Archivos Mensuales: diciembre 2008

KLog update: working on 0.4.7

Some days ago I released KLog 0.4.6 (you can find it in the KLog’s main repository) and now I am working on 0.4.7.

I am working to give KLog 0.4.7 a full support of ADIF 2.2.2 (although we are already working in the 2.2.3 release). The main task is to add all the ADIF’s fields so a user using KLog will not loose any data when comming to KLog.

KLog is still not offering the full ADIF fields for editing/adding but the objective for 0.4.7 (or maybe 0.4.8) is to be able to manage ALL the fields internally so no data is lost. Once KLog can manage all ADIF fields, It will be easier to add some of them to the GUI and allow the user to work with them.

KLog 0.4.6: bugfix release

Ayer publiqué la versión 0.4.6 de KLog. Se trata de una versión que únicamente aporta la corrección de dos fallos, uno de ellos de suficiente entidad como para publicar una versión de “urgencia”.

El fichero de cambios dice:
20-dic-2008 0.4.6

  • Error corregido: La impresión no funcionaba correctamente debido a una actualización de la librería.
  • BUG fixed: Los campos STX/SRX/STATION_CALLSIGN/CONTEST_ID se copiaban de un QSO al siguiente.

Básicamente los campos de datos para concursos de radioaficionado no se reiniciaban entre QSO y QSO al leer el log y se falseaban los datos al añadir esos campos ADIF a QSO que no deberían incluirlos.

El fallo ha estado sin descubrir desde el día 23/noviembre.

Kevin Mitnick: heroe o villano

Via Microsiervos me entero de que el día 17 se publicó una entrevista en El Mundo a Kevin Mitnick.

Para los que no sepais quien es este tal Kevin y no querais leer el enlace, resumiendo mucho diría que fue el primero de los ¿hackers/crackers? detenido y mandado a la carcel en EEUU.

¿Heroe o villano?

No le conozco personalmente pero me da a mi que este hombre, por lo que se cuenta por ahí más que hacker(*), lo que era es un experto en ingeniería social.

Lo que está claro es que le condenaron por cometer delitos como acceder a sistemas sin autorización, posesión de documentos falsos, … en fin de todo un poco.

A día de hoy se gana la vida como consultor de seguridad… claro, con la publicidad de su caso a qué mejor.

Comento esto porque me llama la atención que una persona con su historial conteste con un Que no les pillen… a la pregunta de ¿Algún consejo para los adolescentes que se inician en el hacking?.
También dice: Fui algo torpe porque estuve usando un móvil desde un punto fijo durante varios días, de modo que no lo hagáis…

Todo un ejemplo. Supongo que tenía ningún buen consejo que dar.

(*) No dudo de los conocimientos técnicos de Kevin que seguro que los tiene, pero me da a mi que consiguió mucho más engañando a la gente que mediante hacks técnicos.

El enemigo puede estar dentro

Los ingenieros de seguridad de la información pasan mucho tiempo con el Sistema de Gestión de la Seguridad de la Información estableciendo procedimientos y definiendo contramedidas para mitigar los riesgos de posibles atacantes externos: firewalls, IPS, DMZ, … Siempre pensando que es un atacante externo el que quiere acceder a nuestros recursos y robar nuestra información ya sea un robo de espionaje industrial, un robo de credenciales a nuestros usuarios, el script kiddie o el clásico y cada vez menos frecuente, ataque del hacker de la vieja escuela que lo hace por el mero reto intelectual.

Ahora bien… ¿qué pasa con la gente que tenemos detrás de los controles que definen la seguridad perimetral? ¿Qué pasa con todos nuestros empleados? Los usuarios, el personal subcontratado…
Esta gente puede tener las puertas abiertas a todos nuestros activos y recursos.

Es por ello imprescindible realizar buenos procesos de vetting para asegurarnos de la identidad e idoneidad del personal que se va a incorporar a nuestra organización, en especial cuando se trata de puestos clave, con grandes accesos y/o responsabilidades.

Además del vetting y del background check habrá que definir las medidas técnicas, procedimentales y organizativas para asegurarnos de que nuestros empleados y usuarios tienen acceso en función de su necesidad de conocer o need to know.

Las medidas técnicas son más o menos sencillas de implementar y dependen muchas veces sólo del presupuesto… segmentar las redes con firewalls internos, instalar productos de antivirus y antispyware (el robo de credenciales e información corporativa puede realizarse y se realiza muchas veces desde el exterior utilizando al personal interno mediante un virus o un troyano), detectores de intrusión, IPS, y los nuevos DLP (Data Leak Protection)…

Más difícil son las medidas organizativas y de procedimiento porque ahí la dificultad radica en no enfrentar en exceso las necesidades del negocio con las restricciones de seguridad.
Los usuarios habitualmente se quejarán de las medidas de seguridad exponiendo que no les dejan trabajar y es habitual que se produzcan choques entre usabilidad y seguridad.

Esa es una de las dificultades del trabajo del ingeniero de seguridad, hacer que las medidas sean lo menos intrusivas posible y adecuadas a las necesidades del negocio.

Empezando un blog

¿Cómo se empieza un blog? ¿Por qué?

El por qué es relativamente sencillo: porque si.

El problema puede llegar con el cómo. No debería ser difícil… hablar de alguna de las cosas que te puedan interesar… no se, a lo mejor podría:

  • empezar con algún tema de seguridad de la información: hoy el día es propicio, se ha conocido un exploit para Internet Explorer 7 que unos chinos han desvelado sin querer, Microsoft reconoce el problema pero no dice cuando publicará el parche… o de cómo cada día es más habitual que se hable de terrorismo, guerras y sus equivalentes en Internet, … cualquiera de esos temas dan por lo menos para un mensaje inicial.
  • empezar hablando de radioafición: que se trata de un tema que probablemente muchos desconozcan. Hay varias operaciones anunciadas para hoy como las de Artántida (KC4AAA) o la Rep. Dem. del Congo (9Q1TB) y alguna otra cosa curiosa.
  • empezar hablando de software libre que también es un buen tema. Podría comentar algo de KDE, de KDE-ES y el magnífico equipo de traductores que lo forma.
  • empezar hablando de Debian, de algún paquete nuevo, que me guste, disguste o llame mi atención.
  • empezar hablando de software libre y radioafición comentando que hace sólo unos pocos días que publiqué la versión 0.4.5 de KLog y explicando las mejoras que trae esta nueva versión.
  • empezar comentando alguna noticia que me haya llamado la atención a lo largo del día de hoy.
  • empezar hablando del blog de un amigo o del blog de otro (que cualquiera de los dos pueden sentirse culpables porque esté escribiendo yo esto… a base de leeros me ha dado por probar!).
  • empezar presentando cómo los vecinos de Valdemoro (Madrid) se han organizado para acabar con los malos olores que la industria cercana genera alrededor de una web (Valdemoro Apesta) y cómo las acciones on-line tienen repercusiones en el mundo real, off-line.

Vamos que hay muchas cosas sobre las que se puede escribir para comenzar un blog y no siempre es fácil elegir.