El día 17 de septiembre de 2010 08:49, csalinux escribió:

El 17/09/10 13:37, Juan Erbes escribió:

...

Lo anunciaron dos jóvenes expertos en seguridad informática, uno de ellos argentino. Son los sitios desarrollados con un sistema de Microsoft, entre ellos de home banking.

El 25 por ciento de los sitios web de todo el mundo están expuestos a ataques, robos de datos y sabotaje anunciaron dos jóvenes expertos en seguridad informática –un argentino y un vietnamita-- que participan de la cumbre de expertos en ciberdelitos Ekoparty que se realiza esta semana en Buenos Aires.

http://www.ekoparty.org/acerca-ekoparty.php

Los sitios susceptibles a un ataque son aquellos desarrollados con el sistema ASP.NET de Microsoft.

Juliano Rizzo y Thai Duong presentarán pasado mañana los detalles de su investigación, en la que exhiben las vulnerabilidades que tiene el sistema ASP.NET, de Microsoft, con el que están desarrollados el 25 por ciento de las páginas web, según el sitio BuiltWith. El error afecta a más porcentaje aún en el caso de las grandes empresas y los bancos, que usan mucho más los sistemas de Microsoft..

Los investigadores detectaron la falla en la forma en que ese sistema encripta los mensajes que le envían a los usuarios. "Cada vez que una persona se conecta con un servidor que usa ASP.NET, éste le deja en su navegador ciertos datos con la historia de esa sesión. Sería el equivalente a si uno va a un banco y le dan un ticket con la historia del trámite para que se pueda seguir más adelante . El ticket puede ser una serie de números que nadie entiende, sólo el cajero el día que uno vuelva –explica Rizzo a Clarín--. La comunicación entre el navegador y el sitio con ASP.NET es similar. El servidor deja un código que, supuestamente nadie entiende. Pero nosotros descubrimos que se puede vulnerar".

Los detalles de la investigación y cómo se puede atacar estos sitios serán revelados por los dos jóvenes pasado mañana, en el cierre de la conferencia Ekoparty. Sin embargo, Rizzo adelantó a Clarín que la técnica que ellos utilizaron consiste, básicamente, en enviarle "tickets" falsos al servidor uno tras otro y estudiar la respuesta que reciben. "En función de esta respuesta podemos construir un "ticket" verdadero y hacernos pasar por administrador, por ejemplo", explica Rizzo.

Como todo problema tiene su solución, los programadores de estos sitios ya cuentas con herramientas para proteger a sus usuarios, antes de que Microsoft termine de solucionar la vulnerabilidad. "Hay posibilidades de bloquear el agujero a través de herramientas conocidas como Web Application Firewall. Los detalles que vamos a presentar les van a permitir protegerse aún más", dice Rizzo.

Juliano Rizzo y Thai Duong se conocieron el año pasado cuando participaban en una competencia online coreana. Debían resolver problemas matemáticos en equipos. "En cierto momento mi equipo estaba cabeza a cabeza con el de él y empezamos a chatear. El me preguntaba cosas y yo le decía que si te ayudo pierdo. Después nos seguimos mandando desafíos, y entre ellos estuvo el origen de esta investigación", cuenta Rizzo.

Esta es la sexta edición de Ekoparty, la conferencia anual que reúne a consultores, investigadores, programadores y entusiastas de la tecnología de todo el mundo. La cita esta vez es en la Ciudad Cultural Konex, durante esta semana, y ya están participando más de 600 personas.

La idea de Ekoparty surgió del circuito "underground" de IT. Con el tiempo, fue sumando a más y más especialistas de empresas y estudiantes de sistemas. Discuten cómo ingresar a sistemas ajenos y cómo defenderlos de posibles ataques.

http://www.clarin.com/internet/cuatros-sitios-web-expuesto-ciberataques_0_33...

Nada sorprendente, pero si pones un enlace de algún boletín de seguridad y no a un diario -generalista- dónde el que lo ha escrito seguramente sabrá tanto de seguridad e informática como de la pesca del Campano en Asturias... mejor.

Tienes que ir al oculista:

...

http://www.ekoparty.org/acerca-ekoparty.php

Salu2 -- Para dar de baja la suscripción, mande un mensaje a: opensuse-es+unsubscribe@opensuse.org Para obtener el resto de direcciones-comando, mande un mensaje a: opensuse-es+help@opensuse.org

El día 17 de septiembre de 2010 13:32, csalinux escribió:

El 17/09/10 18:10, Juan Erbes escribió:

...

El día 17 de septiembre de 2010 08:49, csalinux  escribió:

...

El 17/09/10 13:37, Juan Erbes escribió:

...

Lo anunciaron dos jóvenes expertos en seguridad informática, uno de ellos argentino. Son los sitios desarrollados con un sistema de Microsoft, entre ellos de home banking.

El 25 por ciento de los sitios web de todo el mundo están expuestos a ataques, robos de datos y sabotaje anunciaron dos jóvenes expertos en seguridad informática –un argentino y un vietnamita-- que participan de la cumbre de expertos en ciberdelitos Ekoparty que se realiza esta semana en Buenos Aires.

http://www.ekoparty.org/acerca-ekoparty.php

Los sitios susceptibles a un ataque son aquellos desarrollados con el sistema ASP.NET de Microsoft.

Juliano Rizzo y Thai Duong presentarán pasado mañana los detalles de su investigación, en la que exhiben las vulnerabilidades que tiene el sistema ASP.NET, de Microsoft, con el que están desarrollados el 25 por ciento de las páginas web, según el sitio BuiltWith. El error afecta a más porcentaje aún en el caso de las grandes empresas y los bancos, que usan mucho más los sistemas de Microsoft..

Los investigadores detectaron la falla en la forma en que ese sistema encripta los mensajes que le envían a los usuarios. "Cada vez que una persona se conecta con un servidor que usa ASP.NET, éste le deja en su navegador ciertos datos con la historia de esa sesión. Sería el equivalente a si uno va a un banco y le dan un ticket con la historia del trámite para que se pueda seguir más adelante . El ticket puede ser una serie de números que nadie entiende, sólo el cajero el día que uno vuelva –explica Rizzo a Clarín--. La comunicación entre el navegador y el sitio con ASP.NET es similar. El servidor deja un código que, supuestamente nadie entiende. Pero nosotros descubrimos que se puede vulnerar".

Los detalles de la investigación y cómo se puede atacar estos sitios serán revelados por los dos jóvenes pasado mañana, en el cierre de la conferencia Ekoparty. Sin embargo, Rizzo adelantó a Clarín que la técnica que ellos utilizaron consiste, básicamente, en enviarle "tickets" falsos al servidor uno tras otro y estudiar la respuesta que reciben. "En función de esta respuesta podemos construir un "ticket" verdadero y hacernos pasar por administrador, por ejemplo", explica Rizzo.

Como todo problema tiene su solución, los programadores de estos sitios ya cuentas con herramientas para proteger a sus usuarios, antes de que Microsoft termine de solucionar la vulnerabilidad. "Hay posibilidades de bloquear el agujero a través de herramientas conocidas como Web Application Firewall. Los detalles que vamos a presentar les van a permitir protegerse aún más", dice Rizzo.

Juliano Rizzo y Thai Duong se conocieron el año pasado cuando participaban en una competencia online coreana. Debían resolver problemas matemáticos en equipos. "En cierto momento mi equipo estaba cabeza a cabeza con el de él y empezamos a chatear. El me preguntaba cosas y yo le decía que si te ayudo pierdo. Después nos seguimos mandando desafíos, y entre ellos estuvo el origen de esta investigación", cuenta Rizzo.

Esta es la sexta edición de Ekoparty, la conferencia anual que reúne a consultores, investigadores, programadores y entusiastas de la tecnología de todo el mundo. La cita esta vez es en la Ciudad Cultural Konex, durante esta semana, y ya están participando más de 600 personas.

La idea de Ekoparty surgió del circuito "underground" de IT. Con el tiempo, fue sumando a más y más especialistas de empresas y estudiantes de sistemas. Discuten cómo ingresar a sistemas ajenos y cómo defenderlos de posibles ataques.

http://www.clarin.com/internet/cuatros-sitios-web-expuesto-ciberataques_0_33...

Nada sorprendente, pero si pones un enlace de algún boletín de seguridad y no a un diario -generalista- dónde el que lo ha escrito seguramente sabrá tanto de seguridad e informática como de la pesca del Campano en Asturias... mejor.

Tienes que ir al oculista:

...

...

http://www.ekoparty.org/acerca-ekoparty.php

Salu2

Pues mira esa te la voy a aceptar... Ahora que tu evolución es evidente... has pasado de invitar a la gente a que se vaya de la lista a que vaya al médico... De todas maneras te empeñas demasiado, más de lo prudente, en enviar a la gente a sitios... (aunque he de reconocer que tus anteriores invitaciones terminaron por divertirme).

Indudablemente tengo que ir al oculista u oftalmólogo -está en mi lista de tareas pendientes-, pero oye, eso no es un boletín de seguridad, es algo así como un congreso...

No veo ni lista de seguridad, ni boletín... -a no ser que haya visto mal o que el concepto que yo manejo de boletín más o menos diario o semanal de seguridad no es el mismo que el tuyo-.

Ya que te preocupas por mi salud visual ¿me puedes confirmar que he visto mal?

A lo mejor he leído mal... Si me sacas de dudas se te agradecerá.

El texto fue levantado por el diario de la ekoparty Security Conference ekoparty Security Conference - 6° edición, pero todavía no han sido volcados los archivos en el sitio web: http://www.ekoparty.org/archivo.php Mas info: http://www.tecnogeek.com/verpost.php?id_noticia=1411 http://visualstudiomagazine.com/articles/2010/09/14/aspnet-security-hack.asp... http://threatpost.com/en_us/blogs/new-crypto-attack-affects-millions-aspnet-... Salu2 -- Para dar de baja la suscripción, mande un mensaje a: opensuse-es+unsubscribe@opensuse.org Para obtener el resto de direcciones-comando, mande un mensaje a: opensuse-es+help@opensuse.org