Los riesgos del e-Business

Encontre un enlace en meneame a el blog Pixel y Dixel, en el que se daba a conocer una noticia que me hizo reflexionar, el asunto es que la tienda virtual de "El Corte Inglés", estaba vendiendo la cámara digital Olympus C-505, por 30 Euros (aproximadamente U.S.$ 44). Al parecer algún empleado equivocó el precio cuando cargo el producto en la tienda virtual, y han sido más de 1000 personas las que han adquirido esa cámara. Se estima que la empresa perdería aproximadamente U.S. 145 por cada cámara.

Esto me lleva a pensar de que no basta con instalar firewalls o tener un equipo de seguridad 24/7 monitoreando nuestro website para evitar que un hacker nos asalte, cuando es mucho más probable que un empleado de la misma compañía por ineptitud, descuido o neglicencia puede ser un riesgo mucho mayor.

Este tipo de errores es común en supermercados, donde el que etiqueta a veces se equivoca y pone el precio incorrecto, entonces al llegar a la caja cuando el código de barras hace aparecer el precio real comienzan los reclamos, pero en todo caso esto se detecta rápido, y no se venderan miles de productos con el precio incorrecto. El problema con el website de "El Corte Inglés", es que se ha cobrado a los clientes. La empresa solamente tiene dos caminos o devolver el dinero, en cuyo caso la tarjeta de crédito, igual cobrará su comisión; o en su defecto entregar un vale a los clientes para una futura compra. En cualquier caso la imagen de la empresa quedará seriamente dañada.

Sin embargo los usuarios que han adquirido esas cámaras insisten en que se les entregue le producto y hasta ya se han organizado para exigir a la empresa que cumpla su promesa. Esta historia sentará todo un precedente, pues si un juez ordena que se entregue el producto, muchas empresas que hacen e-Business tendrán que aumentar sus medidas de control, con lo que los precios de los productos en la web podrían subir.

Hacking de discos duros encriptados

He encontrado en el blog Hack A Day, un interesante post en donde se muestra un video que explica cómo hackear discos duros que hayan sido encriptados para proteger su contenido. El encriptar un disco duro tiene por meta el que si alguier roba el PC no pueda leer el contenido del mismo, pues de esa forma muchos ciberdelincuentes han tenido acceso a números de seguro social, registros civiles, etc., que luego han usado para el robo de identidad.

Se creía hasta hace poco que este médio de protección era seguro, pero al parecer no lo es. El principio del hacking se basa en que la memoria RAM, no pierde toda la información en cuanto se apaga el equipo, este proceso (el desvanecimiento de la información en la RAM) puede durar varios minutos, el truco usado por el hacker es rebootear la computadora desde una unidad externa y explorar la memoria RAM en busca de la clave que permita leer el disco duro, de esa forma toda protección queda inutilizada.

Un hecho que debemos destacar es que usando este método de hackeo no hay OS inmune a este ataque funciona contra equipos con Windows Vista, Mac OS X o Linux.

El video aunque en inglés es fácil de entender y explica en detalle el principio usado para el hackeo de los discos duros encriptados, aquí se los dejo.

Asegurando tu blog

En los últimos días han aumentado el número de hackeos a blogs, algunos de ellos son defacements, otros son ataques más inperceptibles que por ejemplo en algunos casos consisten en sustituir los anuncios adsense propios, por otros del hacker, y de esta forma todos los beneficios que genera el tráfico a nuestro blog, es tomado por un inescrupuloso ciberdelincuente.

Si Ud. usa WordPress para su blogs, aquí algunos consejos que no estan demás tenga en cuenta para evitar desagradables sorpresas:

  1. Remueva la línea del meta tag "generator", Ud. la puede encontrar en el archivo header.php del theme de su blog, la línea en cuestión es esta: "<meta name="generator" content="WordPress <?php bloginfo(‘version’); ?>" />", la línea en cuestión es un comentario y no es necesaria para que opere su blog, pero le informa a cualquier hacker que versión de WordPress tiene instalado y de esa forma el atacante puede centrar sus esfuerzos en la búsqueda de exploits para su versión de WordPress.
  2. Cree un archivo index.html vacio en su blog en el directorio: /wp-content/themes/, de esa forma el atacante no sabra que themes tiene instalado.
  3. Cree un archivo index.html vacío en su blog en el directorio: /wp-content/plugin/, de esa forma el atacante no sabra que plugins tiene instalados, ni que versión tienen.
  4. No use por el momento el plugin de foros, pues tiene una grave falla de seguridad que permite la inyección de código SQL a la DB.
  5. Haz una copia de seguridad de tu DB, al menos una vez al mes. Aquí un link donde te informa cómo hacer back-up de tu DB.
  6. Cuando descargue themes y plugins hagalo desde el website del autor del mismo, muchos lugares que ofrecen themes y plugin gratuitos, no verifican si estos estan libres de troyanos. Ya se han detectado varios casos de troyanos distribuidos en themes y plugins.
  7. Si tiene una IP fija, deshabilite al acceso al panel de admnistración para toda IP que no sea la suya, para ello cree el archivo .htaccess dentro del directorio /wp-admin  de su blog, y dentro de dicho archivo ponga estas líneas:

order deny,allow
deny from all
allow from aa.bb.cc.dd

Donde obviamente aa.bb.cc.dd es su IP, de no tener IP fija ignore la última recomendación. De acceder de más de algun lugar, oficicina y casa, pues añada todas las IP’s desde donde accesa en "allow from".

Finalmente, revise periódicamente su código AdSense y verifique que el parámetro google_ad_client = "pub-xxxxxxxxxxxxxxxx", es suyo; las "x" deben ser su código AdSense  que puede encontrar en el control panel de AdSense, en la pestaña "Mi cuenta", en la sección "Preferencias de la cuenta".
Espero que estas recomendaciones le sean de utilidad y eviten que alguien inescrupuloso dañe el trabajo que Ud. le ha dedicado a su blog.

Una actualización de Windows Vista, provoca un bucle infinito de reinicios

Se ha publicado un artículo en ComputerWorld, el domingo pasado (17 de febrero), que da cuenta de un terrible fallo en las actualizaciones automáticas de Windows Vista, que ocurre cuando se intentan actualizar dos paquetes necesarios para la actualización al Service Pack 1, que debería aparecer en Marzo.

El error reportado por algunos usuarios informa que luego de descargadas las actualizaciones, el sistema se reincia y entra en un bucle infinito de reinicios que nunca termina. Y al parecer muchos usuarios ni siquiera pueden entrar al sistema en modo a prueba de fallas, así que no les ha quedado otra alternativa que reinstalar el sistema operativo. Al parecer esta anomalía no ocurre en todas las PC con Windows Vista, sólo aquellas que usan el sistema de actualización automática activado.

Estos problemas han hecho que Microsoft, retrace el lanzamiento del Service Pack 1 de Windows Vista hasta mediados de Marzo, y la actualización automática del sistema a SP1, no estará disponible hasta mediados de Abril. Y pensar que de acuerdo de Microsoft, Windows XP dejará de ser vendido en Junio de este año, y dejará de tener soporte de Microsoft en la forma de actualizaciones del sistema, a partir de Enero del 2009. Qué haran las empresas ante este problema, un Vista que no esta aún completamente estable y un XP que carecerá de soporte. Migrar a Linux, resulta ahora tentador.

Memorias USB Flash hackeadas en eBay

He encontrado en el blog xeduced.com, un artículo que me parece importante comentar, y que los lectores de este blog difundan entre sus amistades. Al parecer hay muchos proveedores chinos y taiwaneses que estan vendiendo memorias Flash USB, de 8GB hackeados en eBay, y probablemente en otros lugares que enfatizan el precio más que la calidad.

Qué significa que esten hackeadas, pues que el formateo de la unidad ha sido alterado para que muestre un espacio de almacenamiento superior a su capacidad física, de esa forma una memoria flash de 2GB o 4GB muestra al sistema operativo cuando es conectada la memoria flash al PC una capacidad de 8GB. Los problemas aparecen cuando el sistema operativo intenta escribir más alla de la capacidad física del dispositivo y todos los datos almacenados por encima de la capacidad física real del dispositivo se ven corrompidos e irrecuperables.
Una forma de reconocer si la memoria Flash tan barata que compramos no es una memoria hackeada, es usando cualquiera de estas dos herramientas:

Con estas herramientas se puede descubrir la capacidad real (física) de nuestra memoria Flash y de ser el caso reformatear la unidad a su tamaño real.

Una de las pistas para identificar este tipo de estafas, es que las memorias son de 8GB y sorprendentemente más baratas que cualquier otra. Adicionalmente alegan estar basadas en un chip de Samsung (lo cuál no es cierto). Mucho cuidado con esta estafa.