Mostrando entradas con la etiqueta Chrome. Mostrar todas las entradas
Mostrando entradas con la etiqueta Chrome. Mostrar todas las entradas

lunes, 10 de septiembre de 2018

Google Chrome traerá un generador de contraseñas

El equipo de Chrome, el navegador de Google, ha dado un paso hacia delante en el hastiado campo de las contraseñas. Está preparando una nueva funcionalidad que ofrecerá a los usuarios generar contraseñas seguras.



Anticipando el conjunto de mejoras que Chrome espera recibir para celebrar el décimo aniversario del navegador, se encuentra una funcionalidad que permite al usuario mejorar la seguridad en el uso de contraseñas, en concreto, nos posibilitará generar contraseñas seguras además de la ya conocida función de custodia y sincronización de estas.

De hecho, Google, pretende con este paso paliar el problema que genera la reutilización indiscriminada de contraseñas, a la par que descarga al usuario del proceso de elección que suele terminar, casi siempre, en una mala elección. De esta forma, se podrá optar a que el navegador nos genere una nueva contraseña (las reglas incluyen al menos una minúscula, una mayúscula, un número y símbolos si estos son requeridos) y la recuerde, así como que la sincronice con el resto de dispositivos que tengamos federados.

Indudablemente, Ia reutilización de contraseñas es un peligro habitual en usuarios que no están advertidos del riesgo que conlleva esta flexibilidad. Este escenario de explotación ocurre cuando se extraen o filtran credenciales de un sitio web. Una vez que las contraseñas han sido expuestas, estas podrían ser probadas no ya en el sitio afectado sino en otros muchos sitios donde el usuario podría poseer una cuenta; comprometiendo así, de un solo golpe varios accesos.

Otro riesgo común de dejar a elección del usuario la generación de contraseñas es la incapacidad de elegir contraseñas seguras. Si bien parte de la responsabilidad le corresponde al sitio o aplicación, por no obligar a seguir una politica de contraseñas fuertes, el usuario medio no se distingue por la elección de buenas contraseñas. Ya sea por la costumbre, necesidad -absurda- de memorizarlas o desconocimiento del riesgo que supone una credencial débil.

Sin duda, los generadores de contraseñas no son nada nuevo ni exclusivos. Los gestores de contraseñas ya lo poseen como una característica considerada fundamental dentro de sus funciones. Sin embargo, lo que sí que parece exclusivo es su uso, ya que no están precisamente difundidos en los usuarios comunes. Quizás, si incrustamos su uso en los navegadores podamos evitar que contraseñas como "12345" o "iloveyou" (por ilustrar sin recurrir a peores ejemplos) sigan siendo lo común cuando un nuevo listado de cientos de megas sea avistado atravesando Internet. El tiempo lo dirá.





David García
@dgn1729


Más información:

Tired of memorizing p4ssw0rd$? The new Chrome has your back






miércoles, 25 de julio de 2018

Chrome dice que mi sitio no es seguro ¿Qué hago?

Hoy es el día elegido (no os quejéis, podrían haber escogido un viernes) para que el navegador Google Chrome comience a marcar los sitios que no posean un certificado como "No seguro". De momento es un mensaje adosado al nombre del dominio visitado, en gris. No salta a la vista, es algo discreto y con las prisas con las que vivimos hoy día no parece que a muchos les vaya a molestar...hasta que en octubre de este mismo año, ese mismo mensaje, se cabree y se torne de color rojo chillón...Ya lo contaba nuestro compañero Carlos 'Maestro' Ledesma en otra UAD. 

Casi es seguro, el resto de navegadores menos uno seguirá la estela marcada por Chrome. Con el tiempo añadirán el mismo mensaje o similar. Así que toca extender un certificado y configurar adecuadamente el cifrado del servidor para que ese mensaje desaparezca cuando nuestros visitantes entren en nuestros dominios. Pero no queremos que esa sea la motivación principal. Existe otra (y muchas más) importantes por las que ya deberías estar ofreciendo cifrado incondicional en todos y cada uno de tus sitios. Además vamos a derribar unos cuantos mitos acerca de los costes y complejidades inherentes a su despliegue.





1.- Respeta la privacidad de tus clientes o visitantes

Las conexiones cifradas no son un adorno ni están ahí para que "salga el candadito". Están para que otros no capturen y lean el tráfico que se produce entre cliente y servidor. Es posible que creas que ese tráfico "no es importante", pero en muchos contextos sí que lo es e importa mucho. Incluso si tu sitio es presencial y no existen formularios o campos de búsqueda, la propia traza de visitas de URLs del sitio ya permite crearse un perfil de la persona afectada por no cifrar las comunicaciones. 

2.- Da autenticidad a tu dominio

Sin un certificado debidamente extendido un visitante no sabría diferenciarlo de un sitio falsificado. Visitar un dominio no implica que sea el sitio correcto, tanto con un ataque de envenenamiento de la caché DNS como con un ataque sobre rutas BGP nos permite falsificar un sitio si este no posee un certificado adecuado. 

3.- Es gratis

Muchas personas y organizaciones piensan que extender un certificado es caro y un gasto innecesario (o simplemente, no dan importancia a los motivos del punto 1). No solo no es caro, es gratis. Iniciativas como Let's Encrypts nos permiten poseer un certificado libre de costes directos. No hay excusas si habías mirado la inversión en certificados como un gasto inútil. Es gratis. 0 euros. Nada.

4.- Es sencillo

No tengo/No voy a dedicar personal/tiempo para una tarea así. A veces no es cuestión de dineros sino de tiempo o no tener el personal adecuado para extender e instalar un certificado. En realidad es una tarea sencilla, no es compleja. Elige el certificado adecuado (recuerda, Let's Encrypts...es gratis!), lo obtienes, sigues los pasos indicados por el emisor (todos tienen una guía, por ejemplo), reinicias el servidor y a funcionar.

5.- Mejora tu imagen

A ver. ¿Cómo va a ser lo mismo una conexión plana, ahí, sin candado ni verde y con un mensaje de "No seguro" que una conexión cifrada con un buen candadazo TLS 1.3? Eso dice mucho. Da fuerza, vigor y sienta principios: "Esto es seguro, bueno (toc, toc) y de confianza". Aunque no lo hagas por la privacidad, te salga gratis y te lo instale un amigo con conocimientos informáticos al que invitarás a una paella a cambio, al menos piensa que va a reforzar tu imagen.

Desbloquea un logro más:

6.- HSTS o mata tus conexiones inseguras

No es suficiente con el certificado y las conexiones bien configuradas, que eso es otro menester. Mientras no configuremos nuestros servidores para que les diga al navegador de nuestros clientes que no usen conexiones inseguras cuando nos visiten, todo esto podría no servir de mucho. 

Aunque dispongamos de lo anterior, los ataques de hombre en el medio suelen usar herramientas del tipo ssltrip, donde se puentea la conexión segura hacia una insegura. Sin embargo, si el navegador visitó antes de ese ataque nuestro sitio y recibió la cabecera HSTS entonces optará por no establecer una conexión plana (no cifrada) y cortará las comunicaciones que se dirijan a nuestro dominio. ¿Sencillo verdad?.

HSTS (https strict transport security) no es para nada difícil de implementar. Hay miles de guías para ello. Una sola cabecera http puede proteger a tus clientes y visitantes de ataques de hombre en el medio de forma bastante sencilla y eficaz.






David García
@dgn1729




Más información:

Google dará el tiro de gracia a los sitios HTTP en 10 días:







viernes, 8 de junio de 2018

Vulnerabilidad CRÍTICA en Chrome: ¡Actualiza ya!

La vulnerabilidad descubierta por Michal Bentkowski fue reportada a finales de Mayo.



Sin dar a conocer ningun detalle técnico, el equipo de seguridad de Chrome ha descrito el problema como un manejo incorrecto del encabezado CSP (CVE-2018-6148) en su blog.

Para quien no lo conozca, el encabezado de la Política de Seguridad de Contenido (CSP) permite a los administradores de sitios web añadir una capa adicional de seguridad al permitirles controlar los recursos que el navegador puede cargar. 

El manejo incorrecto de estos encabezados por el navegador web podría volver a habilitar vulnerabilidades de tipo XSS, Clickjacking o de inyección de código en varias webs que securizaran su sitio con este encabezado.

Para los que no conozcan estos ataques, aquí tenéis algunas UAD escritas sobre ellos:
- XSS: https://unaaldia.hispasec.com/search?q=xss
- Clickjacking: https://unaaldia.hispasec.com/search?q=clickjacking
- Inyección de código: https://unaaldia.hispasec.com/search?q=inyeccion 

El parche para esta vulnerabilidad ya ha sido lanzado, por lo que todos los usuarios deben de asegurarse que su sistema está ejecutando la última version actualizada del navegador Chrome.

Daniel Púa
@dpua_
dpua@hispasec.com

Más información:

Perfil de Twitter de Michal Bentkowski:
https://twitter.com/securitymb 

Vulnerabilidad en el blog de Google:






miércoles, 2 de mayo de 2018

FacexWorm: el malware que se extiende a través de Facebook

Descubierto por Trend Micro, este malware se camufla tras una extensión de Google Chrome para robar criptomonedas a las víctimas.
Esquema de funcionamiento de Facexworm. Obtenida de Hacker News.


La técnica de ataque utilizada por la extensión maliciosa surgió por primera vez en agosto del año pasado, pero los investigadores han descubierto que se añadieron nuevas capacidades a principios de este mes.

Estas novedades incluyen el robo de credenciales de sitios web, redirigir a las víctimas a estafas de criptomonedas y/o al enlace de referencia del atacante en programas relacionados con criptomonedas e inyectar mineros en las webs.

A finales del año pasado, se descubrió un bot de minería llamado Digmine el cual se propagaba a través de Facebook Messenger y tenía como objetivo a ordenadores Windows, así como a Google Chrome.



Instalación de la extensión fraudulenta. Obtenida de Hacker News.
Al igual que el malware que acabamos de mencionar, FacexWorm también se propaga mediante ingeniería social a través de Facebook Messenger para redirigir a las víctimas a versiones falsas de sitios webs populares tales como YouTube.

Cabe señalar que la extensión solo se diseñó para usuarios de Chrome. Si el malware detecta cualquier otro navegador web en el dispositivo de la víctima, redirige a un anuncio de aspecto inofensivo.

Cómo funciona

Si el enlace al vídeo malicioso se abre con Chrome, FacexWorm redirecciona a la víctima a una página falsa de YouTube, donde se aconseja al usuario a descargar una extensión maliciosa para el navegador como si de un códec para reproducir el vídeo se tratase.

Una vez instalada, la extensión descarga más módulos para realizar varias tareas maliciosas.
"FacexWorm es un clon de una extensión legítima de Chrome, pero se le inyectó un código que contiene su rutina principal. Descarga el código JavaScript adicional del servidor C&C cuando se abre el navegador", explican los investigadores.

Dado que la extensión toma todos los permisos extendidos en el momento de la instalación, el malware puede acceder o modificar datos para cualquier web que el usuario abra.

A día de hoy, las criptomonedas reconocidas a las que se dirige FacexWorm incluyen Bitcoin (BTC), Bitcoin Gold (BTG), Bitcoin Cash (BCH), Dash (DASH), Ethereum (ETH), Ethereum Classic (ETC), Ripple (XRP), Litecoin (LTC), Zcash (ZEC) y Monero (XMR).

Dado que las campañas de spam en Facebook son bastantes comunes, se aconseja a los usuarios estar atentos al hacer clic en enlaces y archivos proporcionados a través de la plataforma del sitio.

Daniel Púa
@dpua_
dpua@hispasec.com

Más información:


FacexWorm Targets Cryptocurrency Trading Platforms, Abuses Facebook Messenger for Propagation:
https://blog.trendmicro.com/trendlabs-security-intelligence/facexworm-targets-cryptocurrency-trading-platforms-abuses-facebook-messenger-for-propagation/