraseña, puedes entrar en el servicio directamente. Pero en 10 segundos una persona puede encontrar tu contraseña, no quedarse en tu ordenador, dejar todo como estaba y luego usar tu cuenta en casa. El truco se hace cuando tenéis un navegador con el “recordar contraseña”, es decir con los famosos puntos y estrellas en la contraseña.Sigue estos pasos: En Chrome dale botón derecho encima de la contraseña “oculta” e Inspeccionar Elemento. Verás que te abre una ventanita con código. En la línea de código donde pone input type=”password” botón derecho y editar como HTML.  Cambiarlo por type=”text” y darle al intro. Voila! Ahí tenéis la contraseña delante de las narices. Nota:  Lo hemos probado en las páginas “más conocidas”. Por lo tanto CUIDADO con dónde dejáis el ordenador. Este artículo está pensado para ALERTAR a la gente y CONCIENCIARLOS de que la primera seguridad del ordenador está en uno mismo. NO para enseñar técnicas de obtención de contraseñas.

Seguridad

Cuidado con las URL cortas. Tipo mensajes de Twitter o Facebook

Aprovechando que hemos visto unos casos estos días, hablamos del tema. Pongamos que te llega un mensaje del estilo siguiente en cualquier red social: Lo primero que debes hacer es SOSPECHAR de mensajes con fotos de ti, vídeos etc VENGAN DE QUIEN VENGAN (amigos íntimos incluídos). Y más si están en inglés. Vamos, que la primera línea de seguridad es el sentido común. Muchos dirán “pero si yo tengo un antivirus”. No importan (al igual que con malware etc), lo que estamos hablando pasa en Internet, no descarga un virus.  Hay más amenazas en Internet que los virus. Cuidado con los enlaces acortados. Son muy útiles pero no tenemos ni idea de dónde nos llevan. ¿Qué es lo que está pasando?  Este mensaje es un caso de phishing o spoofing.  En uno de los casos te lleva a una página que simula ser Facebook, Twitter etc y te dice que te tienes que registrar de nuevo. Como estás acostumbrado a hacerlo, lo haces y ZAS, ya tienen tu contraseña. El segundo caso es todavía más “perverso”. Ni siquiera tienen que pedirte que pongas la contraseña ni te mostrará nada. Al pinchar en el enlace se ejecuta un código que lee la cookie de tu ordenador (lo que hace que no tengas que iniciar sesión cada vez que entras). Entonces sólo tiene que sacar de ahí la contraseña. Otros directamente usan esa cookie para identificarse ellos y usar tu cuenta. La conclusión es que les has dado acceso a tu cuenta de la red social y pueden usarla para lo que sea. El peligro ya no es tanto que entren en tus dados (que también), sino que a) lo suelen usar para propagarse, por lo tanto infectas a tus compañeros/amigos b) imagínate la imagen de infectar a tus clientes o contactos de redes sociales. Tu credibilidad “social” disminuye bastante. Así que cuidado dónde pincháis.  Y mucho cuidado con los enlaces acortados, sólo pinchad en ellos cuando estéis seguros.  

Internet, Seguridad

¿Wifi gratis?…No, gracias

Cada día están más de moda las redes wifi gratuitas, hasta el punto de que incluso los autobuses tienen una, y…si, se que son muy útiles, pero por otro lado, hay pocas cosas más inseguras que esa, ¿que no me crees? Un router no es mas que un canalizador, al router llegan señales de los dispositivos de su alrededor y emite paquetes a todos ellos, cuando un usuario quiere conectarse a internet a través de el, simplemente le dice “señor router, esta es su contraseña, déjeme navegar” (en realidad es algo más complejo, pero en esencia es eso). A partir de este punto, nuestro equipo está asociado con ese AP, de manera que todo nuestro tráfico pasa a través de el, esto implica que cada cosa que nuestro equipo recibe o envía a internet está pasando por ahí. Que nuestros paquetes pasen a través de un router no es ningún problema, el router de tu casa funciona igual, el problema es cuando no sabes quien más está conectado, hay que tener en cuenta que los AP de wifi gratis no tienen contraseña y normalmente tienen un radio bastante amplio, lo que hace que cualquiera pueda conectarse desde prácticamente cualquier sitio dentro de una distancia razonable, y ese “cualquiera” puede ser alguien que lo que quiere no sea ver el facebook, si no, ver TU facebook, o más importante, robarte contraseñas, datos bancarios o infectarte tu equipo y quien crea que esto no puede hacerse debería tirar cualquier tipo de tecnología que posea a la basura e irse a vivir a una cabaña en Canadá. Cuando estas conectado a una red wifi gratis, estas al fin y al cabo en una red, por lo que es muy fácil hacer cosas malas, deja que te ilustre. Un atacante lo tendría tan fácil como usar nmap, Angry IP u otro millar de herramientas para ver quien está conectado a la red, en este caso tu, sabiendo que estás y ya con tu IP local hay 3985610945’1987451846510956019345618076507165 maneras de hacerte mal, comentemos un par: -Man in the middle : ARP Poisoning Uno de los ataques de hacking local mas usados, simplemente se suplanta la identidad del router para que los paquetes que se envían desde tu máquina pasen por la máquina atacante antes de llegar al router, esto significa que se puede sniffar el tráfico para sacar fácilmente cookies de sesiones abiertas, contraseñas enviadas en texto plano, hashes y más cosas muy divertidas, y, aunque suene complicado, son otra vez 239539845715 las maneras de hacerlo, desde las difíciles a las fáciles (usando frameworks como ettercap, wireshark, etc.) -Man in the middle : DNS Poisoning Otro ataque mucho más peligroso, en este caso se suplantan páginas de navegación como facebook, gmail, lacaixa, etc con fakes creados por el atacante con el objetivo de que la víctima, osea, tu…se loguee en ellas y nos regale amablemente su contraseña. -Ataque directo Como atacante también se puede intentar infectar el equipo de la víctima con exploits tirados directamente o a traves de frameworks como Metasploit, para esto hay cientos de miles de métodos y cada atacante usa el que más le gusta Como se puede ver, estas son solo 3 técnicas para hacer cosas malas en una red wifi gratis, hay más, hay mejores y hay peores, pero estas se caracterizan por ser sencillas y rápidas, como ves, no estas seguro, así que para terminar voy a darte unos consejos. – SIEMPRE que estés conectado desde un lugar que no sea tu casa navega a traves de una VPN segura (puedes montar un servidor VPN de una manera realmente sencilla e incluso puedes usar un escritorio virtual para conectar con tu máquina de casa y evitar así problemas) – No te conectes a redes wifi que no conozcas, evita las redes gratuitas, evita las redes de universidades, etc… – Configura tus dispositivos para que no se conecten de manera automática – Evita entrar a cuentas de banco, pagos electrónicos, etc desde wifi gratuito – Siempre que puedas fíjate que la web use el protocolo https en lugar del común http – Y si crees que a ti no te van a hackear porque no tienes nada importante, ya has sido hackeado, eso te lo puedo asegurar.   Y lo mas importante, si ves a un chico ventiañero, con un portatil lleno de pegatinas, huye….

Linux, Mac, Seguridad

SoftPerfect Wifi Guard

Como Wireless Network Watcher, este programa te permite identificar las máquinas que están conectadas a tu wifi. Obviamente para ver si algún “listillo” te está robando ancho de banda. O en un bar, hotel o cibercafé si se están conectando más clientes de los que deberían. SoftPerfect Wifi Guard cuenta con algunas características curiosas: Detecta ordenadores con firewall activos. Te avisa si se conecta algún dispositivo nuevo. Detecta los dispositivos conectados. Funciona en Windows, Mac y Linux. Escaneos programados. Gratis y con versión portable.

Limpieza de PC, Seguridad, Sistemas

AOMEI Backupper: una herramienta de copia de seguridad y clonado

Me ha sorprendido esta herramienta. Además de tener una interfaz muy agradable, tiene muchísimas opciones. Te permite hacer copias de seguridad incrementales y diferenciales. Te permite hacer clonado de particiones y de discos. Puedes hacer la copia de seguridad de los ficheros de sistema incluyendo aplicaciones instaladas mientras usas el sistema. Las copias pueden encriptarse, dividirse en varios discos…. No creo que se necesite mucho más para una herramienta de copia de seguridad y además sencilla de usar y gratuita. Aquí tenéis el enlace: http://www.aomeitech.com/aomei-data-backuper.html

Seguridad, Sistemas

Eusing Maze Lock: bloquea tu ordenador con un dibujo como en Android

A los que les guste la manera de bloquear la pantalla de los dispositivos Android,con un dibujo que asignas, puedes ponerlo ahora en tu ordenador Windows con este programa: Eusing Maze Lock. Tiene bastantes opciones como usar esquemas de 9, 16 o 25 puntos, autobloqueo, que salga una alarma si no aciertas etc. No reemplaza al acceso de Windows, sólo bloquea la pantalla para que no puedas ver nada.  

Android, Seguridad

Keepass para Android e iPhone/iPad

Hace tiempo os hablamos de esta herramienta casi esencial hoy en día para almacenar contraseñas, KeePass. Hoy os dejamos una aplicación para vuestros móviles Android o vuestras tablets Android: KeePassDroid. Podéis no sólo acceder a vuestras contraseñas y usuarios, copiarlas/pegarles en el móvil, sino que además se puede guardar la base de datos en la nube y tenerla así accesible desde el dispositivo móvil y desde el PC. También os dejamos la aplicación para iPhone e iPad: MiniKeePass.  

Buscadores, Seguridad

Shodanhq: El Google de los hackers

Ayer me quedé alucinado cuando el miembro más joven el equipo, Pablo, nos hablo de esto: Shodanhq.com Es un buscador, pero si en un buscador normal lo que buscas es páginas web, en este lo que buscas es equipos. Shodan indexa equipos basándose en ciertos filtros, y puedes encontrar la ip del equipo, el dominio, en qué SO corre, puertos abiertos, si tienes acceso anónimo habilitado…un montón de información. Vamos que para un hacker que se aburra sólo tiene que usar este buscador para encontrar equipos que le gusten y vulnerables y desde ahí seguir “divirtiéndose”. Por ejemplo haced la búsqueda “gobierno” y mirado los resultados. La verdad es que acojona lo fácil que es y la información que da 😀  

Limpieza de PC, Seguridad

Cómo deshabilitar Java para evitar 0 day exploits como los de Enero 2013

Este año hemos empezado con la noticia de varios ataques de día cero, zero day exploits, que, en resumen, infectan tu ordenador con virus. En este caso, la vía de entrada era Java (diferencias entre Java y Javascript), incluso en sus últimas versiones. Como siempre lo mejor es tener el sistema lo más actualizado posible, un buen antivirus, un buen firewall…y alguien a quien llamar si se te cuela el virus (nosotros por ejemplo 😀 ). Pero te explicamos alguna medida para evitarlo (aunque solemos encontrar que el 90% de los usuarios no actualiza casi nada). Algunas aplicaciones y páginas web necesitan Java…pero no todas (Javascript es más frecuente pero no usa este plugin). Por lo tanto una buena manera de evitar estos ataques por Java, y los que van a venir en el 2013 es dejarlo desactivado. Si tu web necesita Java puedes, o activarlo en ese momento, o usar otro explorador secundario con Java activado sólo para ese programa. Antes esto se desactivaba a mano. Por ejemplo para Chrome, IE, o Firefox. Sin embargo a partir de la versión 7 de Java esto se puede hacer ya desde el propio plugin. Abre el Panel de control de Java (la tacita en el Panel de control de Windows) y quita la marca de “Habilitar Java….“. Esta versión de Java también incluye otras novedades importantes. Así que, visto lo visto, os recomiendo que quitéis Java y sólo lo activéis en los casos necesarios o dejéis un navegador con el activado y lo uséis sólo para esas webs.

Scroll al inicio