sábado, 13 de octubre de 2012

Recompensan con 60.000 dólares por bug en navegador Chrome


Según dan cuenta en el Blog de Chromium, blog del proyecto open source del navegador Chrome, se premió a investigador de seguridad apodado 'Pinkie Pie' con 60.000 dólares y una Chromebook por haber ganado las comp la competencia Pwnium 2 desarrollada por Google en Kuala Lumpur en el contexto de la conferencia de seguridad Hack in the Box 2012.


La explotación con la cual 'Pinkie Pie ganó, se aprovecha de dos fallas intrínsecas al navegador y por eso recibió la mayor recompensa a una explotación completa dentro de Chrome, la más alta calificación que premia Google. Las fallas aprovechadas fueron un compromiso al render del WebKit Scalable Vector Graphics (SVG) y  una falla en el IPC layer para escapar delsandbox.



La falla reportada fue solucionada en menos de 10 horas de concluida la competencia Pwnium 2 y está disponible para todos los usuarios de Chrome en forma automática.



fuente:Segu-Info


viernes, 12 de octubre de 2012

INTECO ENISE Concurso Hacking Etico (para españoles)

El Instituto Nacional de Tecnologías de la Comunicación (INTECO) convoca la tercera edición del concurso de Hacking Ético o Wargame para residentes españoles.

El concurso se centra en resolver un total de 13 pruebas divididas en tres categorías, relacionadas con la seguridad informática centrándose en temas de criptografía, análisis forense e ingeniería inversa. Los participantes deberán demostrar su capacidad para desenvolverse en este tipo de situaciones.

El ganador del wargame obtendrá, aparte de un diploma acreditativo, una beca de formación en prácticas en INTECO.

El plazo de inscripción se inicia el día 1 de octubre de 2012 y finaliza el día 10 de octubre de 2012 a las 14:00 horas y se podrá realizar mediante un correo electrónico tal y como se indica en el documento con las bases del concurso.

Fuente: INTECO

jueves, 11 de octubre de 2012

El negocio de la venta de vulnerabilidades

La venta de vulnerabilidades de software es un gran negocio y su práctica tiene implicaciones sorprendentes para la seguridad de las aplicaciones e incluso para la seguridad nacional.

Resulta que las agencias del gobierno están dispuestos a pagar seis cifras para obtener los detalles exclusivos de fallas explotables en software y sistemas operativos, y hay un montón de compañías y "corredores de bugs" listos para venderse al mejor postor. Pero, ¿quién vigila para asegurarse de que los chicos malos, criminales o terroristas no obtiene esta información valiosa?

La respuesta es nadie.

¿Cómo comenzó este negocio?

 

Uno de los investigadores de seguridad que por primera vez vendió un fallo explotable fue Charlie Miller, un ex-empleado de la Agencia de Seguridad Nacional, que ahora trabaja para la firma de consultoría Accuvant Twitter desde septiembre de este año. En 2005, Miller encontró una vulnerabilidad en el sistema operativo Linux y la vendió al gobierno de EE.UU. por U$SS 80.000.

"Un funcionario del gobierno me dijo que no se le permitía decir un precio, pero que yo debía hacer una oferta", dijo Miller a SecurityFocus en 2007. "Y cuando lo hice, él dijo que estaba bien, y yo pensé, 'oh , podría haber pedido mucho más'".

¿Cómo es el mercado hoy?

 

Hoy en día, muchos fabricantes de software ofrecen recompensas por la busqueda de vulnerabilidades. En lo que va de este año, Google ha invertido más de 290.000 dólares para las vulnerabilidades en su navegador Chrome y recientemente aumentó el bono mínimo a U$S 1.000.

Un gran número de compañías comprar bugs y luego los venden de nuevo a los fabricantes de software a través de una suscripción. Los ejemplos incluyen iDefense y Zero Day Initiative, que pagan entre U$S 500 y U$S 20.000 para las vulnerabilidades.

Pero dinero real está en compañías como Endgame Systems, Netragard y Vupen Security. Estas se centran en el mercado más lucrativo de la venta de bugs a las agencias del gobierno que utilizan la información para hackear las computadoras y los teléfonos de los sospechosos de crímenes y en objetivos de inteligencia. Sin embargo, sus clientes también pueden incluir grandes corporaciones.

En febrero, VUPEN, que promueve sus servicios públicamente, encontró una serie de bugs en Google Chrome y ganó el Hackathon organizado por HP Tippingpoint. En el mismo evento, VUPEN desairó a Google, que pagó U$S 60.000 a los dos hackers ganadores, y no entregó los detalles de la falla a la empresa.

"No podríamos compartir esto con Google ni por un millón de dólares", dijo el director ejecutivo de VUPEN Chaouki Bekrar a Forbes. "Queremos mantener esto para nuestros clientes".
En el otro extremo se encuentran los llamados "bugs brokers" que negocian acuerdos con los cazadores de vulnerabilidades. Por ejemplo una persona con el seudónimo "El grugq" es un experto en seguridad que se vende al mejor postor, generalmente una agencia del gobierno de EE.UU. o Europa, y cobra una comisión del 15%, según una entrevista en marzo con Forbes.

Como es de esperar, los errores en el software más popular (Windows, Microsoft Office, iOS de Apple, navegadores web, etc) obtienen los precios más altos. Y con tanto dinero en juego, no es de extrañar que muchos de los hackers inteligentes y ambiciosos pasen horas interminables en busca de vulnerabilidades.

No hay leyes, pocas reglas

 

La venta de las vulnerabilidades del software es perfectamente legal. De hecho, la firma consultora Frost & Sullivan nombró en 2011 a VUPEN como Entrepreneurial Company of the Year.

El problema está en quien compra la información. La gente puede creer que esto está bien cuando lo hace una agencia de gobierno, pero ¿qué pasa con los hostiles? Los cibercriminales podrían utilizarlos en ataques de malware a gran escala en computadoras personales o en negocios.

Los críticos

 

Entre los críticos más acérrimos de la negociación vulnerabilidad está Christopher Soghoian, un técnico y analista político de la American Civil Liberties Union. En su presentación en la conferencia Virus Bulletin en septiembre, Soghoian argumentó la necesidad de alguna forma de supervisión de la industria.

"Si la industria quiere evitar la reglamentación, tiene que regularse por sí mismo", dijo Soghoian.

¿Es necesaria una regulación?

 

Una autorregulación parece poco probable. Pero un mercado regulado de exploit no tiene precedentes. Alemania, por ejemplo, tiene leyes estrictas que no sólo hacen que sea ilegal vender exploits, sino también para distribuirlos de forma gratuita.

Pero no hay consenso al respecto. Algunos expertos argumentan que la regulación de la industria es como tratar de regular las armas. Existen leyes en todo los países, pero los delincuentes aún tienen armas.

Otros argumentan que debería haber restricciones en las exportaciones, mientras que el mercado interno sigue abierta. El problema con esta estrategia es que podría estimular el almacenamiento de exploits, que también conlleva sus propios riesgos.

No hay respuestas fáciles, pero es el momento en que los legisladores deben comenzar a mirar esta industria antes de que un exploit vendido en el mercado abierto se utilice en un ataque contra el sistema financiero, robe secretos estatales o sea la fuente de ataques a infraestructuras críticas a gran escala. 

fuente: Segu-Info

martes, 9 de octubre de 2012

Normas para evitar la falsificación y el fraude

El taller anual del Comité de ISO sobre política de los consumidores (ISO/COPOLCO), organizado por el Ministerio de Industria y Comercio en Nadi, Fiyi(Argentina), trabajó con la consigna “¿Cómo saben los consumidores que están recibiendo?”. Más de 145 representantes de organizaciones de consumidores, autoridades públicas e industria de más de 20 países asistieron al workshop. 
  
Durante el encuentro se discutió sobre cómo las normas internacionales y los buenos programas de vigilancia del mercado pueden proteger la salud y la seguridad de los consumidores, combatir el fraude y evitar las tergiversaciones de productos. 

El comercio de productos falsificados está valorado en más de USD 500 mil millones al año, alrededor del 5% al 7% mundial. Es alimentado por el creciente volumen del intercambio, la falta de conciencia y de información de los consumidores, la participación del crimen organizado, la escasa e inconsistente aplicación de sanciones, la demanda de los consumidores y las presiones económicas impulsadas por los altos costos y la pobreza.

Los participantes destacaron que la cooperación internacional es esencial para luchar contra la falsificación y el fraude, pidieron mejorar las prácticas de protección de las fronteras, intercambiar información dentro y entre países, aumentar la concienciación de los consumidores, y ofrecer mayor transparencia y trazabilidad a lo largo de la cadena de suministro. 

Guillermo Zucal, representante de IRAM en ISO/COPOLCO, sostuvo que en Argentina existen dos leyes que protegen a los consumidores: la Ley de Lealtad Comercial y la de Defensa del Consumidor, sumado a las autoridades nacionales y locales que vigilan el mercado. No obstante, destacó que los consumidores no están exentos de controlar lo que sucede. Agregó que también existen regulaciones específicas para algunos productos de consumo (eléctricos, alimentos, medicamentos y sanitarios), reforzadas con los esquemas de certificación obligatoria introducidos a partir de 1998 donde los organismos de certificación acreditados juegan un rol sumamente importante. 

ISO, a través de sus normas, pueden armonizar estos esfuerzos difundiendo mejores prácticas y promoviendo la confianza de los consumidores. Ha publicado la norma ISO 12931:2012, Criterios de rendimiento para las soluciones de autenticación que se utilizan para combatir la falsificación de los bienes materiales que ayuda a las organizaciones a validar la autenticidad de los bienes materiales.

Actualmente, ISO se encuentra trabajando en dos normas que contemplan un sistema de gestión de la seguridad para las contramedidas de fraude y los controles, y un método de lucha contra la falsificación mediante el seguimiento y localización utilizando un identificador único de numeración.

Fuente: IRAM

miércoles, 3 de octubre de 2012

Panamá aprueba ley de copyright

El jueves, el Congreso de Panamá aprobó una nueva ley de propiedad intelectual que entrega vía libre a las autoridades para castigar directamente a quienes infrinjan el copyright, un proyecto que según los críticos constituye “la peor ley de copyright del mundo” que está ampliamente desbalanceada. 

El Proyecto 510-2012 [PDF] debe ser ahora aprobado por el presidente Ricardo Martinelli. El proyecto fue redactado para hacer que las regulaciones estuvieran de acuerdo al tratado de comercio entre Panamá y Estados Unidos, sin embargo, exagera las medidas para los objetivos que pretende cumplir. 

Según el abogado Andrés Guadamuz, la ley se salta los procesos civiles para imponer directamente una sanción al infractor, sin pasar por la justicia. “La ley 510 entrega nuevos poderes a la rama administrativa del Ministerio de Industria y Comercio, llamada Dirección General de Derecho de Autor (DGDA). A diferencia de otras oficinas administrativas, la DGDA tendrá el poder de imponer multas a los infractores sin prejuicio de más acciones civiles o criminales. Leíste bien, la DGDA podrá iniciar acciones no judiciales por sí misma, o en nombre de la parte afectada, y podrá imponer multas de hasta USD$100.000. No conozco ninguna oficina de copyright con tanto poder”, afirma. 

La DGDA deberá notificar al presunto infractor, y en 15 días este deberá “presentar las pruebas para su defensa” ante dicha oficina. La entidad podrá multar a la persona, y el sujeto todavía podría verse nuevamente multado por los juicios que se realicen en su contra en las cortes de jusiticia. 

“Lo que realmente hace única a esta ley es el hecho de que la multa no sólo no llega al dueño del copyright, que es el motivo por el que no se excluyen las demandas civiles futuras. El dinero va hacia la DGDA y sus empleados”, dice Guadamuz. En efecto, el artículo 153 señala que: 

“Las sumas que perciba la Dirección General de Derecho de Autor por las tasas derivadas de los servicios que preste y por las multas que aplique en ejercicio de sus facultades, serán destinadas a mejorar su infraestructura operativa y estimular el rendimiento de sus funcionarios, complementariamente a las partidas que el Presupuesto General del Estado se destinan para el funcionamiento de dicha entidad, de acuerdo con los procedimientos y principios que, para tal efecto, establezca el Órgano Ejecutivo por conducto del Ministerio del ramo, para su correcta administración y distribución”. 

Guadamuz advierte que si esta ley se pone en práctica, la DGDA “intentará monitorear inmediatamente todo el uso de torrents en Panamá, sea legítimo o no, y todas las personas identificadas por direcciones IP serán llamadas y multadas. Después de todo, la institución y sus empleados tendrán un incentivo financiero directo para asumir la culpabilidad. Luego esas mismas personas serán citadas una y otra vez, ya que habrá incentivos claros para multar a quienes reincidan”. 

Algunos movimientos se están organizando en Panamá para intentar que el presidente vete esta ley, que ya pasó sin ningún cuestiona miento por el Congreso. Una tarea que, sin embargo, parece difícil de lograr.
Fuente: FayerWayer