¿QUÉ ES SEGURIDAD POR OSCURIDAD?
En criptografía y seguridad informática, seguridad por oscuridad (a veces seguridad por ocultación) es un controvertido principio de ingeniería de seguridad, la cual intenta utilizar el secreto (de diseño, de implementación, etc.) para asegurar la seguridad. Un sistema que se apoya en la seguridad por ocultación puede tener vulnerabilidades de seguridad teóricas o prácticas, pero sus propietarios o diseñadores creen que estos puntos débiles no se conocen, y que es probable que los atacantes no los descubran.

En criptografía, lo contrario a la seguridad por ocultación es el principio de Kerckhoff de finales de 1880, que indica que los diseñadores del sistema deberían asumir que el diseño completo de un sistema de seguridad es conocido por todos los atacantes, con la excepción de la clave criptográfica: "la seguridad de un cifrado reside enteramente en la clave". Claude Shannon lo reformuló como "el enemigo conoce el sistema". Históricamente, la seguridad por ocultación ha sido un apoyo débil sobre el que descansar en materia de criptografía. Código oscuro, cifrados y sistemas criptográficos han cedido repetidamente bajo los ataques sin importar el grado de ocultación de sus vulnerabilidades.

Seguir leyendo seguridad por oscuridad en la Wikipedia.

Fuente: http://www.segu-info.com.ar

Ver más

CON PROBAR NO PIERDO NADA (MALDITAS CADENAS)

Hace tiempo escribí Cadenas, malditas cadenas comenzando con la siguiente frase:

Ante todo quiero "agradecer" a la amiga que inspiro este artículo... ella fue la que me envio la cadena con 700 direcciones de mails que seguramente usaré para promocionar este boletin.

Lo curioso es que esa misma amiga, luego de haber leído el artículo y luego de 2 años y medio vuelve a realizar (por 3era vez) la misma estupidez. Copio la imagen de "Con probar no pierdo nada", en donde Microsoft le enviará un cheque con dinero:

Lo llamo estupidez, porque no tiene otro nombre. La considero una persona inteligente y despierta por lo que no puedo creer que aún crea en esta irracionalidad.

¡Microsoft y Bill Gates regalando dinero! A que persona se le puede ocurrir semejante tontería. O, quizás lo hagan pero no será ese el método empleado: una maldita cadena que tiene más de 10 años circulando en Internet, vieja, archi-conocida, mal redactada, una porquería de texto, basura de la era digital.

Como puede ser que miles de personas crean en semejante idiotez. Es que la gente no piensa, no razona o simplemente creen en cualquier cosa por el sólo hecho de creerlo o porque está en Internet.

"Con probar no se pierde nada"... ¡Por favor!. Pensemos un segundo en semejante necedad, aprendamos, eduquémosnos.

Navegar en Internet debería ser como manejar un automovil: deberíamos tener un permiso para usarla, que pruebe que soy una persona educada que no molesta a los demás con disparates como estos.

Perdón por las palabras, pero la RAE dice que todas ellas estan aceptadas.

Cristian

Fuente: http://www.segu-info.com.ar

Ver más

EL JIHAD ELECTRÓNICO Y EL 11 DE NOVIEMBRE

Nota de Segu-Info: ayer comentabamos esta noticia con todo jocoso y hoy se confirma (esta tonteria).

En muchos medios se ha venido hablando estos días del lanzamiento de un ataque "ciberterrorista" que tendría lugar hoy, 11 de noviembre, dando como referencia la nota lanzada por una fuente israelí.

La idea era lanzar un ataque de denegación de servicio distribuido (DDoS) contra sitios webs "infieles". Para conseguirlo, los "ciberterroristas" distribuyen una herramienta entre los simpatizantes de la causa que, una vez instalada, se conecta a un servidor centralizado en Internet donde se coordina el ataque. El objetivo es lanzar peticiones desde miles de ordenadores desde Internet y desbordar la capacidad de esos sitios webs para hacerlos inaccesibles mientras dure el ataque.

Estuve probando la herramienta y, como ya se viene comentando en otros blogs del sector, es bastante decepcionante. Cualquier malware de hoy día, ya sea un troyano o un simple adware, suele estar mejor diseñado.

La herramienta se distribuye con un instalador (no es ningún troyano, ni se distribuye automáticamente, etc), escrita en Visual Basic, no utiliza cifrado, ni packers, ni ningún tipo de ofuscación. En el binario se puede ver claramente las referencias a los sitios http://al-jinan.net/ http://arddra.host.sk/ http://www.jofpmuytrvcf.com y http://www.jo-uf.net/.

Los sitios principales que coordinarían el ataque sería al-jinan.net, donde la herramienta debe autenticarse en primer lugar, y jo-uf.net desde donde se podría descargar las direcciones objetivo. Como era de esperar, con bastante antelación al 11 de noviembre todos estos sitios fueron desactivados, y así continúan durante todo el día de hoy. De forma que el anunciado ciberataque ha quedado en nada, al menos en lo que respecta a esta herramienta.

Sin duda se trata de un intento de ataque muy primitivo, tanto en su concepción como en su desarrollo. A día de hoy creadores de malware, a título individual, tienen mucho más poder para realizar un DDoS que el que puede alcanzar este tipo de herramienta.

Fuente: http://blog.hispasec.com/laboratorio/253

Ver más