Microsoft Edge, así te protege el navegador de Microsoft contra ataques externos

Aunque después de su presentación oficial el pasado 29 de abril tuvimos unos días muy intensos en los que os contamos que Microsoft Edge sería exclusivo para Windows 10 y que tendría un icono muy parecido, quizá demasiado a Internet Explorer, parece que las aguas y el hype alrededor del nuevo navegador de Microsoft se han vuelto a calmar.
Es por eso que ahora que ya todos tenemos más digerido lo que está por venir Microsoft ha aprovechado para hablarnos extensamente sobre los sistemas de seguridad que implementará su nuevo navegador, el cual incluirá herramientas que le ayudarán a combatir de manera efectiva contra el phising, los hackeos y las vulnerabilidades de corrupción de memoria.

Las armas contra el phising

 

 

Microsoft quiere que su nuevo navegador ayude a que los usuarios puedan protegerse contra el fishing, que es como se le llama a los ataques que intentan aprovecharse de su confianza ofreciéndoles ofertas irrechazables a través de webs de sobra conocidas y a las que imitan usurpando sus identidades y falsificando sus certificados.

Para conseguir esta protección han dado unos cuantos e interesantes pasos, uno de los cuales ha sido el de crear un nuevo Microsoft Passport que se integrará con Windows 10. Este sistema utilizará un cifrado asimétrico para identificarnos las páginas web, de manera que nuestras nuestras contraseñas estén más protegidas ante sistemas de logueo fraudulentos.

También se implementará una nueva versión del SmartScreen que estrenó Internet Explorer 8, que protegerá a los usuarios comprobando la reputación de las webs que se visitan. Ademá el navegador incluirá los últimos estándares de protección de la W3C y el Internet Engineering Task Force, e implementará un mejorado Certificate Reputation que tratará de revisar cuando el certificado de una web a la que accedemos es fraudulento.

Extensiones seguras y el adiós a viejos estándares

 

 

Otro de los pilares en los que Microsoft se quiere basar para proteger a los usuarios de su nuevo navegador es el de crear un modelo de extensiones seguras, de manera que se comparta la mínima cantidad posible de datos entre estas extensiones y el propio navegador. Para ello han decidido no ofrecer soporte para extensiones VML, VB Scripts, BHO, ActiveX ni barras de herramientas.

Microsoft Edge podrá permitirse prescindir de este tipo de extensiones en parte gracias a las opcinoes que brinda el nuevo estándar HTML5, de manera que el modelo de extensiones que utilizará el navegador estará basado en HTML y JavaScript. 

De momento los de Redmond no han querido dar más detalles, pero aseguran que en un futuro nos hablarán en profundidad de estas extensiones.

El navegador también contará con una versión mejorada del modo sandbox que estrenó Internet Explorer 7 para acceder a webs utilizando menos privilegios, y así conseguir evitar que ciertas páginas sean capaces de aprovecharse de los bugs del navegador o de los plugins utilizando semánticas como deny-by-default y no-read-up.

La memoria también hay que protegerla 

 

 

Las vulnerabilidades de corrupción de memoria son un mal común en las aplicaciones escritas en C/C++. Microsoft Edge las combatirá con nuevos sistemas como el MemGC, el CFG (Control Flow Guard) y por si esto no fuera suficiente, una función para que durante la preview los usuarios puedan informar de los bugs y vulnerabilidades del navegador para que sean corregidas en su versión final.
El MemGC o Memory Garbage Collector, un sistema que se ocupará de liberar la memoria del navegador cuando detecte que ya no quedan referencias que apunten hacia cada uno de sus bloques. Por su parte, el Control Flow Guard se encargará de evitar que un código malicioso salte a localizaciones de la memoria para tomar el control de ciertos programas.
Por último, cada una de las páginas que cargue el navegador se ejecutará por separado y se beneficiará de las ventajas que supone el uso de procesadores de 64 bits para el Windows ASLR (Address Space Layout Randomization). Este sistema aleatorizará la disposición de la memoria para que a los atacantes les resulte más difícil inyectar código malicioso en los procesos del navegador.


Vía | Microsoft Edge: Building a safer browser
Imágenes | Angelo, Alexandre Dulaunoy y halfrain

 

Read More

3nder, la aplicación para buscar un trío

 

Después de la llegada de Tinder, a principios de este año, hemos visto como diversas aplicaciones han pretendido seguir su modelo; ya sea cambiando sus temáticas, o ampliando sus posibilidades. Aunque más interesante es lo que nos ofrece 3nder, que eleva la aplicación original a un mayor nivel.

Si lo que buscaba Tinder era que pudiéramos encontrar gente de interés, lo que pretende 3nder va directamente sobre encontrar gente que desee realizar un trío con nosotros. Claro que la aplicación no sólo hace que coincidamos con las personas, sino que lo hace de forma privada y controlada.
La privacidad es una de las cosas que más presume 3nder, pues aún cuando necesitará obligatoriamente de una cuenta de Facebook para ingresar, nada de nuestra información será divulgada. Además esta forma de ingresar nos asegura que las personas que nos interesen sean reales.

Una vez registrados se nos mostrarán una serie de personas recomendadas respecto a nuestros gustos, y ahí es cuando toma un modelo más cercano a Tinder: podemos decir que nos interesa la persona haciendo un gesto para arriba, o que no haciéndolo para abajo. Una vez hecho esto la aplicación se encargará de avisarnos cuando hayamos coincidido con otros dos usuarios y abrirá -por un limite de tiempo- una línea de conversación directa con ellos.

La interfaz de la aplicación luce estupenda, es simple y bastante funcional, por lo que a primera vista podemos decir que sus desarrolladores le han puesto mucho empeño. Hoy en día 3nder presume de unos 200 000 usuarios y de haber realizado unos 80 000 encuentros, sin embargo, todavía no se puede catalogar como un caso de éxito rotundo.

Más Información | 3nder

Read More

¿Merece la pena instalar la versión 64 bits de Chrome para Windows?

A primeros de junio Google anunciaba la disponibilidad de una versión de 64 bits del navegador Chrome para Windows 7 y versiones superiores, en los canales Dev y Canary. A finales de julio el producto llegó al canal Beta, y desde hace unas horas ha debutado en el canal estable con Chrome 37.

Si bien las sensaciones al utilizar las versiones previas a la condición de estable eran buenas, ahora que ya es un producto terminado es el momento de evaluar el navegador, y nada mejor que comparado con la misma versión de 32 bits. En este artículo vamos a intentar responder a la pregunta que se plantea en el titular: ¿Merece la pena instalar la versión 64 bits de Chrome para Windows? Para poder contestar al interrogante, en Genbeta hemos realizado una batería de pruebas con ambas versiones.

Metodología y entorno de pruebas

Los test que veréis a continuación se han efectuado sobre una misma máquina (Intel Core i3 550 - 3.20 GHz, con 16 GB de RAM), con una instalación limpia de Windows 8.1 Pro 64 bits, convenientemente actualizado con todos los parches y "updates" publicados por Microsoft hasta el día de hoy.

Se ha instalado la versión de 32 bits por primera vez y se han hecho las pruebas. Después y trasborrar cualquier rastro del navegador, historial y caché, se ha procedido de la misma forma con la versión de 64 bits.

Además de medir el consumo de recursos tal y como se indica a continuación, se ha sometido a ambas versiones a los test que ya vimos con ocasión de la comparativa entre Internet Explorer 10 e Internet Explorer 9 sobre Windows 7, añadiendo un test que no se pudo realizar entonces: Octane. En cualquier caso los resultados actuales y los de entonces no son comparables por variar significativamente el entorno de las pruebas.

Consumo de recursos

Para establecer una medida del consumo de recursos se han considerado dos puntos: cuánto ocupa la carpeta de instalación en Archivos de programa y el consumo de memoria RAM de los tres procesos que carga Chrome al abrir por defecto la página en blanco (about:blank), medido mediante el monitor de recursos de Windows 8.1, considerando los espacios de trabajo asignados a los mismos.

Consumo de recursos

Prueba	32-bits	64-bits
Disco duro(1)	299 MB	359 MB
Memoria RAM(2)	154 MB	170 MB
(1) Carpeta Archivos de programa (2) Monitor de recursos » Espacios de trabajo » 3 procesos

Carga de páginas

Para esta prueba se ha configurado Chrome de forma que al abrir el navegador se cargue la página en blanco (about:blank) y 10 URLs distintas. Para que los resultados sean homogéneos se han seleccionado cinco artículos de publicaciones de la casa (artículos concretos por las variaciones que pueda haber en las respectivas portadas): , Xataka Windows, Xataka,Motorpasión y Tecnología Pyme.

Web | Descarga Chrome para Windows (32 bits, 64 bits)

Read More

La autenticación en dos pasos de Paypal es atacada con éxito

Paypal es la herramienta de pago por Internet más utilizada en todo en planeta. No en vano, son muchísimos los usuarios que la usan a diario, y el número de cuentas aumenta a cada segundo que pasa. La seguridad es esencial para que todo funcione correctamente y, sobre todo, para que no haya robos. La plataforma ya ha tenido algún que otro problema, por lo que no han dudado en poner nuevas herramientas que garanticen el dinero de los registrados, como la autenticación en dos pasos.

Para que sepáis en qué consiste, cuando la activamos, cada vez que queremos iniciar sesión en nuestra cuenta, el sistema nos envía un mensaje de texto para comprobar que de verdad somos nosotros. En un principio, una medida infalible, pero que no ha servido ante el ataque de un hacker que ha conseguido vulnerarlo, y al que ya podemos ponerle nombre y apellido: Joshua Rogers.

No os asustéis. Si hubiera sido otro caso, no nos extrañaría que se hubiera aprovechado el fallo para entrar en cuentas de todo tipo. Afortunadamente, Rogers es un hacker de sombrero blanco, lo que quiere decir que no ha hecho pública la vulnerabilidad hasta que no ha pasado un cierto tiempo. El error era encontrado en junio de este año, por lo que el chico avisó a la propia Paypal y le informó de que tenían un sistema inseguro, que podía poner en peligro a sus clientes.

¿Cómo se vulnera?

La verdad es que la manera de atacar con éxito a la autenticación en dos pasos de Paypal es relativamente sencilla. Según ha explicado el (hasta ahora) desconocido hacker, sólo es necesario manejar una cookie del navegador. Concretamente, cuando la "galleta" de la función está activa, podríamos decir que el paso más grande ya se ha realizado. Sólo queda conseguir las credencialesdel usuario al que queramos entrar para poder acceder a la cuenta.

La cookie que se tendría que buscar en este caso se identifica con el valor =_integrated-registration. Fácil ¿verdad? Como podéis comprobar, una medida de seguridad que cuesta millones ha sido vulnerada con una sencillez tremenda, por lo que Paypal tendrá que ponerse a trabajar lo antes posible para corregirla. Quién sabe, puede que incluso se vean obligados a implementar una característica más eficaz.

Lo que no sabemos es si el mismo fallo podrá aprovecharse en otros sitios web que también lo tienen integrado. Algo que, por supuesto, no hemos probado, pero que quizá podría aplicarse con algunas modificaciones.

Paypal ya lo sabe, pero no lo ha arreglado

Está claro que nada más encontrar la vulnerabilidad Joshua se puso en contacto con Paypal para hacerles saber lo que tenían en sus servidores. Un fallo de seguridad grave, por lo que la empresa debería haberse puesto a arreglarlo lo antes posible. Pero la verdad es que la compañía no ha hecho mucho caso al email enviado.

El contenido que han podido leer es el siguiente:

Una vez que estamos conectados, se establece una cookie con nuestros datos, y somos redirigidos a una página para confirmar los detalles del proceso. Es en este momento donde la vulnerabilidad se puede aprovechar. Sólo tenemos que cargar http://www.paypal.com/ y, al haber iniciado sesión,no es necesario que se vuelvan a introducir las credenciales. La realidad es que la función=_integrated-registration no comprueba el código que se ejecuta en la autenticación en dos pasos, aunque hayamos iniciado sesión en Paypal. El proceso puede repetirse utilizando la misma función las veces que queramos.

Como ya hemos dicho, Paypal ha hecho caso omiso. Sin ir más lejos, tal y como podemos leer en el blog del propio hacker, la vulnerabilidad sigue estando activa, lo que significa que la podemos poner en práctica cuando queramos. Lo más sorprendente es que la empresa no se haya puesto manos a la obra con el fin de solucionarla. Lo único que han hecho ha sido deshabilitar la función para que los usuarios no puedan utilizarla.

Qué hacer

Teniendo en cuenta que la autenticación en dos pasos es una de las medidas de seguridad más importantes del sistema, la vulnerabilidad es grave. Es cierto que debemos tener las credencialesde la cuenta a la que queremos acceder pero, una vez las consigamos, algo que no es difícil, podremos saltarnos la función de una manera relativamente sencilla.

Por el momento, tendremos que esperar hasta que Paypal arregle el desaguisado. Y tenemos esperanza en que no tarden mucho. No en vano, mientra no lo hagan estarán exponiendo a sus usuarios a un posible robo de dinero. ¡Daos prisa!

Read More