El negocio de la venta de vulnerabilidades

La venta de vulnerabilidades de software es un gran negocio y su práctica tiene implicaciones sorprendentes para la seguridad de las aplicaciones e incluso para la seguridad nacional.

Resulta que las agencias del gobierno están dispuestos a pagar seis cifras para obtener los detalles exclusivos de fallas explotables en software y sistemas operativos, y hay un montón de compañías y "corredores de bugs" listos para venderse al mejor postor. Pero, ¿quién vigila para asegurarse de que los chicos malos, criminales o terroristas no obtiene esta información valiosa?

La respuesta es nadie.

¿Cómo comenzó este negocio?

 

Uno de los investigadores de seguridad que por primera vez vendió un fallo explotable fue Charlie Miller, un ex-empleado de la Agencia de Seguridad Nacional, que ahora trabaja para la firma de consultoría Accuvant Twitter desde septiembre de este año. En 2005, Miller encontró una vulnerabilidad en el sistema operativo Linux y la vendió al gobierno de EE.UU. por U$SS 80.000.

"Un funcionario del gobierno me dijo que no se le permitía decir un precio, pero que yo debía hacer una oferta", dijo Miller a SecurityFocus en 2007. "Y cuando lo hice, él dijo que estaba bien, y yo pensé, 'oh , podría haber pedido mucho más'".

¿Cómo es el mercado hoy?

 

Hoy en día, muchos fabricantes de software ofrecen recompensas por la busqueda de vulnerabilidades. En lo que va de este año, Google ha invertido más de 290.000 dólares para las vulnerabilidades en su navegador Chrome y recientemente aumentó el bono mínimo a U$S 1.000.

Un gran número de compañías comprar bugs y luego los venden de nuevo a los fabricantes de software a través de una suscripción. Los ejemplos incluyen iDefense y Zero Day Initiative, que pagan entre U$S 500 y U$S 20.000 para las vulnerabilidades.

Pero dinero real está en compañías como Endgame Systems, Netragard y Vupen Security. Estas se centran en el mercado más lucrativo de la venta de bugs a las agencias del gobierno que utilizan la información para hackear las computadoras y los teléfonos de los sospechosos de crímenes y en objetivos de inteligencia. Sin embargo, sus clientes también pueden incluir grandes corporaciones.

En febrero, VUPEN, que promueve sus servicios públicamente, encontró una serie de bugs en Google Chrome y ganó el Hackathon organizado por HP Tippingpoint. En el mismo evento, VUPEN desairó a Google, que pagó U$S 60.000 a los dos hackers ganadores, y no entregó los detalles de la falla a la empresa.

"No podríamos compartir esto con Google ni por un millón de dólares", dijo el director ejecutivo de VUPEN Chaouki Bekrar a Forbes. "Queremos mantener esto para nuestros clientes".

En el otro extremo se encuentran los llamados "bugs brokers" que negocian acuerdos con los cazadores de vulnerabilidades. Por ejemplo una persona con el seudónimo "El grugq" es un experto en seguridad que se vende al mejor postor, generalmente una agencia del gobierno de EE.UU. o Europa, y cobra una comisión del 15%, según una entrevista en marzo con Forbes.

Como es de esperar, los errores en el software más popular (Windows, Microsoft Office, iOS de Apple, navegadores web, etc) obtienen los precios más altos. Y con tanto dinero en juego, no es de extrañar que muchos de los hackers inteligentes y ambiciosos pasen horas interminables en busca de vulnerabilidades.

No hay leyes, pocas reglas

 

La venta de las vulnerabilidades del software es perfectamente legal. De hecho, la firma consultora Frost & Sullivan nombró en 2011 a VUPEN como Entrepreneurial Company of the Year.

El problema está en quien compra la información. La gente puede creer que esto está bien cuando lo hace una agencia de gobierno, pero ¿qué pasa con los hostiles? Los cibercriminales podrían utilizarlos en ataques de malware a gran escala en computadoras personales o en negocios.

Los críticos

 

Entre los críticos más acérrimos de la negociación vulnerabilidad está Christopher Soghoian, un técnico y analista político de la American Civil Liberties Union. En su presentación en la conferencia Virus Bulletin en septiembre, Soghoian argumentó la necesidad de alguna forma de supervisión de la industria.

"Si la industria quiere evitar la reglamentación, tiene que regularse por sí mismo", dijo Soghoian.

¿Es necesaria una regulación?

 

Una autorregulación parece poco probable. Pero un mercado regulado de exploit no tiene precedentes. Alemania, por ejemplo, tiene leyes estrictas que no sólo hacen que sea ilegal vender exploits, sino también para distribuirlos de forma gratuita.

Pero no hay consenso al respecto. Algunos expertos argumentan que la regulación de la industria es como tratar de regular las armas. Existen leyes en todo los países, pero los delincuentes aún tienen armas.

Otros argumentan que debería haber restricciones en las exportaciones, mientras que el mercado interno sigue abierta. El problema con esta estrategia es que podría estimular el almacenamiento de exploits, que también conlleva sus propios riesgos.

No hay respuestas fáciles, pero es el momento en que los legisladores deben comenzar a mirar esta industria antes de que un exploit vendido en el mercado abierto se utilice en un ataque contra el sistema financiero, robe secretos estatales o sea la fuente de ataques a infraestructuras críticas a gran escala. 

fuente: Segu-Info

Normas para evitar la falsificación y el fraude

El taller anual del Comité de ISO sobre política de los consumidores (ISO/COPOLCO), organizado por el Ministerio de Industria y Comercio en Nadi, Fiyi(Argentina), trabajó con la consigna “¿Cómo saben los consumidores que están recibiendo?”. Más de 145 representantes de organizaciones de consumidores, autoridades públicas e industria de más de 20 países asistieron al workshop. 

  
Durante el encuentro se discutió sobre cómo las normas internacionales y los buenos programas de vigilancia del mercado pueden proteger la salud y la seguridad de los consumidores, combatir el fraude y evitar las tergiversaciones de productos. 

El comercio de productos falsificados está valorado en más de USD 500 mil millones al año, alrededor del 5% al 7% mundial. Es alimentado por el creciente volumen del intercambio, la falta de conciencia y de información de los consumidores, la participación del crimen organizado, la escasa e inconsistente aplicación de sanciones, la demanda de los consumidores y las presiones económicas impulsadas por los altos costos y la pobreza.

Los participantes destacaron que la cooperación internacional es esencial para luchar contra la falsificación y el fraude, pidieron mejorar las prácticas de protección de las fronteras, intercambiar información dentro y entre países, aumentar la concienciación de los consumidores, y ofrecer mayor transparencia y trazabilidad a lo largo de la cadena de suministro. 

Guillermo Zucal, representante de IRAM en ISO/COPOLCO, sostuvo que en Argentina existen dos leyes que protegen a los consumidores: la Ley de Lealtad Comercial y la de Defensa del Consumidor, sumado a las autoridades nacionales y locales que vigilan el mercado. No obstante, destacó que los consumidores no están exentos de controlar lo que sucede. Agregó que también existen regulaciones específicas para algunos productos de consumo (eléctricos, alimentos, medicamentos y sanitarios), reforzadas con los esquemas de certificación obligatoria introducidos a partir de 1998 donde los organismos de certificación acreditados juegan un rol sumamente importante. 

ISO, a través de sus normas, pueden armonizar estos esfuerzos difundiendo mejores prácticas y promoviendo la confianza de los consumidores. Ha publicado la norma ISO 12931:2012, Criterios de rendimiento para las soluciones de autenticación que se utilizan para combatir la falsificación de los bienes materiales que ayuda a las organizaciones a validar la autenticidad de los bienes materiales.

Actualmente, ISO se encuentra trabajando en dos normas que contemplan un sistema de gestión de la seguridad para las contramedidas de fraude y los controles, y un método de lucha contra la falsificación mediante el seguimiento y localización utilizando un identificador único de numeración.

Fuente: IRAM

Panamá aprueba ley de copyright

El jueves, el Congreso de Panamá aprobó una nueva ley de propiedad intelectual que entrega vía libre a las autoridades para castigar directamente a quienes infrinjan el copyright, un proyecto que según los críticos constituye “la peor ley de copyright del mundo” que está ampliamente desbalanceada. 

El Proyecto 510-2012 [PDF] debe ser ahora aprobado por el presidente Ricardo Martinelli. El proyecto fue redactado para hacer que las regulaciones estuvieran de acuerdo al tratado de comercio entre Panamá y Estados Unidos, sin embargo, exagera las medidas para los objetivos que pretende cumplir. 

Según el abogado Andrés Guadamuz, la ley se salta los procesos civiles para imponer directamente una sanción al infractor, sin pasar por la justicia. “La ley 510 entrega nuevos poderes a la rama administrativa del Ministerio de Industria y Comercio, llamada Dirección General de Derecho de Autor (DGDA). A diferencia de otras oficinas administrativas, la DGDA tendrá el poder de imponer multas a los infractores sin prejuicio de más acciones civiles o criminales. Leíste bien, la DGDA podrá iniciar acciones no judiciales por sí misma, o en nombre de la parte afectada, y podrá imponer multas de hasta USD$100.000. No conozco ninguna oficina de copyright con tanto poder”, afirma. 

La DGDA deberá notificar al presunto infractor, y en 15 días este deberá “presentar las pruebas para su defensa” ante dicha oficina. La entidad podrá multar a la persona, y el sujeto todavía podría verse nuevamente multado por los juicios que se realicen en su contra en las cortes de jusiticia. 

“Lo que realmente hace única a esta ley es el hecho de que la multa no sólo no llega al dueño del copyright, que es el motivo por el que no se excluyen las demandas civiles futuras. El dinero va hacia la DGDA y sus empleados”, dice Guadamuz. En efecto, el artículo 153 señala que: 

“Las sumas que perciba la Dirección General de Derecho de Autor por las tasas derivadas de los servicios que preste y por las multas que aplique en ejercicio de sus facultades, serán destinadas a mejorar su infraestructura operativa y estimular el rendimiento de sus funcionarios, complementariamente a las partidas que el Presupuesto General del Estado se destinan para el funcionamiento de dicha entidad, de acuerdo con los procedimientos y principios que, para tal efecto, establezca el Órgano Ejecutivo por conducto del Ministerio del ramo, para su correcta administración y distribución”. 

Guadamuz advierte que si esta ley se pone en práctica, la DGDA “intentará monitorear inmediatamente todo el uso de torrents en Panamá, sea legítimo o no, y todas las personas identificadas por direcciones IP serán llamadas y multadas. Después de todo, la institución y sus empleados tendrán un incentivo financiero directo para asumir la culpabilidad. Luego esas mismas personas serán citadas una y otra vez, ya que habrá incentivos claros para multar a quienes reincidan”. 

Algunos movimientos se están organizando en Panamá para intentar que el presidente vete esta ley, que ya pasó sin ningún cuestiona miento por el Congreso. Una tarea que, sin embargo, parece difícil de lograr.

Fuente: FayerWayer

Google ‘castiga’ a un autor por compartir su libro en The Pirate Bay

Cuando hablamos sobre compartir archivos en la web, lo primero que viene a la mente es el intercambio de canciones, vídeos, películas u otros tipo de contenidos protegidos por copyright. Sin embargo, las redes p2p también funcionan para facilitar la transmisión de obras de dominio público, inéditas, de autoría propia o con licencias flexibles como las de Creative Commons. Así, muchas personas aprovechan para cargar contenidos de su autoría y permitir que el mundo los conozca, reproduzca y comparta.

Ése el caso de Cody Jackson, quien escribió hace unos años un libro sobre el lenguaje de programación Python. Cuando lo terminó, decidió liberarlo como agradecimiento a la comunidad open source. Así, su libro podría descargase de forma gratuita, dándole una opción a los lectores para hacer una donación voluntaria. Para ganar un poco más de dinero, también incluyó un par de anuncios de Google AdSense en su blog de Blogger.

Hace un par de semanas, Jackson recibió un anuncio de Google que le avisaba que su AdSense había sido inhabilitado. La razón: Google afirmaba que Jackson estaba distribuyendo contenido de forma ilegal. La empresa se valía de sus términos y condiciones, donde se señala que quienes usen AdSense no pueden usar sus sitios para compartir material protegido por copyright, ni dar enlaces o redirigir tráfico hacia páginas que contengan (?) este tipo de contenidos.

Por supuesto, el libro de Jackson no violaba ningún copyright, pues es de su autoría y tiene todo el derecho para alojarlo en el blog. La discordia se provocó porque Jackson subió una segunda versión de su libro como torrent, con enlaces a The Pirate Bay y Demonoid para descargarlo. A Google no le importó que el autor haya puesto ahí su propio archivo voluntariamente. Pues no: aunque no haya ninguna infracción al copyright, parece que la penalización es a los sitios de descarga, sin importar si el contenido está o no protegido.

Jackson contactó a Google para explicarles que él era el autor, que el trabajo estaba registrado bajo una licencia Creative Commons BY-SA (que permite copiar, distribuir, transmitir y adaptar el contenido); y que, por tanto, las copias eran perfectamente legales. Google prometió revisar el caso, pero su respuesta fue contundente: no podían dar de alta AdSense porque seguía existiendo una violación a los términos, aunque no supieron decir cuál. El autor intentó, por último, remover los enlaces a los sitios de descarga -a pesar de que eran completamente legales-. Volvió a escribir a Google y, de nuevo, se topó con un muro. La situación aún no se resuelve, porque al parecer, nadie en Google es capaz de comprender su caso.

El asunto de Jackson es grave porque muestra las dificultades que puede tener una persona para dar a conocer su propia obra y lucrar con ella. En ningún momento hay una intención por explotar comercialmente el trabajo de terceros; por el contrario, su modelo apela, por un lado, a la gente que dona voluntariamente; y por el otro, introduciendo los anuncios de Google para sacar un poco de dinero de los visitantes. No hay nada ilegal es eso.

Así mismo, es una muestra de cómo Google está penalizando una tecnología (las redes p2p) sólo bajo una presunción de que forzosamente enlazan a contenido protegido por copyright. Google parece olvidar que estas formas de distribución también sirven para compartir otro tipo de obras, ajenas al sistema e intereses de los defensores del copyright; archivos de personas que buscan difundir su trabajo de manera independiente. Quizá es tiempo de que Google aprenda que no todas las descargas son necesariamente ilegales.

Fuente: Alt1040