Que es un 0 Day* fácilmente explicado es un error que permitirá tomar el control de un ordenador sin que nadie lo note, y que viene del mismo sistema operativo o software desde su creación.
Hoy en día aun es extraño escuchar a la gente hablar sobre estas cosas, pero las empresas ponen como prioridad estos temas, claro que no todas, solo las realmente grandes, un ejemplo claro es facebook, que tras Heartbleed, error en el sistema de OpenSSL librería usada para las conexiones seguras HTTPS, el cual dejo en jaque a todos sus usuarios, y que tras ser corregidos facebook nos indicaba que era importante cambiar nuestra contraseña para mantener la seguridad de nuestros datos.
También tenemos shellshock, vulnerabilidad que permite ejecutar código arbitrario (lo cual fuera del ámbito informático se traduce como "estas jodido y voy a hacer lo que quiera con tu maquina"), aunque para encontrar shellshock fueron nesesarios 15 años de uso de bash (consola de comandos de uso en Linux, Mac, IOS, BSD, etc.).
Y ustedes dirán, y tienen razón esto afecta a las empresas como podría afectarme a mi, pues mi incauto lector lamento decir que no solo los sistemas operativos tienen este tipo de fallos, seguramente usted utilice Java, Flash, Viber en IOS, y hasta el Voldemort de los navegadores, el cual no nombrare por miedo a que una desgracia caiga sobre mi.
Hasta donde llega esto?
Bueno hasta lugares impensables a veces, en la ultima black hat se dio a conocer una vulnerabilidad de este tipo llamada Stagefright
la cual afecta a todas las verciones de android 2.2 (Froyo) en adelante hasta la mas reciente 5.1 (Lollipop). Google no se anda con rodeos por lo que al saber de este bug desarrollo un parche para corregir este y lo puso disponible para todos, ustedes dirán -entonces no hay problemas. - Bueno si que los hay ya que casi nadie compro los celulares vendidos desde Google, casi todos tenemos los celulares clásicos de siempre samsung, motorolla, etc. los cuales tienen una versión android de la empresa a la que pertenecen y que debemos esperar a que la empresa responsable los corrija, o peor aun como pasa en uruguay, nuestros terminales android, tienen una versión de android preparada por las empresas de telefonia (crmmcrmm antel a ponerse las pilas), así que agregamos un paso mas, las empresas que construyen el celular deben arreglar esto, para que luego nuestro proveedor de servicios lo haga.
Solución deshabilitar los mensajes de tipo MMS, quien los usa XD, bueno todos, ya que estos van desde los Mensajes multimedia, esos que salen de 5 a 10 mangos cada uno hasta un correo o foto enviada por whatsapp, todo mensaje enviado con datos multimedia lo son, lamentablemente CERTuy solo recomienda deshabilitarlos, no deja claro si solo son los mensajes clásicos o si por definición debemos dejar de usar cualquier sistema de mensajería que no sea el SMS (Aqui es donde el CERT debe ponerse las pilas, ser mas especifico con lo que informan).
Aporte de Martín Perez (CND) Checkeo de stagefright para android
https://play.google.com/store/apps/details?id=com.eset.stagefrightdetector
Lamentablemente para esto el consejo sigue siendo el de siempre mantenga su sistema y sus aplicaciones actualizadas y en la ultima versión, ya que las empresas corrigen estas cosas en las actualizaciones.
Aun sabiendo que no es posible securizar todo podemos ser conscientes de los peligros de cada cosa, por eso mi linux siempre esta en la ultima versión de actualización la cual chequeo a diario.
Hector Pereira
07-09-2015
No hay comentarios:
Publicar un comentario