I Jornadas de Seguridad (USC, 15 diciembre 2011)

Toda la información de estas jornadas aquí.

[Fuente.: varias, gracias]

III Xornadas de software libre e GNU/Linux para usuarios noveis (30 de novembro .. 2 de decembro)

Información remitida por la OSL
--------------------
Dende a OSL compracenos anunciarlle a organización para os días 30 de novembro e 1 e 2 de decembro de 2011 as III Xornadas de software libre e GNU/Linux para usuarios noveis. Estas xornadas pretenden dar un enfoque xeral e práctico sobre o software libre, centrándonos especialmente nos sistemas GNU/Linux (instalación, configuración e administración) e en aplicacións informáticas libres e multiplataforma.  Divídense nas seguintes sesións:

Día 1

Conceptos básicos       
Un pouco de historia       
Que é GNU/Linux?       
Vantaxes       
Distribucións e Escritorios   

Día 2

Instalando dende Windows       
Particionando o disco       
Instalación de Ubuntu 11.10
Configurando noso novo equipo   

Día 3

Que son os repositorios?       
Conseguindo novas aplicacións       
Introdución aos novos programas       
Alternativas libres a aplicacións privativas   

Están destinadas ao público xeral, sen moita experiencia no tema. Son gratuítas e entregarase certificado de asistencia.

Para máis información e inscrición http://softwarelibre.udc.es/Xornadas.


    
Oficina de Software Libre da UDC
Oficina Software Libre (OSL) 
Edificio CITIC
Campus de Elviña s/n
15071 A Coruña

Transmisión del CIBSI y TIBETS por videostreaming

Transmisión del CIBSI y TIBETS por videostreaming.

Tanto el congreso CIBSI como el taller TIBETS se transmiten íntegramente por videostreaming desde la siguiente dirección:

http://www.unired.edu.co/index.php?option=com_content&view=article&id=31&Itemid=29

Se puede ver la agenda de CIBSI aquí:

http://www.cibsi.upbbga.edu.co/ponencias.html

y la del taller TIBETS aquí:
http://www.cibsi.upbbga.edu.co/agentibets.html

[Fuente.: Prof. J. Ramió por email, gracias]

Special Session on Hybrid Artifical Intelligence Systems for Computer

------------------------------------------------------------------------
Special Session on Hybrid Artifical Intelligence Systems for Computer
Security (HAISFCS)
under the frame of the 7th International Conference on Hybrid Artificial
Intelligence Systems
------------------------------------------------------------------------
                               Call for Papers

HAISfCS is proposed as a special session/workshop to bring together
researchers, engineers, developers and practitioners from academia and
industry working in all interdisciplinary areas of Hybrid Artificial
Intelligent Systems and computer security to share the experience, and
exchange and cross-fertilize ideas.
This special session will provide an interesting opportunity to present and
discuss the latest theoretical advances and real-world applications in
these two broad fields perspective.
The conference proceedings will be published by Springer in the Lecture
Notes in Artificial Intelligence Series. Furthermore, extended and improved
versions of selected papers will be included in a special issue of the
following journals:
 - Neurocomputing (Impact factor: 1.440)
 - Applied Soft Computing (Impact factor: 2.415)
Important Dates
---------------
Paper submission deadline: 5th November, 2011 (to be extended)
Acceptance notification: 9th December, 2011
Final version submission: 9th January, 2012
Conference dates: 28th - 30th March, 2012
Topics
------
Topics are encouraged, but not limited to:
Artificial Intelligence
Artificial Neural Networks
Artificial Immune Systems
Biological Computing
Evolutionary Computation
Intelligent Agents and Systems
Machine Learning
Support Vector Machine
Reinforcement Learning
Fuzzy Systems
Swarm Intelligence
Unsupervised Learning
Case-Based Reasoning
Computer Security
Intrusion Detection Systems
Cryptographic Protocols
Detection of Abnormality
Information Security Management
Information Hiding
Network & Wireless Security
Security Models and Architectures
Web and Wireless Security
Cryptography and Coding
Electronic Commerce Security Information, Data and Syst. Integrity
Mobile Code & Agent Security
Security Analysis Methodologies
Watermarking Applications
Bioinformatics and Medical Diagnosis
Data Mining
Network Security
Pattern Recognition
Copyright Protection
Encryption
Authentication
Authorization
Digital Signatures
Internet Firewalls
Internet Privacy
Cyber Security Standards
Intelligent Information Retrieval
Cryptography and Its Applications
Data Privacy
Communication Channels
Electronic Commerce Security
Image and Signal Processing
Web and Network Application
Other Applications
Contributions
-------------
Special Session webpage: http://hais.usal.es/?q=node/19
HAIS Conference website: http://hais.usal.es/

OFERTA DE FORMACION DE USUARIOS DA BUDC

Información disponible aquí.

Cursos gratuitos de Writer, Calc e retoque dixital.

A Oficina de Software Libre da UDC organiza tres cursos abertos ao público xeral e gratuítos de 10 horas de duración cada un. Durante estes cursos farase unha presentación global das distintas aplicacións ademais de como conseguilas e instalalas. Os cursos estarán orientados de forma práctica polo cal o alumno realizará diariamente exercicios que faciliten o aprendizaxe da aplicación.

Nesta edición os cursos ofertados son:

Introdución a Libreoffice Writer

Introdución a Libreoffice Calc

Introdución ao retoque dixital e ao deseño gráfico con ferramentas libres

Todo aquel que queira coñecer o funcionamento destas aplicacións libres e multiplataforma que non dubide en inscribirse en calquera destes cursos . Só hai 10 prazas dispoñibles en cada un que se cubrirán por rigorosa orde de inscrición.

Premio Everis Proyectos Fin de Carrera

Para los que han cursado PSI y han finalizado proyecto fin de carrera, se adjunta información sobre el premio que concede la empresa Everis al mejor proyecto Fin de Carrera 2010-2011 en base al convenio que firmó dicha empresa y la Facultad de Informática. El plazo para presentar solicitudes es finales de octubre.

Más información aquí.

Trabajar en seguridad ... en tiempos revueltos

Hoy Alejo (gracias) me ha remitido referencia de una entrada de SbD, "Trabajar (en seguridad) ... en tiempos revuletos". Muy recomendable, interesante y didáctica la exposición y el tema tratado.

Sin duda alguna, corren malos tiempos para la lírica

Recomendaciones en un juicio (una entrada muy didáctica)

Todos y cada uno de los que nos dedicamos al apasionante mundo de la informática debemos revisar cada cierto tiempo algunos de los blogs y fuentes de información relacionados con la temática en seguridad. En mi caso, algunas entradas las reviso con el ánimo de aprender. Todos nos pasamos la vida aprendiendo, para no convertirnos en bichos obsoletos. Y otras entradas las selecciono en el ámbito de la asignatura de PSI, buscando la idoneidad para todos los que la cursan. Es seguro que un cierto número de alumnos de PSI pasarán en su vida profesional por algún tribunal, espero que no como imputados. En este sentido, es altamente didáctica la entrada de Pedro Sánchez de Conexión Inversa "Recomendaciones en un juicio".

Análisis Forense (22 al 24 de junio - A Coruña)

En su día anunciamos el I Curso de verano de Informática Forense en la Universidade da Coruña (22 al 24 de junio de 2011). Por los emails que ha recibido ha tenido un gran éxito entre los asistentes. En esta entrada traigo algunas entradas relacionadas con el evento de un par de compañeros de profesión.

En primer lugar la visión del evento en tres entradas que resumen, siempre con el toque característico de Uxío, lo acontecido en este Curso de Informática Forense.:

Parte I
Parte II
Parte III

Y también, en el contexto de estar jornadas, tres entradas relacionadas de análisis forense en Evernote de José Mato.:

En Snow Leopard
En Windows7
En Android

Expertos en Seguridad IT

En esta entrada traigo una oferta de trabajo de Experto en Seguridad para trabajar en esa ciudad tan bonita llamada A Coruña. Me imagino que gran parte de los alumnos de PSI verán un poco lejos ese momento de salir al mercado laboral, aunque siempre es bueno ir viendo el howto de lo que piden en la jungla laboral.

[Fuente.: infoempleo]

Experto Seguridad IT
Oferta de empleo como Experto Seguridad IT en CORITEL, S.A., A Coruña

Empresa

Detalle de la empresa

CORITEL, S.A. Coritel es la compañía del Grupo Accenture especializada en ofrecer servicios de Desarrollo y Mantenimiento de Aplicaciones que, desde su fundación en 1984, ha conseguido consolidarse como líder en España en el desarrollo de Soluciones Tecnológicas. En Coritel trabajan más de 5.000 profesionales en nuestros centros de Madrid, Barcelona, Bilbao, Málaga, Sevilla, Valencia y Zaragoza. Ver todas sus ofertas

Experto Seguridad IT

<>

Detalle de la empresa

Fecha:	16/06/2011
Lugar:	- A Coruña - España
Puestos vacantes:	1
Referencia	1265978
Funciones:	En Coritel buscamos un profesional con experiencia en Seguridad IT, que se quieran incorporar con nosotros en las oficinas que acabamos de inaugurar en A Coruña:
Requisitos:	El perfil requerido es: - Experiencia de al menos 3/4 años en la realización directa de proyectos de Seguridad de la Información. - Conocimientos de estándares de control y seguridad de TI como COBIT, ISO 27000, etc. - Conocimientos de aspectos técnicos de sistemas operativos (Windows, Linux, AS400). - Buenos conocimientos de redes y dispositivos de seguridad (cortafuegos, IDS/IPS,..) - Buenos conocimientos de Windows server,Active Directory. Se valorará la participación en proyectos como: - Análisis y gestión de riesgos de TI. - Planes de continuidad de negocio y planes de contingencias. - Desarrollo de normativa de seguridad de la información. - Clasificación y gestión de activos de Sistemas de Información. - Cumplimiento normativo: LODP y PCI-DSS. Se valorará la posesión de títulos como: - CISA - CISM - CISSP
Se ofrece:	Te ofrecemos: - Contratación Estable: Contrato indefinido.- Incorporarte a una Compañía consolidada y en crecimiento, donde lo más importante son las personas que la integran.- Remuneración y categoría profesional reconociendo la experiencia aportada.- Interesantes incentivos y beneficios sociales: tickets restaurante, seguro médico, seguro de vida y accidentes, subvención a la formación de inglés... - Ampliar tu Formación Tecnológica a través de nuestro programa de formación, impartido por expertos. - Completar tu perfil con formación en otras áreas de conocimiento como: metodología de trabajo, habilidades de comunicación, trabajo en equipo ... - Compromiso de carrera profesional, que garantiza tu crecimiento profesional a través de tu contribución en los proyectos en los que participes. - Integrarte en equipos de trabajo jóvenes y dinámicos, donde podrás compartir tus conocimientos y experiencia con profesionales como tú.
Tipo de contrato:	Indefinido
Jornada laboral:	Completa

International Conference on Security Aspects in Information Technology, High-Performance Computing and Networking (InfoSecHiComNet 2011) [Haldia - India; 19-22 octubre 2011]

Toda la información en http://infosechicomnet2011.hithaldia.in

VI Congreso Iberoamericano de Seguridad (2-4 noviembre 2011, Bucaramanga-Colombia)

Del 2 al 4 de noviembre de 2011 se celebra en la UPB de Bucaramanga (Colombia) el VI Congreso Iberoamericano de Seguridad Informática (CIBSI 2011).

IBMSmartCloud: cloud público orientado a empresa

IBM lanza un servicio de cloud público orientado a la empresa. Simulador del IBMSmartCloud disponible aquí.

Referencia interesante para matener entretenidos a los usuarios

Referencia muy interesante y didáctica totalmente aconsejable para tratar de mantener entretenidos a ciertos usuarios de los que nos encontramos en nuestra práctica profesional "20 cosas que he aprendido sobre navegadores y la web".

Gracias Adri,

Hash or not hash !!!

Gracias Santiago, [fuente.: Security by Default]

Y relacionadas con nuestros hashes, Alejo me remite otra noticia relacionada con el uso de GPUs para cracking de passwords.

Jornadas de Criptografía (SCD 2011) [Murcia, 17 y 18 de noviembre de 2011]

La Real Sociedad Española de Matemáticas y el Grupo de Investigación en Álgebra de la Universidad de Murcia organizan unas Jornadas de Criptografía (SCD 2011) los días 17 y 18 de noviembre en Murcia.

Esteganografía

Aunque en PSI no se ha tratado nada relacionado con esteganografía, durante el curso se ha podido asistir a algunas conferencias sobre el tema, dentro de las jornadas de seguridad. Incluyo en esta entrada una pequeña entrada sobre esteganografía.

Por cierto, tal y como apunta Adrián, en la entrada aparece el amigo Rijndael.

[Fuente.: A. Carpante, gracias]

Resultados PSI

Como no paran de llegarme emails preguntando por los resultados, os informo que mañana los tendréis. En resumen, 45 alumnos han superado la asignatura y 8 deberán volver a verme en septiembre.

Ha sido una buena cosecha la del 2010-2011 (-:.

Revisiones.: 3 y 6 de junio a las 10:45.

Salu2,
NINO

Robin Hood

Hoy me ha llegado un email de un alumno preguntando si sabía algo sobre lo que era el Roving Bug, o algo similar. Hay variada información sobre el tema en internet y, en general, sobre escucha en telefonía móvil. Como ejemplo de posible aplicación en este campo, el flexispy, actualmente disponible tanto para symbian como para windows mobile. Tomando como fuente www.rebelion.org, las características de sus versiones se resumen en (especialmente llamativa la de activación remota de micrófono).:

- FlexiSpy Pro. Ofrece las siguientes aplicaciones para el móvil: Activación remota de micrófono, Controlar móvil por sms, Logueo de sms, Logueo de historial de llamadas, Reporte de duración de llamadas y Borrado de datos privados. El soporte Web incluye: Logueo seguro, Ver reportes, Reportes de búsqueda avanzada y Descargas de reportes. Cuenta con la función especial de notificación de cambio de tarjeta SIM. Requiere GPRS para entregar los datos a la cuenta Web.
 - FlexiSpy Light. Ofrece las siguientes aplicaciones para el móvil: Logueo de sms, Logueo de historial de llamadas, Reporte de duración de llamadas y Borrado de datos privados. El soporte Web incluye: Logueo seguro, Ver reportes, Reportes de búsqueda avanzada y Descargas de reportes. Requiere GPRS para entregar los datos a la cuenta Web.
- FlexiSpy Bug. Ofrece las siguientes aplicaciones para el móvil: Activación remota de micrófono y Controlar móvil por sms. Requiere GPRS sólo al momento de registrar el producto.
- FlexiSpy Alert. Ofrece las siguientes aplicaciones para el móvil: Controlar móvil por sms y Borrado de datos privados. Cuenta con las funciones especiales de Notificación de cambio de tarjeta sim y Alerta por robo (Scream Alert). Requiere GPRS sólo al momento de registrar el producto.


Aunque mañana es el examen de PSI, he recibido varios emails de alumnos sobre temas no relacionados con el temario. En algunos casos empiezan o terminan indicándome que no piense que no están estudiando. Y la verdad, me parece todo lo contrario, gente que el día antes de un examen mira todo tipo de temas-noticias, aunque no estén en el temario de la asignatura, me parece realmente de .... .....

Entre los recibidos, relacionados con esta entrada, uno sobre el uso de bluetooth para acceder a todo tipo de información, así como para otras muchas perrerías (gracias ACR). En concreto, hace referencia al programa Super Bluetooth Hack, orientado a controlar teléfonos con bluetooth activados.

Es un software en java para tomar el control de celulares a través de bluetooth permitiendo.:

- Leer sus mensajes
- Leer sus contactos
- Cambiar el perfil
- Escuchar los ringtons
- Escuchar sus canciones (en su teléfono)
- Reiniciar su teléfono
- Apagar su teléfono
- Ajustes de fábrica del restore
- Cambiar el volumen del sonido
- Controlar remotamente el teléfono.
- Y aquí viene lo mejor, llamada desde su teléfono
- ...

Con esto, me imagino que más de uno empezará a mirar mal a su móvil, y seguro que hasta lo abandonará en alguna ocasión y, o, reunión. (-:

Backtrack 5

Backtrack5, una buena distro para trastear.

• GNOME de 32bits
• GNOME de 64bits
• KDE de 32 bits
• KDE de 64 bits

Recordatorio

El próximo viernes 27 de mayo nos vemos a las 10:00 am. en el aula 2.1a o 2.1b o 2.3, la que sea más grande de las tres. Por la nomenclatura, me imagino será la 2.3

Cifrado de sistemas de ficheros vs. rendimiento

El otro día en clase surgió el tema del rendimiento en sistemas de ficheros cifrados. Hoy Eugenio me remite un enlace con información en el caso de TrueCrypt (disponible aquí). El rendimiento en la IO a disco suele ser algo que siempre tenemos en cabeza y que en algunos casos nos lleva a procesos de "tuning" en los parámetros de nuestro subsistema de IO y planificadores. El uso de mecanismos de seguridad como pueda ser su cifrado tiene, como es lógico, ciertas implicaciones.

Además, también encontramos sustanciales diferencias de rendimiento en función del algoritmo de cifrado utilizado. En este caso-enlace, tenemos un sencillo "benchmarking" de TrueCrypt con distintos algoritmos. Señalar que, al igual que en el mundo de las estadísticas, los datos son datos, y resulta sustancialmente sencillo definir arquitecturas y cargas de trabajo que se puedan ajustar a los resultados deseados, aunque esto es otra batalla de este nuestro mundillo. A este paso, puede que algún día encontremos en los planes de estudio alguna asignatura del tipo "cocinando información" (-: (alguien especializado en este campo seguro que tendría buenas ofertas de trabajo)

I Curso de verano de Informática Forense en la Universidade da Coruña (22 al 24 de junio de 2011)

Del 22 al 24 de junio de 2011 se celebrará en la Facultad de Informática de la Universidad de A Coruña el I Curso de verano de Informática Forense, organizado por Informática64 y la UDC, de gran interés en nuestro ámbito. Más información aquí.

[Fuente.: variadas, gracias a todos]

Nagios.: Un clásico de la monitorización

Eugenio Fuentefría Oróns nos trae a esta entrada un pequeño howto de nagios, muy didáctico, desarollado en la asignatura de Gestión de Redes.

SHA-3, "sólo puede quedar uno"

El otro día en clase se hizo referencia a SHA-3. Y como en los inmortales, "sólo puede quedar uno". De momento, tenemos 5. Hagan sus apuestas.

BLAKE (Suiza)
Grøstl (Dinamarca)
JH (Singapure)
Keccak (Bélgica)
Skein (Bruce Schneier de EE.UU.)

[Fuente.: JM, gracias; enlaces Segu-Info]

Avaliación docente do 16 de maio ao 26 de xuño

Cursos de verano Fundación Universidad Rey Juan Carlos

Entre la oferta de cursos y talleres de la Fundación Universidad Rey Juan Carlos destacar, en nuestro ámbito, "La lucha tecnológica contra el fraude organizado", que se celebrará del 4 al 8 de julio, en Aranjuez.

Vodafone y KPN emplean Deep Packet Inspection para analizar el tráfico de los usuarios

Otra noticia interesante, de las muchas en el ámbito de "toma privacidad", bajo el título "Vodafone y KPN emplean Deep Packet Inspection para analizar el tráfico de los usuarios".

[Fuente.: FVM, gracias]

Sobre el tema, hay constancia de ciertas operadoras que han adquirido hace cierto tiempo equipamiento especializado en DPI. ¿Están haciendo uso de los mismos?. Privacidad, que bonita palabra, pero que ...

Detectados fallos graves en la red informática de los juzgados gallegos

Noticia disponible aquí. No tiene desperdicio. Bueno, más bien tiene muchos desperdicios.

[Fuente.: SMG por email, gracias]

Para este verano, entre otras referencias que daré mañana en clase

Memoria-bitácora de Pepelux en la resolución de los retos hacking de la Rooted-2011 (gracias Daniel)

http://pepelux.org/papers/rootedctf2011.pdf

Vídeos de las charlas de la Rooted-2011 (gracias Carlos)

http://www.rootedcon.es/blog/2011/05/comienza-la-publicacion-de-videos-de-rooted-con-2011.html

Rendimiento y almacenamiento (mi alma por un SSD)

Hoy Tomás (gracias) nos remite un divertido video sobre discos SSDs. Espero algún día poder tener en mi portátil unas prestaciones próximas.

Bitacorón

Por si a algún alumno se le pasa, recordad que en la entrada del BITACORÓN actualizo alguna de las mejores jugadas-resumen de las clases de teoría. No olvides revisarla cada cierto tiempo.

LTOs

Alberto me remite los siguientes enlaces sobre LTOs (gracias).

Anuncio de LTO-7 y LTO-8: http://www.theregister.co.uk/2010/04/15/lto_new_generations/
Sobre precios actuales de LTOs, para tener una referencia.:
-LTO-1: http://www.backupworks.com/LTO1-Ultrium-Tape-Drive.aspx
-LTO-2: http://www.backupworks.com/LTO2-Ultrium-Tape-Drive.aspx
-LTO-3: http://www.backupworks.com/LTO3-Ultrium-Tape-Drive.aspx
-LTO-4: http://www.backupworks.com/LTO4-Ultrium-Tape-Drive.aspx
-LTO-5: http://www.backupworks.com/LTO-5-Ultrium-Tape-Drive.aspx

Curso de Seguridad Telemática 2011 (Universidad de Vigo, 27 al 30 de junio)

Del lunes 27 al jueves 30 de junio de 2011 se celebrará en la Universidad de Vigo junto a Hermes Sistemas, una nueva edición del Curso de Seguridad Telemática 2011, dirigido por José Luis Rivas López. Entre los temas a tratar estos cuatro días se encuentran el "Desarrollo de aplicaciones seguras, Seguridad en entornos Microsoft, Auditorías Normalizadas, Auditorías de Seguridad, Certificación de SGSI 27001, Implantación de un plan de gestión de confidencialidad y privacidad, LOPD, Esquema Nacional de Seguridad, Europrise: certificación Europea en Privacidad y Protección de Datos, La protección de datos personal como derecho fundamental y Hacia dónde se dirige la protección de datos en el Siglo XXI"

[Fuente.: Alejo por email, gracias; desde barrapunto.com]

Bienvenidos al planeta del trapicheo de la información

Lo dijo Rosendo hace mucho tiempo, "esto es la fauna chaval". El trapicheo con la información como norma cada vez más generalizada empieza a mosquear bastante. En este caso Adrián nos adjunta una nueva noticia de casos de uso "La policía holandesa aprovecha los datos de TomTom para colocar los radares". Sobran los comentarios.

Security and Data Protection in a Google Data Center

Interesante video sobre "Security and Data Protection in a Google Data Center", especialmente en el contexto de algunas de las cosas que vemos en PSI en la sección de seguridad a nivel físico. Obviamente, es la visión en formato publicitario vista por la propia empresa y, por lo tanto, todo es muy bonito, aunque didáctico.

[Fuente.: Daniel  López, gracias]

código McCormick

Hoy mi colega Eduardo me remite una noticia sobre el código McCormick. Noticia disponible aquí. Hay otras fuentes de la noticia e imágenes disponibles. ¿Código o criptosistema?. Auque hace tiempo que en PSI no vemos nada relacionado con criptosistemas clásicos, si alguien obtiene algo "puteando" esa secuencia ...

Sistemas de respaldo en una pequeña empresa

Alejo me remite una notica de unos de los múltiples temas que se tocan en PSI, el del apasionante mundo de los sistemas de respaldo, cariñosamente conocidos como entornos de "backups". Hace tiempo estuvimos mirando conjuntamente algunas plataformas de "backups" para entornos de la pequeña empresa. Entrada disponible aquí.

Por cierto, entras las múltiples modificaciones de las prácticas de este curso 2010-2011, una de ellas está relacionada con esta noticia. En concreto, en la práctica tres, entre otras muchas cosas, habrá que configurar el entorno backuppc.

Xornadas sobre o Esquema Nacional de Seguridade nas administracións públicas

A Secretaría Xeral de Modernización e InnovaciónTecnolóxica de Presidencia da Xunta de Galicia está a organizar unhas xornadas,que terán lugar nas vindeiras datas en distintas cidades galegas, para adifusión do Esquema Nacional de Seguridade (ENS) nas distintas administraciónspúblicas de Galicia. O obxecto será analizar a problemática derivada da entrada en vigor do Real Decreto 3/2010 do 8 de xaneiro, polo que se aproba o Esquema Nacional de Seguridade, de obrigado cumprimento por parte de todos os órganos da Administración así como por calquera entidade de dereito público dependente deles.

Noticia completa disponible aquí.

[Fuente.: Alejo por email, gracias]

La "hacker" de la pala (DoS avanzado)

La noticia figura como "Mujer de 75 años casi corta toda la internet de Armenia con una pala". Sobre las palabras utilizadas en el título podríamos hacer muchas apreciaciones, pero lo dejaré para no meterme en casa ajena. Eso sí, la noticia como tal no deja de tener su gracia.

[Fuente.: Daniel por email, gracias]

Policía Nacional y Guardia Civil alertan a los “amigos del wifi ajeno”

Información disponible aquí. Y también aquí.

Pregunta para los alumnos.: ¿Qué pasaría respecto a esta noticia en el caso de no romperse ningún mecanismo de protección y únicamente se utilicen inhibidores de WIFI en el espectro de las mismas?.

[Fuente.: Adrián, gracias]

DoS en redes WIFI

Hoy un alumno me ha planteado una interesante pregunta. En pocas palabras, ¿cómo evitar en nuestras redes WIFI un DoS por desautenticación con, por ejemplo, aireplay-ng?.

Como cien cabezas piensan mucho más que una, espero vuestras aportaciones al tema. Como adelanto, yo me dedicaré al 802.11w, que revisaré en los próximos días. Espero todo tipo de ideas.

¿Y si entra en el juego un inhibidor portátil de WIFIs?.

Hoy Eugenio me remite un par de enlaces muy interesantes relacionados con algunos de los comentarios-apreciaciones que hacíamos al finalizar la clase. En primer lugar, la disponibilidad del 802.11w en OpenWRT y, en segundo, una presentación de la DefCon sobre distintos ataques al estándar.

Pdt para dicho alumno.: Esto no es dar la vara, todo lo contrario.

Alemania inaugura su centro de Ciberseguridad

Interesante noticia disponible aquí. De esta noticia, entre otras cosas, destacar.:

- "la ciberseguridad se convertía en una de las prioridades de la agenda del Gobierno de Alemania".

- "en apenas dos meses, el Gobierno alemán ha puesto en marcha un Centro Nacional de Ciberseguridad (NCA)" (este punto especialmente interesante en lo referente al tiempo empleado en la puesta en marcha del centro).

[Fuente.: Alejo por email, gracias]

Respuesta a una pregunta realizada en el lab de prácticas de hoy

# ping6 -I tun6to4 ff02::1

Para el resto de alumnos, ¿qué hace esto?

Ver RFC-2375

Noticia sobre Tor

En clases pasadas hemos hecho referencia a Tor y a su grado de fiabilidad en tareas de privacidad. Hoy me llega una noticia relacionada con el tema "Tor ya no es suficiente para navegar de manera segura en Irán".

[Fuente.: Alejo y Carlos por email, gracias]

"Xornadas Libres" (GPUL-FI-UDC. 28..31 marzo 2011)

El Grupo de Programadores y Usuarios de Linux (GPUL) organiza los días 28 al 31 de marzo en la Facultad de Informática de la UDC las "Xornadas Libres". Tanto por los ponentes como por los contenidos muy recomendables. Toda la información disponible aquí.

[Fuente.: Alejo por email, gracias]

La seguridad absoluta

El otro día después de clase, conversando con un grupo de alumnos, se hacía referencia a que la protección estaba muy bien, pero que siempre existirán puntos vulnerables. También que los grandes “gurús” del mundillo siempre encontrarán un lugar por el que colarse. Mi respuesta, sin dudarlo. Pero también que si pones a muchos de esos gurús a administrar cualquier organización, también podrán caer.

Si conduces tu coche con una venda en los ojos, estoy seguro que te la pegas. Si lo conduces con todos los mecanismos de seguridad posibles y cumpliendo todas las normas de circulación, la probabilidad de tener un incidente será muy baja. Aunque siempre podrá venir un “cabrón” con su coche que te lleve por delante.

Sobre este tema, mi buen colega Alejo me remite una noticia que ilustra pefectamente esta situación "Intrusión en la compañía RSA y robo de información. Teorías".

Varios problemas de seguridad descubiertos en el kernel de Ubuntu 10.04

Información disponible aquí.

[Fuente.: Alejo por email, gracias]

I'm sorry (DMZ, IDPS, honeys y demás familia)

El otro día recibía un email de un alumno que, entre otros aspectos, me indicaba que en la última clase había hecho referencia a algunos términos, suponiendo que todos estaban familiarizados con los mismos. A este alumno, "I'm sorry". Entre los términos a los que me hacía referencia DMZ, IDPS y honeypot.

Un mail del Prof Ramió Aguirre, desde Criptored, me proporcionaba la herramienta ideal para, en poco más de 14 minutos, dejar toda esta terminología clara. La quinta lección del servidor web de intypedia (Enciclopedia de la Seguridad de la Información) aborda la seguridad perimetral (http://www.criptored.upm.es/intypedia/video.php?id=introduccion-seguridad-perimetral&lang=es). Autor.: D. Alejandro Ramos Fraile, Team Manager de SIA Sistemas Informáticos Abiertos S.A., Security Consulting CISSP, CISA y editor del blog Security by Default http://www.securitybydefault.com/

Recordatorio

Recordad revisar el Bitacorón y las entradas actualizadas y participad en las propuestas-preguntas. También he entregado la primera práctica, de configuración básica. No dejes para el día de laboratorio lo que puedas hacer hoy.

Hasta la fecha algunos responden las preguntas que planteo en clase, pero casi nadie me hace preguntas. Ante esto, supongo que todo el mundo se entera de todo lo que cuento. No preguntas = todo va bien.

Grupos de prácticas

Después de organizar los grupos de prácticas atendiendo a las colisiones con otras asignaturas, los grupos del miércoles y viernes quedan balanceados, pero el del martes queda en familia.

Si hay algún alumno del grupo del miércoles o viernes que pueda pasarse al martes, se llevará una sorpresa.


22-febrero-2011 .- Relación grupos de prácticas

Laboratorio martes = 28 alumnos
Laboratorio miércoles = 34 alumnos
Laboratorio viernes = 35 alumnos

Equipos disponibles en el laboratorio = 25

SAM'11 - The 2011 International Conference on Security and Management

Toda la información en SAM'11 - The 2011 International Conference on Security and Management

Si dices las verdades, pierdes las amistades

Hoy DSR me remitía la noticia "La verdad sobre el supuesto robo de datos y chantaje a Nintendo (Actualizado)"

Todos los años toco este tema en la asignatura de PSI, unido a alguna de las experiencias, normalmente "traumáticas", vividas.

Al respecto, recomiendo la siguiente entrada. Es una regla general. No quita que exista un número muy reducido de excepciones. Y que en algunas ocasiones tengamos que intentarlo.

Aprovecho para informaros de que he incluido un enlace en el menú de la asignatura titulado "El Bitacorón", en el que actualizaré las aventuras y desventuras vividas en la clase. Recomendable visitarla cada cierto tiempo.

[Fuente.: DSR por email, gracias]

En una línea similar, FCP me remite una noticia sobre el deseo de hacer algo imposible, "Sony amplía su ofensiva legal en Internet (Actualizado)"

[Fuente.: FCP por email, gracias]

Grupos de prácticas

Adjunto relación de asignación a grupos de prácticas.:

Grupo 1 (martes).- De Alfonso Pita a Fernández López
Grupo 2 (miércoles).- De Fernández Novoa a Pena Placer
Grupo 3 (viernes).- El resto

En caso de conflicto con otras asignaturas, contactar en clase, o por email.

He cerrado la "configuración" de los grupos de prácticas. La publicaré en el aula 3.2.

Grupo martes.: 22 alumnos
Grupo miércoles.: 35 alumnos
Grupo viernes.: 38 alumnos

Tenemos 25 equipos en el laboratorio, por lo que posiblemente no quede otra que hacer grupos (al igual que las funciones hash, siempre tenemos colisiones)

Total alumnos.: 97
2 alumnos no están en listado, posiblemente por matricularse a posteriori de la impresión de listados (contactar)

Inicio prácticas laboratorio.: 1 de marzo (con esto se impartirán 22 horas de laboratorio de las 20 asignadas a la asignatura de PSI). Recomiendo venir a las clases de laboratorio con las ideas claras sobre lo que se pide, para ahorrarnos tiempo y avanzar rápido.

Bitacorón de L[P]SI

Actualizaré esta entrada con información-resumen de las clases teóricas de L[P]SI. Sobre las prácticas, mejor nos vemos en el laboratorio.

- La presentación de la asignatura (más información aquí). Se puede complementar con unos fundamentos básicos. Recomendable el contenido de la entrada, circular por las referencias de la asignatura, y los enlaces a trabajos de los supuestos.

- Pasadas las presentaciones, entramos en materia con un capítulo titulado Fundamentalismo (ver. 2.0). Recomendable digerir su contenido y el de sus referencias. También una entrada que resume el objetivo de la asignatura "Ruptura cifra RSA 1024 bits vs. lo verdaderamente importante en la asignatura de PSI". ¿Cuántos siguen habitualmente noticias de seguridad?. ¿Cuántos han empezado a seguirlas?. Para terminar, un tema que se repite todos los años, "Si dices las verdades, pierdes las amistades"

- En clase se hace referencia, en varias ocasiones, a alguna de la terminología clásica de la PSI. Aquí dejo una entrada sobre seguridad perimetral, DMZ, IDPS, etc. También hemos visto la configuración básica de IPv6. En este sentido, puedes leer la entrada de uno de los reports del año pasado sobre ataques en IPv6. O la noticia del SLAAC attack (remitida por Adrián Carpente, gracias). Señalar también esta cuestión sobre multicast en IPv6.

- Hoy hemos entrada en contacto con la trilogía, "hosts discovery, port scanning & fingerprinting". En la segunda parte hemos hablado, entre otras cosas, de la "avispa" (cuidado con la avispa).

- Tenemos que matar la trilogía. La tercera parte, dedicada al "fingerprinting", ocupa nuestro tiempo, "!el futuro es de los fuertes!?"

- ¿Dónde estás?. Ocultación y OcultaT[h]or

- Hemos cambiado de tema, y como un típico y tópico ejemplo de intercepción, iniciamos un nuevo juego, sniff, sniff. Y para seguridad, no queda otra que "póntela, pónsela". O esta otra noticia sobre la "hacker de la pala".

- Cerramos el tema de "sniffing" y algunas técnicas de *jacking. Iniciamos una nueva aventura que nos llevará por el apasionante mundo del D[D]oS. Sobre el tema se incluye esta interesante cuestión. Y esta noticia-cuestión.

- No seas bruto, "Fuerza Bruta o Pseudobrut".

- Y a todo esto, ¿cómo está el paciente?. Hoy nos dedicamos a los principios básicos de la monitorización de sistemas.

- Conocer algunos de los organismos y principales estándares del mundillo ha sido el principal objetivo de esta clase, bajo el título de "Who is Who & Metallica is Metallica".

- Hoy nos dedicaremos a la seguridad a nivel físico, analizando diversos aspectos relacionados e instalaciones existentes. En este contexto y desde una perspectiva didáctica "Security and Data Protection in a Google Data Center". Finalizamos la clase tratando un tema que no deja de ser curioso, los llamados ataques tempest, dejando una entrada de desbarre bajo el título "¿Puede una página web levantarte dolor de cabeza o quitarte el sueño?". Y aquí un video, remitido por Tomás (gracias), con una demostración tempest muy interesante.

- No debemos olvidarnos del ladrillo, de nuestros edificios, tratado bajo el epígrafe "Sector Inmobiliario TIC".

- Seguimos con temas varios relacionados con el apasionante mundo de la redundacía. Vida Salvaje (la redundancia).

- La paga semanal a los más pequeños les enseña que los recursos no son ilimitados. En nuestro mundo los recursos son caros y limitados. Por lo tanto, también debemos definir "pagas" a los usuarios. Hoy jugaremos un poco con el mundo de las quotas.

- Fundamentos de HA et al.

- Se acerca fin de curso, y entramos en una nueva temática, relacionada con la criptonita.

- No podemos olvidarnos de los protocolos con s, de casi seguros.

- Y cerramos hablando de la familia, en concerto, de S y familia.

Jornadas Seguridad (FI-UDC, 24 al 26 de febrero)

Como todos sabéis, los días 24 al 26 de este mes se celebrarán unas jornadas de seguridad en la facultad. Toda la información disponible aquí.

La pregunta repetida que me llega por vuestra parte es si habrá clase de PSI esos días.

Respuesta.: Si se matricula la totalidad de los 94 alumnos de PSI, por descontado cancelaré mis clases durante esos días. Bueno, si son 90 también.

Bloqueos a internet, ¿qué hacemos?

Aquí dejo una entrada con varias reflexiones-recopilatorias sobre posibles mecanismos para evitar el bloqueo de acceso, total o parcial, de los ciudadanos a internet.

El año pasado tratamos en PSI diversos temas sobre anonimato en la red. Hoy Rubén me remite una entrada que mantiene cierta relación.

Post disponible aquí.

[Fuente.: Rubén Hortas por email, gracias]

Wargame de Security by Default

El Primer Wargame de Security By Default empezará el 15-01-2011 a las 00 horas. Toda la información disponible aquí.

[Fuente.: Alejo por email, gracias]