14 de diciembre de 2017

Google Chrome permitirá “exportar contraseñas” en Android y iOS

Cuando iniciamos sesión en una página web, hoy en día cualquier navegador nos da la opción de guardar el usuario y  nuestra contraseña de manera que cuando volvamos a intentar iniciar sesión en ella podamos hacerlo automáticamente, sin tener que recordar ni introducir la contraseña en el navegador. 
Esto permite a navegadores como Google Chrome funcionar prácticamente como un gestor de contraseñas, sin embargo, muchos usuarios echan en falta la posibilidad de exportar sus contraseñas (por ejemplo, para llevarlas a otro programa y otro navegador), así como importar contraseñas desde otras fuentes. Por suerte, esta función va llegando poco a poco, tanto al PC como a Android y iOS.
La versión de escritorio de Google Chrome ya cuenta desde hace tiempo con la posibilidad de exportar e importar contraseñas desde el navegador, aunque esta función de momento se encuentra en fase experimental, en fase de pruebas, y viene desactivada por defecto.
Desde hace algún tiempo, los usuarios de Android y iOS llevan pidiendo a Google que implemente esta función en las versiones móviles del navegador de manera que estos usuarios puedan igualmente exportar las contraseñas del navegador para importarlas en otros lugares. Tras muchas peticiones, finalmente Google ha decidido implementar esta función en su navegador, tanto en Android como en iOS.
Analizando los últimos commits del código fuente de Google, podemos ver cómo la compañía tiene pensado introducir un botón que nos permita exportar las contraseñas de Google Chrome a la memoria interna de nuestro dispositivo, desde donde podremos importarla en otra aplicación u otro navegador que sea compatible con esta función.
Por el momento no se conocen muchos más datos sobre esta nueva característica, aunque se espera poder verla ya funcionando muy pronto. Igual que en el PC, es muy probable que esta característica llegue desactivada por defecto para los usuarios, teniendo aquellos que necesiten exportar sus contraseñas habilitar manualmente la “flag” correspondiente para poder utilizarla.
Fuente:chromestory.com

Investigador de Google lanza un exploit que habilitaría iOS 11 jailbreak

Ian Beer, un investigador de Project Zero de Google, ha revelado públicamente un exploit que funciona en la gran mayoría de dispositivos Apple de 64 bits y que ejecutan iOS 11.1.2 o anterior. Este exploit sirve para construir un jailbreak iOS. Permite, por tanto, a los usuarios ejecutar aplicaciones desde fuentes que no son de Apple. Sin duda se trata de una importante herramienta de hacking.
Jailbreak para iOS 11
Este exploit se conoce como “tfp0”. Aprovecha las vulnerabilidades de corrupción de memoria en el kernel, en el núcleo del propio sistema operativo.
“tfp0” significa “tarea para pid 0”. Es decir, se refiere al puerto de tareas del kernel. Brinda por tanto a los usuarios un control total sobre el núcleo del sistema operativo.
El investigador de Project Zero informó de manera responsable estas vulnerabilidades a Apple en octubre. Estas vulnerabilidades fueron parcheadas por la compañía con el lanzamiento de iOS 11.2 el 2 de diciembre.
Beer explica que ha probado con éxito su prueba de concepto de exploit en el iPhone 6s y 7, y iPod Touch 6G. Eso sí, cree que su hazaña debería funcionar en todos los dispositivos Apple de 64 bits.
“tfp0 debería de funcionar en todos los dispositivos, aunque sólo puedo confirmarlo en aquellos donde lo he probado (iPhone 7, 6s y iPod Touch 6G), pero añadir otros sería sencillo”, explica en su cuenta de Twitter.
También en TvOS
Hay que añadir que otro investigador de seguridad ha confirmado ya que el exploit lanzado por Beer también funciona en su Apple TvOS 11.x y TV 4K con iOS 11.1.2.
Pero esto puede ser incluso peor. Dado que el sistema operativo móvil iOS de Apple y el sistema operativo de escritorio macOS comparten la misma base de códigos, el kernel para macOS también es vulnerable al error. Todo ello según un informe publicado por Project Zero en el blog Chromium de Google.
Beer ha dicho que también ha probado con éxito la vulnerabilidad en macOS 10.13, ejecutándose en una MacBook Air 5.2, que Apple parcheó en macOS 10.13.1.
Las versiones anteriores de los sistemas operativos siguen siendo vulnerables al exploit. Éste básicamente otorga acceso básico completo al sistema operativo y eso es realmente lo que requiere la comunidad de jailbreak.
Llevamos tiempo sin escuchar noticias sobre iOS jailbreaks de la comunidad jailbreak. Sin embargo el exploit de Beer podría ser la base para un futuro iOS 11 jailbreak, permitiendo a los usuarios de iPhone y iPad instalar personalizaciones de SO a través de aplicaciones restringidas por Apple.
Menos usuarios
Hay que añadir que el jailbreak ha perdido usuarios en los últimos años. La razón es porque buscaban cosas que no ofrecía Apple de serie. De forma oficial. Sin embargo en las últimas versiones han ido introduciendo estas demandas de los usuarios. Eso ha provocado que quienes tengan un iPhone, por ejemplo, no busquen instalar aplicaciones de fuentes que no sean de Apple. El propio sistema operativo, de forma oficial, ya lo incorpora.
Pero siguen siendo muchos quienes están interesados en el jailbreak. Con esta novedad que hemos contado en este artículo, está más cerca para iOS 11.
Fuente: The Hacker News

ORCUS. El RAT que tiene como objetivo los propietarios de Bitcoins

Aunque parecía que los usuarios ya no tenían el mismo interés, en los últimos meses el valor de las criptomonedas ha tenido un incremento, lo que ha provocado que el interés vuelva a los usuarios. ¿Solo a los usuarios? No, también a los ciberdelincuentes. Expertos en seguridad han detectado una amenaza conocida con el nombre Orcus que está infectando los equipos para robar las criptomonedas de los monederos existentes.
El proceso comienza con un correo electrónico phishing, tal y como sucede en la mayoría de los casos. En el cuerpo se habla de un nuevo software para realizar el minado y llevar a cabo la gestión de las monedas. El nombre es Gunbot y está desarrollado por GuntherLab, o al menos, eso se indica en el correo. Pero la realidad es muy diferente. Cuando el usuario accede al enlace para que comience la descarga, lo que en realidad se guardará en el equipo es el instalador de Orcus, la amenaza que nos ocupa.
Expertos en seguridad han encontrado situaciones en las que en el propio correo se adjunta un archivo comprimido que contiene un script en VisualBasic programado para realizar la descarga de una aplicación camuflada en forma de JPEG. Varias empresas de seguridad han realizado el análisis del ataque, indicando que los ciberdelincuentes no se han esforzado mucho por ocultar sus pretensiones.
Detalles sobre Orcus
Una vez realizada la descarga, el ejecutable realiza la instalación de una herramienta open-source que permite realizar inventarios de un equipo a nivel de sistema operativo. ¿Inofensiva? No. Su código ha sido modificado para realizar la descifrado de un código .NET adjunto que se cargará directamente en memoria. Esta utilidad posee el punto a favor de cargar módulos en memoria que pasan totalmente inadvertidos de cara a las herramientas en seguridad.
Ni que decir tiene, que el ataque está focalizado sobre equipos con sistema operativo Windows.
Una vez inicializados todos los módulos de Orcus, la persona que está en el otro extremo posee el control total sobre el equipo y la información que se está introduciendo.
Funciones de Orcus
Se trata de un RAT, es decir, un troyano que permite el acceso remoto al dispositivo. Expertos en seguridad han realizado un amplio análisis de la amenaza. Permite al atacante ejecutar comandos con los privilegios de la cuenta que se esté utilizando en el sistema. Cuenta con la función de keylogger, para tobar la información introducida a través del teclado. Otra función que ha llamado la atención es la posibilidad de desactivar el LED de la cámara web.
Otra función disponible es la utilización del equipo para llevar a cabo ataques de denegación de servicio. Incluso se ha detectado que es capaz de modificar la configuración proxy de los navegadores web del sistema para redirigir al usuario a páginas web falsas.
Los equipos infectados están controlados desde un servidor único.
Expertos en seguridad instan a los usuarios a extremar las precauciones a la hora de descargar contenidos, sobre todo, porque en el caso Orcus, la actividad de la amenaza no es detecta por las herramientas de seguridad, ya que se trata de un software legítimo que ha sido modificado.
Fuente: Security Week

5 de diciembre de 2017

RUSIAGATE. Comité del Senado prepara caso de obstrucción a la justicia contra Trump

La senadora demócrata Dianne Feinstein aseguró este domingo que parte de la investigación del comité de justicia sobre la interferencia de Rusia en las elecciones de 2016 apunta al presunto papel de Trump para frenar las averiguaciones.
Una investigación del Senado sobre la intromisión de Rusia en las elecciones presidenciales de 2016 encontró un posible caso de obstrucción a la justicia contra el presidente Donald Trump, según reveló este domingo al programa Mett the Press la senadora demócrata Dianne Feinstein.
"El comité judicial tiene una investigación e involucra obstrucción a la justicia y creo que estamos comenzando a ver que todo se está juntando para un caso de obstrucción a la justicia", dijo Feinstein, la figura demócrata más relevante en ese panel.
Esta semana Michael Flynn, exasesor de seguridad nacional de Trump se declaró culpable de mentir al FBI en la una investigación paralela que lleva a cabo el fiscal especial Robert Muller, quien trata de determinar si hubo colaboración entre la campaña de Trump y Rusia para interferir en los resultados que llevaron al magnate de bienes raíces a la Casa Blanca.
La averiguación del comité judicial del que forma parte Feinstein está centrada principalmente en el papel que jugó el FBI y el Departamento de Justicia en las razones de Trump para despedir al jefe del FBI James Comey, quien estaba en ese entonces a cargo de la investigación del Rusiagate. Por eso Feinstein se centra en Comey como eje que sostiene el caso que se está construyendo de obstrucción.
"Lo veo en la actitud frenética de la Casa Blanca, los comentarios diarios, los tuits continuos. Y lo veo sobre todo en lo que pasó con el despido de Comey, y creo que eso ocurrió directamente por que él no accedió a 'disipar la nube' en la investigación sobre Rusia. Eso es obstrucción a la justicia", dijo Feinstein.
Sin embargo, este mismo domingo el propio Trump, vía Twitter desmintio que el haya en algún momento solicitado a Comey detener la investigación sobre Rusia y su campaña referente a loas contactos de su asesor de seguridad nacional con el gobierno de Vladimir Putin.
"Nunca le pedí a Comey que parara de investigar a Flynn. Más Noticias Falsas cubriendo otra mentira de Comey!", escribió.
Otros senadores, en este caso pesos pesados republicanos, están acusando a Trump directamente de presionarles para que dejen de investigar el caso, según publica esta semana The New York Times . La senadora republicana Susan Collins dijo en una entrevista también este domingo a NBC que "el presidente no debería hacer ningún comentario sobre ninguna de estas investigaciones. Lo único que debería hacer es dirigir a su equipo y sus asociados para que cooperen".
Collins, que es miembro del Comité de Inteligencia del Senado dijo que ella no había recibido presiones de Trump para acabar con la investigación.
Fuente: Univision.com

TRUMP. El sueño del KGB hecho realidad»

¿Eran correctos los datos de los informes sobre las conexiones y deudas de Donald Trump con el Kremlin, elaborados por el exagente británico de inteligencia Christopher Steele para la campaña de Hilary Clinton y posteriormente publicados? Luke Harding, que fue un corresponsal incómodo de 'The Guardian' en Moscú, hace visibles esos hilos entre los dirigentes de Rusia y Estados Unidos en 'Conspiración' (Debate), un libro cautivador.
-El primer contacto del KGB (el servicio secreto de la URSS) con Trump se produce cuando Moscú abandona la ideología.
-Es un cambio sutil en las estructuras rusas de poder. Comprendieron que ya no podían confiar solo en comunistas comprometidos y que si querían influir en el poder y en los negocios, especialmente en Estados Unidos, tenían que usar el dinero. Es ahí donde Trump encaja. Estaba casado con una mujer checa, Ivana. La inteligencia checa los investigaba, leía su correo, hablaba con el padre de ella...
-Y entonces llega su invitación a Moscú, en 1987.
-Después de aquella primera visita, publica un artículo de tres páginas, pagado por él como publicidad, criticando a Reagan, diciendo que está pensando en presentarse a la presidencia. Los soviéticos no sabían en 1987 que llegaría a ser presidente, pero tenía el perfil de alguien que podía ser receptivo y operaban con plazos de larga duración.
-Hay una sorprendente correlación entre sus viajes a Rusia y declaraciones de ambición política.
-Gente que conoce mejor a Trump me dice que es muy sugestionable, que tiende a repetir las ideas de la última persona con la que ha hablado, pero volvía de Moscú con un nuevo sentido de dirección estratégica. Estoy seguro de que se elaboró una ficha de él: cómo se planeó el viaje, escuchas de sus conversaciones en el hotel, una evaluación meticulosa de su personalidad, qué puntos podían ser explotados.
-Es una relación estratégica, pero Putin suele fracasar.
-Digo en el epílogo que es tácticamente brillante pero mal estratega. Era una elección apretada y los rusos intervinieron con los correos de Hilary Clinton y otras acciones. Es cierto que no obtuvieron lo que Putin más quiere, el levantamiento de las sanciones. Mi análisis es que los líderes del Kremlin no entienden Estados Unidos. Creen que es una democracia falsa, hipócrita, decadente, tan cínica como la de Rusia. Pero es una democracia, hay una funcionalidad institucional que no existe en absoluto en Rusia, donde todo está bajo el pulgar de Putin. Creían que sería posible llamar por teléfono y las sanciones desparecerían mágicamente.
-Quien cambia la elección del presidente es James Comey, el director del FBI, abriendo la investigación días antes del voto.
-Estoy de acuerdo en que la intervención de Comey (alertando de la posible actuación delictiva de Hillary Clinton en sus tiempos de secretaria de Estado) sí es decisiva y en que no hay nada muy escandaloso en los correos de Clinton, pero fueron un arma útil para Trump. Acentuaron divisiones que ya existían, por ejemplo entre quienes apoyaban a Bernie Sanders y a Hilary Clinton. Todas esas cosas ayudaron. Creo que hicieron daño a Clinton.
-¿No se está haciendo de Putin un monstruo todopoderoso que cambia las elecciones americanas, gana el 'brexit', provoca la crisis en Cataluña?
-Estoy de acuerdo con eso. Putin no es Superman, no vive en una cueva rodeado de botones y cuando aprieta uno algo ocurre en Cataluña. Pero es un oportunista y utiliza métodos de operaciones especiales del KGB que funcionan, como se ha comprobado a lo largo de varias décadas.
-Las pruebas de colaboración entre Trump y el Kremlin sobre los correos de Clinton son abundantes. Todo depende de la investigación de Robert Mueller.
-Acabamos de recibir la noticia sobre la confesión de Michael Flynn. Mueller irá pillando uno a uno a todos los estadounidenses, encontrará la mitad americana de esta conspiración, pero nada en Moscú. Es secreto de Estado y nadie hablará. Una larga lista de gente que estaba implicada ya ha muerto misteriosamente. Habrá que esperar 10 o 25 años.
-Trump es, como Putin, un tipo al que al final todo le sale mal.
-Es verdad, en parte porque su personalidad lo entorpece. Despedir a James Comey para obstruir a la Justicia fue, por ejemplo, desastroso y contraproducente.
-¿Qué tendrá que hacer para pagar a sus supuestos amos?
-Puede seguir comportándose como se comporta. Estados Unidos está muy revuelto con la cuestión racial. Hay desorden en el principal adversario. Han escalado las tensiones entre los Estados Unidos y sus aliados en la OTAN. Esta semana retuitea mensajes de un grupo supremacista británico y Londres se enfada. Insulta a los alemanes. Es un sueño del KGB convertido en realidad.
Fuente: La Rioja.com

ESPAÑA. La Desmemoria Histórica de nacionalistas españolistas e independentistas soberanistas.


Autor. Vicenç Navarro.               Catedrático de Ciencias Políticas y Políticas Públicas.             Universitat Pompeu Fabra de Barcelona
Hace unas semanas el vicepresidente de Òmnium Cultural, el Sr. Marcel Mauri, clausuraba un acto de dicha entidad celebrado en la prisión Modelo, conocida institución penal en Catalunya (que jugó un papel clave en el encarcelamiento de presos políticos detenidos en la lucha contra el fascismo), en el que se pidió la libertad de los dos Jordis, el presidente de Òmnium, el Sr. Jordi Cuixart, y el presidente de la ANC (Asamblea Nacional Catalana), el Sr. Jordi Sánchez, y de los miembros del gobierno independentista de Junts pel Sí detenidos, a los que definió como presos políticos. En su discurso el Sr. Mauri presentaba estas detenciones y encarcelamientos como semejantes a las que ocurrieron durante el régimen franquista, intentando homologar el Estado español actual con el Estado dictatorial que lo precedió. Este intento de homologación ha originado una respuesta por parte de muchas voces que consideran que, como consecuencia de una Transición modélica de la dictadura a la democracia, el Estado actual no tiene nada que ver con el anterior. De aquí que tales voces consideren que equiparar a los encarcelados actuales con los encarcelados entonces por la dictadura es un sinsentido que debe denunciarse.
Sí, los Jordis y los consellers son presos políticos
En esta crítica a la utilización del término “presos políticos” para definir a los Jordis, así como a los miembros del gobierno catalán, se confunden, sin embargo, varios hechos que deben diferenciarse. Que los ingresados en prisión puedan definirse como prisioneros políticos no depende de la similitud del régimen actual con el anterior. Que pueda utilizarse este término o no depende única y exclusivamente de si el encarcelamiento responde a causas políticas o no y, en este caso, es difícil de sostener que tanto la motivación del encarcelamiento como la manera como se realizó no fueran políticas. La rapidez del enjuiciamiento, la clara falta de proporcionalidad al aplicar una sanción de prisión preventiva, así como el propio comportamiento de los jueces y fiscales que emitieron las órdenes de encarcelamiento son claramente políticos, realizados por aparatos del Estado profundamente conservadores, hostiles a la causa política de los encarcelados.
Los aparatos del Estado, el policial y el judicial, que han llevado a cabo tal encarcelamiento son instancias politizadas en extremo en España, aparatos que además son parte de un Estado que no se construyó sobre la ruptura con el anterior, sino sobre la continuidad de muchos de sus aparatos, los cuales continuaron reproduciendo una cultura heredada del régimen anterior. Decir esto no quiere decir que tal cultura sea una mera reproducción de la existente durante la dictadura. Basta que la actual tenga muchos elementos semejantes con la anterior (como su visión uninacional y autoritaria del Estado) para justificar su definición como heredera de la cultura franquista. En realidad, dicha cultura franquista es lo que también explica la utilización de la policía política para destruir a los adversarios de los partidos soberanistas. Basta comparar la enorme tolerancia hacia estas claras intervenciones políticas del sistema judicial, con la extraña rapidez y contundencia hacia los dirigentes independentistas. Negar que estas últimas acciones responden a causas políticas es absurdo. Que los Jordis y los consellers encarcelados son presos políticos es una obviedad, reconocida fuera de España pero negada en este país por una especie de “patriotismo” españolista mal entendido que considera patriótico cubrir las desvergüenzas del país.
La selectiva desmemoria histórica del gobierno independentista
Ahora bien, es igualmente injusto que Òmnium y el establishment independentista intenten presentar a los Jordis y a los consellers encarcelados como sucesores de las víctimas de la represión franquista que ocurrió en la cárcel Modelo, y es injusto por dos razones. Una es que definir la represión política realizada por el Estado actual como idéntica a la represión realizada por el Estado dictatorial es trivializar el horror y brutalidad de esta última represión. Aquellos que pudimos ver lo que pasaba durante la dictadura en la Modelo, comparándolo con lo que pasa en las prisiones donde están alojados los dos Jordis y los consellers encarcelados es absurdo en extremo. Por lo visto, los que hacen tal comparación no tienen ni idea de lo que fue la represión de aquel régimen. Pero lo que considero profundamente injusto es otra manipulación que el gobierno independentista de Junts pel Sí hizo en la exposición sobre la represión en la prisión Modelo que dicho gobierno impulsó, donde el grupo mayor de víctimas de aquella represión no aparecía en la historia que se mostraba en la Modelo.
La manipulación que se produjo en el acto de Òmnium para homenajear a los presos políticos independentistas, silenciando a presos anteriores, se hace patente cuando uno es consciente de que semanas antes del homenaje, la Asociación Catalana de Expresos Políticos del Franquismo –junto con otras asociaciones que promueven la memoria histórica- realizaron un acto de protesta en la misma cárcel Modelo contra el silencio que se producía en la exposición sobre los muchos prisioneros comunistas (entre otras tradiciones olvidadas) que estuvieron encarcelados allí. Y tampoco la exposición incluyó a ninguna mujer en su recordatorio, cuando la Modelo fue también una cárcel de mujeres, incluyendo presas políticas. Fue un acto silenciado en los medios públicos y privados en Cataluña. En protesta, los miembros de la Asociación Catalana de Expresos Políticos del Franquismo leyeron un poema de Marcos Ana –un comunista que fue el preso político que pasó más tiempo, 23 años, en las cárceles franquistas-.
La manipulación de la memoria histórica
La exclusión de la lista de encarcelados de prisioneros comunistas y de otras sensibilidades políticas era un acto político de primera magnitud denunciable por su oportunismo político y por su intento de tergiversar la historia de este país. El gobierno independentista de Junts pel Sí, liderado por la derecha catalana (el pujolismo) y apoyado ahora por ERC y desde fuera por la CUP, ha manipulado constantemente esta memoria. Su Departamento de Justicia, que diseñó tal exposición, debería corregir y pedir perdón a la Asociación Catalana de Expresos Políticos del Franquismo por tal tergiversación de la historia de Catalunya. En realidad, fueron los comunistas –el PSUC- los que más defendieron la identidad catalana durante la resistencia antifranquista, como tuvo que reconocerlo el mismo presidente Jordi Pujol, mientras el Sr. Artur Mas (como había hecho también el Sr. Aznar, otro “súper patriota” de signo contrario) estaba preparando sus oposiciones. En realidad, los nacionalistas catalanes apenas participaron en la lucha clandestina contra el régimen dictatorial. Es, pues, de una enorme osadía (a nivel popular podía decirse caradura) que ahora mientan utilizando la memoria de aquellas víctimas para homenajear a los suyos. ¡Homenajeen a los suyos, señores independentistas, pero, por favor, no tergiversen e ignoren la historia heroica de otros que han hecho más para defender la identidad de la nación catalana que ustedes en periodos sumamente represivos!
Una última observación. El comisario de la exposición a cargo de quien estuvo el diseñó de su contenido tan sesgado fue Agustí Alcoberro, profesor de Historia Moderna en la Universidad de Barcelona y director del Museo de Historia de Catalunya entre 2008 y 2014. Es vicepresidente de la Asamblea Nacional Catalana, actuando de facto como su presidente después de que Jordi Sánchez, el entonces presidente de dicha asociación, fuera encarcelado el día 16 de octubre. Espero que la distribución de esta nota contribuya a la corrección de un dislate monumental en la exposición sobre la historia de la prisión Modelo, que cerró sus puertas el pasado 26 de noviembre. Las víctimas del silencio en la exposición diseñada por el actual vicepresidente de la Asamblea Nacional Catalana están ahora doblemente agraviadas por este veto injusto y manipulador, el cual resta credibilidad al acto preparado por Òmnium Cultural en necesaria denuncia por el encarcelamiento de los Jordis y de los consellers, que toda persona con sensibilidad democrática en Catalunya y en España debería exigir, como también debería demandar que los prisioneros de la Modelo silenciados tengan reconocido su nombre.
Fuente: Publico.es

CHINA. Presidente dice que no cierra la puerta a un internet global

El presidente chino, Xi Jinping, dijo el domingo que su país no cerrará la puerta a la internet global aunque añadió que la soberanía en la red es clave para su visión de desarrollo.
Los comentarios de Xi fueron leídos por Huang Kunming, jefe del departamento de publicidad del Partido Comunista de China en el mayor foro público de política en internet en la ciudad de Wuzhen, en el este del país.
“El desarrollo del ciberespacio de China están entrando en una vía rápida... Las puertas de China estarán cada vez más abiertas”, dijo Xi en la nota.
La soberanía en la red es la idea de que los estados deberían poder gestionar y controlar su propia internet sin interferencias externas.
El Partido Comunista de China ha endurecido la regulación a lo largo del pasado año, con nuevas normas que obligan a las empresas a almacenar datos localmente y censurar herramientas que permitan a los usuarios sabotear el Gran Firewall chino.
Los reguladores dicen que las leyes están en línea con las normas internacionales y que están diseñadas para proteger la privacidad personal y prevenir ataques contra infraestructuras clave. Los grupos empresariales dicen que las normas se centran injustamente en empresas extranjeras.
China ha defendido fuertemente un mayor papel en el mundo de internet bajo el mandato de Xi.
“China está preparada para desarrollar nuevas normas y sistemas de gobernanza de internet para servir a todos los partidos y contrarrestar los actuales desequilibrios”, dijo Wang Huning, miembro del comité el partido en el acto el domingo.
La conferencia, supervisada por la Administración del Ciberespacio de China, invitó a ejecutivos extranjeros como el consejero delegado de Apple, Tim Cook, o al de Google Inc, Sundar Pichai, así como a otro de Facebook Inc.
Google y Facebook están prohibidos en China, junto con Twitter Inc y la mayoría de grandes medios occidentales de noticias.
Los principales ejecutivos de Alibaba Group Holding Ltd, Tencent Holdings Ltd y Baidu Inc asisitieron al foro.
Fuente: Reuters

GOOGLE. Las ‘apps’ de Android obligadas a pedir permiso al usuario para manejar datos personales

El navegador alertará de las aplicaciones que recopilan información como teléfono o email sin consentimiento
Google ha anunciado una extensión en su política de seguridad que obligará a partir de ahora a todas las aplicaciones alojadas en Android que recopilen datos personales a pedir el consentimiento del usuario y ofrecerle obligatoriamente una política de privacidad.
Tras estos cambios, las aplicaciones que manejen datos personales del usuario como el número de teléfono, el correo electrónico o datos del dispositivo tendrán que solicitar consentimiento al usuario y ofrecerle una política de privacidad, que el usuario deberá aceptar expresamente.
El navegador, a través del servicio Google Safe Browsing, mostrará advertencias y alertas de las apps o los sitios web que conducen a aplicaciones que recopilan datos personales de un usuario sin su permiso. Además, si una app recopila y transmite información personal no relacionada con sus funcionalidades, deberá resaltar antes de llevar a cabo el proceso cómo serán tratados esos datos y solicitar el visto bueno del usuario.
Dos meses de plazo
Estos requisitos de recopilación de datos se aplican a todas las funciones de la aplicación. Por ejemplo, durante el análisis y los informes de fallos, la lista de paquetes instalados no relacionados con la aplicación no puede transmitirse desde el dispositivo sin una divulgación destacada y un consentimiento afirmativo.
Google ha comenzado ya a aplicar estas medidas y da dos meses a los desarrolladores para renovar sus aplicaciones y mostrar estos mensajes de advertencia en aquellos casos que no se ofrezcan ya. A partir del 30 de enero de 2018. Google empezará a eliminar aquellas apps que no lo cumplan. La medida tendrá efecto tanto sobre las aplicaciones descargadas a través de Google Play como de otras tiendas online
Fuente: El Pais.com

FACEBOOK. Implementa una aplicación de mensajería para niños menores de 13 años

Facebook lanzó el lunes Messenger Kids, una aplicación de mensajería que permite a la mayor empresa de redes sociales del mundo expandirse a un mercado hasta ahora sin explotar de jóvenes menores de 13 años y además da a los padres un completo control sobre lo que ven sus hijos.
Facebook usualmente requiere que sus usuarios tengan por lo menos 13 años y la nueva aplicación la da la oportunidad de ganar lealtad como marca entre niños en momentos en que enfrenta la competición de otras plataformas de redes sociales que atraen a adolescentes, como Snapchat.
Actualmente ya existe un puñado de aplicaciones que los niños pueden usar con el consentimiento de sus padres en las cuales pueden comunicarse entre sí mediante mensajes de texto.
Facebook dijo que su investigación mostró que los niños pequeños ya usan tecnología regularmente, pero en aplicaciones desarrolladas para adolescentes y adultos, algo que genera preocupación entre los padres de que sus hijos se comuniquen con extraños.
Al mismo tiempo, los padres comentaron estar dispuestos a permitir que sus hijos de entre 6 y 12 años usen las redes sociales, siempre que exista un estricto control parental. Facebook Messenger Kids requiere que los padres configuren una cuenta y aprueben los contactos de sus hijos.
“Realmente existe una brecha en el mercado para una aplicación de mensajería para niños que también le entregue control a los padres”, dijo la portavoz de Facebook Laura Svensson. “Vamos a ver el cómo los niños usan la aplicación y eso nos permitirá agregar actualizaciones en versiones futuras según sea necesario”.
La aplicación puede controlarse mediante la cuenta de Facebook de los padres y le permitirá a los niños hablar por video chat y enviar fotos, videos o mensajes de texto a amigos aprobados por sus padres.
Fuente: Reuters

APPLE. Acuerda con Irlanda pagar los 13.000 millones reclamados por Bruselas

Apple habría llegado a un acuerdo con Irlanda para pagar los 13.000 millones de euros que le exige Bruselas en concepto de ventajas fiscales ilegales concedidas por el país al gigante estadounidense.
El ministro de finanzas de Irlanda, Paschal Donohoe, ha explicado que tras mantener conversaciones con Apple la multinacional desembolsará esta cantidad a principios de 2018 para hacer frente a las exigencias comunitarias.
Donohoe ha comentado tras una reunión con la comisaria europea de Competencia, Margrethe Vestager, que "hemos llegado a un acuerdo con Apple en relación con los principios y el funcionamiento del fondo de garantía", y es que el país está buscando a un administrador de inversiones y a otra persona que custodie la cuenta de operaciones, puestos que espera nombrar el próximo mes.
Bruselas exigió a Dublín en agosto de 2016 que recuperara 13.000 millones (más intereses) tras concluir en una investigación que la multinacional de Tim Cook tuvo que pagar sumas "sustancialmente menos" impuestos que otras empresas, gracias al trato "selectivo" que le ofreció el Gobierno irlandés entre 2003 y 2014.
Fuente: El Economista.es

'UBERGATE'. Uber ocultó más de un año un hackeo que filtró datos de millones de sus clientes

En un comunicado de prensa, el actual CEO de Uber, Dara Khosrowshahi, dijo que unos piratas informáticos habían logrado descargar archivos que contenían una importante cantidad de información, incluidos los nombres y números de licencia de alrededor de 600.000 conductores en Estados Unidos, como así como información personal como nombres, direcciones de correo electrónico y números de teléfono móvil de 57 millones de usuarios de Uber en todo el mundo. La empresa dice que los expertos forenses externos que contrató para analizar la filtración no han visto ninguna indicación de que los números de las tarjetas de crédito, los detalles de la cuenta bancaria ni los números de la seguridad social hayan sido descargados. Pero tampoco confirma que esos no se hayan filtrado.
Al igual que con anteriores ciberataques masivos, sabremos más detalles durante los próximos días y semanas. Pero ya hay algunas preguntas urgentes que necesitan respuestas rápidas. ¿Quién exactamente dentro del personal de Uber tenía información sobre el ataque después de que ocurriera y cuántas personas participaron activamente en encubrirlo, algo que requirió pagar unos 85.000 euros a los hackers a cambio de eliminar datos y mantener la filtración en secreto? ¿Alguien de la junta de Uber fue informado sobre el ataque en ese momento? Si no, ¿por qué no? ¿Y por qué no informó Uber rápidamente a los reguladores del hackeo?
Según Bloomberg, cuando ocurrió la filtración, Uber ya estaba manteniendo conversaciones con los reguladores de Estados Unidos sobre otras violaciones de privacidad y acababa de resolver un caso con la Comisión Federal de Comercio de EE. UU. sobre el mal manejo de los datos de los consumidores. El mes pasado, el medio también informó de que la junta de la compañía había iniciado una investigación sobre las actividades del equipo de seguridad de Sullivan. El bufete de abogados externo que lideró ese esfuerzo fue el que descubrió el hackeo y el encubrimiento posterior.
La violación de datos también plantea preguntas sobre las prácticas de seguridad de Uber. Según Bloomberg, los intrusos pudieron encontrar las credenciales de inicio de sesión de los ingenieros de Uber en Github, un repositorio de códigos ampliamente utilizado, que les dio acceso a un servidor de computación en la nube de Amazon que contenía los datos. Esa es una chocante violación de los fundamentos de ciberseguridad. También es asombroso que cantidades tan grandes de datos personales confidenciales estuvieran se estuvieran almacenando en un servicio externo aparentemente sin encriptar.
Ahora, Uber lucha por minimizar los daños a su reputación. La compañía ha contratado a un exasesor de la Agencia Nacional de Seguridad de Estados Unidos para ayudarla a replantear sus prácticas de seguridad y también ha reclutado a Mandiant, una empresa de ciberseguridad que ha lidiado con las consecuencias de muchas infracciones de alto perfil. Khosrowshahi se enteró del ciberataque a finales de 2016. En un comunicado afirma: "Nada de esto debería haber sucedido, y no les ofreceré excusas". Menos mal, porque el comportamiento y las prácticas que han dado lugar a este fiasco son inexcusables.
Fuente: MIT Technology Review

TRUCO CRIPTOGRÁFICO. Podría arreglar los problemas de 'blockchain' y masificar su uso

El protocolo de conocimiento cero se conoce desde hace años pero, ahora, los criptógrafos han conseguido aplicarlo la cadena de bloques para solucionar sus fallos de privacidad. Gracias a él, la tecnología podría convertirse en un elemento habitual en nuestro día a día
Aunque no lo crea, aún hay mucha gente que no confía en el gran impacto que las cadenas de bloques como Bitcoin y Ethereum podrían tener sobre el mundo de la tecnología convencional. En lo que se refiere a privacidad, las inquietudes de la gente giran en torno a dos cuestiones. La primera es que estos sistemas son demasiado anónimos para aplicarse en servicios usados por millones de personas. La segunda es que son demasiado rastreables.
Pero el protocolo criptográfico llamado prueba de conocimiento nulo o protocolo de conocimiento cero, basado en matemáticas muy complejas, podría revolucionar las cuestiones de privacidad de las cadenas de bloques y, de paso, abrir la puerta a todo un abanico de nuevas aplicaciones.
Bitcoin, Ethereum y la mayoría de las cadenas de bloques públicas son, de hecho, seudónimas, en lugar de verdaderamente anónimas; las personas que realizan transacciones dentro de la red están representadas por cadenas de números y letras visibles para el público, llamadas direcciones. (ver ¿Qué es Bitcoin, y por qué es importante?)
Mientras nadie logre vincular su nombre real a su dirección, el usuario podrá ocultar sus transacciones de manera efectiva. Sin embargo, si su verdadera identidad se vincula a su dirección, de repente cualquiera podrá ver cada transacción que haya hecho en la red.
Las fuerzas de seguridad son conscientes de este fallo y han dedicado los últimos años a perfeccionar su capacidad de seguir el dinero dentro de las cadenas de bloques Bitcoin y Ethereum. Esto les permite rastrear a las personas que usan las criptomonedas con fines ilícitos (ver Ningún criminal está a salvo en Bitcoin (pero sí en otros sistemas de criptomoneda))
Aquí es donde entra en escena el protocolo de conocimiento cero, una tecnología tan alucinante que parece sacada de las páginas de una novela de ciencia ficción. Esencialmente, es "una forma de demostrar algo a alguien sin revelar ninguno de los datos involucrados en la prueba", explica el científico informático de la Universidad de Cornell (EEUU) Emin Gün Sirer. Como un ejemplo sencillo, imagine que debe demostrar que tiene al menos 18 años. En lugar de mostrar su identificación, la matemática subyacente de las pruebas de conocimiento cero puede permitirle convencer a alguien al 100% de que es mayor de 18 años sin revelar ni una pizca de otra información sobre usted. Ni su nombre, ni su dirección, ni una foto.
Hace dos décadas que los criptógrafos conocen este protocolo, pero hasta el año pasado no habían descubierto cuál podría ser su gran aplicación, la cual llega ahora en forma de una criptomoneda basada en Bitcoin llamada Zcash. Zcash usa el protocolo de conocimiento cero para garantizar que las transacciones sean válidas a pesar de que los datos sobre el remitente, el destinatario y el monto negociado permanecen ocultas. El poder de la idea ya ha llamado la atención de algunos de los bancos más importantes del mundo. JPMorgan Chase colaboró recientemente con Zcash para agregar funcionalidad de conocimiento cero a su propia cadena de bloques privada basada en Ethereum.
Sirer afirma que el protocolo de conocimiento cero podría abrir la puerta a muchas aplicaciones más allá de las finanzas, incluidas aquellas que aún no sabemos que necesitamos. Y dado que Ethereum también agregó esta funcionalidad hace poco, hay motivos para pensar que pronto podríamos comenzar a aprender cuáles son. (ver Ethereum, el hermano pequeño de Bitcoin que nació para superar sus capacidades)
Aún resulta difícil predecir hasta dónde puede llevarnos esta tecnología, y los expertos más destacados del campo no han hecho más que empezar a estudiar cómo usarla. Pero existe una posibilidad muy real de que un día se extienda a casi todos los aspectos de nuestra vida en internet. Tal vez ahora mismo estemos asistiendo al comienzo de una revolución sobre la forma en la que gestionamos nuestros datos más privados.
Fuente: MIT Technology Review

TOR. Actualización de seguridad

Se han corregido cinco vulnerabilidades en Tor (The Onion Router), el software que posibilita la creación y acceso a la red anónima con el mismo nombre.
Detalle de vulnerabilidades corregidas:
Se ha corregido un fallo durante el proceso de entrada de una frase paso en OpenSSL. Este error podría ser usado por un atacante para causar una denegación de servicio a través de un objeto de tipo directorio especialmente manipulado. Este fallo solo afectaría a Tor cuando el proceso se ha lanzado desde una terminal.
Otro fallo similar ha sido corregido al procesar descriptores de enrutadores con idéntico resultado, una denegación de servicio.
También se ha corregido un error del tipo 'user-after-free' en el código de apertura de circuitos, es decir, desreferenciar un objeto al que previamente se ha liberado de memoria, pudiendo desencadenar, de nuevo, una denegación de servicio y potencialmente, en determinadas condiciones, la ejecución de código arbitrario.
Ha sido corregido un fallo de chequeo de reemisión de fragmentos de una célula, cifrados con RSA. Según detallan, anteriormente se efectuaba una comprobación de toda la célula, pero debido al tipo de cifrado que se usa en Tor, híbrido, era posible hacer pasar un fragmento anterior mediante reemisión (replay). Ahora se chequea específicamente el fragmento de la célula que se ha cifrado con RSA.
El último error se encuentra en una autoreferencia a nuestro nodo, cuando este actúa de relay, en la planificación de rutas y con el rol de 'guard'.
Los CVE correspondientes son: CVE-2017-8819, CVE-2017-8820, CVE-2017-8821, CVE-2017-8822, CVE-2017-8823.
Recomendación
Se recomienda la actualización de Tor para corregir las vulnerabilidades comentadas. Adicionalmente, se han corregido fallos de programación que corrigen bugs de funcionalidad u optimización del proceso.
Más información:
Fuente: Hispasec.com

The COW is still dirty: El parche para Dirty COW contiene fallos de seguridad

El parche para la famosa vulnerabilidad Dirty COW contiene fallos de seguridad que pueden permitir a un atacante local sin privilegios de administrador escalar privilegios.
En octubre del pasado año conocimos Dirty COW, una vulnerabilidad en Linux que permitía la elevación de privilegios a través de la explotación de una condición de carrera en el subsistema de memoria. El fallo se producía al manejar ciertas operaciones  'copy-on-write' (de ahí su nombre, COW) de mapeos de memoria privada de solo lectura. Esto permitía a un atacante local sin privilegios obtener derechos de escritura en zonas de memoria de solo lectura.
Para solventar esta condición de carrera, el parche correspondiente introducía una nueva variable (FOLL_COW) y la función 'can_follow_write_pte'. Sin embargo, la lógica de esta función puede ser alterada sin entrar en ciclos de 'copy-on-write' a través del uso de la función 'get_user_pages', que permite eludir la medida de seguridad, según investigadores de la empresa Bindecy.
En consecuencia, todas las distribuciones de Linux cuyo kernel tenga por defecto activado el soporte para THP (Transparent Huge Pages) y donde se haya instalado el parche para Dirty COW son vulnerables a este nuevo ataque. Debido a esto en esta ocasión son menos los sistemas afectados: Quedan fuera de peligro Red Hat Enterprise Linux y Android, pero sí ha sido probado con éxito en Ubuntu 17.04 con kernel 4.10 y Fedora 27 con kernel 4.13.
La vulnerabilidad tiene identificador CVE-2017-1000405 y ya ha sido publicado un parche que soluciona el problema, accesible en GitHub. Bindecy, por su parte, también ha publicado una prueba de concepto de la explotación de la vulnerabilidad.
Más información:
Fuente: Hispasec.com

ESPAÑA. Diseñará su propio 5G para evitar las interferencias televisivas en Portugal

España diseñará los primeros pasos de la telefonía móvil 5G con el objetivo de subirse cuanto antes a la tecnología que protagonizará la digitalización de la sociedad en los próximos años, pero también con la mirada puesta en sus vecinos, para evitarles interferencias en sus respectivos servicios de televisión.
El riesgo de incomodar a Portugal o Marruecos se encuentra en las frecuencias de 700 Mhz, espectro que utilizan los operadores de televisión digital terrestre (TDT) también en aquel país y que podría verse afectado por el uso de las compañías de telecomunicaciones españolas. Y lo mismo sucedería con Marruecos, también susceptible de sufrir interferencias en sus servicios de televisión por culpa de España.
Esa coordinación internacional en las futuras labores liberación de frecuencias de la banda de 700 MHz ya se han concretado Francia, Italia, Reino Unido (por Gibraltar) y Andorra, y estos días se acelera el mismo procedimiento con los gobiernos de Portugal, Argelia y Marruecos. De acuerdo con lo establecido en la Decisión del Parlamento Europeo y del Consejo de 17 de mayo de 2017, estos acuerdos bilaterales deben alcanzarse antes del 31 de diciembre de 2017 con los países de la Unión Europea, sin que exista una fecha límite específica en el caso de los terceros países.
Todo lo anterior se desarrolla en el texto explicativo de la consulta pública sobre La hoja de ruta del proceso de autorización de las banda de frecuencias de 700 MHz para la prestación de servicios de comunicaciones electrónicas de banda ancha inalámbrica, que el Ejecutivo español compartió la semana pasada con el conjunto del sector. En dicho texto, se resalta que la liberación de las referidas frecuencias (en concreto el espectro comprendido entre los 694 y 790 MHz), "supone reducir en un 30 por ciento los 320 MHz reservados en la actualidad para prestación del servicio de Televisión Digital Terrestre (TDT)". En ese contexto, detalle el mismo documento, "España tiene que alcanzar acuerdos de coordinación de frecuencias con los países vecinos, con el fin de planificar nuevas frecuencias por debajo de 694 MHz para sustituir a las que tienen que ser liberadas".
El 5G, lo antes posible
El mandato de la UE es contundente: Lo antes posible y, en cualquier caso, a más tardar el 30 de junio de 2018, los Estados miembros adoptarán y harán público el plan del 5G y el calendario establecidos a escala nacional. Por ese motivo, el Gobierno puso en marcha la consulta pública para recabar información de los afectados antes del próximo 18 de febrero de 2018.
Según explican fuentes de la UE, la banda de frecuencia de 700 MHz "representa una oportunidad para armonizar y coordinar a escala mundial el espectro para la banda ancha inalámbrica, que ofrece economías de escala". Entre otras aplicaciones, esa superconectividad hará posible "el desarrollo de nuevos servicios digitales innovadores, como la sanidad electrónica y la sanidad móvil, prestados con ayuda de móviles, dispositivos de seguimiento de pacientes y otros dispositivos inalámbricos".
Fuente: El  Economista.es

ESPAÑA. Los certificados electrónicos del DNI vuelve a activarse tras aplicar Interior "soluciones técnicas"

El Ministerio del Interior ha anunciado este viernes que vuelve a activar la funcionalidad de todos los certificados electrónicos del Documento Nacional de Identidad (DNI) "una vez aplicadas las soluciones técnicas necesarias" que llevaron el 8 de noviembre a suspender temporalmente este servicio.
La medida se adoptó después de que una investigación publicada recientemente por una universidad de la República Checa señalara que el chip de los nuevos DNI españoles, concretamente los expedidos desde abril de 2015, podría ser vulnerable a ataques informáticos.
"Aquellos ciudadanos que los necesiten", asegura en un comunicado Interior sobre los certificados electrónicos, "podrán actualizarlos o renovarlos en los Puntos de Actualización del DNI (PAD) que existen en todas las Oficinas de documentación de españoles, sin necesidad de cita previa".
Interior no especifica las soluciones técnicas y recuerda que el DNIe, además de proporcionar certificados de autentificación y de firma electrónica, es el documento de referencia para la identificación personal en cualquier trámite administrativo, mercantil o privado. También es el documento de uso genérico para viajes en la totalidad de los países de la Unión Europea.
Preguntado en el Congreso
En la sesión de control del 22 de noviembre, el ministro del Interior, Juan Ignacio Zoido, negó que se hayan detectado fallos de seguridad en el DNI electrónico a pesar de que su Departamento había ordenado que se suspendiera su uso y se revisaran los chips para "eliminar cualquier sospecha" por la alerta en este sentido de una universidad de la República Checa.
Zoido se remitió a los informes que obraban en su poder y a los datos ofrecidos por el Centro Criptológico Nacional, organismo adscrito al CNI encargado de la seguridad en el uso de las tecnologías de la información, después de que el diputado del PSOE David Serrada le pidieran responsabilidades por "malgastar dinero".
"Estamos ante un problema teórico, no un problema real", defendió Zoido, que señaló que se estaban realizando "todas las comprobaciones oportunas" por parte del Centro Criptológico Nacional.
Fuente: El  Economista.es

APP . El BBVA integra en su aplicación móvil un reconocimiento biométrico por iris

Después de múltiples avances que la tecnología ha propiciado, que ya sea posible incluso iniciar sesión en la app del banco con sólo una mirada. BBVA es el artífice de este sistema, desarrollado junto con Samsung, y que se basa en un reconocimiento biométrico por iris.
Teniendo en cuenta que el 20% de los usuarios consulta su app de banca móvil una o varias veces al día -según el Informe Mobile en España y en el Mundo 2016, elaborado por Ditrendia-, resultaba fundamental agilizar esta operación. Consciente de ello, BBVA libera así al usuario de tener que escribir identificadores y contraseñas para iniciar sesión por medio de la solución de gestión de identidades Samsung Pass, basada en la tecnología FIDO (Fast Identity Online, Rápida Identidad Online, en su traducción).
No sólo destaca la facilidad de esta solución, sino también su seguridad, ya que la tecnología de escáner de iris es uno de los métodos de acceso más fiables que existe. Al hilo de lo anterior, el responsable de Canal Móvil de BBVA España, Raúl Navarrete, reconoce que "tenemos como objetivo que nuestros clientes tengan una experiencia rápida y sencilla en su navegación, y el reconocimiento del iris no sólo permite un acceso cómodo y ágil a la app, sino que ofrece un nivel incomparable de ciberseguridad".
A esta opinión se suma la del director del Área de Empresas de Samsung, David Alonso, quien añade que "el reconocimiento de iris es una de las soluciones más seguras actualmente para garantizar que nadie más que tú pueda utilizar tu dispositivo móvil y acceder a tus datos".
Esto se debe a que las credenciales biométricas se guardan en el smartphone, en concreto, en la plataforma de seguridad Samsung Knox, la cual almacena la información del usuario en el área conocida como TrustZone. Además, Samsung controla el dispositivo en tiempo real, de tal forma que si detecta un comportamiento sospechoso inhabilita el acceso a las credenciales.
A esta reciente innovación se suman también otras puestas en marcha por BBVA en los últimos meses, como el reconocimiento a través de la huella dactilar; la apertura de una cuenta bancaria con tan sólo un selfie y una llamada por videoconferencia -que utiliza una técnica de identificación biométrica avanzada-; así como la identificación en la app a través del sistema de reconocimiento facial, FaceID, lanzado por Apple para su modelo iPhone X y que puede utilizarse desde principios de noviembre.
Disponible en determinados modelos
Así, todos aquellos que deseen olvidarse por fin de contraseñas y credenciales deben, en primer lugar, disponer de un smartphone Samsung compatible -Samsung Galaxy S8 y S8+ y Samsung Galaxy Note8-, autenticarse con Samsung Pass, configurar el iris en el terminal y, después, en Perfil y Ajustes dentro de la aplicación de BBVA, la cual, por cierto, debe ser la última versión.
Con esta medida, BBVA refuerza el reconocimiento otorgado por la consultora internacional Forrester Research como la mejor app en servicios de banca móvil del mundo tras un análisis a 53 entidades del sector. Asimismo, continúa en su empeño de ofrecer el máximo número de servicios disponibles en su aplicación móvil a sus más de 3,1 millones de usuarios móviles activos en España.
Fuente: El Economista.es