Redes

Estas viendo el archivo de la categoría Redes.

image El otro día Gabriel me preguntaba algo que sinceramente jamás me molesté en verificar: ¿Existe algún cliente SSH hecho en Java (J2ME) que pueda usarse desde un celular común y silvestre? Puede parecer algo sin sentido querer tener una línea de comandos remota desde un dispositivo cuyo teclado es tan limitado, pero si existen clientes VNC para el celular y algunos los usan, esta idea tenía más sentido.

Pronto San Google me dio la respuesta que necesitaba, y esa respuesta era afirmativa. Existen algunos clientes tanto de SSH como de Telnet hechos en Java para el celular, siendo el más evolucionado de todos MidpSSH. Aunque parezca increíble, esta aplicación J2ME tiene todo lo que necesitamos para administrar un servidor por la línea de comandos desde la comodidad (o incomodidad, depende como se quiera ver) de nuestro teléfono móvil. Soporta tanto SSH v1 como v2, Telnet, admite distintos tipos y tamaño de fuente, pantalla completa, almacenamiento de claves, y directorio de entradas para almacenar los servidores a los que nos conectamos frecuentemente. Además de todo esto, es código abierto, licenciado bajo GPL.

Existen también otras opciones para tener nuestra línea de comandos remota, pero a mi parecer de menor calidad o viabilidad:

  • JSch for J2ME es un port a J2ME, como su mismo nombre lo dice, de la implementación original en Java de SSH2 desarrollada por JCraft bajo licencia BSD. Ni siquiera pude probarlo, ni en mi celular ni mi PDA, por carecer de los encabezados necesarios para ser reconocido como aplicación J2ME.
  • SSH & Telnet Floyd cuenta con clientes separados tanto para SSH como para Telnet, pero adolece del mismo obstáculo que el anterior a la hora de la instalación, aunque por sus capturas de pantalla se ve eficaz.
  • kTelnet y µTelnet son dos clientes de Telnet exclusivamente, por lo que más allá de ser viables o no, hay que considerar las implicancias de seguridad antes de utilizar este protocolo directamente.

Por todo esto, MidpSSH se perfila como la mejor opción si lo que buscamos es practicidad y no andar experimentando, y así podremos estar administrando nuestros servidores mientras esperamos al médico o hacemos la cola para pagar las cuentas. Claro, si Vomistar nos deja

image Y no, no dije desconfíe, dije "desconfie", como diría el negro Dolina. El día anterior me consultaron unos usuarios, consternados, por un email importantísimo cuyo archivo adjunto no podían abrir "con nada", y era importante porque decían que provenía del Poder Judicial de Brasil. Lo primero que hice fue pedir que m reenviaran ese mensaje taaaan importante, para verificar lo que ya me imaginaba. A continuación paso a desguazar el correo en cuestión. A la mayoría de los que me siguen no creo que les esté diciendo nada nuevo, así que bien pueden ahorrarse la lectura; esto es más bien un instructivo para el uso del sentido común que quiero dejar asentado para mostrarlo cuando haga falta.

Enos aquí, con un supuesto mail importante. Por qué es importante, dirán? Vamos a ver. El asunto dice: N.º 687/2008 URGENTE! PROCEDIMENTO INVESTIGATÓRIO N.º 687/2008. Aaahh… claro, dice "URGENTE!" en mayúsculas y con signo de admiración, encima se complica entender bien qué dice porque está todo en portugués, seguro se trata de algo importante! Y "PROCEDIMENTO INVESTIGATÓRIO" con esos numeritos al final tampoco se ven muy bien…

Seguir leyendo »

image Las vulnerabilidades encontradas en el DNS, más allá de haberse mostrado como un fiasco, está trayendo cada vez más peligros a cualquier equipo que se conecte a Internet. Una nueva herramienta, llamada Evilgrade (presentación en PDF), utiliza estas técnicas de explotación junto a otras más para hacer que cualquier equipo descargue e instale falsas actualizaciones de software que en realidad pueden ser troyanos, virus, o cualquier otro tipo de payload que el atacante desee.

Evilgrade, creado por Francisco Amato, especialista en seguridad informática argentino y fundador de Infobyte Security Research, se trata de un kit de herramientas diseñado para aprovecharse de los sistemas de actualización online inseguros que muchos fabricantes de software implementan, en donde no se verifica ninguna integridad del supuesto paquete de actualización que se descarga, confiando plenamente en que si se lo está descargando de update.fabricante.com éste tiene que ser original y puede ejecutarse en el sistema con total tranquilidad. Entre las armas que Evilgrade utiliza, además del DNS Cache Poisoning de moda se encuentran también otras técnicas conocidas como el ARP y el DHCP Spoofing. Está programado en Perl y funciona en base a módulos, incluyendo en esta primer versión los que permiten aprovecharse de los sistemas de actualización de Sun Java, Winzip, Winamp, Mac OS X, OpenOffice, iTunes, Linkedin Toolbar, DAP, Notepad++ y Speedbit. En este video puede verse una demostración en la que se logra ejecutar código malicioso en una PC con un Windows totalmente actualizado a través del sistema de actualización de la máquina virtual Java de Sun Microsystems. Por supuesto, de momento y para causar más revuelo a raíz de la masividad que supone, muchos de los módulos están pensados para software que corre bajo Windows, pero como puede verse este mecanismo de intrusión es completamente independiente de la plataforma, sólo requiere que la actualización falsa sea el malware adecuado para el SO que se quiere comprometer.

Con todas estas amenazas, hoy más que nunca es importante prestarle atención al fallo de los DNS y actualizar todos los sistemas que sean necesarios y/o utilizar servicios que no están afectados como OpenDNS.

Vía Kriptópolis.

image Existen unas cuantas aplicaciones que permiten solucionar o suavizar el dilema del usuario que debe conectar su notebook en distintas redes (por ejemplo en su casa, en la oficina, o en cafés, hoteles y aeropuertos por Wi-Fi) y no quiere o no sabe lidiar con configuraciones de red y direcciones IP, pero de todas estas Avanquest Connection Manager parecer ser una bastante intuitiva y simple.

Esta utilidad antes era paga pero ahora se ofrece completamente gratis, y permite de una forma rápida y visual definir perfiles para que el usuario no tenga más que hacer un par de clicks de acuerdo a su actual ubicación para estar conectado al instante. Ideal para hacerle más amena la vida a nuestros lusers.

Vía LifeHacker.

Algo de agua pasó bajo el puente del problema de seguridad con el DNS: Ahora ya sabemos que se filtró información antes de tiempo y que, seguramente gracias a eso, hay exploits dando vueltas. Lo que también ahora sabemos, siempre gracias a Kriptópolis, son los métodos para comprobar desde nuestra consola la seguridad al respecto de cualquier servidor DNS, eliminando la necesidad de recurrir al test del sitio de Dan Kaminsky, el cual nos permite chequear solo al de nuestro ISP.

Desde Linux se puede utilizar la herramienta dig, que viene incluida dentro las distros más populares, para chequear contra un servidor DNS especial que nos responderá si si estamos en condiciones buenas, medias o pobres de seguridad. Los comandos que podemos utilizar son cualquiera de estos:

dig +short @ip_dns_a_testear porttest.dns-oarc.net txt

De la misma forma, en Windows tenemos tanto la opción de utilizar la herramienta dig instalándola desde acá como la de utilizar directamente el comando nslookup que viene incorporado:

nslookup -type=txt -timeout=30 porttest.dns-oarc.net ip_o_hostname_del_dns_a_testear

Por ejemplo, la primera vez que escribí sobre este fallo del DNS había chequeado los DNS de Telefónica y estos eran vulnerables. Si ahora los chequeo nuevamente me tira que los muchachos al menos hicieron su trabajo actualizándolos:

Servidor:  dns23r.speedy.com.ar
  Address:  200.63.155.67

Respuesta no autoritativa:
  porttest.dns-oarc.net   canonical name = z.y.x.w.v.u.t.s.r.q.p.o.n.m.l.k.j.i.h.g.f.e.d.c.b.a.pt.dns-oarc.net

z.y.x.w.v.u.t.s.r.q.p.o.n.m.l.k.j.i.h.g.f.e.d.c.b.a.pt.dns-oarc.net     
text = "200.63.155.20 is GOOD: 26 queries in 5.8 seconds from 26 ports with std dev 20372.97" 

z.y.x.w.v.u.t.s.r.q.p.o.n.m.l.k.j.i.h.g.f.e.d.c.b.a.pt.dns-oarc.net     nameserver = ns.z.y.x.w.v.u.t.s.r.q.p.o.n.m.l.k.j.i.h.g.f.e.d.c.b.a.pt.dns-oarc.net

En cambio, si por ejemplo analizamos uno de IPlan, vemos que viene habiendo bastante inoperancia por ese lado:

Servidor:  dns1.iplanisp.com
  Address:  200.69.193.1 

Respuesta no autoritativa:
  porttest.dns-oarc.net   canonical name = z.y.x.w.v.u.t.s.r.q.p.o.n.m.l.k.j.i.h.g.f.e.d.c.b.a.pt.dns-oarc.net

z.y.x.w.v.u.t.s.r.q.p.o.n.m.l.k.j.i.h.g.f.e.d.c.b.a.pt.dns-oarc.net     text = "200.69.193.1 is POOR: 26 queries in 4.1 seconds from 1 ports with std dev 0.00" 

z.y.x.w.v.u.t.s.r.q.p.o.n.m.l.k.j.i.h.g.f.e.d.c.b.a.pt.dns-oarc.net     nameserver = ns.z.y.x.w.v.u.t.s.r.q.p.o.n.m.l.k.j.i.h.g.f.e.d.c.b.a.pt.dns-oarc.net

Gracias a estos comandos podemos también sacarnos la duda con los servicios DNS de firewalls o routers, ya sean hogareños o corporativos. Por ejemplo yo pude confirmar lo que se decía en los foros de DD-WRT sobre que este firmware para routers no se ve afectado por el bug.

También, si no nos queremos complicar demasiado, existe, además del de Kaminsky, otro test vía web para verificar nuestros DNSs automáticamente.

image El DNS siempre fue un gran olvidado por años en lo que respecta a la seguridad en IT, aunque últimamente muchos venían levantando voces sobre el peligro que representaba. Ahora, todos parecen haberse puesto de acuerdo en el problema gracias al especialista en seguridad Dan Kaminsky, y todos los grandes pilares de Internet y del Software, como Cisco, Microsoft, Debian, Red Hat, y un larguísimo etcétera, están liberando parches para solucionarlo.

El problema que existe con el servicio de DNS es tan viejo como su propia creación probablemente, y radica en la forma en que se realizan las transacciones entre los servidores DNS no autoritativos que realizan consultas a otros servidores y cacheo de las respuestas. DNS utiliza el protocolo UDP, que es liviano y a diferencia de TCP no tiene ningún control de sesión o secuencia de paquetes, por lo que la respuesta a cada petición DNS es autenticada únicamente mediante estas condiciones:

  • Debe existir una petición exclusiva para esa respuesta.
  • La dirección IP de origen debe ser la misma a cuyo servidor se le envió la petición.
  • Cada petición utiliza un número de ID único de 16 bits, el cual debe ser idéntico al de la respuesta.
  • La respuesta debe ser enviada al mismo puerto de donde se originó la petición.

Hasta acá parece que la seguridad estaría bastante cubierta, pero como siempre, del dicho al hecho hay largo trecho, y en la práctica las cosas no son tan lindas como en la teoría.

Seguir leyendo »

Linux también se cuelga! Joel Barrios Dueñas, un experto en Linux con muchos años de trayectoria, ofrece libremente y bajo una licencia Creative Commons el producto de 9 años de su trabajo: El libro Implementación de servidores con GNU/Linux. Enfocándose en la distribución CentOS, la cual de por sí está pensada para montar servidores, el libro abarca desde su instalación paso a paso hasta la puesta en marcha y configuración de servicios de red indispensables como el proxy Squid, OpenSSH, y varios más, completamente en español. Una descarga totalmente recomendable para servir tanto de guía como de ayuda memoria a todo aquel que trabaje con Linux. El ebook está en formato PDF, y descomprimido pesa 4 MB. Puede descargarse desde acá.

Vía Kriptópolis.

Cuántas veces hemos leído sobre los famosos 13 servidores raíz del servicio DNS, sin los cuales se derrumbaría Internet, y de como, para peor, casi todos están en USA?

Pues desde el mismo weblog de la ICANN se encargaron de desmentirlo. Los servidores no son 13, sino que se estiman en varios centenares, y distribuidos en alrededor de 130 locaciones físicas. El número 13 viene de una limitación técnica de diseño, por la que existe un máximo práctico en el número de autoridades nombradas en la delegación de datos para la zona raíz. Estas autoridades se listan alfabéticamente, desde a.root-servers.net hasta m.root-servers.net. Cada una tiene una IP asociada, pero eso no significa que se trata de un único servidor solitario reposando en un rack, sino de redes de múltiples hosts, que en muchos casos están distribuidos entre múltiples ciudades o incluso países.

Y para desmitificar el otro mito, el del dominio de USA sobre la mayoría de los servidores raíz, tienen el siguiente mapa para mostrarnos lo equivocados que estábamos:


Ver mapa más grande

Para la próxima lo sabemos…

image Cuando trabajamos con servidores de email siempre hay un par de herramientas que en algún momento nos van a hacer falta, y MxToolbox tiene una buena combinación de ellas. En este sitio, con un diseño tranquilo y minimalista, nos vamos a encontrar con algunas aplicaciones web gratuitas que nos pueden resultar de mucha ayuda:

  • MX Lookup: Nos arroja el valor del registro MX para un dominio dado. Nada del otro mundo, lo podríamos obtener de muchas otras formas, pero así y todo su ventaja radica en que es fácil y directo.
  • Blacklists: Esta es la herramienta por la que muchos acudimos a MxToolbox, la cual nos permite chequear de una sola vez si la IP de un servidor de email está registrada como fuente de spam contra 147 servicios de lista negra distintos, entre ellos el controvertido UCEPROTECT del que hablaba ayer.
  • SMTP Diagnostics: Brinda información básica y chequea un par de cosas que todo servidor de correo debe cumplir por estos días, como poseer registros DNS inversos consistentes (si mx.nombrededominio.com => IP A, IP A => mx.nombrededominio.com) y que no sea un open relay, o sea que no permita reenviar emails a cualquiera.
  • Email Header Analyzer: Permite copiar y pegar los encabezados de un mensaje de correo y así presentar la información del mismo en una forma más limpia y fácil de interpretar. Útil para analizar el "viaje" de algún mensaje determinado.
  • SPF Records: Obtiene y muestra los registros SPF (Sender Policy Framework) para un dominio dado, los cuales especifican qué servidores tienen autoridad de enviar correo en nombre de dicho dominio, con el fin de prevenir el spam.
  • Free Email Server Monitoring Service: Este servicio requiere registrar una cuenta en MxToolbox, pero es gratuito para su uso contra un sólo servidor y permite que se nos alerte en el momento ante caídas del servicio o inclusiones en listas negras, así como obtener información a lo largo del tiempo sobre su performance. Si deseamos que el servicio monitoree para nosotros a más de un servidor, ahí vamos a tener que ponernos y desembolsar unos U$S 10 mensuales por cada servidor extra.

Si somos curiosos o debemos montar un servidor de email, MxToolbox es un sitio que vale la pena tener entre nuestros favoritos.

UCEPROTECT es uno de tantos servicios que ofrecen una lista negra de spammers para su uso por parte de quienes administran un servidor de correo, bloqueando de esta forma las direcciones IP que están listadas como generadoras de spam.

Lo que hace a UCEPROTECT distinto del resto es la dureza y severidad con la que ejerce su función de policía del spam, lo cual lo convirtió en enemigo de muchos ISPs flojos que permiten que se spamee desde sus redes. Basta ver su lista de los "cielos para spammers del momento":

image

Como pueden ver tenemos muchos ISPs latinoamericanos en el top ten, como Telefónica de Argentina en el puesto número 2, del Perú en el 4, y Terra Networks Chile en el 5; casualmente, todos de la misma corporación española. Será por esta severidad que algunos proveedores incluso recomiendan y piden casi por favor que nadie utilice a UCEPROTECT, como es el caso de Telmex de Perú.

Seguir leyendo »

image Algo que ya se veía venir y que ahora comienza a materializarse en una realidad palpable: Apareció DNSChanger, un troyano que crackea por fuerza bruta routers domésticos para cambiar los servidores DNS configurados y así comprometer, mediante ataques de phishing (por ejemplo haciéndole creer al usuario que está en el sitio web de su banco) o inyección de malware cualquier computadora en la red local que navegue mediante ellos. Para lograr la intrusión el troyano utiliza una lista de passwords por defecto conocidos con los que intenta acceder, y si lo logra ya tiene el control completo del router, y con este virtualmente de toda la red local que aquel maneja. Aparentemente los ataques se concentran en routers de las marcas D-Link y Linksys.

Una forma de detectar si fuimos comprometidos por DNSChanger es encontrar el rango IP 85.255.*.* en nuestros parámetros de TCP/IP; otra consiste en ingresar en el navegador un dominio que sabemos inexistente y observar que aún así se carga un sitio web. Más información y capturas relativas a este troyano pueden verse en el blog de TrustedSource.

Por el momento, una de las medidas de prevención obvias y básicas, que hay que hacer ni bien se instala un router, es cambiar su contraseña por defecto por una segura creada por nosotros. También es importante no mantener sesiones abiertas con la interfase web del router mientras se navegan otros sitios. Lo mejor después de haber terminado de trabajar con la interfase web del router es cerrar el navegador por completo (incluyendo todas las ventanas y solapas abiertas) para asegurarse que cerramos la sesión, o utilizar las opciones de privacidad de navegadores como Opera o Firefox que permiten hacer lo mismo. También podemos evitarnos algunos problemas si utilizamos algún firmware más avanzado.

Vía Dark Reading.

image DecaffeinatID es una aplicación freeware para Windows que pretende agregar una capa extra de seguridad al sistema, pero que para nada reemplaza a un firewall personal ni a un buen antivirus. Básicamente consta de dos partes: Una que examina constantemente los logs de Windows para informarnos de cualquier intento de acceso a uno de los servicios de nuestro sistema o de algún cambio en el firewall, y otra que vigila el protocolo ARP contra ataques de Poisoning, que suelen usarse para controlar/espiar en el tráfico de otros usuarios de la misma red.

Mientras que estas características hacen útil a DecaffeinatID tanto en una red hogareña como en una gran oficina, su principal objetivo y utilidad se enfoca en las conexiones a hotspots o zonas Wi-Fi públicas, donde este tipo de técnicas para espiar e interceptar la información privada de otros puede llegar a ser moneda corriente. Funciona tanto en Windows XP como en Vista.

En pocas palabras una descarga recomendada para nuestra notebook.

Vía LifeHacker.

image Hace un buen tiempo que me debía hablar sobre este magnífico firewall basado en Linux llamado IPFire. Hace un buen tiempo que lo vengo utilizando con bastante éxito y quería dedicarle la review que se merece. En realidad, y como todo linuxero sabe, cualquier distro de Linux podría usarse como firewall, después de todo todas vienen con IPTables. Pero la elegancia y facilidad de una solución customizada como IPFire permite utilizarlo más como un appliance  que como un sistema operativo al que hay que andar toqueteando y ajustando, lo cual reporta en instalaciones más rápidas y menos problemáticas. Comencemos a conocer un poco más de este excelente firewall.

Seguir leyendo »

image Los proveedores de Internet que bloquean o limitan el tráfico P2P hace tiempo son una realidad tangible en muchos países del mundo, listas como esta donde los enumeran dan fe de ello. Pero aún mejor es poder comprobar, ya sea en nuestra propia conexión o en la de un amigo, si nuestro ISP no está limitando. Glasnost es una aplicación web que permite emular desde nuestro navegador una descarga por el protocolo BitTorrent y así estimar al cabo de unos minutos si este tipo de tráfico está siendo restringido de alguna manera. Una prueba imprescindible antes de contratar un nuevo plan con un ISP, aunque lamentablemente necesitaremos de alguien que ya lo tenga contratado.

Vía LifeHacker.

image Cambrigde Computer Corporation, compañía creadora de aplicaciones tan prácticas como vxUtil, trajo al mundo de las Pocket PC una herramienta simple y muchas veces necesaria de sus hermanas mayores, el conocido ipconfig.

Con un diseño muy similar al WinIpCfg de Windows 9x, vxIPConfig permite ver la dirección IP obtenida en el adaptador de red de nuestra PPC, y demás datos como gateway y servidores DNS. También podemos refrescar los datos, solicitando una nueva IP al servidor DHCP. Esta aplicación es totalmente gratuita y resulta muy útil para detectar problemas al conectar dispositivos con Windows Mobile en distintos puntos de acceso a Internet, principalmente en empresas.

Vía Pocket PC Freeware.

image Posiblemente no sea algo que necesitemos muy a menudo, pero es interesante saber que alguna vez a alguien se le ocurrió desarrollar aplicaciones clientes para los servicios de DNS dinámico DynDNS y No-IP que corriesen sobre la plataforma Pocket PC. Hoy el proyecto está muerto, pero el código quedó y, aunque no tengamos ninguna garantía, podemos probarlos sin costo alguno. Posiblemente sean una buena combinación para utilizar en conjunto con el servidor FTP para Pocket PC que vimos hace poco.

image Posiblemente en lo que sería una de las peores pesadillas para Microsoft, una compañía llamada Cemaphore acaba de lanzar un producto conocido como MailShadowG, el cual permite, ni más ni menos, que Outlook sincronice sus emails, contactos, y agenda con las aplicaciones de Google. Dicho de otra forma, permitiría utilizar las Google Apps como un total reemplazo de un servidor Exchange, uno de los segmentos donde más mercado tienen los muchachos de Redmond. Posiblemente no veamos a grandes corporaciones migrando sus decenas de servidores Exchange en breve, pero es ciertamente un frente de batalla más en donde Google planea robarle su dominio a MS, y uno de los más lucrativos.

Vía Denken Über.

image Hace tiempo que venía teniendo un dilema a la hora de hacer túneles por SSH. Con PocketPutty podía tener varios túneles a la vez, todos los que quisiera, pero se conectaba cuando y a donde quería; me volvía loco. Y la otra opción era zaTunnel, una aplicación gratuita que por desgracia permitía tunelizar un solo puerto a la vez y encima solía cortarse la conexión reiteradamente en ciertas ocasiones… hasta ahora. Afortunadamente sus desarrolladores le brindaron una actualización significativa, entre la que podemos encontrar el soporte para realizar túneles con múltiples puertos, además de poseer una mayor estabilidad. Desde que probé esta nueva versión se volvió una parte indispensable del kit de herramientas administrativas de mi Pocket PC. Altamente recomendado, y por supuesto, gratuito. Requiere el .NET Compact Framework para funcionar.

image Todo el que haya desempeñado alguna vez una ocupación relacionada con la tecnología sabrá seguramente a que me refiero cuando digo que en general estamos capacitados para  resolver un problema a la vez, no dos o más. O al menos resolver uno por vez es más fácil. Que justo el día que los empleados inoperantes de una empresa deciden tirar abajo el firewall de la oficina por andar pateando los cables, lo cual me hace ver obligado a instalarlo desde cero, que ese día exacto comiencen a hacer estupideces los servidores DNS del ISP que se está utilizando… No tiene prec…, perdón, no tiene perdón de nadie. Ahí estaba yo, medianamente tranquilo sabiendo que todo lo que tenía que hacer era instalar y dejar el firewall tal como estaba antes que funcionaba perfecto, y de repente empiezo a recibir quejas de que se sigue "sin interné". Lo peor es que para casi todo el mundo Internet es sinónimo de Google, creemos fielmente que si no carga google.com no carga nada, porque Google es tan macho que se carga hasta del aire. Pero estos DNS traicioneros justamente no dejaban acceder a ciertos sitios, entre ellos oh, Google! No hay Google = no hay Internés, así de fácil. Recién dentro de unos cuantos minutos empecé a comprende lo que sucedía, mientras seguía dudando de si no sería alguna tara estúpida del firewall.

Y ese es el punto de mi duda, porque ya no me extraña que un ISP, aunque se trate de un mega grupo mexicano muy conocido cuyo dueño llegó a superar en fortuna al mismo tío Bill, nos desayune con incompetencias como estas. Lo que me deja absolutamente perplejo es la buena cantidad de veces que sucede esta situación de la doble falla, que hace que nos volvamos locos y tengamos que hacer decenas de pruebas hasta saber qué está pasando.

Y para terminar este post con un asqueroso y obsceno gancho, ¿cuales fueron sus peores dobles fallas?

image Según me entero por Denken Über, Google anunció que, junto a otras empresas, tendería una red de fibra óptica entre Japón y USA, con un costo de U$S 300 millones y 7.68 terabits por segundo de ancho de banda. Toda una respuesta del gigante a la avaricia corporativa de las telcos, las cuales desde hace mucho decidieron plantarse contra la neutralidad de la red, que podrían ver como sus codiciosos esfuerzos por crear una Internet con peaje serían inútiles al lado de los caños propios de Google.

imageWirelessKeyView es una sencilla aplicación que muestra todas las claves WEP y WPA que tengamos almacenadas en nuestro sistema con Windows bajo el servicio de Configuración Inalámbrica Rápida (en inglés Wireless Zero Configuration); no funciona con aplicaciones propietarias del fabricante del adaptador inalámbrico. De esta forma se puede llegar a recuperar claves perdidas de alguna red que alguna vez se configuró, o verificar que las ingresadas sean las correctas.

Vía LifeHacker.

image No hace mucho una noticia sacudió al mundo de la seguridad informática: Symantec y la Universidad de Indiana advertían de un nuevo tipo de ataque dirigido a la inmensa cantidad y variedad de routers hogareños, principalmente debido a que los usuarios de los mismos por lo general dejan la contraseña por defecto de estos, o aún peor, ni siquiera saben que llevan una.

Pero este tema empeoró aún más con la combinación de técnicas de explotación de sitios web como XSS y CSRF. Mediante estas técnicas es posible alterar la configuración de un router solamente con que el usuario detrás de él haga click en un link malicioso de cualquier sitio web que visite, si previamente había ingresado a la configuración del mismo.

El principal provecho que pueden tener estos ataques para el hacking sistematizado es, por ejemplo, hacer cosas como cambiar los servidores DNS del router, y así tener el control de todas las conexiones por nombre de dominio que realicen los usuarios detrás del mismo, permitiendo de esta forma la realización de todo tipo de ataques man-in-the-middle o de phishing.

En GNUCitizen están organizando un concurso en conjunto con The Hacker Webzine para que los mismos usuarios intenten hackear sus propios modelos de routers y publiquen los detalles de las vulnerabilidades encontradas. Hasta ahora la lista es bastante importante, hasta el firmware basado en Linux que trae el WRT54GL se vio comprometido. Me pregunto si al menos se salvarán firmwares grosos como DD-WRT o Tomato.

No es que Tor no sea algo simple de usar, al menos si es que lo usamos solamente como cliente. Pero si queremos tener un mayor control sobre los nodos por los que pasamos, o poner en marcha el nuestro propio, es muy posible que Vidalia nos haga más fácil la tarea.

image

Esta herramienta open source incluye todo lo necesario para navegar anónimamente a través de la red de la cebolla: El software original de Tor, Privoxy (un proxy que ayuda a eliminar banners y mejorar la privacidad), el software de Vidalia en sí, y TorButton para poder controlarla a voluntad desde Firefox. Con versiones disponibles para Windows, Mac, y Linux, realmente es una descarga recomendada si queremos utilizar este sistema que nos brinda privacidad, más recordemos, no seguridad.

Vía LifeHacker.

Hace un tiempo vimos por acá las opciones existentes a la hora de ampliar la funcionalidad de nuestro router Linksys o similar mediante diversos firmwares basados en Linux. Ahora existe un nuevo jugador en esta arena, y su nombre es Tomato, se trata de otro firmware, muy a la altura de DD-WRT, capaz de funcionar en el Linksys WRT54GL y en los primeros modelos del WRT54G, así como en routers de otras marcas.

image

Su principal fuerte es su interfase web, la cual es sencilla, intuitiva, y con mucho AJAX detrás para darle dinamismo. Pero lo mejor resulta ser la increíble cantidad de gráficos detallados de que dispone, desde los cuales se puede observar en tiempo real muchos aspectos de la red.

Decididamente algo que tengo que probar en mi propio Linksys.

Vía LifeHacker.

Eso es lo que básicamente nos ofrece Putty Connection Manager, una aplicación freeware que se integra con el famoso cliente Telnet/SSH Putty.

image

Pero no termina ahí: Como bien lo dice su nombre, la herramienta integra un completo administrador de conexiones, además de que permite ordenar múltiples sesiones no solo por solapas, sino también en mosaico.

Para nada una mala opción, aunque yo estoy bastante cómodo con Putty Tray.

Vía LifeHacker.

RDP, VNC, Telnet, SSH… Ya sea por una interfase gráfica o por línea de comandos, hay muchas maneras de conectarse remotamente a una máquina a través de la red para poder controlarla, y por ende muchos clientes (programas), uno para cada método. No sería realmente util tener una sola aplicación que nos permita utilizar la mayoría de estoy protocolos juntos? Alguien pensó que sí.

Terminals nació en un principio como un cliente de RDP (Terminal Services) mejorado que permitía tener "favoritos", o para que se entienda mejor, una lista de todos los equipos que accedemos, para ingresar a estos mediante un click. Además dejaba configurar al detalle cada aspecto de la sesión remota.

Pero este programa con el tiempo creció, y su creadores tuvieron la excelente idea de convertirlo en lo que podríamos definir como un cliente de sesiones remotas multi-protocolo, el cual además de soportar el original RDP, también nos permite entablar conexiones por VNC, Telnet, SSH, VMRC (cliente remoto para máquinas virtuales de MS), RAS e ICA Citrix (protocolo propietario muy conocido en el ámbito corporativo).

image

Terminals es un proyecto open source creado en la plataforma .NET de Microsoft, y desde su sitio oficial alojado en CodePlex (el SourceForge de Microsoft) pueden descargarse sus distintas versiones, tanto el código fuente como los binarios, aunque estos últimos suelen aparecer con una versión de retraso.

La aplicación requiere el .NET Framework 2 para correr (qué novedad no?) y además incluye un set de herramientas de red como ping, traceroute, whois, dns lookup, etc.

Posiblemente nunca tengamos que usarlo, o tal vez sí, y mucho, o quizá solo una vez. En todo caso un redirector de puertos TCP nos puede ser muy útil en diversas situaciones, más que nada como solución transitoria. Por ejemplo, supongamos que tenemos varios clientes conectándose en un servidor a un puerto e IP específica, y que por determinadas razones debemos mudar ese servicio a otro servidor, con otra dirección IP, y nuestros clientes se conectan directamente a la IP, sin utilizar ningún nombre de host que nos permita trabajar con la resolución de nombres. En este caso simplemente lo solucionamos redireccionando de ip-vieja:puerto-del-servicio a ip-nueva:puerto del servicio. Un redireccionador muy simple y efectivo que me encontré por ahí es TCP Redirector, el cual es un simple ejecutable que al correrlo nos muestra una ventana donde claramente se nos permite configurar el puerto de origen y la IP y puerto de destino:

image

TCP Redirector además permite monitorear y cerrar las conexiones que se realicen a través de el, y además nos permite abrir nuevas ventanas de sí mismo para redireccionar todos los puertos que deseemos.

Seguir leyendo »

image Tengo algunas dudas sobre si algún día llegaremos a ver esto en vivo y en directo, pero por lo pronto ha sido descubierta una técnica llamada Cross Site Printing, la cual permite, mediante el ya famosamente maligno Javascript, hacer que un navegador busque en la red local impresoras conectadas directamente a la red, las cuales suelen escuchar a través del puerto 9100, y les envíe trabajos de impresión a éstas, las que normalmente carecen de cualquier tipo de seguridad que impida autenticar el origen de dichos trabajos de impresión. De momento sólo es posible enviar mediante esta técnica impresiones en ASCII y PostScript por lo cual se piensa que su aplicación más obvia sería para spammers que anunciarían sus productos desde la bandeja de nuestra láser, pero se estima también que cuando sea refinada se podrá llegar incluso a robar trabajos de impresión confidenciales almacenados en la impresora.

Esta vulnerabilidad sólo afecta a impresoras conectadas directamente a la red local, y no es efectiva para impresoras que se conectan a una PC, aunque luego sean compartidas en la red desde el sistema operativo.

Vía Kriptópolis.

image No sé si aún quedará alguien sin enterarse, pero es importante que todo equipo con Windows sea actualizado con los últimos parches para corregir dos gravísimas vulnerabilidades del kernel relacionadas con el manejo del conjunto de protocolos TCP/IP. Más precisamente estos fallos de seguridad tienen que ver con que cualquier PC corriendo Windows puede ser colgada o incluso apropiada mediante la ejecución de código arbitrario, mediante el envío de paquetes IGMP o ICMP especialmente forjados para explotar los problemas encontrados, sin necesitar de ninguna intervención por parte del usuario. Los equipos que se hallen dentro de una LAN en general no tendrán problemas ya que normalmente los firewalls bloquean este tipo de paquetes, pero todo aquel que esté conectado directamente a Internet sí corre peligro.

La vulnerabilidad afecta a todos los Windows de la línea NT arrancando por el 2000, siendo éste el menos afectado ya que no permite ejecución de código como en los otros.

Se habló también del tema en IntelliAdmin y Kriptópolis.

Ya habíamos visto a PeekPocket, una aplicación para Pocket PC que nos mostraba información sobre las redes inalámbricas presentes en nuestra cercanía. Pues AiroMap no es ni más ni menos que una versión mejorada del anterior. Básicamente es PeekPocket con el agregado del soporte para GPS necesario para poder ubicar en el mapa los distintos hotspots que nos vayamos encontrando. Por supuesto también es gratuito y puede descargarse desde acá.

Vía FreewarePocketPC.

Esta sencilla aplicación freeware llena de alguna forma los huecos de información que tienen los administradores de conexiones inalámbricas que vienen por defecto en las Pocket PC, como en el caso del que viene con mi iPack, que no brinda muchos detalles, y los que proporciona se presentan de una forma poco intuitiva. PeekPocket es un sencillo archivo exe por lo que no requiere instalación, y muestra una extensa cantidad de datos sobre las redes Wi-Fi detectadas, como tipo de seguridad si la hay, la primera y la última vez que fueron vistas online, y más. También tiene una alarma sonora para indicar la aparición de nuevas redes, y además soporta múltiples idiomas, entre ellos el español. Si consideramos realmente útil la aplicación y lo deseamos, podemos hacer una donación a su autor, el cual también ofrece sus servicios de programador para PDA’s, exhibiendo esta excelente aplicación como una de sus referencias.

Mucha tinta y bytes ya se ha gastado en advertir sobre los peligros de las conexiones inalámbricas inseguras, y de hecho también de las supuestamente seguras, pero que en realidad no lo son. La realidad es que las redes inalámbricas son una comodidad que llegó para quedarse, pero al mismo tiempo son inherentemente inseguras, y no podemos permitirnos evitarlas y perdernos de sus ventajas por esto, pero tampoco podemos estar regalando nuestra información a cualquiera por tener que usarlas. Existen tecnologías que las hacen más seguras, como WPA, pero convengamos en que la verdadera utilidad en el uso cotidiano de Wi-Fi es poder ir a un café u otro lugar con un hotspot público para poder conectarnos, sin tener que vernos obligados a utilizar la conexión de nuestra casa u oficina, y en estos casos, por comodidad, y porque realmente no serviría de otra forma, las redes siempre serán abiertas, sin ningún tipo de cifrado.

Lo que escribo a continuación pretende ser una guía que ayude a cualquiera a mantenerse lo más seguro posible mientras utiliza un punto de acceso abierto en cualquier lugar, y utilizando herramientas y recursos gratuitos. Es un rejunte de consejos que leí y puse en práctica y otros que empecé a hacer yo por mi propia cuenta, aunque no por eso pretendo que sean muy originales. No me voy a detener en consejos como "hay que instalar un firewall" o "mantengan el antivirus actualizado", esas son cosas básicas que doy por asumidas, cualquier usuario de Windows medianamente consciente tiene que tener funcionando ambos, y de los usuarios de Linux posiblemente los más avanzados no necesiten leer estos consejos, y los que sí, no estaría mal que usen un firewall al menos. Estos consejos son válidos para cualquier sistema operativo, y apuntan principalmente a prevenir la obtención de cuentas de usuario, contraseñas, y otra información sensible mediante el sniffing o intercepción de tráfico de la red. También me voy a detener en las Pocket PC, ya que es lo que más uso.

Seguir leyendo »

Esta aplicación open source es ni más ni menos que un sencillo pero eficaz escáner de redes que permite detectar hosts que soporten servicios de recursos compartidos NetBIOS sobre TCP/IP, o SMB.

NbtstatCE permite definir el rango IP a escanear y realizar un ping o una detección del protocolo NetBIOS sobre cada uno de los hosts dentro de éste. Una vez detectados los que sí corren este servicio, es posible conectarse a estos para explorar sus recursos, pidiendo las credenciales de autenticación pertinentes en caso de ser necesarias.

Desde ya una aplicación que puede utilizarse tanto para buenos como para malos fines, principalmente si pensamos en su uso por alguna zona Wi-Fi con muchos equipos conectados.

Utilizando como base información del tráfico mundial en Internet, Chris Harrison, un estudiante de doctorado de la universidad Carnegie Mellon, fue capaz de crear imágenes como la siguiente:

En esta imagen se represente por ejemplo el flujo de tráfico entre ciudades, pero hay más, y también hay disponibles versiones de alta resolución, en su sitio.

Vía Digg.

Disculpen lo reiterativo y obsesivo, pero la duda existencial de esta semana sigue teniendo que ver con el problema con conté en la anterior, que para resumir trata de que los fines de semana, por motivos que nunca sabrán (muejeje…), estoy en un lugar tan patético que no hay Internet, ninguna zona Wi-Fi en kilómetros a la redonda, y la única banda ancha que uno se puede instalar es el ADSL de Speedy, cosa que para mí no es una opción por otros motivos que tampoco vienen al caso.

Planteado este escenario, una opción posible para tener conexión con la red de redes sería hacerlo a través de mi teléfono celular, después de todo, es algo que ya venía haciendo con mi difunta Palm desde hace tiempo, y ahora lo empezaba a hacer con mi Pocket PC. Pero claro, una cosa es chequear un par de emails, otra muy distinta hacer un trabajo completo a través de una sesión remota en un servidor.

Y acá llegaba a un obstáculo primigenio que era el costo del kilobyte transferido en los servicios gprs de las operadoras de telefonía celular en Argentina; para resumirlo, si quería usar de verdad mi pocket con una de estas conexiones, me fundía. Me dí cuenta que básicamente tenía que averiguar los siguientes puntos:

  • La existencia, el costo y la disponibilidad de algún plan de datos gprs con tarifa plana.
  • Confirmar con mi operadora (en este caso Movistar) si había alguna forma de que por su red pudiera tener una sesión VPN con el protocolo PPTP, cosa que jamás pude hacer.

El último punto me lo contestaron con un no, no tanto por certeza, sino más bien por ignorancia. Luego me quedaba confirmar si existía alguna tarifa plana, para lo cual intenté primeramente averiguar con Personal, ya que como mencioné también, la señal de Movistar llega muy mal a esa zona. Cuando le pregunté por esto al representante, me contestó con un tono que parecía que le estaba pidiendo que venga y me la sobe. Me aclaró que no existe nada así, y ante semejante negativa, entré directamente a los sitios web de las tres operadoras que existen en el país para verificar si al menos alguno de estos contemplaba un plan así.

Ahí vino mi profunda decepción. No sé en qué planeta estuve tanto tiempo como para creerme que a estas alturas todas o al menos alguna de las compañías deberían tener un plan de datos totalmente plano para aquellos que queremos darle un uso intensivo al servicio, pero la realidad es que, al menos por lo que informan desde sus sitios web, no existe tal cosa. Sí existen planes donde está contemplado cierto volumen de tráfico y luego el excedente es más barato, pero aún así resultaría en una millonada a pagar todos los meses si queremos usarlo seriamente. Incluso los planes para uso con BlackBerry’s, que tenía entendido que sí eran con tarifa plana, no son así en realidad; según informa por ejemplo Movistar, el tráfico ilimitado se da solo para el servicio de email del BB y para su navegador, y no incluye otro tráfico de Internet. Es más, si hasta para los recientes servicios de banda ancha móvil 3G con los que tanto alardean tampoco están ofreciendo tarifas planas, que puedo esperar?

Perdón por sobreestimarte, tercer mundo.

De momento estoy pasando de hacer esta serie de post desde mi PPC durante los fines de semana debido a este problema, y estoy recurriendo a escribir los artículos previamente (y a veces después). Espero encontrarle una solución pronto.

Gracias a Mariano de Denken Über me entero que la gente de ThinkGeek comercializa una remera que incorpora un detector de redes Wi-Fi. Lo bueno que tiene, como bien dice Mariano, es que el detector se puede despegar de la remera y ponerlo donde queramos, por ejemplo en el bolso de nuestra notebook o en algún otro lugar más visible, porque admitamos que en la remera que llevamos puesta le va a servir más a los demás, que nos usarían de "detector Wi-Fi humano", que a nosotros mismos.

Este alarde de geekismo cuesta unos U$S30 y va a estar disponible para finales de este mes. A mi mal no me vendría.

En contraste con la anterior lista de aplicaciones para Pocket PC, la de ahora se destaca por listar aplicaciones necesarias para todo aquel profesional de IT que quiera usar su dispositivo con Windows Mobile como algo más que una agenda. Por supuesto que todas son completamente gratuitas.

Seguir leyendo »

Como habrán notado mis últimas dudas vienen sufriendo una especie de demora espacio-temporal con respecto a su momento de entrega original, el cual había dicho que sería, más o menos, entre el sábado y el domingo. Esto se debe a varios factores, pero el principal y determinante es que los fines de semana estoy en un lugar donde no tengo un acceso a Internet decente. Y esto está relacionado con mi duda de esta semana, a saber…

img184Zonas Wi-Fi. Oh, maravilloso milagro de la tecnología y el capitalismo, gracias al cual disfrutamos del sueño de tener Internet en nuestros pequeños dispositivos (o como lo dirían en el resto de los blogs, gadgets ;)). Es tan así?

En Buenos Aires y para mí, al menos, no. En muchas ocasiones encontrar un hotspot Wi-Fi que funcione se me ha hecho más dificultoso que encontrar un restó donde tengan coca zero. Sí, cada vez son más los lugares que se suman a la moda y pegan el archiconocido loguito en los cristales de sus ventanas, pero de eso a un servicio real hay un largo camino, como veremos.

Seguir leyendo »

Una de las primeras cosas que quise buscar para mi flamante Pocket PC fue lo mismo que por mucho tiempo busqué para mi difunta Palm TX (y que encontré hace poco): Una aplicación con un set de utilidades de red como ping, traceroute, dns lookup, y otros.

Afortunadamente la búsqueda de una herramienta así para Windows Mobile no me llevó demasiado, y encontré a vxUtil, una aplicación gratuita en su edición personal, que nos permite hacer todo lo antes mencionado y más, como por ejemplo escanear puertos, mandar magic packets para Wake On Lan, whois, finger, y hasta tenemos una calculadora IP. Viendo el menú se van a dar una idea mejor de todo:

img183

Estas funciones nos pueden sacar de varios apuros cuando estamos lidiando con una red o un servicio. Sin duda, vxUtil tiene que ser parte indispensable del kit de herramientas de todo geek que utilice Windows Mobile.

Se acuerdan del experto en seguridad sueco que desde su sitio publicó 100 cuentas de email de embajadas y gobiernos junto con sus correspondientes contraseñas? Bueno, ahora reveló como fue que las consiguió (Kriptópolis también habla del tema), y como de la misma forma pudo haber conseguido muchísimas más: Gracias a la red de anonimidad Tor.

Para quién aún no sepa de que estamos hablando, Tor (The Onion Router) es una red implementada bajo software libre, creada con el objetivo de brindarle anonimato en Internet al ciudadano común, aquél que no es un hacker con conocimientos suficientes como para procurárselo él mismo o para pagar un producto comercial que se lo brinde. Un usuario cualquiera, mediante la instalación y configuración del software de Tor, se conecta a internet de manera tal que su tráfico es enviado de manera cifrada y redirigido a lo largo de muchos de los nodos existentes en la red, para finalmente salir por un nodo de salida al azar, en cualquier parte del mundo. De esta forma, es imposible para el sitio al que nos conectamos saber quiénes somos basándose en nuestra dirección IP. Tor es usado por gente de todo el mundo con mucha consciencia sobre la privacidad, y principalmente en países donde no existe la libertad de expresión, como por ejemplo China.

Seguir leyendo »