Los riesgos del e-Business

Encontre un enlace en meneame a el blog Pixel y Dixel, en el que se daba a conocer una noticia que me hizo reflexionar, el asunto es que la tienda virtual de "El Corte Inglés", estaba vendiendo la cámara digital Olympus C-505, por 30 Euros (aproximadamente U.S.$ 44). Al parecer algún empleado equivocó el precio cuando cargo el producto en la tienda virtual, y han sido más de 1000 personas las que han adquirido esa cámara. Se estima que la empresa perdería aproximadamente U.S. 145 por cada cámara.

Esto me lleva a pensar de que no basta con instalar firewalls o tener un equipo de seguridad 24/7 monitoreando nuestro website para evitar que un hacker nos asalte, cuando es mucho más probable que un empleado de la misma compañía por ineptitud, descuido o neglicencia puede ser un riesgo mucho mayor.

Este tipo de errores es común en supermercados, donde el que etiqueta a veces se equivoca y pone el precio incorrecto, entonces al llegar a la caja cuando el código de barras hace aparecer el precio real comienzan los reclamos, pero en todo caso esto se detecta rápido, y no se venderan miles de productos con el precio incorrecto. El problema con el website de "El Corte Inglés", es que se ha cobrado a los clientes. La empresa solamente tiene dos caminos o devolver el dinero, en cuyo caso la tarjeta de crédito, igual cobrará su comisión; o en su defecto entregar un vale a los clientes para una futura compra. En cualquier caso la imagen de la empresa quedará seriamente dañada.

Sin embargo los usuarios que han adquirido esas cámaras insisten en que se les entregue le producto y hasta ya se han organizado para exigir a la empresa que cumpla su promesa. Esta historia sentará todo un precedente, pues si un juez ordena que se entregue el producto, muchas empresas que hacen e-Business tendrán que aumentar sus medidas de control, con lo que los precios de los productos en la web podrían subir.

El gobierno de Pakistan decide bloquear YouTube y afecta a todo Internet.

La noticia del día es sin duda la irracional decisión del gobierno fundamentalista pakistaní de bloquear YouTube aduciendo que es la fuente del contenido blasfemo de Internet. Esto ha sido reportado tanto por Slashdot cómo en ZDNet. El problema es que el mayor proveedor de Internet en Pakistan PieNet, no sólo aplicó un bloqueo Interno, sino que anunción nuevas rutas, que corrompieron el ruteo a nivel global, pues los "genios" querian bloquear hasta los accesos a través de proxys situados fuera de Pakistan, lo que parece no les explicaron a estos señores es que tomar una decisión de tal magnitud afectaría a otros usuarios fuera de Pakistan. Debido a ello el proveedor de PieNet, el carrier PCCW se vio en la imperiosa necesidad de desconectar de Internet a Pakistan, para evitar problemas mayores.

Muchas personas creen que el fanatísmo no esta asociado a capacidades técnicas o inteligencia. Pero desafortunadamente la historia nos ha demostrado que esto no es así. Y lo que resulta verdaderamente preocupante es que estos fanáticos religosos que tienen el poder en Pakistan, que ya asesinaron a la principal candidata de oposición por el simple hecho de ser mujer, y que ahora han ocasionado problemas globales con su intento de bloqueo a YouTube, estan en poder de armas nucleares, es más ya han hecho pruebas y el mundo ha verificado que las tienen. Sin embargo para la administración del fanático religioso local, George W. Bush, Pakistan es un aliado en la lucha anti-terrorista.

Qué espera la administración Bush para hacer algo con esta amenaza real, que Pakistan le entregue material nuclear a terroristas musulmanes. Esta probado por sus actos que no hay diferencia entre los Talibanes que controlaban Afganistan (a los cuales el gobierno de Musharraf apoya), y el gobierno de Pakistan. Los hombres pueden mentir, pero sus acciones no.

Asegurando tu blog

En los últimos días han aumentado el número de hackeos a blogs, algunos de ellos son defacements, otros son ataques más inperceptibles que por ejemplo en algunos casos consisten en sustituir los anuncios adsense propios, por otros del hacker, y de esta forma todos los beneficios que genera el tráfico a nuestro blog, es tomado por un inescrupuloso ciberdelincuente.

Si Ud. usa WordPress para su blogs, aquí algunos consejos que no estan demás tenga en cuenta para evitar desagradables sorpresas:

  1. Remueva la línea del meta tag "generator", Ud. la puede encontrar en el archivo header.php del theme de su blog, la línea en cuestión es esta: "<meta name="generator" content="WordPress <?php bloginfo(‘version’); ?>" />", la línea en cuestión es un comentario y no es necesaria para que opere su blog, pero le informa a cualquier hacker que versión de WordPress tiene instalado y de esa forma el atacante puede centrar sus esfuerzos en la búsqueda de exploits para su versión de WordPress.
  2. Cree un archivo index.html vacio en su blog en el directorio: /wp-content/themes/, de esa forma el atacante no sabra que themes tiene instalado.
  3. Cree un archivo index.html vacío en su blog en el directorio: /wp-content/plugin/, de esa forma el atacante no sabra que plugins tiene instalados, ni que versión tienen.
  4. No use por el momento el plugin de foros, pues tiene una grave falla de seguridad que permite la inyección de código SQL a la DB.
  5. Haz una copia de seguridad de tu DB, al menos una vez al mes. Aquí un link donde te informa cómo hacer back-up de tu DB.
  6. Cuando descargue themes y plugins hagalo desde el website del autor del mismo, muchos lugares que ofrecen themes y plugin gratuitos, no verifican si estos estan libres de troyanos. Ya se han detectado varios casos de troyanos distribuidos en themes y plugins.
  7. Si tiene una IP fija, deshabilite al acceso al panel de admnistración para toda IP que no sea la suya, para ello cree el archivo .htaccess dentro del directorio /wp-admin  de su blog, y dentro de dicho archivo ponga estas líneas:

order deny,allow
deny from all
allow from aa.bb.cc.dd

Donde obviamente aa.bb.cc.dd es su IP, de no tener IP fija ignore la última recomendación. De acceder de más de algun lugar, oficicina y casa, pues añada todas las IP’s desde donde accesa en "allow from".

Finalmente, revise periódicamente su código AdSense y verifique que el parámetro google_ad_client = "pub-xxxxxxxxxxxxxxxx", es suyo; las "x" deben ser su código AdSense  que puede encontrar en el control panel de AdSense, en la pestaña "Mi cuenta", en la sección "Preferencias de la cuenta".
Espero que estas recomendaciones le sean de utilidad y eviten que alguien inescrupuloso dañe el trabajo que Ud. le ha dedicado a su blog.

Hardware as a Service

Aunque el concepto de Software as a Serive (SaaS), se ha hecho muy popular y fácil de entender por la gran mayoría de profesionales de las TI (Tecnologías de la Información), dado en parte por la ubicuidad del web en nuestras vidas, y la masiva aceptación de Gmail y Google Docs. Sin embargo el controvertido analista de TI Nicholas Carr, escribió hace aproximandamente un par de años el artículo "Here comes HaaS" (Aquí viene el HaaS = Hardware as a Service). Carr gano popularidad en la web por su conocido libro "Does IT matter", donde predice la desaparición de los departamentos de TI en las grandes corporaciones.

En el artículo "Here comes HaaS", Carr es bastante claro y me permitiré citarlo textualmente: "Mucho menos discutida ha sido la idea de comprar hardware TI, e incluso centro de datos completos en la modalidad de servicio paga por lo que usas, y que nos permita escalar el servicio hacia arriba o abajo en función a nuestras necesidades. Pero cómo resultado de los rápidos avances en el hardware de virtualización, la automatización de las TI, y la tarifación en función de la medición del uso, yo [Nicholas Carr] creo que el concepto de hardware-as-a-service, llamemosle HaaS puede ya estar listo para el gran público."

Y al parecer el señor Carr, no estaba para nada equivocado, tanto Google como Amazon ofrecen soluciones HaaS, además de que la idea no esta limitada sólo al hardware de centro de datos, tambien podemos ver un ejemplo de HaaS en las MVNO (Mobile Virtual Network Operator), donde una compañía puede arrendar una infraestructura de red celular para proveer servicios de valor agregado, sin la necesidad de pujar por una licencia de frecuencia, ni desplegar una infraestructura de red. Otro ejemplo claro de este concepto, son todos los carriers que ofrecen SIP truks, donde cualquier persona puede tener acceso a un gateway entre una red VoIP y la red telefónica, sin la necesidad de adquirir ningun hardware, sólo arrienda el servicio. Visto de esta manera tan amplia, el concepto de HaaS parece tener muchas posibilidades de crecimiento hacia futuro.

Amazon por ejemplo ahora ofrece dos servicios de HaaS, uno es S3 (un servicio de almacenamiento), y el otro es EC2 (un servicio de procesamiento). Y por algunos dólares se puede tener desplegado varios servidores virtuales, con la ventaja de que no debemos de preocuparnos por un equipo en particular, pues de caer el servidor donde estaba ejecutando nuestro servidor virtual, este sencillamente es re-desplegado en otro lugar de manera transparente a nosotros. Hasta ahora ese había sido un problema en centros de datos donde alquilabamos servidores (dedicated servers), pues si deseabamos redundancia, había que pagar doble (teníamos que tener dos servidores por cada servicio); ahora con el concepto de HaaS, donde los servidores virtuales corren sobre la malla de servers que constituyen el data center de Amazon, la redundancia ya esta incluída en el precio base, a no dudar esto es un tremenda ventaja. Además por otro lado la facturación es en fución al uso, no es un precio fijo mensual, así que podemos comenzar con un tamaño pequeño (pequeña inversión incial), y crecer en función a la demanda.

Estoy pensando en probar los servicos de Amazon para comprobar si es verdad tanta belleza y les contaré cómo me fue. Pero por el momento les puedo comentar que el viernes pasado, Amazon ha tenido un problema con algunos de sus clientes y muchos quedaron fuera del aire por 35 minutos. Aún con todo la idea me sigue pareciendo bastante atractiva, sobre todo si los precios resultan mucho mas económicos que tener los mismos niveles de redundancia y escalabilidad in-house.

Memorias USB Flash hackeadas en eBay

He encontrado en el blog xeduced.com, un artículo que me parece importante comentar, y que los lectores de este blog difundan entre sus amistades. Al parecer hay muchos proveedores chinos y taiwaneses que estan vendiendo memorias Flash USB, de 8GB hackeados en eBay, y probablemente en otros lugares que enfatizan el precio más que la calidad.

Qué significa que esten hackeadas, pues que el formateo de la unidad ha sido alterado para que muestre un espacio de almacenamiento superior a su capacidad física, de esa forma una memoria flash de 2GB o 4GB muestra al sistema operativo cuando es conectada la memoria flash al PC una capacidad de 8GB. Los problemas aparecen cuando el sistema operativo intenta escribir más alla de la capacidad física del dispositivo y todos los datos almacenados por encima de la capacidad física real del dispositivo se ven corrompidos e irrecuperables.
Una forma de reconocer si la memoria Flash tan barata que compramos no es una memoria hackeada, es usando cualquiera de estas dos herramientas:

Con estas herramientas se puede descubrir la capacidad real (física) de nuestra memoria Flash y de ser el caso reformatear la unidad a su tamaño real.

Una de las pistas para identificar este tipo de estafas, es que las memorias son de 8GB y sorprendentemente más baratas que cualquier otra. Adicionalmente alegan estar basadas en un chip de Samsung (lo cuál no es cierto). Mucho cuidado con esta estafa.