FireChat: así funciona el cliente de mensajería que coordina a los manifestantes de Hong Kong sin internet

Algo está ocurriendo en Hong Kong. Miles de personas han salido a la calle para protestar contra la restricción del gobierno chino, que impide que la ciudad semi-autónoma celebre unas elecciones en el año 2017. Las protestas son fuertes: la policía ha llegado a emplear el uso de gas lacrimógeno y el gobierno chino ha bloqueado la señal de internet para que ningún móvil pueda comunicarse.

Pero aún sin tener internet, los manifestantes han podido comunicarse y coordinar sus acciones sin problemas. ¿Cómo es posible? La respuesta pasa por Firechat, un cliente de mensajería instantánea que ahora mismo está demostrando cómo su protocolo descentralizado puede ser un dolor de cabeza para las administraciones.

¿Chateando sin ninguna conexión a internet? Pues claro que sí

¿Y cómo puede conseguir FireChat establecer un medio de comunicación sin internet? Ya hablamos de ello hace medio año en Applesfera (en el caso concreto de iOS): la aplicación utiliza las antenas Wi-Fi y Bluetooth para buscar otros dispositivos a su alrededor, creando una red de nodos que se puede comunicar entre sí formando una "red local" automáticamente.

De este modo, aunque no haya señal de datos, si 1.000 personas se reúnen en la calle pueden chatear entre ellas sin problemas si cada uno se instala FireChat. El resultado es que aunque los manifestantes no puedan navegar en internet como mínimo pueden organizarse entre ellos y enviar avisos rápidos según convenga. Y si alguien está conectado a una Wi-Fi de la zona, siempre puede enviar lo que haga falta mediante FireChat a los demás.

Y ahora mismo estamos hablando de su uso en manifestaciones donde se priva de libertad de información, pero protocolos como estos pueden salvar vidas en catástrofes o accidentes graves donde varias víctimas estén involucradas. Como cuando un tren se queda atrapado en un túnel, por ejemplo.

Esto, combinado con que FireChat está disponible para iOS y Android, ha resultado en un "boom" de descargas de la aplicación en Hong Kong. Todos los manifestantes que tenían smartphone han podido coordinarse, corriendo la voz de la utilidad de FireChat directamente en el lugar de las protestas.

Los manifestantes de la ya llamada #OccupyCentral de Hong Kong han sido los responsables de dar a conocer este método de comunicación a todo el mundo. Hace tiempo que FireChat está disponible, pero es ahora cuando está empezando a mostrar su potencial. Y es muy fácil cortar la señal de internet en una zona, pero cuesta mucho más obligar a que Apple y Google retiren una aplicación de sus App Stores por motivos políticos. O al menos eso espero.

Habrá que tomar nota para cuando la necesitemos por aquí. Sea FireChat o cualquier otro servicio que nos permita comunicarnos de este modo, es ese tipo de aplicaciones que aunque casi no usemos siempre conviene tener instaladas en nuestro smartphone.

Imagen | Pingwest

Read More

Cómo una vulnerabilidad en Bash de Linux, OS X y *NIX es un gran problema de seguridad para todo Internet

Si alguna vez habéis trabajado con OS X o Linux, seguro que conocéis bash. Es la terminal por defecto de estos sistemas, donde ponemos los comandos que queremos ejecutar. Es el espacio de trabajo, el equivalente al escritorio cuando usamos el ratón.

Como podréis imaginar, bash es omnipresente y no lo usamos sólo los usuarios sino también muchos programas para ejecutar algunos comandos. Por ejemplo, hay páginas web que internamente llaman a bash para generar algunas páginas (CGI), servidores (y ordenadores) que usan DHCP para obtener sus direcciones IP al conectarse a Internet, y muchas más cosas. Imaginaos qué divertido sería que hubiese un fallo en bash. O mejor aún, no os lo imaginéis: está pasando. De hecho, hasta tiene nombre y todo: Shellshock.

El problema: ejecutando código cuando no toca

Para funcionar, los programas necesitan datos. Supongamos un servidor de Internet que llama a unscript de bash para generar una página web. Este script necesitará datos, como las cookies, la ruta de la página que se pide o la cadena que identifica al navegador (user-agent). La forma de pasar estos datos a bash son las llamadas variables de entorno.

La analogía sería que tu ordenador es una habitación. Tú, el servidor, recibes una petición de un usuario y escribes algunos datos sobre esa petición en una pizarra. Luego llamas a bash para que pase a la habitación y haga lo que tiene que hacer. Y una de las primeras cosas que hará será leer de la pizarra los datos que le has dejado (las variables de entorno).

Normalmente, esto funciona bien. La shell (bash) llega, lee los datos, ejecuta sólo lo que tiene que ejecutar y listos. El problema es que a veces, con una cadena especialmente preparada, no sólo lee los datos sino que los ejecuta. Más concretamente, bash ejecuta los comandos que encuentre después de la definición de una función en una variable de entorno. Algo como esto

env x='() { :;}; echo vulnerable' bash -c "echo this is a test"

debería definir una función llamada x que no hace nada (el cuerpo de la función es lo que está entre llaves {}). La cuestión es que después bash sigue leyendo y ya no sólo se limita a leer valores sino a ejecutar el código que viene, en este caso echo vulnerable, que imprime "vulnerable" por pantalla.

¿Cómo se puede explotar el fallo?

Bien, ya sabemos cuál es el fallo. Ahora bien, ¿para qué sirve? ¿Cómo se puede alguien aprovechar de ello?

Decíamos al principio que bash está presente en prácticamente todos los ordenadores, y muchos lo tienen expuesto de alguna forma u otra. El ejemplo más llamativo es el de los servidores que generan páginas con bash. En esos casos, simplemente con crear una petición en la que el identificador de navegador (user agent) sea algo como () { :; }; micomandoaquí, podríamos ejecutar comandos arbitrarios en esos servidores. Y con comandos arbitrarios quiero decir que se puede usar la vulnerabilidad para cualquier cosa, desde tumbar todos los servidores vulnerables en un momento hasta montar una enorme botnet, pasando por supuesto por montar ataques de denegación de servicio haciendo que todos los vulnerables envíen tráfico a un cierto objetivo.

Ese es el principal punto de explotación del fallo, y es grave porque es muy fácil de aprovechar. Para que os hagáis una idea, en apenas unas horas y con una búsqueda automatizada muy ingenua, en Errata Sec han encontrado más de 3000 servidores vulnerables. Perfeccionando un poco esa búsqueda y con más capacidad de escaneo, un atacante se podría hacer con muchos sistemas. De hecho, esos ataques ya están en marcha.

El fallo puede permitir a atacantes tomar fácilmente el control de servidores web que usen CGI

Pero no son sólo esos servidores que ejecutan scripts de bash. En Redhat explican que DHCP (el protocolo para que un ordenador obtenga su dirección IP y más instrucciones para conectarse a Internet cuando entra en una red) podría ser otro punto de ataque, ya que permite que el servidor pase variables de entorno que serían interpretadas por el cliente.

En ese caso, sería posible que un servidor de DHCP vulnerable pudiese atacar además a todos los dispositivos que se conecten a su red. Imaginaos qué desastre en grandes empresas.

También es posible que otros servicios, como servidores que ofrecen shells restringidas a sus usuarios (algunos servidores de Git, por ejemplo), puedan ser vulnerables: este fallo permitiría a un atacante saltarse esas restricciones y obtener acceso completo. Además, teniendo en cuenta quebash está presente por todas partes y que muchos programas lo usan incluso sin darse cuenta, podríamos ver todavía más vectores de ataque.

¿Soy vulnerable? ¿Cómo puedo protegerme?

Empecemos diciendo que si no gestionas ningún servidor expuesto a Internet no deberías preocuparte, probablemente. Los sistemas afectados son los que tienen bash, así que estamos hablando de sistemas Linux, OS X y demás derivados UNIX (BSD, Solaris...).

El parche final todavía no está listo

La mayoría de distribuciones Linux ya han distribuido un primer parche, aunque está incompleto y no acaba de corregir del todo la vulnerabilidad. Imaginamos que en cuanto los desarrolladores debash saquen el parche definitivo lo distribuirán a todos los usuarios. Mientras, una opción puede ser desactivar bash y usar otra shell hasta que esté cien por cien parcheado (nota: hacedlo sólo si sabéis lo que estáis haciendo).

Los que están un poco más expuestos son los usuarios de Apple. Los de Cupertino, con su rapidez habitual en temas de seguridad, todavía no han dado ninguna respuesta. Por suerte, estos ordenadores suelen estar menos abiertos a Internet, y en última instancia ya hay instrucciones para parchear su instalación.

Si queréis comprobar si vuestro sistema está afectado, podéis ejecutar estos dos comandos (el primero para el fallo original, el segundo para el parche incompleto). Si alguno de los dos imprime "vulnerable" por pantalla, es que vuestra versión de bash es susceptible a esos ataques.

env x='() { :;}; echo vulnerable' bash -c "echo Fallo 1 parcheado"
env X='() { (a)=>\' sh -c "echo vulnerable"; bash -c "echo Fallo 2 sin parchear"



Más información | CVE 2014-6271 - CVE 2014-7169 (vulnerabilidad 2) | Lcamtuf

Read More

Microsoft se planteó cambiar de nombre a Internet Explorer

Cuando hablamos de Internet Explorer a muchos de vosotros os entran escalofríos, sobre todo al recordar aquellos tiempos oscuros en los que Internet Explorer 6 era el navegador más utilizado (e incluso el único para muchas personas). Internet Explorer es una de las marcas de Microsoft que peor imagen tiene por culpa de su pasado, a pesar de que su equipo de desarrollo está invirtiendo muchos esfuerzos en ponerlo al día.

De hecho, tan mala era la imagen que han confesado haberse planteado cambiar de nombre a Internet Explorer. Así lo han declarado en un AMA de Reddit en el que mencionan un hilo de discusión interno en la compañía con muchos empleados uniéndose. No han descartado, de hecho, un cambio de nombre (dicen que "quién sabe lo que depara el futuro"). Lo que sí han dicho es que no van a usar el nombre Ultron.

¿Por qué no lo cambiaron? Probablemente porque para muchos (sobre todo para los menos experimentados) Internet Explorer es *la única puerta de entrada a Internet**. Al fin y al cabo ya contiene esa palabra en su nombre. Igual que para otros muchos Internet es Google y ya está.

Lo que también han dicho algunos empleados es que, además de Internet Explorer 11, Firefox 31 y Chrome 36, hay quien usan algo llamado Top Secret Internet Explorer. ¿Está Microsoft desarrollando una totalmente nueva versión del navegador? No sabemos nada. Y ellos, oficialmente, tampoco. Lo que sí se empeñan en decir es que **Internet Explorer ahora no es como muchos lo recuerdan.

Vía | Neowin | Reddit

Read More

El creador de los pop-ups: "lo siento, nuestras intenciones eran buenas"

¿Recordas Tripod.com?. Cuando Internet se empezó a hacer popular, se convirtió en una de las páginas web más famosas. Ethan Zuckerman era una de las personas que estaba trabajando en el servicio de alojamiento, cuando una compañía de compra-venta de coches se asustó porqueencontraron un banner de publicidad en el que se celebraba el sexo anal. Algo que no le gustó mucho, ya que pensaban que se asociaba a la marca con temas sexuales. La solución les vino que ni pintada: poner el bloque de publicidad en una nueva ventana.

Y así fue como nació el primer pop-up de publicidad. Con contenido sexual, por supuesto.. Fue el propio Zuckerman el que escribió una pieza de código que permitía abrir el contenido en una ventana nueva. Está claro que el mismo formato se ha ido ampliando hasta ser lo que es hoy. La popularidad de este tipo de publicidad ha ido aumentando con los años, convirtiéndose en uno de los más costosos.

Aunque yo ví por primera vez una solución a este tipo de formatos en una de las versiones de Firefox, lo cierto es que otros navegadores ya se habían puesto, anteriormente, manos a la obra con el fin de evitarlos. Sin ir más lejos, Netscape y Opera fueron las primeras aplicaciones en contar con una función que los bloqueaba. La característica también ha ido evolucionando (con el pop-under, por ejemplo), y hoy en día incluso se pueden ocultar los bloques de publicidad de toda la página en la que estemos.

En cualquier caso, resulta curiosa la forma en que se creó el primer pop-up de la historia de Internet. Y también resulta un poco sorprendente que también fuera por motivos sexuales. Justamente, lo que más nos molesta en la actualidad. Parece que todo va a la misma velocidad. Ethan Zuckerman ya ha pedido disculpas al respecto: "lo siento, fue un error. Nuestras intenciones eran buenas".

Vía | The Atlantic

Read More

Así se usó un fallo en el tejido de Internet para robar Bitcoins

¿Alguna vez os habéis parado a pensar cómo llegan los datos que enviáis desde vuestro móvil o PC - un correo, un mensaje de Whatsapp, cualquier cosa - a su destino? En menos de un segundo, los datos viajan por la red y acaban en la otra punta del mundo. ¿Cómo lo hacen?

Si fuéseis vosotros los que tuviéseis que viajar, necesitaríais un mapa. Lo malo es que nadie tiene un mapa concreto de Internet. Para ir de un punto A a un punto B, lo que se hace es ir "pasándose la bola". Tu ordenador le pasa los datos a enviar a tu router de casa y él se los transmite a otro router de tu proveedor de servicios (ISP).

Ahí la cosa empieza a complicarse algo. Quizás el destino está conectado a tu mismo proveedor, y entonces la cosa es fácil: tu ISP sabe perfectamente cómo están conectadas sus redes y sus routersenviarán tu paquete de datos por el camino correcto.

Pero, ¿y si el paquete tiene que viajar más allá? Por ejemplo, desde Telefónica hasta los servidores de Google. Tu ISP sabe la dirección IP de destino, pero nada más. ¿Por cuál de todos los caminos posibles mandamos tus datos?

Resulta que hay un protocolo para resolver el problema:Border Gateway Protocol o BGP. A grandes rasgos, cada red anuncia al resto los caminos que conoce. En un primer momento, la red de Telefónica - siguiendo con nuestro ejemplo - anunciará a todos que para acceder a las IPs de sus clientes (de la IP 1.1.1.1 a la 5.5.5.5, por ejemplo), contacten con ella. Esta información la reciben otros routers de otras redes y van construyendo caminos más completos.

Cada red anuncia a dónde puede enviar tráfico, y con esa información se van construyendo los caminos

Por ejemplo, la red de Ono recibirá esos datos y lo que anunciará a sus compañeros será algo como "Para acceder a mis IPs (de la 5.5.5.6 a la 7.7.7.7) avísame a mí. Y para las de Telefónica (1.1.1.1 a 5.5.5.5) avísame a mí también porque sé cómo mandarle los datos en un sólo salto".

Así, poco a poco, cada una de las redes que conforman Internet van haciéndose una idea de cómo está todo conectado y a quién enviar datos para que lleguen a su destino rápidamente y sin dar muchas vueltas.

¿Seguridad? ¿Para qué?

¿A dónde quiero llegar con todo este lío del BGP y la espina dorsal de Internet? Pues a algo que no es nuevo, pero que lo que se habla poco. Cuando se creó BGP, para dar el salto de ARPANet a un modelo descentralizado, se hizo pensando que todo el mundo era bueno y confiable, así que no se tuvo la seguridad del sistema muy en cuenta.

Eso lleva a situaciones curiosas. Por ejemplo, en 2008 Pakistán quiso bloquear YouTube. Para ello, uno de los ISP del país, Pakistan Telecom, cambió una entrada en sus routers, que venía a decir "Para ir a las IPs de YouTube 21.3.4.5 o 21.5.4.3, mandad los datos a la basura". Dicho de forma más elegante, ordenaron a sus routers que todo el tráfico destinado a YouTube se descartase para que no llegue a su destino.

El problema es que se equivocaron un poco al hacer la configuración, y esa ruta se anunció a las redes conectadas con Pakistan Telecom, y en pocos minutos se extendieron por todo el mundo. Resultado: YouTube inaccesible por completo.

Lo que pasó es que todas las redes recibieron datos que decían que Pakistan Telecom sabía llegar a dos IPs. Tal y como está diseñado BGP, se hace caso a la ruta que mejor acota la IP de destino1, que en este caso era la de Pakistan Telecom. Google lo resolvió en poco tiempo anunciando rangos de IP más pequeños todavía que sobreescribiesen los de Pakistan Telecom, y todo volvió a la normalidad.

Esto fue un accidente, pero en todo momento los protocolos funcionaron como tenían que funcionar. Ese es el problema de BGP: cualquiera puede anunciar rutas alternativas y desviar ingentes cantidades de tráfico. Es muy difícil distinguir cuándo es un cambio legítimo (si aparece una red nueva o un enlace deja de funcionar hay que cambiar las rutas, por ejemplo) de cuándo es malicioso.

El fallo se conoce desde hace muchos años, y en 2008, en la conferencia DefCon, se hizo una demostración de cómo podía ejecutarse un ataque y redirigir tráfico de Internet sigilosamente, sin que hubiese ningún corte de servicio.

La esperanza es que es muy difícil acceder a ese centro de Internet: uno tendría que ser un ISP o una entidad gestora de red para poder hacer los anuncios falsos. ¿No?

En realidad no hace falta ser, sino tener acceso a uno. Hace unos días, Dell SecureWorks descubríadescubría cómo unos crackers habían aprovechado esta debilidad de BGP para robar Bitcoins y otras criptomonedas.

La idea es sencilla, y se aprovecha de los grupos de servidores que usa algunas personas para minar Bitcoins. Esos servidores tienen un centro de control que les envía los comandos necesarios.

Los atacantes desviaban tráfico para controlar los servidores de minado de Bitcoins y otras criptomonedas.

Los atacantes usaron una cuenta de un ISP canadiense para desviar el tráfico de los servidores de minado, de tal forma que en lugar de llegar al centro de control normal lo hacía al de los atacantes. Ese "impostor" respondía con un comando para que los servidores se conectasen al centro de control de los atacantes. De esta forma, las rutas BGP sólo se cambiaban puntualmente para tomar control de los servidores, y después, una vez que ya estaba el daño hecho, se dejaban como estaban para evitar ser descubiertos.

Según Dell, en cuatro meses los atacantes se podrían haber hecho con más de 83.000 dólares. Si bien el ataque podía mitigarse por parte de los administradores de los servidores, es muy difícil detectar y parar ataques BGP tal y como está diseñado el protocolo. Por suerte, HTTPS y demás tecnologías seguras impedirían que el atacante viese los datos que envías, pero no por ello deja de ser un fallo importante.

La solución sería usar criptografía de clave pública para que sólo ciertas redes puedan anunciar cambios en ciertas IPs, evitando así que cualquiera pueda redirigir tráfico arbitrario. Pero es un cambio que todavía no se ha implementado y que tampoco parece cercano.

Dentro de todas las tecnologías que usamos diariamente cuando navegamos por Internet, BGP no es la que más nos pone en riesgo, desde luego, pero no deja de ser curioso que el tejido que soporta Internet sea tan vulnerable.

Read More

TeamViewer v.9.0.27614

The All-In-One Solution para el acceso remoto y soporte a través de Internet. TeamViewer establece conexiones a cualquier PC o servidor de todo el mundo en tan sólo unos segundos. Control remoto de cualquier ordenador a través de Internet en cuestión de segundos o utilizar TeamViewer para reuniones en línea. Descubre por qué más de 100 millones de usuarios confían en TeamViewer.

Read More

Re-descubriendo los años mozos de Microsoft en Internet. La imagen de la semana

Si le echamos un vistazo a la Internet que existe actualmente, descubriremos que se están utilizando una grandísima cantidad de tecnologías. Java, Javascript, HTML5, Unity, etc. Pero en 1994 no existían tales cosas, ya que las conexiones a la red apenas se estaban haciendo populares en pequeños sitios del planeta. Por supuesto, las empresas necesitaban una cierta presencia, por lo que hacían lo que podían con las herramientas que encontraban. Y Microsoft, la que ahora es una de las compañías más grandes del sector, no iba a ser una excepción.

El negocio se fundó en 1975. Pero no fue hasta unos años después que sus trabajadores empezaron a trabajar para la red. De hecho, gracias a sus sistemas operativos fuimos capaces de acceder a recursos con los que se nos ponían los pelos de punta. A mediados de la década de los 90, la compañía tenía una web bastante simple, pero que permitía que leyeramos muchos detalles sobre lo que era. Algunos ya imaginaban que estaban ante lo que se convertiría en una de las marcas más famosas.

Como podéis ver en la imagen de arriba, Microsoft ya tenía por aquél entonces una página web. No era gran cosa (utilizaba Windows NT Server 3.5 y EMWAC HTTPS) y, por supuesto, fue evolucionando a la misma par que las tecnologías. No obstante, resulta curioso cómo ha avanzado una compañía que comenzó desarrollando un sistema operativo. Si antes veíamos un montón de enlaces azules, ahora mismo encontremos incluso aplicaciones propietarias desarrolladas internamente. Sin duda, un cambio radical.

Más información | Microsoft

Read More

Deep Web, privacidad y parodias en Instagram. Internet is a series of blogs (CCLXXIII)

Llegamos a la edición 273 de nuestra recopilación semanal de Internet is a Series of Blogs, en la que seleccionamos lo más interesante que nos habéis enviado los lectores y hemos ido descubriendo a lo largo de la semana en la blogosfera tecnológica hispana. No perdamos tiempo y vayamos a ello:

• Comenzamos con AnexoM, desde donde nos enseñan a tener una copia de seguridad automática de todas las fotografías que tomemos durante nuestras vacaciones. Esencial para los que no quieran arriesgarse a perder nada.
• En Bloggin Zenith, usando el ejemplo de la canción Happy de Pharrel Williams, reflexionan acerca de cómo una simple canción puede pasar a ser un vídeo viral que se llegue a conocer en todos los rincones del planeta.
• ¿Funcionan realmente las aplicaciones para dormir mejor? Se lo preguntan en Mobile World Capital, donde también nos ponen algunos ejemplos.
• En Techtástico se hacen eco de las contraseñas que han robado unos hackers rusos, y nos animan a tomar medidas para que nadie entre en nuestros servicios haciéndose pasar por nosotros. Si sospecháis que ha ocurrido, es la hora de cambiar vuestras contraseñas.
• ¿Qué ocurre cuando WhatsApp suspende nuestra cuenta de usuario? ¿Podemos hacer algo al respecto? En ChristianDvE nos explican qué medidas podemos tomar para intentar que nos la reactiven de nuevo.
• Pinterest ha sido el último servicio en lanzar su propio servicio de mensajería instantánea, como ya han hecho otros como Instagram. En Teknautas nos describen sus detalles.
• Terminamos en Hoja de Router, donde nos recuerdan que la plataforma abierta OpenStreetMaps cumple diez años plantando cara al resto de mapas cerrados de las grandes compañías. Un buen momento para recordar todo lo que se ha conseguido gracias a estos mapas.

Y esto es todo por hoy. Os agradecemos, como siempre, que nos mandéis noticias que os parezcan interesantes a nuestro formulario de contacto oficial. La semana que viene haremos una nueva recopilación con una selección de todas las que hayamos recibido junto con las que nosotros mismos hayamos ido viendo. ¡Muchas gracias y hasta entonces!

Read More

Rethink, ¿el arma perfecta contra los trolls en Internet?

El anonimato que proporciona Internet nos otorga libertad, pero algunos utilizan dicho privilegio para atacar a otros sin el más mínimo remordimiento. Son lo que habitualmente se conoce como trolls: gente que en ocasiones puede ser bastante cruel con otros internautas causando el cyber-bulling del que tanto gusta hablar a algunos medios más sensacionalistas. Pero ¿se pueden parar estos comportamientos?

Trisha Prabhu tiene 13 años y cree que sí. Con su proyecto Rethink ha conseguido ser finalista a nivel mundial de la Google Science Fair 2014. ¿Qué propone Trisha? Sencillo: hacer que los adolescentesrelean los mensajes crueles y con insultos que van a publicar. Inicialmente, se pregunta al usuario si quiere publicar el mensaje. Si este dice que sí, Rethink le muestra la siguiente advertencia: "Este mensaje podría hacer daño a otros. ¿Seguro que quieres publicarlo?". Tan sencillo como eso.

¿Puede una simple pregunta minimizar el trolleo que unos usuarios se hacen a otros? En las pruebas que Trisha realizó (con 300 adolescentes y más de 1500 mensajes), los resultados han sido bastante esperanzadores. ¿Cuántos usuarios cambiaron de idea a la hora de ir a publicar insultos hacia otro usuario después de que Rethink entrara en acción? 93.43% de ellos se arrepintieron antes de pulsar el botón "enviar". Y todo con una simple pregunta que recuerda que, a fin de cuentas, detrás de cualquier nick se encuentra una persona real.

Más información | Google Science Fair

Read More

Descubierto el mayor robo de credenciales en la historia de Internet

Un grupo de hackers ruso está detrás del que puede ser el mayor robo de credenciales en la historia de Internet: 1.200 millones de combinaciones de nombre de usuario y contraseña, y más de 500 millones de direcciones de correo electrónico.

Para realizar tamaña fechoría, la banda ha recopilado información de 420.000 sitios web de todo tipo, desde grandes corporaciones a pequeñas webs. La empresa de seguridad Hold Security ha descubierto el hecho, que ha sido publicado por el New York Times.

A petición de este diario, un experto en seguridad independiente de Hold Security ha analizado la base de datos de credenciales robadas, confirmando que es auténtica. Otro experto en delitos informáticos que ha revisado los datos, ha manifestado que algunas grandes empresas son conscientes de que sus registros se encuentran entre la información robada.

Hold Security no ha revelado el nombre de las víctimas, amparándose en acuerdos de confidencialidad y por la reticencia de empresas de renombre cuyos sitios son aún vulnerables. Esta compañía tiene tras de sí importantes descubrimientos de acciones similares en el pasado, entre ellas el sonado robo a Adobe Systems.

Alex Holden, fundador de la citada compañía de seguridad, desvincula la acción delictiva del Gobierno Ruso. El grupo que ha protagonizado el robo incluye al menos una docena de jóvenes en torno a los 20 años de edad, que se conocen a nivel personal, cuyo centro de operaciones parece estar ubicado en una región del centro sur de Rusia, flanqueada por Kazajstán y Mongolia.

Hay una división del trabajo dentro de la banda (dice Holden). Unos escriben la programación, otros están robando los datos. Es como usted se puede imaginar una pequeña empresa; todo el mundo está tratando de ganarse la vida.

Según ha manifestado Holden, su empresa está estudiando una herramienta en linea que permita a los usuarios probar con seguridad si sus datos han sido comprometidos. Lo que no ha determinado es cuándo puede estar disponible.

La pregunta que más de uno se puede hacer es: ¿y ahora qué? No cabe duda que Internet se ha convertido en territorio comanche, y la seguridad en una entelequia. Algo tiene que cambiar, bien los métodos de autenticación, bien los mecanismos de protección de las compañías responsables de custodiar los datos de sus usuarios.

Read More

Facebook e Internet.org anuncian una aplicación para tener Internet gratis en Zambia

Aunque el hecho de acceder a Internet sea el pan nuestro de cada día, la verdad es que no sucede lo mismo en otras partes del planeta. Para que os hagáis una idea, sólo el 30% de las personas del globo pueden acceder libremente a la red. Estamos de acuerdo en que muchos estamos todo el día navegando por nuestros sitios web favoritos, pero algunos países dónde ni siquiera saben que existen este tipo de recursos.

Hace varios meses se anunciaba la iniciativa Internet.org, gracias a la cual una serie de empresas quería llevar la red a aquellos lugares dónde, por diversos motivos, la gente no podía acceder a la misma. Y Facebook, la empresa detrás de la red social con el mismo nombre, ha dado uno de los pasos más importantes al anunciar una aplicación móvil gracias a la cual los usuarios podránconectarse sin necesidad de desembolsar ni una moneda.

El programa de Internet.org proporciona a la gente que lo tenga instalado el acceso a una pequeña variedad de servicios básicos que funcionan mediante Internet: búsqueda de empleo, información local o incluso consejos sobre la salud son sólo algunos de los datos que podrán consultar. Y todo ellosin tener que pagar una conexión, ya que el objetivo del proyecto es el de proporcionar todo esto de forma gratuita.

Una aplicación para países en vías de desarrollo

Según se ha anunciado desde la propia iniciativa, el programa está, inicialmente, en Zambia, aunquese irá extendiendo a otras partes del planeta donde la presencia del proyecto sea necesaria. Lo único que deberán tener los usuarios será un teléfono móvil (con sistema operativo Android, aunque no se han confirmado más detalles al respecto), cobertura para los datos, y el servicio de telefonía contratado con Airtel.

La aplicación dará acceso a los siguientes servicios:

• AccuWeather
• Airtel
• eZeLibrary
• Facebook
• Facts for Life
• Google Search
• Go Zambia Jobs
• Kokoliko
• MAMA (Mobile Alliance for Maternal Action)
• Messenger
• Wikipedia
• WRAPP (Women’s Rights App)
• Zambia uReport

Sin ir más lejos, el programa ya se encuentra disponible de manera gratuita (recordad que sólo en Zambia) mediante la página web de Internet.org o en la propia aplicación de Facebook. Se trata, sin duda, de una excelente idea que proporcionará acceso a Internet a millones de personas. Por supuesto, esperamos que se vaya extendiendo a otros países lo antes posible.

Read More

Chrome de 64 bit para Windows 7/8.x llega al canal Beta

Tras el debut de Google Chrome de 64 bit para Windows 7/8.x en los canales Dev y Canary a primeros de junio, el equipo de desarrollo del navegador ha anunciado la disponibilidad del producto en el canal Beta, que ya está listo para su descarga y prueba.

Al contrario que en el lanzamiento anterior, donde podían coexistir la versión estable de 32 bit con las respectivas experimentales de 64 bit, al instalar la versión Chrome 38 Beta de 64 bit reemplaza la versión estable que tengamos instalada. Es una consideración importante si queremos mantener la versión estable.

A pesar de que esta nueva entrega del navegador presenta todavía algunos fallos propios de su estado de desarrollo, ya demuestra su mejor rendimiento frente a la versión de 32 bit, en especial en el manejo de elementos gráficos y multimedia.

Otra ventaja que ya señalamos es su mayor seguridad corriendo sobre Windows 8, al hacer uso de la tecnología ASLR (Address Space Load Randomization). El relativamente corto espacio de tiempo entre el debut en los canales experimentales y el paso al canal Beta puede significar que este verano debute finalmente como versión estable.

Read More

Por favor, Twitter, no te conviertas en Facebook

Twitter va por buen camino. Los resultados trimestrales publicados hace unas horas muestran crecimiento (frente al estancamiento de otras ocasiones) y un importante incremento en los ingresos. Todo parecía indicar que la red social de microblogging iba a llevarse un revés con las nuevas cifras, y ha ocurrido más bien lo contrario. Sin embargo, y como usuaria habitual que soy, hay algo que me preocupa.

Durante la tradicional llamada en la que explican los resultados a accionistas y grandes grupos inversores, el representante de Deustsche Bank preguntó a Dick Costolo si realmente llegaríamos a ver algún algoritmo que nos seleccionaría los contenidos a mostrar en nuestro timeline, en lugar de ser exclusivamente nosotros los que los seleccionamos (vía seguir o a través de listas). La respuesta de Costolo no fue nada definitiva: "Es justo decir que no estamos descartando ningún cambio".

El "odioso" mundo del EdgeRank

No es la primera vez que hablamos por aquí del EdgeRank. Se trata de un algoritmo, inventado por Facebook, que escoge a cuáles de tus amigos les va a llegar lo que tú publicas en tu cuenta. La idea es que cada post llegue sólo a los contactos a los que la red social estime que les puede ser relevante. Por eso cada actualización tiene un alcance: así llama Facebook a la cifra que indica las personas que ven cada post. Ahora ya no se llama así y lo han ido cambiando a lo largo del tiempo, pero su objetivo es el mismo.

Esto ha traído consigo multitud de críticas: los usuarios se quejan (en mi opinión con razón) de no poder elegir lo que ven, mientras que los anunciantes protestan (aquí ya en mi opinión sin tanta razón) asegurando que Facebook les resta alcance orgánico con el fin de hacerles pagar. Donde sí Facebook tiene la culpa es en las formas de implementar este sistema: si tu quieres leer todo, TODO, lo que publican tus contactos, no hay forma de hacerlo salvo que entres de forma individual en cada perfil.

Pero ¿por qué existe este algoritmo? Facebook respondía a la polémica hace unas semanasdefendiendo su sistema:

"Otras plataformas online muestran todo el contenido en tiempo real. Pero la aproximación del tiempo real tiene sus limitaciones. La gente sólo tiene un tiempo determinado para consumir historias, y la gente frecuentemente se pierde el contenido más reciente cuando se loguea. Esto significa que no llegan a ver el contenido que es más valioso para ellos."

Lo completaban además con un ejemplo: una persona tiene más de 1.500 actualizaciones de media para ver cuando se conectan a su cuenta de Facebook. La red social, en cambio, sólo les muestra 300 de ellas ordenadas de la forma que estima más conveniente. Aquí es donde entra el algoritmo, decidiendo no sólo lo que se ve sino en qué posición se coloca cada actualización.

Pero yo quiero elegir

Facebook tiene razón en parte: en Internet se crea contenido a una velocidad vertiginosa. En Qmee publicaban hace unos días una versión actualizada de su anual infografía que muestra lo que pasa en Internet cada 60 segundos. Se publican 47.000 nuevos posts cada segundo en Facebook, 278.000 nuevos tweets por minuto, 347 nuevos posts en Wordpress cada minuto, 3.600 fotografías subidas a Instagram... Con el auge de los blogs y las redes sociales, el contenido que se crea puede llegar a ser abrumador.

Por eso tienen sentido los servicios de "curación" (sí, yo también odio esa palabra) de contenidos. Hay páginas que te seleccionan las páginas según las temáticas que tú les especificas y que van aprendiendo de tus gustos y hábitos de navegación (por ejemplo, Prismatic). Hasta el propio Twitter tiene una sección que facilita el descubrimiento de información relevante. Pero todos estos servicios tienen algo en común... Tú eliges que quieres un resumen.

En Facebook, esto no es posible. Ellos van a mostrarte un resumen sí o sí. Pensemos ahora qué pasaría si, por ejemplo, aquí en Genbeta sólo decidiésemos mostrarte las noticias que creamos interesantes para ti, personalizando así el blog para cada internauta y sin dejarte elegir a ti lo que quieres ver... Vayamos todavía más allá: ¿y si ocurriera lo mismo en todo Internet? ¿Si fueran los servicios y las páginas las que deciden qué quieren mostrarte y qué no?

En Xataka escribía a comienzos de mes sobre este tema precisamente y mencionábamos el efecto"filter bubble" (o "burbuja de los filtros"). Para definirlo me hacía eco de la explicación del concepto que hacía Javier de Vega en su blog:

"Imagina un mundo donde sólo te dijeran lo que quieres oír, donde no encontrases disensión ni te enfrentases a otros puntos de vista; donde tan sólo tuvieses acceso a lo que otros creen que quieres saber, y además no lo supieses; donde no conocieses a quien moldea el espectro de realidad al que puedes acceder ni conocieses bajo qué reglas. Bienvenido a tu propio ancho de banda."

Twitter, por favor no lo hagas

Cada vez hay más usuarios en Twitter, cada vez hay más tweets y sí, es cierto que si sigues a un número elevado de gente se hace complicado el mantenerte al día y leer todos los tweets. Pero es tu elección, no la de Twitter. ¿Que quieres seguir a menos gente? Pues lo haces. O puedes organizar a los usuarios en listas. Hasta puedes seguir a gente por compromiso y silenciarla si no te interesa lo que dice. Lo importante es que tú lo decides.

Esto no quiere decir que vayamos a ver este cambio sí o sí. Costolo simplemente deja la puerta abierta a modificaciones en el funcionamiento de su red social, pero ni afirma ni niega nada. Hoy por hoy parece improbable que Twitter se animara a realizar un cambio tan radical. Y, si lo hiciera, lo lógico es que dejara elegir: los que quieran un resumen de tweets que lo tengan, pero al resto que nos dejen como estamos.

Me gusta Facebook y lo utilizo, pero Twitter no debería seguir los pasos de Mark Zuckerberg. Son redes distintas, con usos distintos. Y, sin embargo, durante las últimas semanas hemos visto cómo Twitter poco a poco va adoptando cambios estéticos que cada vez nos recuerdan más a Facebook. Mientras se queden en eso, modificaciones de aspecto, no hay peligro. Pero por favor, Twitter, no vayas más allá. Deja que nosotros, tus usuarios, decidamos lo que queremos leer y lo que no. No te conviertas en Facebook.

Read More

Google está desarrollando una línea temporal que buscará los datos en Wikipedia

Estamos de acuerdo en que parece que últimamente Google se está centrando poco en su buscador. Pero nada más lejos de la realidad, ya que el hecho de que no tengamos noticias al respecto no significa que los equipos de la compañía no estén desarrollando nuevas características. Y una de las últimas noticias nos ha llegado hace pocas horas, cuando hemos podido saber que el negocio está desarrollando una línea de tiempo que nos mostraría datos sacados directamente de la Wikipedia.

Explicado de otra forma, se trataría de un pequeño buscador que, cuando introdujeramos algún tipo de concepto, nos mostraría como resultados toda la información que se encuentre al respecto en la conocida enciclopedia online. Por supuesto, sería mostrado como si fuera una línea de tiempo, algo parecido a lo que ya pudimos ver en el conocido Timeline de Facebook. Una característica bastante interesante.

Pongamos un ejemplo. Imaginad que buscáis la palabra Microsoft. La herramienta se encargará de encontrar en Wikipedia toda la información que concierne a la conocida compañía, mostrándonos datos como el año en el que se fundó, su presidente, el currículum del mismo, o incluso los proyectos en los que está trabajando. En otras palabras, gracias a una simple búsqueda podríamos tener a nuestra disposición un historial completo del concepto que sea.

Florian Kiersch, la persona encargada de revelar esta función, ha admitido que el desarrollo del proyecto está en una etapa muy temprana, por lo que todavía tendrá que pasar mucho tiempo hasta que Google decida ponerlo a disposición de los usuarios. En cualquier caso, el concepto nos ha parecido muy interesante, por lo que deberíamos estar atentos para ver por qué camino va transcurriendo la idea.

Read More

Internet Explorer es el navegador menos seguro de 2014

Competir por tener el mejor navegador no es algo que se rife entre todos los que podemos ver en la palestra, tres grandes rivales se enfrentan a diario por la supremacía y tienen nombre y apellidos (Internet Explorer, Google Chrome y Mozilla Firefox). 


Es cierto que navegadores como Safari u Opera cuentan con una pequeña cuota de mercado pero no son los más famosos. ¿Por qué los navegadores son gratuitos pero se invierte una gran cantidad de dinero en ellos? La respuesta es más sencilla de lo que parece, cada navegador trae un buscador asociado por defecto y un tanto por ciento muy elevado de usuario no lo cambian.

Google vive de su buscador y Chrome lleva a los usuarios a él por lo que contar con un navegador perfecto para su sistema es vital. Google, por ejemplo, también compra el navegador por defecto de Firefox y esto le permite obtener búsquedas y dinero. A pesar de que le paga sobre 300 millones de dólares cada año a Mozilla, las ganancias deberían ser mucho mayores. Uno de los factores más determinantes a la hora de escoger un buen navegador es su seguridad. 


Un nuevo informe de seguridad, publicado por Bromium, asegura que IE es el navegador más vulnerable del primer semestre de 2014, más parcheado y explotado durante los primeros seis meses del año, más incluso que Java y Flash, conocidos por sus vulnerabilidades. 


Las barras rojas muestran las vulnerabilidades de 2014 mientras que las azules son las que tuvieron lugar en 2013. Si tenemos en cuenta que las barras azules pertenecen a todo el año 2013, en solo seis meses, IE ha logrado aumentar las amenazas por lo que estaríamos hablan.

Sin embargo, Office parece seguir funcionando correctamente y siendo un producto seguro, no todo son problemas para Microsoft. El mayor problema es que IE todavía mantiene gente que sigue usando IE6, navegador que se han quedado sin soporte y reciben ataques por todas las vías posibles. 


Ahora bien, el sentido común es el factor más determinante a la hora de protegerte en la red. Si tu navegador te pide que descargues algo sin tu permiso, no lo hagas.

Read More