El desarrollador de la herramienta de recuperación de contraseñas Hashcat Jens «Atom» Steube estaba buscando métodos de ataque al nuevo estándar WPA3 cuando encontró una forma sencilla de capturar y descifrar las credenciales de acceso que protegen las redes inalámbricas WPA y WPA2. En el foro de Hashcat Jens explica cómo se puede llevar a cabo el ataque.
Etiqueta: seguridad
El código fuente de Snapchat filtrado en GitHub
El código fuente de Snapchat se ha filtrado de forma ilegal en GitHub, pero ya ha sido retirado del repositorio de código mediante una reclamación DMCA. No se sabe ni cómo se obtuvo el código fuente ni qué partes de los distintos elementos que hacen funcionar el sistema fueron filtrados.
Lo más curioso es que la filtración parece ser parte de una investigación de seguridad en la que en investigador no pudo ponerse en contacto con la empresa que gestiona Snapchat, tal y como se indica en una cuenta de Twitter se supone que a pertenece i5xx, la persona o grupo que publicó el código fuente y que promete volver a hacerlo hasta que obtenga contestación por parte de la empresa.
The problem we tried to communicate with you but did not succeed
In that we decided
Deploy source code
I will post it again until you reply 🙂 @snapchatsupport @Snapchat https://t.co/aB58eOjGLE— خالد الشهري #الاسطورة (@i5aaaald) August 4, 2018
Un fallo en el protocolo TCP permite a atacantes bloquear dispositivos Linux mediante un pequeño ataque DoS
Se acaba de descubrir un fallo en la implementación del protocolo TCP en el kernel de Linux, que ha sido identificado como CVE-2018-5390 y que afecta a la versión 4.9 y superiores. Un paquete TCP especialmente formado puede llevar a realizar llamadas que consumen muchos recursos, de tal forma que un pequeño ataque de denegación de servicio puede bloquear el dispositivo atacado.
El CERT de Carnegie Mellon University publicó una lista de los sistemas operativos, dispositivos móviles y fabricantes de móviles, servidores, equipos de escritorio y de red que están afectados, a pesar de que podría afectar a todos los proveedores que usen Linux, desde los proveedores IaaS como AWS, Google Cloud Platform o Microsoft Azure hasta fabricantes de sistemas operativos como Debian o Ubuntu, pasando por fabricantes de pequeños dispositivos electrónicos como D-Link o ZyXEL.
Los principales sistemas operativos y navegadores confían en el certificado raíz de Let’s Encrypt
Desde finales de julio de 2018 los productos de Microsoft confían directamente en el certificado raíz de Let’s Encrypt, ISRG Root X1. Todos los principales sistemas operativos y navegadores, incluidos los de Microsoft, Google, Apple, Mozilla, Oracle y Blackberry, confían ahora en el certificado raíz de Let’s Encrypt.
Hasta ahora los certificados de Let’s Encrypt eran aceptados desde su primera emisión debido a una firma cruzada de otra autoridad de certificación, IdenTrust, ya que los navegadores y sistemas operativos no confiaban de forma directa en los certificados Let’s Encrypt, pero si en los de IdenTrust, y como IdenTrust confiaba en Let’s Encrypt, estos conseguían una confiabilidad indirecta.
Esta confianza directa sobre Let’s Encrypt se da en casi todas las versiones recientes de sistemas operativos, navegadores y dispositivos, pero todavía hay muchas versiones antiguas que no confían directamente en Let’s Encrypt. Algunos de esos sistemas se actualizarán para confiar en Let’s Encrypt directamente. Otros no lo harán, por lo que Let’s Encrypt va a esperar al menos cinco años más para seguir usando la firma cruzada.
El fabricante de chips TSMC tiene parada la producción debido a infecciones de virus en sus fábricas
TSMC, uno de los mayores fabricantes de chips a nivel mundial, que fabrica para empresas como Apple, AMD, Nvidia o Qualcomm, ha tenido que interrumpir la producción en varias de sus plantas el 3 de agosto debido a un virus informático, con lo que los plazos de entrega de dispositivos que vayan a salir al mercado en otoño podrían verse retrasados.
CCleaner elimina la versión 5.45 debido a las protestas por la recopilación de datos de uso
Recientemente comentábamos que CCleaner, desde la versión 5.45, estaba recopilando datos sin poder deshabilitar la opción. Este hecho ha indignado a los usuarios, lo que ha llevado al fabricante a anunciar en los foros que retiran la versión 5.45 y vuelven a la 5.44 como última estable:
CCleaner recopila datos sin poder deshabilitar la opción
Ccleaner, una conocida herramienta de limpieza para Windows, está recopilando información del sistema sin posibilidad de deshabilitar esta opción, como tenía en versiones previas. El tipo de información que recopila y su uso puede ser consultada en su web.
Ccleaner es una aplicación con un modelo de negocio freemium (dispone de versión free y premium) muy bien considerada por sus usuarios hasta que la compró Avast, momento en el que introdujo cambios paulatinos que han ido empeorando el producto, sobre todo en temas de privacidad y de publicidad intrusiva. Parece que el fabricante es consciente de los problemas que ha introducido y en su foro promete cambios a corto plazo.
Fuga de datos en Reddit, tras saltarse la autenticación de dos factores (2FA)
Reddit acaba de anunciar que un pirata informático irrumpió en algunos de sus sistemas y logró acceder a algunos datos de los usuarios, incluidas algunas direcciones de correo electrónico actuales y una copia de seguridad de la base de datos de 2007 que contiene contraseñas viejas «salteadas» y «hasheadas». Desde entonces, han llevado a cabo una investigación minuciosa para averiguar a qué se ha accedido y para mejorar sus sistemas y procesos para evitar que esto vuelva a suceder.
Lo más relevante del comunicado es que indican que los sistemas comprometidos estaban asegurados mediante autenticación de dos factores, mediante SMS, y que los piratas lograron interceptar las comunicaciones de SMS. Este sistema de 2FA mediante SMS hace tiempo que no se recomienda.
Firefox está trabajando en una funcionalidad de ‘Aislamiento del sitio’ similar a la de Chrome
Hace poco comentábamos que Google Chrome había añadido una funcionalidad de «aislamiento de sitio», para evitar el acceso a información entre diferentes sitios web cargados en diferentes pestañas o ventanas, que traía una carga de entre un 10 y un 13% más de RAM. Pues Mozilla está siguiendo sus pasos en Firefox, ya que desde abril se encuentra trabajando en el proyecto Fission, para traer la misma funcionalidad al navegador Firefox.
Un error de seguridad de Bluetooth podría permitir a un atacante capturar sus datos privados
Acaba de descubrirse un error en muchos controladores y firmware Bluetooth que podría permitir a un atacante dentro de un radio de unos 30 metros capturar y descifrar datos compartidos entre dispositivos emparejados mediante Bluetooth. Este fallo de seguridad, que fue descubierto por el Instituto de Tecnología de Israel, afecta al emparejamiento seguro simple y a las conexiones seguras de baja energía de Bluetooth: