El INTECO alerta del peligro de no tener encriptadas las redes wifi caseras

El Instituto Nacional de Tecnologías de la Comunicación (INTECO) ha alertado hoy de la importancia de encriptar el acceso a redes wifi para no sufrir suplantación de identidad, robo de datos personales o descargas ilegales.

En un comunicado de prensa, el INTECO ha trasladado a los usuarios de Internet la importancia de saber configurar la red wifi de los hogares y aporta unas recomendaciones de configuración del router.

Silent Mail cierra para garantizar la seguridad de sus usuarios

Ayer mismo vimos que Lavabit, el servicio de webmail que utilizaba Edward Snowden, tenía que cerrar abruptamente por presiones legales. Y no es el único servicio: Silent Circle ha cerrado su servicio de correo electrónico por idéntica razón.

Dicen que el correo electrónico «no puede garantizar la misma seguridad que las comunicaciones en tiempo real porque tiene metadatos que pueden propiciar fugas de información». Dicen que el e-mail como lo conocemos hoy no es y no puede ser seguro.

Dicen no haber recibido ningún tipo de solicitud por parte de ningún gobierno, y prefieren apagar su servicio antes de que les ocurra. Para ellos el caso de Lavabit ha hecho que pongan “sus barbas a remojar”,sin duda. Este caso es más delicado, porque Silent Circle no tiene usuarios gratuitos: todos sus usuarios son clientes de pago.

No obstante Silent Circle sigue ofreciendo servicios de comunicaciones totalmente cifradas,como Silent Phone y Silent Text. 

El cifrado de estos servicios, además, se realiza en el cliente, por lo que el proveedor no conserva ningún tipo de información.

Más información | Silent Circle
Sitio oficial | Silent Circle

Memoria USB, desafío a la seguridad en EE.UU.

Se ha puesto de manifiesto un problema de seguridad en las agencias secretas estadounidenses, tras conocerse de que el último filtrador de EE.UU. robó datos secretos a la Agencia de Seguridad Nacional usando una unidad de memoria USB.
Aunque se prohíbe utilizar las memorias USB en instituciones de este tipo, el Departamento de Seguridad Nacional realizó un experimento que mostró que esta regla no se cumple, según Carl Weinschenk, del portal 'IT Business Edge'. 

Los investigadores dejaron memorias USB en varios lugares del aparcamiento de los edificios gubernamentales y de empresas contratistas. El 60% de los empleados que las tomaron, las encajaron en las computadoras de su red. El porcentaje se elevaba al 90% si el lápiz USB llevaba un logo oficial.

Ante la incapacidad de resolver el problema de dispositivos externos en redes con información clasificada, 'The Washington Times' señala la existencia de programas comercializados que pueden bloquear el puerto USB de cada ordenador de la red.                                                              

Los funcionarios de la NSA "estaban descentrados si no desactivaron el puerto USB", señaló un experto informático gubernamental citado por el diario bajo anonimato. 

El periódico se pregunta sobre qué impidió a la agencia adquirir esos programas para evitar un posible contagio con un virus informático o fuga de datos, además de tratar de encontrar otros métodos para fortalecer la seguridad.

"He visto lugares donde se utilizaban pistolas de pegamento caliente para tapar los puertos USB", dijo la fuente.

El primer sistema de seguridad inteligente que querrás tener

¿Os acordáis de Nest,el termostato inteligente siempre conectado que aprende de nuestros hábitos? 

Pues Canary es lo mismo pero enfocado a la seguridad del hogar, un pequeño dispositivo repleto de sensores, ultra sencillo de utilizar y capaz de ofrecernos en nuestro propio teléfono desde una panorámica de nuestra casa a decirnos si alguien ha entrado en ella, se está produciendo un incendio o los niveles de monóxido de carbono son inaceptables.

Canary no requiere de ningún tipo de instalación especial al conectarse mediante Wi-Fi, así que no solo es mucho más útil que una alarma tradicional, también resulta considerablemente más económico. Pero antes de ver lo que hace, fijaos en sus especificaciones: cámara de alta definición con objetivo angular y visión nocturna, micrófono de gran sensibilidad, altavoz, sirena, acelerómetro y sensores de movimiento (mediante infrarrojos), temperatura, humedad y calidad del aire. 

                              

Todos estos datos son procesados para alertarnos en caso de algún suceso fuera de lo ordinario, y merece la pena destacar lo de “fuera de lo ordinario” ya que Canary aprende de nuestros hábitosde modo que si siempre llegamos a casa a las siete de la tarde no nos molestará cada vez que abramos la puerta, pero si detecta algún sonido o movimiento a las dos y media nos avisará con una alerta para que echemos un vistazo, nos comuniquemos a través de su altavoz, hagamos sonar la alarma o llamemos directamente a la policía.

Sus usos por supuesto van más allá, y partiendo de la base de que cuenta con una cámara, micrófono y altavoz, puede ser un dispositivo para controlar a nuestros hijos, una mascota o sencillamente para echar un ojo y comprobar que todo está bien aunque nos encontremos en la otra punta del mundo. Todo ello vía web o a través de su app para iPhone (próximamente también iPad y Android).



Algunos detalles más: Canary almacena los datos que recoge en la nube así que a los cacos no les servirá de nada tirarlo por la ventana. También podemos hacer que se active y desactive automáticamente en base a nuestra geolocalización, o incluso dar acceso a otros amigos o familiares para que también reciban la alerta por si nos pilla fuera de cobertura.



Canary comenzará a distribuirse en mayo de 2014 y el precio de una unidad (pueden combinarse hasta cuatro para cubrir un área mayor) será de 199 dólares aunque los primeros patrocinadores de su campaña en Indiegogo lo han conseguido por 149. Lástima haber llegado tarde.
Soy un entusiasta de toda esta nueva generación de dispositivos conectados mucho más inteligentes, y con mucho más sentido, que la anterior moda de ponerle una pantalla a cualquier cosa sirviese para algo o no (caso de las neveras). Mi lista de imprescindibles para el hogar incluyen Nest, las bombillas Philips Hue, una servicial Roomba y ahora también, este pequeño canario.

Comprueba si eres vV al última fallo de seguridad con Bluebox Security Scanner

¿Quieres saber si tu Android ha sido vulnerado por el último fallo de seguridad de la firma criptográfica? Ahora puedes hacerlo con Bluebox Security Scanner y así estar tranquilo.

Comprueba la vulnerabilidad al última fallo de seguridad

La semana pasada les conté acerca de un grave fallo de seguridad que afecta nada más y nada menos que al 99% de los dispositivos Android y que permite modificar el código APK sin romper su firma criptográfica, lo cual significa que es posible convertir cualquier app legítima en un troyano sin ser detectado por Google Play, el teléfono ni el usuario.

 

Si bien en AndroidZone ya hemos visto cómo hacer para no ser afectados por este fallo, todavía hay una gran preocupación en la comunidad Androide y por suerte el equipo de Bluebox (el mismo que descubrió la vulnerabilidad) ha lanzado una app para traer tranquilidad a los usuarios. Bluebox Security Scanner es una simple herramienta que nos dice si nuestro dispositivo es vulnerable o no.

Además, comprueba si tenemos activada la opción para instalar aplicaciones de sitios que no sean Google Play y revisa las aplicaciones que tenemos instaladas para ver si hay alguna que sea sospechosa (cuidado con esto último ya que muchas veces avisa que hay apps sospechosas que no lo son).
Descargar Bluebox Security Scanner

Esta aplicación se puede descargar de forma gratuita desde Google Play y es compatible con cualquier dispositivo con Android 2.3.3 o superior. Así que ya sabes, si estás preocupado por el fallo de la firma criptográfica, esta herramienta te servirá para estar más tranquilo.

Bluebox Security Scanner Bluebox Gratis

10 servicios seguros para resguardar nuestra privacidad en la red

Las recientes noticias sobre la vigilancia ciudadana masiva ha hecho tomar conciencia de la importancia de las comunicaciones privadas.

Recopilamos las herramientas y procedimientos más básicos para hacer más segura nuestra vida digital y avanzar hacia un entorno en el que no se nos trate como potenciales delincuentes de forma preventiva y sistemática.

La existencia de servicios y redes seguras ha sido hasta el momento el gran desconocido por la mayor parte de una ciudadanía conducida por las grandes empresas de la red. Estas compañías, en su mayor parte entidades de derecho residentes en EEUU, con todas las consecuencias que esto tiene a la luz de legislaciones y comportamientos de sus agencias de seguridad, han sido recientemente puestas en cuestión en cuanto al manejo de nuestro datos.

Los actuales escenarios de ciberguerra, cada vez más extensos dejan a la ciudadanía indefensa. En este sentido, tanto el espionaje, el robo  y recolección de  datos de carácter personal como el bloqueo de infraestructuras informáticas son un instrumento en el que empresas, gobiernos y delincuentes comunes confluyen.

Ser capaces de cifrar nuestros datos, incluso en nuestro equipo doméstico, desde una partición a una unidad completa, nuestro correo o nuestra conexión a internet se están convirtiendo en herramientas fundamentales para no ser tratado como un delincuente. El uso del cifrado de datos y la conexión segura son parte esencial de esta resistencia cuidadana. En este sentido ,aplicaciones como Truecrypt son miradas con recelo por parte de diversas autoridades precisamente por el grado de ocultación de archivos que permite y lo sencillo que puede resultarnos su empleo cotidiano.

Todas estas consideraciones nos hacen pensar muy seriamente en que la molestia de cambiar ciertas pautas en nuestro día a día en la red merece la pena. Renunciar a servicios más sencillos a cambio de un control más efectivo de nuestros datos y conexiones e integrar algunas pautas de "higiene" en nuestra forma de conectarnos nos puede reportar beneficios considerables. Con esa idea proponemos algunos servicios mas seguros e independientes.

La criptografía es la forma más extrema de la acción directa no violenta. Julian Assange

Los 10 servicios seguros de internet:

1. Navegación segura: Mozilla Firefox es la preferencia más recomendada al tratarse de un navegador web de fuente libre y abierta. Es muy recomendable gestionar correctamente los plugins y añadir al menos,HTTPS Everywere (diseñado por la EFF) y un nivel más avanzado lo supondría emplear el cifrado y anonimato de  Tor, del que ya hemos hablado e incluso descrito una Guía de uso.
2. Redes  sociales: Diáspora es la gran red social alternativa y distribuída en donde se garantiza el control completo de la información por parte de sus usuarios. Existen otros proyectos de redes sociales alternativas que ya hemos recomendado en Diario Turing. Entre ellos, redes como Tent, GNU-social o Friendica buscan los mismos requisitos de exigencia en cuanto a respeto a sus usuarios aunque todavía no cuentan con una masa suficiente de usuarios como para contar con una extensión próxima.
3. Buscadores Web: Duck Duck Go es uno de los buscadores que garantiza la privacidad de sus búsquedas y no realiza seguimientos ni deja rastros de estas.
4. Correo electrónico: RiseUp es una de las alternativas más destacables pero tiene el inconveniente de necesitar invitación y al ser un proyecto no muy grande de momento no acepta muchas inscripciones.  Bitmessage puede ser una opción algo más compleja de envío cifrado pero todavía dista mucho de las alternativas al correo que todos conocemos. Otra apuesta podría ser empelar el correo que nos ofrece la compañía Namecheap, que es de las más activamente vinculadas al activismo pro libertades en la red.
5. Sistemas operativos: GNU/Linux es un  sistema operativo libre y abierto que cuenta con múltiples distribuciones. Entre las mas comprometidas, descataca Debian. Tails es un Live CD/USB diseñado para asegurar la privacidad, muy recomendable en entornos no asegurados.
6. Sistema operativo Móvil: La nueva versión de CyanogenMod, está trabajando para implementar un sistema de anonimato completo , denominado Modo Incognito. Como añadido, estas modificaciones sobre el sistema Operativo Android Puro nos garantizan que no habrá ningún elemento indeseado de espionaje  por parte de las operadoras como el caso revelado de Carrier IQ.
7. Almacenamiento en la Nube: Tanto la famosa Own Cloud como tahoe-lafs, nos permiten mantener un almacenamiento en nubes privadas completamente controladas por nosotros escenarios prácticamente igual a servicios como Dropbox.   Para trasferir archivos y establecer nodos locales, analizamos en su día la muy interesante BitTorrent Sync.
8. Mapas:  Open Street Maps es una alternativa a la todopoderosa Google Maps que aunque todavía muy en segundo plano, comienza a ser más considerada una vez que la gran G optara por hacer de pago muchos de sus servicios.
9. Sistemas de gestión de contenidos: Wordpress es una de los más conocidos éxitos del software libre y en este sentido no hay lugar para optar por iniciativas propietarias.
10. Analítica Web: La herramienta denominada Piwik, nos permite emular con bastante similitud los análisis de nuestras páginas web de Google Analytics sin comprometer nuestra privacidad ni recopilar datos.

Como elemento externo que añada una capa extra de seguridad no debemos olvidar la importancia que están tomando en diversos entornos las redes privadas virtuales (VPN), de las que hemos tratado en otras ocasiones, tanto en los escenarios P2P (descargas de contenidos) como en los de una navegación más convencional. En este sentido, el reciente experimento colectivo de VPN Gate, es una alternativa muy atractiva por su carácter colaborativo y abierto.

Como último añadido a este listado,  no podemos más que recomendar las excelentes guías sobre seguridad en la red que Security in a Box ha elaborado y pone a disposición toda la comunidad de usuarios de la red.

Debian advierte de los peligros que tiene su repositorio no oficial

Es mucho tiempo el que lleva ya conviviendo este con los usuarios de las distribuciones Debian
sin embargo, los responsables del proyecto han desaconsejado seguir manteniendo esta en la lista de repositorios ya que no consideran que sea segura. 

El motivo es muy sencillo, ya que estos se basan en que los responsables del repositorio multimedia de Debian han dejado de actualizarlo para que cumpla con las condiciones de seguridad.

Como consecuencia dela largo periodo desde que este fue actualizado, los responsables de Debian creen que ya no es seguro y que los usuarios deberían eliminarlo de sources.list tan pronto como sea posible para evitar problemas de seguridad en el equipo provocados de descargas que no son garantizadas que sean seguras.

Para todos aquellos usuarios de la distribución de Linux que quieran comprobar esto, se puede hacer utilizando el siguiente comando:

grep debian-multimedia.org /etc/apt/sources.list /etc/apt/sources.list.d/*

Este comando mostrará por la pantalla si el usuarios posee o no ese repositorio agregado al fichero. Gracias a este problemas, por la comunidad Debian se ha extendido un fuerte rumor que habla del desarrollo de una aplicación que permita manipular con más facilidad los repositorios que se utilizan en un equipo. Insistimos es que de momento se trata de un rumor que a pesar de que se encuentra muy extendido, aún no ha sido confirmado por fuentes oficiales.

Los repositorios no oficiales son menos seguros

Estamos ante el mismo dilema de siempre. Esto se ha tratado y oído decir muchas veces cuando nos referimos a las tiendas de aplicaciones móviles. Pero se ha podido llegar a comprobar que ni siquiera descargando de la tienda de aplicaciones oficiales el usuarios está seguro. En este caso es lo mismo, pero si es verdad que utilizando repositorios oficiales se posee mucha más certeza de que el software sea auténtico y que esté libre de virus para evitar problemas de seguridad.

Las víctimas del 'phishing': personas mayores, discapacitadas y 'muleros'

Un ciudadano de edad avanzada sufre un grave accidente, a resultas del cual queda discapacitado en silla de ruedas. Al volver a su domicilio tras un largo periodo de hospitalización, descubre con estupor que su cuenta corriente ha sido vaciada. Se pone en contacto con su sucursal bancaria, que no asume ninguna responsabilidad: las transferencias se han producido por vía electrónica con arreglo a lo dispuesto en la letra pequeña del contrato. Tras denunciar los hechos, la policía detiene a los receptores de las transferencias, que afirman haber remitido las cantidades a un país del este de Europa, con arreglo a un contrato de trabajo que les ofrecieron por Internet.

Lo anteriormente descrito podría ser un caso de 'phishing' cualquiera, de los muchos que ocurren a diario en nuestra geografía nacional. Muchos más de los que informa la prensa, que dedica mucho más espacio informativo a presuntos delitos contra la propiedad intelectual: según la memoria de 2012 de la Fiscalía General del Estado, los casos de estafa por Internet suponen el 64,36% de los procedimientos por 'ciberdelito', frente a un escaso 0,47% de los casos de propiedad intelectual. ¿Por qué este apagón informativo? A intentar responder esta pregunta, así como a ofrecer alternativas de justicia material para las distintas víctimas del 'phishing' dedicaré el presente artículo.

La culpa de la actual situación es penal y civil

Penal de los 'cibercriminales', civil de los bancos. Los verdaderos responsables penales del 'phishing' difícilmente son condenados por la justicia: acostumbran a ser organizaciones criminales situadas en el extranjero, que mediante diferentes estratagemas consiguen hacerse con las claves de acceso a la banca electrónica, habitualmente de personas vulnerables por edad, discapacidad o escasa formación.

Estas mafias son las que reclutan por Internet lo que se conoce como 'muleros', personas a las que se les engaña mediante una oferta de trabajo, a las cuales se les encarga que reciban la transferencia en el país de la víctima defraudada, reteniendo una pequeña comisión, enviando el importe principal a las cuentas de los defraudadores, mediante sistemas de pago como Western Union MoneyGram. En múltiples ocasiones, el 'mulero' es tan víctima del 'phishing' como la persona a la que le vacían la cuenta.
Los bancos como acusación particular

Los bancos intentan evitar su responsabilidad civil mediante una simple estratagema: comparecer como acusación particular. Lo cierto es que con arreglo al Código Civil y Código de Comercio,el banco tiene la obligación de reembolsar al depositario las cantidades por éste ingresadas, sin que pueda responsabilizarlo de accesos ilícitos por parte de terceras personas.

En la práctica, las investigaciones policiales se quedan en España, los verdaderos criminales no son detenidos, el cliente del banco se queda sin su dinero, y el que acaba sentado en el banquillo es un 'mulero', convertido en cabeza de turco por el abogado del banco y el Ministerio Fiscal. Afortunadamente, las sentencias todavía las ponen los jueces, y no los ejecutivos de banca, y son múltiples los casos de absolución, como los que a continuación comentaré.

La sentencia de la Audiencia Provincial de Madrid de fecha 29 de julio de 2010 absolvió a un 'mulero' acusado de blanqueo de capitales y estafa, considerando que es inadmisible imponer a los ciudadanos un deber de investigación sobre las actividades económicas ajenas para determinar si los bienes que manejan han sido generados o no en actividades ilícitas. En el mismo sentido, la sentencia de la Audiencia Provincial de Córdoba de 4 de marzo de 2011, al no estar el Tribunal convencido de que el acusado obrase con conciencia de la ilicitud de su actividad. 

Del mismo modo, sentencia de la Audiencia Provincial de León de 29 de julio de 2011, y de la Audiencia Provincial de Soria de 27 de febrero de 2012. Esta última sentencia refleja especialmente el patetismo de la situación:"...estimamos que el acusado fue un mero instrumento, una víctima de los verdaderos defraudadores que le engañaron haciéndole creer que se trataba de una oferta de trabajo legal'.

El Tribunal Supremo, en sentencia de 20 de marzo de 2013, explica la historia de Olga, presunta 'mulera' acusada por delitos de estafa y blanqueo de capitales. Transcribo a continuación el relato de hechos probados, que es en sí mismo un ejemplo paradigmático del engaño a que son sometidas personas de escasa formación que buscan desesperadamente trabajo:

"La acusada, Olga -mayor de edad y sin antecedentes penales-, respondiendo a una oferta de trabajo vía internet, suscribió un contrato de empleo, con efecto de vigencia a partir del día 9 de marzo de 2010, de prestación de servicios con una persona que dice representar a la mercantil Exact Building Company S.A.", domiciliada en Illinois (Estados Unidos de América) y con sede en Londres, Towe, 4225 Old Broad ST. 

La señalada trabajaría como 'agente de inversiones' con funciones resolutivas de cuestiones de organización (búsqueda de nuevos clientes, recepción de información abierta de las organizaciones sobre sus servicios); visita y estudio de la situación de los objetos de la compañía; preparación de informes después del cumplimiento de las tareas; recepción del pago por parte de clientes y rendición de cuentas al manager mayor, percibiendo como contraprestación un sueldo fijo durante el periodo de prueba de 1.335 euros mensuales, más una comisión.

Así las costas, Olga recibió en una libreta de ahorro de las que es titular en la Caja Vital, nº NUM000 , a través de internet, los días 14 y 15 de abril de 2010, tres transferencias por importe de 1500, 1500 y 100 euros respectivamente procedentes de la cuenta corriente de la anteriormente citada entidad, nº NUM001 , titulada a favor de Aida , quien ni las dispuso ni autorizó. 

Dichas transferencias habían sido acordadas presuntamente por terceras personas a quienes no afecta la presente resolución, en la medida de que no han sido avocadas al proceso por acusación alguna, y detectada las irregularidades por el departamento correspondiente de la Caja Vital,conociendo las mismas la acusada esta procedió de continuo a denunciar, también los hechos participados por sentirse del mismo modo perjudicada y engañada. 

La acusada extrajo, en las mismas fechas de ingreso en su cuenta el importe total, legalmente transferido de 4000 euros, cantidad que remitió con destino fuera de España, previo descuento de una pequeña comisión, siguiendo las instrucciones telefónicas de su superior en empresa que la había contratado".

La suerte de Olga fueron unos magistrados que hicieron más caso a su abogado de oficio que al abogado del banco. Los razonamientos de Perfecto Andrés Ibáñez, ponente de la sentencia en el Tribunal Supremo, son impecables:

Podrá argumentarse, como en efecto se hace, que la manera de actuar a que Olga se había comprometido, al contratar a través de Internet con la entidad de nombre Exact Building Company SA, de forma que las supuestas inversiones, también supuestamente captadas, pasarían por su cuenta o libreta, era francamente extraña al modo de operar de las entidades financieras convencionales. 

Pero lo cierto es que, como, con patente rigor, razona la sala, nada indica que la acusada, por su cultura y experiencia, tuviera que haber sido consciente y ni siquiera albergado una sospecha al respecto. De ahí la conclusión, que se expresa claramente en los hechos, en el sentido de que en ningún momento del desarrollo de la actividad ilegal descrita en los mismos, aquella actuó con el propósito de defraudar y tampoco de enriquecerse ilegítimamente a costa de otro.

Como moraleja de cuanto he expuesto, por parte de las autoridades estatales y bancarias -que a veces parecen ser las mismas- deberían invertirse más recursos financieros en información a usuarios y público en general sobre los peligros de las transferencias electrónicas y ofertas de trabajo por Internet, y centrarse en la persecución internacional, a través de Interpol,de los verdaderos criminales que permanecen con su botín a buen recaudo. 

El delito de blanqueo de capitales por imprudencia, recogido en el artículo 301.3 del Código Penal, no es precisamente algo que conozcan todos los mortales sin una formación adecuada: hasta las infantas que trabajan en banca pueden ser acusadas por él, a poco que se despisten

EE.UU: Gobierno tendría acceso a servidores de grandes empresas de Internet

La Agencia de Seguridad Nacional habría accedido a información de Verizon y también a Microsoft, Google, Facebook, entre otros

no solo Verizon, sino otras compañías telefónicas habrían sido interceptadas por el gobierno

La Agencia de Seguridad Nacional (NSA) y el Buró Federal de Investigaciones (FBI) de Estados Unidos extraen datos directamente de los servidores centrales de nueve grandes empresas de Internet, con la aprobación de éstas, según lo dio a conocer hoy el diario “Washington Post”.

De esta manera, lograron acceso entre otros a videos, fotos, correos electrónicos, documentos y datos de contacto. Así los analistas están en condiciones de seguir los movimientos y conexiones de personas durante largos espacios de tiempo, indicó el reporte.

El programa secreto recibió el nombre en código de PRISM 2007, y con el tiempo se fue ampliando de manera masiva. Los documentos que son preparados para los briefings diarios del presidente se respaldan entretanto en gran parte sobre datos de este programa, señaló el periódico.

El “Washington Post” cita para su informe una presentación interna del programa para altos analistas de la NSA. El diario obtuvo diapositivas de dicha presentación.

De acuerdo con los datos proporcionados, se desprende que participaronMicrosoft, Yahoo, Google, Facebook, PalTalk, AOL, Skype, YouTube y Apple.

Funcionarios del gobierno estadounidense rechazaron realizar declaraciones sobre el contenido del artículo.

NO SOLO VERIZON

De otro lado, el diario “The Wall Street Journal” aseguró que la NSA también tuvo acceso a los tres grandes operadores de servicios telefónicos del país: Verizon, AT&T y Sprint, según fuentes cercanas a la actividad de la agencia de seguridad.