Soy ingeniero de seguridad de redes y respondo

Te lei en el otro hilo comentar lo de que en seguridad se suele decir que todos los problemas vienen de la capa 8.

Como alguien que se dedica a la Interaccion Persona-Ordenador (es decir, a mejorar la interfaz entre la capa 7 y la 8 xD), estoy hasta las narices de encontrar esa excusa para justificar sistemas mal disenyados (de buen rollo, no quiero decir que sea tu caso ).

En mi curro actual una de las primeras cosas que critique fue la interfaz de acceso al sistema (es un sistema orientado a la inclusion digital, es decir, gente que no esta muy acostumbrada a todo el embrollo de passwords y tal), cualquier intento de proponer un redisenyo recibia la respuesta de que "es asi por seguridad", y pista. Al final poco a poco va calando la idea de que hay alternativas para mejorar la experiencia de usuario sin que tenga un impacto significativo en la seguridad, pero es que a veces a la gente le cuesta pensar que el sistema tiene que estar disenyado de cara al usuario.

Dramatizacion de las conversaciones con gente de seguridad que no considera la perspectiva de usuario:

• Oye, que tenemos un sistema de registro con contrasenyas que tienes que generarte tu de 10 caracteres, con mayusculas, minusculas, numero y simbolito; el registro y el acceso devuelven mensajes confusos cuando la cagas en algo y el login tiene un maximo de tres intentos tras lo cual se bloquea la cuenta pero no te dice que se ha bloqueado.
  Hay mucha gente que no es capaz de registrarse o identificarse.
• No me digas...

Vamos, es un campo en el que todavia queda mucho camino por hacer (personalmente, pienso que las contrasenyas deben pasar a la historia tarde o temprano), pero veo mucha reticencia de mucha gente que se dedica a la seguridad de considerar alternativas y simplemente culpar al usuario.

#36 Hay webs como esta con un gran repositorio de vulnerabilidades ordernadas por vendor, SO, etc... Solo tienes que saber buscar y ponerte manos a la obra.

#37 Te doy la razon en parte. La seguridad es MUY importante y con el valor de la informacion va a seguir siendo cada vez mas importante.

Yo uso HW tokens (tengo unos cuantos) de tal forma que solo tengo que recordar PINs + el numero que genera mi token cada vez.

Si alguien roba mis contrasenyas tendra que venir fisicamente y robarme el token tambien para poder acceder al contenido deseado.

En el futuro todo ira por este camino entiendo yo...

Por cierto, aqui cada uno defiende su sector, es totalmente normal que nosotros echemos la culpa a los demas y los demas nos la echen a nosotros

#38 SSLVPNs, IPSEC, y todas los demas suites que utilizan encriptacion asimetrica (RSA o RDA) estan inventados para que aunque alguien pueda capturar toda la conversacion (incluyendo phase 1 and 2 en el caso de IPSEC), no pueda reconstruirla.

Nadie puede romper RSA hasta que inventen un ordenador quantico grande (hoy por hoy hay ordenadores quanticos de 8? particulas, se cree que para romper RSA hara falta 300). Si no conoces la clave privada, aunque hayas capturado toda la conversacion necesitaras factorizar. Una operacion muy compleja y que requiere mucho tiempo -ni los superordenadores estan preparados para hacerlo en una cantidad de tiempo aceptable-.

Te recomiendo que veas una serie de videos llamados Art of the problem. Explican todo el proceso que el ser humano a utilizado para encriptar y transmitir informacion hasta hoy en dia (incluyendo Diffie-Hellman y RSA).

#40 correcto, es irresponsable. Estoy siendo cuidadoso para no comprometer la seguridad de mis clientes.

La empresa para la que trabajo se encargo de formarme nada mas empezar para evitar todo tipo de riesgo, incluyendo social hacking. Eso no quiere decir que no sea vulnerable, como todo

Como ya he explicado antes, no soy un experto en vulnerabilidades ni soy un hacker. Mi especialidad es la parte de redes. Obviamente hay muchisimos ataques que se hacen desde dentro, y funcionan. No son mi responsabilidad y por eso no estoy muy familiarizado con ellos.

Me gustaria pedirte que te quedases en el hilo y ayudases, seguro que puedes aportar mucho !

Ya han aparecido "expertos en redes de bar" a rebatirle cosas a #1 xD Nunca falla.

Buen hilo, #1. Seguiremos leyéndolo al día.

#1 Hola Juan Luis, mi preguntas son: Se puede hackear Mediavida? Cuantas veces lo has intentado? Vas a hacer públicas las fotos de Letto a modo del famoso fappening?

#1 ¿Donde has estudiado o que estudios tienes?

#52

1.- Utilizar diferentes niveles de passwords:

1er nivel: Email, paypal, banco y todo lo relacionado con dinero
2o nivel: facebook, twitter, redes sociales
3er nivel: webs que no comprometan tu seguridad

En uno de mis experimentos saque una BD de una web de compras (no voy a revelar que web es), las contrasenyas estaban hasheadas con MD5 (algoritmo muy debil, si estais mas interesados googlear MD5 database). Te sorprenderia la de gente que utilizaba mismo email y contrasenyas para todo. Pude acceder a Paypals, gmails, hotmails, etc... No robe nada y notifique a la web de que era vulnerable a SQLi , a los pocos dias cambiaron la web sin dar ni las gracias.

2.- Desactivar WPS en tu router de casa y cambiar las contrasenyas que vienen por defecto.

3.- El ordenador es como un coche, tienes que cuidarlo y mantenerlo. Ten cuidado con que instalas y desde donde lo bajas. Si quieres algun software, SIEMPRE busca la web del creador y bajatelo directo desde alli.

#53 respondida en #12

#56 Tengo novia checa, y si, para los espanyoles es muy facil encontrar novia en CZ. Las mujeres estan locas por el espanyol... Incluso yo que soy mas feo que un pie y no cuido mi imagen he encontrado.

#58 Si, es mucho pedir.