Nube Tor Descontinuado por Falta de Apoyo

Fuente: ThreatPost

El Proyecto Tor ha cerrado su servicio de nube por proxy citando vulnerabilidades de seguridad, errores de usabilidad y la falta de recursos.

Tor ofrece a sus usuarios la capacidad de navegar por la Web de forma anónima, que despide el tráfico a través de una serie de servidores de retransmisión para que ningún observador en cualquier punto pueda decir de donde proviene o a donde va el tráfico de un determinado usuario. El Proyecto Nube Tor esencialmente ofreció una plataforma para la creación de puentes de red dentro de Amazon Elastic Cloud Compute para que los usuarios pudieran evadir la censura.

Por desgracia, al igual que muchos otros proyectos de seguridad de código abierto, la Nube Tor sufrió de la falta de fondos y recursos humanos. Como las vulnerabilidades de seguridad y errores fundacionales comenzaron a acumularse, no había nadie disponible para revisar y aplicar parches potenciales.
"Hemos tratado de encontrar un nuevo responsable para Nube Tor durante meses, sin éxito," dice el Dr. Karsten Loesing, un desarrollador de Tor que también ha desarrollado un sistema para recopilar métricas anónimas en Tor. "Ha habido ofertas para enviar parches, pero no pudimos encontrar a una persona de Tor para revisar y aprobarlos."

Un error en el manejo de imágenes de la Nube Tor puede dejar el servicio practicamente inutilizable. Más allá de eso, hay unas 16 vulnerabilidades en espera de ser parchadas, al menos una de los cuales es de la más alta prioridad, de acuerdo con Loesing.

El código del proyecto Nube Tor permanecerá de código abierto y disponible para el público. El Proyecto Tor está animando a los desarrolladores a utilizar el código de Nube Tor en cualquier proyecto similar.

"Nube Tor sigue siendo una buena idea", Loesing cree ", que sólo necesita a alguien para ponerlo en práctica."

Así pueden conseguir un Apple Watch de oro sin gastar dinero

Ante la euforia reciente que ha causado el Apple Watch, la gente sigue reaccionando con creatividad para burlarse del desenfreno provocado por este objeto. Uno de los aspectos más comentados es lo exagerado del precio del iWatch de oro, muy popular en China y Hong Kong.

Un hombre se preguntó cómo poner este aparato disponible para todos lo simples mortales que no pueden pagar diez mil dolares sin tener que hacer algunos sacrificios. Casey Neistat –  un director de películas que cuenta con fama y público en YouTube– decidió convertir la versión más barata en la más cara, utilizando sólo un poco de spray dorado.

Lo mejor de todo es que el procedimiento del video es tan sencillo, que cualquiera puede realizarlo con un simple spray dorado y un papel adhesivo. Los dejamos con el video de este "videobloger".

Hombre es arrestado por negarse a ceder el código de acceso de su teléfono a agentes fronterizos

Alain Philippon llegó al Aeropuerto Internacional de Halifax Stanfield en Canadá y fue detenido por agentes fronterizos.

Había volado desde la República Dominicana.

Como informa la Canadian Broadcasting Corporation, los agentes querían acceder a su teléfono celular. Philippon se negó a darles el código de acceso y fue arrestado.

Una portavoz de la Agencia Canadiense de Servicios Fronterizos confirmó que él ha sido "detenido en virtud del artículo 153.1 de la Ley de Aduanas por obstaculizar".

¿Estaba obstaculizando? ¿O era, como le dijo a CBC, la mera protección de algo que él considera personal?

El portavoz de la agencia de fronteras dijo: "La Ley de Aduanas (s99) autoriza a los agentes a examinar todos los bienes y medios, incluyendo dispositivos electrónicos, como teléfonos móviles y ordenadores portátiles." Explicó que el castigo potencial para Philippon es una multa mínima de $1,000 hasta una multa máxima de $25,000 y podría incluir posible encarcelamiento.

Mientras se niega a revelar los detalles precisos en los que los agentes se basaron en este caso para detener Philippon, la portavoz ha añadido: "Los oficiales están entrenados para buscar indicadores de engaño y el uso de un enfoque de gestión de riesgos para determinar qué bienes pueden justificar un revisión más detallada."

Pero cuando se trata de la supuesta seguridad nacional, el concepto de personal parece raramente existir. Todo, muchos gobiernos creen, debe ser y está siendo espiado.

CBC informa que la cuestión de dar el código de acceso a las autoridades nunca ha sido objeto de litigio en Canadá. (La audiencia en la corte de Philippon está programada para el 12 de mayo). Una cosa a entregar su teléfono, ¿Pero entregar el código de acceso se considerará autoincriminación? En las fronteras, sin embargo, parece que la ley puede ser empujada de nuevo a favor de la seguridad nacional.

Esa es la forma en que el mundo parece ser dirigido en estos días.

Fuente: CNET

Un error en el mecanismo de actualización GoPro revela contraseñas Wi-Fi de los clientes

Una vulnerabilidad en el componente de actualización para el operado por inalámbrico de camaras GoPro ha permitido a un investigador de seguridad recolectar eficazmente más de 1.000 credenciales de acceso (incluida la suya).

La conocida camara portátil se puede controlar por medio de una aplicación, pero para dicha actividad, el cliente tiene que unirse con el sistema Wi-Fi de la camara.

El maestro de seguridad de información con sede en Israel Ilya Chernyakov encontró el defecto cuando tenía que llegar al sistema de cámara de un amigo, sin embargo, el amigo se olvidó de las credenciales de inicio de sesión.

"Para restablecer la configuración de Wi-Fi tienes que seguir las instrucciones en el sitio GoPro. Es realmente sencillo sistema, con Siguiente -> Siguiente -> Finalizar que termina con una conexión, a un archivo zip. Al descargar este registro, se obtiene un archivo zip que se copia a una tarjeta SD, la coloca en su GoPro y reinicias la cámara", ha aclarado en una entrada de blog.

A raíz de experimentar esta metodología, recibio el archivo comprimido, y en el descubrió un disco que contenía los ajustes definidos para la cámara, incluyendo las credenciales del inicio de sesión del sistema en texto plano.

Sin embargo, el enlace de descarga para el documento zip descubrió más de lo que debería:

http://cbcdn2.gp-static.com/uploads/firmware-bundles/firmware_bundle/8605145/UPDATE.zip

El número que figura en él, que reconoce a esta cámara específica, se puede cambiar sin esfuerzo, y la nueva URL le otorgará otro archivo zip, que contiene las credenciales de inicio de sesión de Wi-Fi de diferentes cámaras utilizadas alrededor del mundo.

Chernyakov intentó el ataque con la ayuda de un script en Python, descargó miles de estos documento documentos, y acumuló un resumen de los nombres de Wi-Fi y contraseñas.

Él no lo hizo para hackear clientes. "Se requiere una cierta inversión perseguir a snowboarders y puentes, en busca de un sistema Wi-Fi de las cámaras GoPro", señaló, aclarando con éxito los puntos de ruptura de un ataque de ese tipo.

En cualquier caso, un resumen como el que reunió - o uno más amplio - podría ser utilizado por los agresores para abrirse camino a diferentes sistemas o recursos en línea. A fin de cuentas, es una realidad sorprendente que numerosos clientes sean reutilizadas sus credenciales de inicio de sesión y otra vez.

Chernyakov informó US-CERT de esta falla, y aconsejó GoPro, por lo que una corrección es probable efectivamente en marcha.

"Como una rápida remediaron yo consideraría suplantar el número en la URL con un GUID o algún otro tipo de calidad arbitraria para hacer más difícil el averiguar las conexiones", dice Chernyakov, entre ellas que sería una idea inteligente borrar este tipo de información desde el servidor después de que el cliente la descarga.

Al momento de escribir la nota, GoPro aun no soluciona la falla.

Via THH

Dridex Troyano se propaga a través de macros en archivos XML

No hace mucho tiempo, los delincuentes detrás del troyano bancario Dridex estaban utilizando documentos de Microsoft Excel contaminado con una macro malicioso como anzuelo para atraer a las víctimas de phishing a cargar el software malicioso en sus máquinas.

A pesar de que las macros están desactivados por defecto dentro de la mayoría de las organizaciones, los hackers siguen siendo persistentes en ella, esta vez usando archivos XML como un anzuelo.

Investigadores de Trustwave informan que en los últimos días, varios cientos de mensajes han sido acorralados que están tratando de explotar la confianza de los usuarios en los documentos de Office con alguna ingeniería social inteligente arrojados a la mezcla en un intento de convencer a los usuarios para habilitar las macros y así descargar el malware bancario en sus equipos.

Los archivos XML se pasan aparentando un "aviso de pago", o notificaciones de pago, con la esperanza de que algunos usuarios crean que es un archivo de texto inocente y ejecutar el código malicioso.

"Los archivos XML son el antiguo formato binario para documentos de Office y una vez que se hace doble clic en ellos para abrir el archivo asociado con Microsoft Word y abre", dijo Karl Sigler, gerente de inteligencia de amenazas de Trustwave. La macro malicioso se comprime y codifica en Base64 con el fin de colarse a través de la tecnología de detección, dijo Sigler, quien agregó que los atacantes también han incluido un pop-up con las instrucciones para el usuario sobre cómo habilitar las macros con un lenguaje que hace hincapié en las macros deben estar habilitadas para el factura verá correctamente o para garantizar la seguridad adecuada. "Qué es exactamente lo contrario de lo que esto hace", dijo Sigler. "No parece ser tan sofisticado". O bien están tratando de sacar provecho de la confianza del usuario en archivos XML, o el hecho de que un usuario no puede ser tan familiarizados con lo que es esa extensión."

Si el usuario llega a ejecutar el malware, Dridex se comporta como la mayoría de los troyanos bancarios. Se queda silenciosamente a la espera de que el usuario visite un sitio de banca en línea y luego inyecta código en el sitio del banco con el fin de capturar las credenciales del usuario para su cuenta en línea.

Sigler dijo que esta es la primera vez que se han localizado documentos XML que se utilizan como anzuelo. En cuanto a las macros, estas han sido desactivados por defecto desde Office 2007.

"A veces en las grandes organizaciones, los administradores locales tienen la posibilidad de habilitar macros", dijo Sigler. "Algunas organizaciones los utilizan un poco, pero no es común. La mayoría de la gente deja la configuración predeterminada. Es difícil decir por qué estos chicos se mudaron a XML. Podría ser que están buscando un nuevo vector de ataque y que no estaban obteniendo buenos porcentajes de clics con los documentos de Excel. Tal vez no estaban consiguiendo que la gente habilitara las macros de la manera que esperaban y que están buscando una manera de mejorar su tasa de éxito ".

Dridex es un descendiente de Cridex y pertenece a la familia GameOver Zeus. GameOver Zeus ha sido utilizado durante años con un gran beneficio, especialmente a través de fraude electrónico. Utiliza una arquitectura peer-to-peer para difundir y enviar mercancías robadas, optando por renunciar a un sistema centralizado de control y comando. Técnicas de P2P y algoritmo de generación de dominio hacen que los botnet sean mas difícil de desarticular y extienden la vida útil de estos sistemas de malware. La campaña anterior de Dridex dirigido a los clientes de banca del Reino Unido con los mensajes de spam falsos de empresas populares, ya sea locales o activas en el Reino Unido. El spam  utilizando macros inicio en octubre y continuo hasta mediados de diciembre; los mensajes contenían adjuntos maliciosos que hacían pasarse por facturas de una serie de fuentes, incluyendo las compañías navieras, minoristas, empresas de software, instituciones financieras y otros.

Con información de The Hacker Herald

Casper Malware Vinculado a agencia de espionaje francés

Investigadores de seguridad han descubierto una nueva campaña de ataque dirigido patrocinada por el Estado, con lazos al programa espía francés Babar, que se utilizó el año pasado contra objetivos sirios.

Casper es una "herramienta de reconocimiento bien desarrollada" con varias características diseñadas específicamente para permanecer oculto en los equipos cautivos y ser más astuto que los productos antivirus, según el analista de Eset Joan Calvet.

Ella afirmó en un blog el jueves que la empresa fue capaz de estudiar dos exploits de flash día cero dirigidas a la vulnerabilidad CVE-2014-0515 y que fue encontrado en un sitio web del Ministerio de Justicia sirio.

Estas vulnerabilidades fueron "muy probablemente", desarrolladas por la gente detrás de Babar y otras dos piezas de malware francés relacionadas apodadas Bunny y NBOT, dijo.

Eset sabe porque todos comparten varias características, incluyendo el hecho de que se esconden las llamadas a funciones de la API "mediante el uso de un hash calculado a partir de los nombres de las funciones, en lugar de los propios nombres."

Las diferentes piezas de malware también recuperan información acerca del Antivirus que se ejecuta en una máquina específica a través de la misma solicitud WMI, y calculan el hash SHA-256 de la primera palabra del nombre de anti-virus, Calvet afirmó.

"Casper genera delimitadores para sus solicitudes HTTP rellenando una cadena de formato específico con los resultados de las llamadas a la función API GetTickCount. El mismo código está presente en algunas muestras de NBOT", añadió.

"Ninguno de estos signos solo es suficiente para establecer un vínculo fuerte, pero todas las características compartidas juntos nos hace valorar con alta confianza que Bunny, Babar, NBOT y Casper fueron desarrollados por la misma organización."

Todas las personas a quien se dirigio Casper se encontraban en Siria, pero Eset no logró determinar si habían sido redirigidos desde una página legítima de la misma página web del gobierno comprometido - jpic.gov.sy - o de otra fuente, como un enlace de correo electrónico malicioso o un sitio de terceros hackeado.

Calvet ha añadido:

"Esto nos lleva a una segunda hipótesis: la página web 'jpic.gov.sy' podría haber sido hackeada para servir como un área de almacenamiento. Esto tendría al menos dos ventajas para los atacantes: en primer lugar, la organización de los archivos en un servidor de Siria puede que sean más fácilmente accesibles desde Siria, un país cuya conexión con el mundo exterior a internet ha sido inestable desde el comienzo de la guerra civil ... En segundo lugar , sería engañar a los esfuerzos de atribución por levantar sospechas contra el gobierno sirio ".

 Sin embargo, no hay evidencia directa en Casper mismo "para señalar con el dedo a un determinado país," aunque está claro que sus autores pertenecían a una "poderosa organización", concluyó Calvet.

Descubierto el mes pasado después de haber sido mencionado en documentos filtrados por Edward Snowden, Babar se piensa que es la obra de la francesa Direction Générale de la Sécurité Extérieure.

Con informacion de InfosecurityMagazine

FREAK: Ultima en la lista de vulnerabilidades sobre SSL

Por enésima vez en los últimos dos años, los expertos en seguridad están advirtiendo sobre una nueva vulnerabilidad a escala de Internet, esta vez en algunos clientes SSL populares. La falla permite que un atacante pueda obligar a los clientes a bajar a los cifrados débiles y romper sus comunicaciones supuestamente encriptados a través de un ataque man-in-the-middle.

Recientemente, los investigadores descubrieron que algunos clientes SSL, incluyendo OpenSSL, aceptan claves débiles RSA conocidos como claves de grado de exportación sin pedir dichas claves. Grado de exportación se refiere a 512 bits claves RSA, la fuerza clave que fue aprobada por el gobierno de Estados Unidos para la exportación al extranjero. Esto fue hace un componente de décadas atrás y se pensaba que la mayoría de los servidores y clientes desde hace mucho tiempo habían abandonado esos cifrados débiles.

"El grado de exportación de cifrado RSA son los restos de un esfuerzo de 1980-vintage para debilitar la criptografía y asi las agencias de inteligencia fueran capaces de controlar. Esto se hizo mal. Tan mal, que si bien las políticas fueron desechadas en última instancia, todavía estamos sufriendo a causa de ellas", escribió en un blog que explica la vulnerabilidad y sus consecuencias, el criptógrafo Matthew Green, de la Universidad Johns Hopkins, .

"El cifrado de grado de exportación de 512 bits en teoría que fue diseñado para asegurar que la NSA tendría la capacidad 'de acceso' a las comunicaciones , mientras que supuestamente proporcionaria un cifrado que todavía era "suficientemente bueno" para uso comercial.

La vulnerabilidad afecta a una variedad de clientes, más notablemente el navegador Safari de Apple. El error fue descubierto por un nutrido grupo de investigadores de Microsoft Research y el Instituto Nacional de Investigación en Informática y Automática, y encontraron que un servidor que soporta sistemas de cifrado de grado de exportación y un cliente que acepte esas claves débiles, un atacante con un ataque man-in-the-middle podría obligar a un cliente bajar a utilizar llaves débiles. A continuación, tomar la llave y descifrar, lo que los investigadores fueron capaces de hacer en aproximadamente siete horas y media, usando Amazon EC2. Y porque es intensivo en recursos para generar claves RSA, los servidores generarán uno y continúan utilizándolo de forma indefinida.

"Lo que esto significa es que usted puede obtener esa clave RSA una vez, el factor, y romper todas las sesiones que pueda obtener su"man-in-the-middle" hasta que el servidor se caiga. Y ese es el juego de pelota ", dijo Green.

El número de servidores vulnerables no es insignificante. Investigadores de la Universidad de Michigan encontraron que el 36,7 por ciento de los sitios de confianza del navegador son vulnerables a este ataque, que está siendo llamado FREAK, por ataque relacionado con factorizar las claves (keys) RSA. Pero los expertos dicen que, en la práctica, el ataque no puede ser de un peligro inminente.

"En la práctica, no creo que este es un gran problema terrible, pero sólo porque usted tiene que tener muchos"factores alineados": 1) encontrar un servidor vulnerable que ofrece exportación de conjuntos de cifrado; 2) debe volver a utilizar una clave para un largo tiempo; 3) Romper la llave; 4) encontrar clientes vulnerables; 5) ataque a través de MITM (fácil de hacer en una red local o wifi, no es tan fácil de otra manera), "dijo Ivan Ristic de Qualys.

Pero, como señala Green, las cosas en Internet a menudo son peores de lo que parecen.

"No importa lo mal que usted piense que esta el Internet, siempre puede sorprender. La sorpresa en este caso es que el grado de exportación RSA no esta para nada extintos como pensábamos que era ", dijo.

Con información de The Hacker Herald

Snowden "listo para regresar a los Estados Unidos", afirma abogado

Pero sólo si se le promete un "juicio legal e imparcial"

El denunciante de la NSA Edward Snowden está listo para volver a casa a los EE.UU., según su abogado ruso.

Sin embargo, el ex administrador de sistemas - que es central en la mayor filtración de inteligencia clasificada - sólo volvería a cambio de que se le prometa un juicio justo.

"Snowden está listo para regresar a los Estados Unidos, pero con la condición de que se le da una garantía de un juicio legal e imparcial", dijo su abogado ruso Anatoly Kucherena en una conferencia de prensa el martes.

"Él está pensando en ello. Él tiene el deseo de regresar y estamos haciendo todo lo posible para que esto ocurra", agregó.

El ex contratista de la NSA ha estado en Rusia desde 2013 al pasar rápidamente a través de Hong Kong después de filtrar una enorme cantidad de archivos de seguridad nacional clasificados a periodistas.

Las autoridades estadounidenses solicitaron que debía ser entregado cuando salió a la luz en el aeropuerto de Moscú. La mejor garantía de que ha recibido desde que se le confirmó por parte de la Fiscalía General de Estados Unidos que no se enfrentará a la pena de muerte.

Frente a ninguna facilidad para llegar a un país amigo que le pudiera conceder asilo - algunos se retractaron de sus ofertas, posiblemente bajo presión de Estados Unidos - Snowden ha permanecido en Rusia. A Snowden se le dio asilo político en Rusia en el verano del 2013, que desde entonces se ha ampliado a tres años de permiso de residencia. Vive una "vida solitaria".

Los comentarios de Kucherena se produjeron durante una conferencia de prensa que acompañaba el lanzamiento de un thriller vagamente basada en la historia de Snowden.

BitTorrent Sync 2.0 con sus favorables características tan esperadas ya está disponible para el público

BitTorrent ha actualizado su versión 1.4 a Sync 2.0 y ha introducido una serie de características que la hacen más avanzada y competitiva contra sus diversos rivales como el Google Drive y Drop Box. BitTorrent ha dejado la etiqueta de beta y ahora está a disposición del público junto con sus características adicionales Pro.

Sync construyó una herramienta sencilla de transferencia de archivos directamente entre los dispositivos a través de una nube, sin embargo no mantenerlos en la Nube o terceros. Sync da un control total de la gestión de los datos, junto con la transferencia de los archivos de gran tamaño con facilidad y rapidez. La nueva versión 2.0 de Sync tiene todas las características de su anterior versión 1.4 como compartir carpetas en todas las plataformas de forma segura y con visibilidad de quién tiene acceso con algunas características adicionales que serán útiles para los profesionales de TI y usuarios avanzados.

Sync 2.0 introduce características Pro, que es el principal atractivo de esta versión, las características adicionales de Pro son los siguientes:

• La capacidad de compartir carpetas y archivos en el rango terabyte
• Permisos de carpeta adicionales y controles de propiedad para usuarios individuales
• Permite el acceso sólo a los archivos específicos en lugar de toda la carpeta
• Sincronización automatizada a través de dispositivos
• Soporte técnico prioritario
• Menor Precio: En comparación con la Google Drive y Drop Box que cobra una tarifa de $80 dólares el Sync Pro costará $ 39.99 al año. También durante el primer mes se dará de forma gratuita para los usuarios que deseen comprobar sus características. BitTorrent no utiliza grandes servidores centralizados y por lo tanto es capaz de dar su servicio a un costo mucho más bajo.

He aquí una herramienta mas a consideración.

Fuente: TW

¡Cuidado! Nueva campaña fraudulenta de Netflix

La famosa compañía anti-malware, MalwareBytes advirtió sobre una nueva campaña iniciada a finales de Febrero, dirigida a los clientes o clientes potenciales del servicio de Programación bajo demanda: Netflix.

En el informe se describe como una pagina idéntica a la legitima Netflix es servida desde el dominio nefixx[punto]co[punto]uk e intenta persuadir de suscribirse a nuevos usuarios o actualizar su información financiera.

Imagen del sitio falso

En la siguiente imagen se puede observar que el dominio fue registrado recientemente:

Esto es como recordatorio de que el internet no es un lugar seguro y pasar desapercibido no es una opcion en estos dias. Abstengase de abrir correos no deseados o no solicitado y no haga click en enlaces de internet sospeecho.

PayPal detiene el procesamiento de pagos a Mega de Kim Dotcom

Mega, el servicio de almacenamiento en línea fundado por Kim Dotcom, ha sido abandonado en un arroyo después de que PayPal detuvo el procesamiento de pagos a la empresa.

La medida ha dejado a Mega sin un medio popular de cobro a los clientes, aunque el portavoz Stephen Hall dijo que aún era posible que la gente a comprar bonos para su servicio.

Mega dijo que no suspenderá las cuentas de los clientes por falta de pago o forzará a cumplir límites de almacenamiento en su servicio hasta que se encuentre una alternativa para PayPal, que se espera sea a finales de este mes.

Las compañías de tarjetas de crédito Visa y Mastercard nunca habían apoyado pagos a Mega, lo que significa que PayPal había sido un salvavidas para la empresa, en la que un fideicomiso familiar Dotcom es un accionista minoritario.

Hall reiteró que Kim Dotcom ya no esta involucrado personalmente con el negocio.

Mega afirmó en un blog que el presidente del Comité Judicial del Senado de Estados Unidos, Patrick Leahy, había convencido a Visa y Mastercard para bloquear los pagos a los servicios en línea que en un informe de septiembre por la Alianza de Ciudadanos Digitales de los EE.UU. supuestamente era refugio para la infracción de derechos de autor.

Mega fue polémicamente incluida entre las 15 empresas de esa lista. Mega dijo que Visa y MasterCard tenían a su vez "presionados" a PayPal a seguir su ejemplo.

Mega tiene 15 millones de miembros, aunque la gran mayoría tienen cuentas gratuitas. Se cobra por cuentas premium que tienen características adicionales.

Fuente: Stuff

AVG revela sus gafas de "Invisibilidad"

Los anteojos ayudan a proteger su identidad visual en la era digital.

A través de una mezcla de tecnología y materiales especializados, estos lentes de invisibilidad pueden hacer que sea difícil para las cámaras u otras tecnologías de reconocimiento facial, obtener una visión clara de su identidad.
Hay una serie de razones por lo que las gafas de invisibilidad podrían ser una herramienta valiosa de privacidad en el futuro:

• El creciente uso de cámaras de teléfonos inteligentes en lugares públicos significa que es más probable que imágenes no solicitadas tomadas de nosotros puedan terminar en línea.
• Proyectos de Big Data como StreetView de Google ponen de relieve la posibilidad de que nuestros rostros e identidades aparezcan en el dominio público.
• Los avances en las tecnologías de reconocimiento facial, como Deepface de Facebook, pronto podrían dar un poder a corporaciones privadas, no sólo para reconocernos, sino también para cruzar referencias con nuestras caras y otros datos encontrados en línea.

Mientras que la tecnología detrás de unas gafas de invisibilidad se encuentra todavía en fase de prototipo, en general, hay dos métodos diferentes de la lucha contra el reconocimiento facial no deseado:

Luz infrarroja

El uso de luz infrarroja para romper el software de detección facial se introdujo por primera Isao Echizen de Tokio Instituto Nación de Informática.

La idea es colocar LEDs infrarrojos insertados alrededor de los ojos y las áreas de la nariz. Dado que las luces infrarrojas son completamente invisibles a los ojos humanos, que sólo son detectables por las cámaras que son sensibles a las longitudes de onda de estos LEDs. Afirman romper la detección de rostros cuando las luces están encendidas.

En este ejemplo se muestra cómo infrarrojos se puede utilizar para evitar la tecnología de reconocimiento facial de Facebook.

Aunque AVG confirmo que únicamente es un prototipo, podemos pronosticar que mucha gente querra adoptarlo, sobre todo con todo movimiento desatado en torno a la vigilancia masiva.

Ver en AVG

AVG revela sus gafas de "Invisibilidad"

Los anteojos ayudan a proteger su identidad visual en la era digital.

A través de una mezcla de tecnología y materiales especializados, estos lentes de invisibilidad pueden hacer que sea difícil para las cámaras u otras tecnologías de reconocimiento facial, obtener una visión clara de su identidad.

Hay una serie de razones por lo que las gafas de invisibilidad podrían ser una herramienta valiosa de privacidad en el futuro:

• El creciente uso de cámaras de teléfonos inteligentes en lugares públicos significa que es más probable que imágenes no solicitadas tomadas de nosotros puedan terminar en línea.
• Proyectos de Big Data como StreetView de Google ponen de relieve la posibilidad de que nuestros rostros e identidades aparezcan en el dominio público.
• Los avances en las tecnologías de reconocimiento facial, como Deepface de Facebook, pronto podrían dar un poder a corporaciones privadas, no sólo para reconocernos, sino también para cruzar referencias con nuestras caras y otros datos encontrados en línea.

Mientras que la tecnología detrás de unas gafas de invisibilidad se encuentra todavía en fase de prototipo, en general, hay dos métodos diferentes de la lucha contra el reconocimiento facial no deseado:

Luz infrarroja

El uso de luz infrarroja para romper el software de detección facial se introdujo por primera Isao Echizen de Tokio Instituto Nación de Informática.

La idea es colocar LEDs infrarrojos insertados alrededor de los ojos y las áreas de la nariz. Dado que las luces infrarrojas son completamente invisibles a los ojos humanos, que sólo son detectables por las cámaras que son sensibles a las longitudes de onda de estos LEDs. Afirman romper la detección de rostros cuando las luces están encendidas.

En este ejemplo se muestra cómo infrarrojos se puede utilizar para evitar la tecnología de reconocimiento facial de Facebook.

Aunque AVG confirmo que únicamente es un prototipo, podemos pronosticar que mucha gente querra adoptarlo, sobre todo con todo movimiento desatado en torno a la vigilancia masiva.

Ver en AVG

50,000 nombres de conductores y números de licencia de Uber expuestos en una violación de datos

El viernes Uber publicó un aviso diciendo que la compañía había descubierto que una de sus bases de datos tenían un punto de entrada para usuarios no autorizados. En una nueva investigación, encontró que "una sola vez el acceso no autorizado a una base de datos de Uber por un tercero había ocurrido el 13 de mayo de 2014." Esa base de datos de se informa, contenía nombres de conductores y números de licencia.

"Nuestra investigación determinó el acceso no autorizado impactando aproximadamente a 50.000 conductores en varios estados, que es un pequeño porcentaje de los socios conductores Uber actuales y anteriores," informa la nota de Katherine Tassi, Gerente Asesor de Uber de Privacidad de Datos, afirmó. La compañía agregó que no ha recibido ningún reporte de mal uso de identidad, aunque no está claro si los conductores han informado algo desde la notificación de la violación.

Uber dijo que estaba alertando conductores afectados y les ofrecerá un año de suscripción gratuita a un servicio de monitoreo de identidad. Tassi dijo que Uber había presentado una demanda "John Doe" a fin de "reunir información que pueda conducir a la confirmación de la identidad de la tercera parte."

Uber ha tenido problemas de privacidad en el pasado, no tanto a manos de piratas informáticos, pero en las manos de su propia gestión. El año pasado, el director general de Uber sugirió que la empresa hacer "investigación de la oposición" en las idas y venidas de los periodistas que escribieron cosas negativas acerca de Uber. Antes de eso, la compañía se abrió en escándalo cuando se visualiza la actividad en tiempo real de 30 de sus "usuarios notables" en una fiesta de lanzamiento en Chicago.

Uber ha tenido problemas de privacidad en el pasado, no tanto a manos de piratas informáticos, pero en las manos de su propia gestión. El año pasado, el director general de Uber sugirió que la empresa haga "investigación de la oposición" en las idas y venidas de los periodistas que escribieron cosas negativas acerca de Uber. Antes de eso, la compañía se abrió en escándalo cuando se visualizó la actividad en tiempo real de 30 de sus "usuarios notables" en una fiesta de lanzamiento en Chicago.

Fuente: AT

Policia de EEUU utiliza Facebook para buscar a persona que perdió bolsa de cocaina

Usualmente, la policía es conocida por capturar criminales, pero el departamento de policía de Crewe (CPD) del Estado de Virginia está haciendo noticia por otras razones.

El 17 de febrero, a las 22:34, la página de los medios de comunicación social de la CPD publicó una actualización preguntando si alguien dejó caer por error su cocaína en una tienda Super Dollar, si sí, entonces póngase en contacto con nosotros (la policía) para continuar el debate sobre su propiedad.

Al principio parecía que la página de la CPD Facebook habia sido hackeada, pero después de recibir preguntas, la policía empezó a responder a cada comentarista uno por uno; explicando la gravedad del asunto.

Aquí el estado publicado por el departamento de policía de Crewe:

Post by Crewe Police Department.

La actualización de estado se volvió viral. Muchos se burlaron mientras algunos estaban interesados en saber mas sobre el asunto. Cuando un comentarista preguntó si la policía le devolverá el de cocaína a su propietario, la policía respondió:

Nos han estado preguntado "¿La van a regresar?" Déjenos dejar en claro... ¡NO! No les devolveremos sus narcóticos ilegales. Ya han sido pesados, fotografiados y colocados en el armario de evidencia para ser destruidos tan pronto como se tenga la aprobación de la corte. Distribuimos muchas cosas, como paletas a nuestros niños favoritos, infracciones para los que conducen a exceso de velocidad, pero no re-distribuimos drogas. Esperamos que esto resuelva cualquier confusión.

Hasta ahora nadie se ha puesto en contacto o visitado la comisaría para reclamar su "sustancia blanca".

Propietarios de NAS Seagate: ocultenla detrás de un firewall. Rápido.

Un investigador de seguridad de Australia que comenta que una gran cantidad de dispositivos NAS de Seagate llevan una grave vulnerabilidades deben mantenerse alejados de la Internet.

DO Reeves de Beyond Binary dice que la línea de Seagate NAS negocios, hasta la versión 2014,00319, lleva a las versiones antiguas de PHP, CodeIgniter y Lighttpd. Todos ellos, tienen vulnerabilidades explotables remotamente.

Además de estos, se dice que la aplicación de administración "contiene una serie de cuestiones relacionadas con la seguridad".

PHP 5.2.12 es vulnerable a CVE-2006-7.243, un error de especificación ruta del archivo; mientras que la interfaz Web que se ejecuta en Lightppd se ejecuta como root, es decir, cualquier explotación exitosa también se ejecuta como root.

La vulnerabilidad CodeIgniter es un poco más compleja: hay una combinación de dos errores, CVE-2014-8686 y CVE-2014 hasta 8687.

En el primero de éstos, el token de sesión de PHP de CodeIgniter crea: incluye datos controlables por el usuario que Beyond Binary dice "permite que los usuarios extraigan la clave de cifrado y descifrar el contenido de la cookie".

"Una vez descifrados, los usuarios pueden modificar el contenido de la cookie y volver a cifrarlo antes de presentarlo de nuevo al servidor, lo que resulta en otros vectores de ataque potenciales, incluyendo la inyección objeto PHP".

Y, en un escenario de error que es tristemente común en el mercado de hardware, todas las unidades NAS vulnerables envían la misma clave de cifrado para todas las instancias de CodeIgniter en lugar de generar una clave única para cada caja.

"CodeIngiter requiere una clave que encripta cookies," dijo Reeves a Vulture South. Puesto que todas las unidades utilizan la misma llave, "que te permite llevar tu cookie actual, y aplicarla a otra máquina para obtener privilegios de administración."

Fuente: TR

India prohíbe servicios de correo electrónico de terceros como Gmail, Yahoo, Live en departamentos gubernamentales

Utilice servidores de correo electrónico de NIC para la comunicación Gubernamental dice la nueva 'Política de E-mail de Gobierno de la India'.

Dado el riesgo de violaciones de datos en los servicios de correo electrónico de terceros como Gmail, Yahoo!, Microsoft Live etc., la largamente esperada movida del Gobierno de la India fue notificada este 18 de febrero, por lo tanto equitativamente también se prohibe uso de todas estas herramientas de correo electrónico a los usuarios en los departamentos gubernamentales.

Al emitir dos notificaciones llamadas 'Política de E-mail de Gobierno de la India "y" Políticas de uso de recursos de Tecnología de la Información del Gobierno de la India, "el gobierno de la India impuso efectivamente la prohibición de uso de las redes privadas de correo electrónico como Gmail y Yahoo.

Las nuevas políticas establecen que los servidores de correo electrónico proporcionados por el gobierno de propiedad del Centro Nacional de Informática o NIC, como se le llama popularmente, se pueden utilizar para las comunicaciones oficiales y semi oficiales dentro y fuera de los departamentos gubernamentales.

"Los servicios de correo electrónico proporcionados por otros proveedores de servicios no podrán ser utilizados para cualquier comunicación oficial", dice la notificación. Estas políticas notificadas cubrirán a todos los empleados del gobierno central, los empleados de los gobiernos de los estados / Territorios de la Unión, varios departamentos de los gobiernos, así como los organismos autónomos.

En el mes de septiembre de 2014 se rumoraba ya la los planes de la prohibición de Gmail y Yahoo, estaban en marcha en los pasillos del poder en Delhi. La causa inmediata de las acciones de los gobiernos eran la fuga de los 5 millones de nombre de usuario y la contraseña de Gmail  que ocurrió en septiembre.

Otras razones más apremiantes eran las fugas intermitentes que salían de la fugas del archivo maestro del Snowden que dieron la impresión de que todos los datos del gobierno fue supervisado por la NSA y GCHQ en algún punto del tiempo.

Las políticas notificadas establecen medidas para garantizar el acceso seguro y adecuado y el uso de los recursos de TI de gobierno y "prevenir su mal uso" de los usuarios (funcionarios).

"El mal uso de estos recursos puede resultar en riesgo y responsabilidades no deseadas para el gobierno", dice la política. Las medidas ahí estipulados son: "NIC puede bloquear el contenido que, a juicio de la organización en cuestión, no es adecuado, o puede afectar negativamente a la productividad de los usuarios."

Con el uso de los servidores de la NIC, el gobierno puede y seguirá de cerca las actividades en línea de los burócratas, los altos funcionarios de las UPM y otros empleados y le permitirá bloquear el contenido que se siente, afecta negativamente Gobierno de la India en términos de cuestiones de productividad o de política. Las nuevas notificaciones permiten al gobierno eliminar los correos electrónicos o la historia de Internet en las computadoras de los empleados del gobierno después de notificar al usuario.

Las notificaciones establecen el procedimiento operativo estándar (SOP) para la presencia en línea de un empleado del gobierno. NIC puede supervisar las actividades en línea de la red gubernamental, sujeto a procedimientos normalizados de trabajo que la organización puede establecer, y la potencia con la NIC para "acceder, revisar, copiar o borrar" cualquier tipo de comunicación electrónica, tales como archivos, e-mails y la historia de Internet , por "motivos relacionados con la seguridad" bajo debida notificación al usuario.

La política también ha estipulado las condiciones de acceso a los sitios de medios sociales de las redes del gobierno, diciendo que los usuarios utilizarán siempre "configuración de alta seguridad" en dichos sitios, no publicaran material "ofensivo, amenazante, difamatorio, intimidación, racista, odio, de acoso, obsceno o sexista" en Twitter o Facebook, y no hacer ningún comentario o enviar cualquier material que pudiera" provocar daños a la reputación de la organización".

La política ha especificado que, además de NIC, no habría ningún otro servicio de correo electrónico bajo el Gobierno de la India y dice que no está permitido guardar automáticamente la contraseña (o compartirla) en el servicio de correo electrónico del gobierno.

"Todas las organizaciones, excepto las exentas en virtud de la cláusula 14 de esta política, deberían migrar sus servicios de correo electrónico para el despliegue centralizado de la NIC por razones de seguridad y la aplicación de políticas uniformes", dice la notificación.

Una excepción se ha hecho para las organizaciones que se ocupan de la seguridad nacional, las cuales tienen sus servidores de correo independientes.

"Pueden seguir utilizando el mismo siempre que el email servidores están alojados en la India. Sin embargo, en aras de la seguridad y aplicación uniforme de la política, se recomienda que estas organizaciones deberían considerar la migración al servicio básico de NIC, " dice la política notificada.

Fuente: TW

Empleados de Facebook pueden acceder a tu cuenta sin contraseña

Tu cuenta de Facebook incluidos tus datos privados puede ser vistos por un empleado de Facebook

Su Facebook y la información privada puede ser accesada por los ingenieros de Facebook en cualquier momento, cualquier día sin ni siquiera tener su contraseña o notificarte que alguien lo ha hecho. Facebook dice que esto se está haciendo para un bien mayor, pero ¿realmente sera así?


Paavo Siljamäki, director del sello discográfico, Anjunabeats, fue a la oficina de Facebook para indagar acerca de cómo usar Facebook de forma óptima para su promoción discográfica. Sin embargo, él se encontró con una escena bastante desconcertante cuando la persona detrás del escritorio en la oficina Facebook entro en su cuenta de Facebook sin siquiera requerir la contraseña, aunque si le pidió permiso de manera educada para acceder a ella.

Paavo escribió lo siguiente en su cuenta de Facebook:

En español se lee así:

Historia de reflexión de hoy: Fui a las oficinas de Facebook en Los Angeles, la gente cálida de ahí nos estaba dando consejos de como usar Facebook mejor. Después se me pregunto si estaba bien que entrara a mi perfil, le dije 'Seguro'. Entonces un ingeniero de Facebook entro directo a mi cuenta usando mi identidad y viendo mi contenido privado sin siquiera requerir mi contraseña. Me hizo preguntarme, ¿Cuantos usuarios tendrán este tipo de acceso 'maestro', para entrar en cualquier cuenta? ¿Cuales son las reglas de quien y cuando pueden acceder a nuestra información privada? Y ¿Como sabríamos si alguien lo hizo? (Mi cuenta de facebook no me notifico que alguien haya entrado a ver mi información privada).

Lo importante sobre el empleado de Facebook al acceder el perfil de Siljamäki fue que, al usuario no le llegó siquiera un correo electrónico como señal de que se está accediendo a su página de perfil. Además tampoco se conoce el número exacto de empleados de Facebook tienen una 'llave maestra' para acceder a todos los usuarios en las páginas de Facebook.

Facebook publicó una declaración oficial sobre este hecho:

"Tenemos controles administrativos, físicos y técnicos rigurosos para restringir el acceso de los empleados a los datos del usuario. Nuestros controles han sido evaluadas por terceros independientes y confirmado varias veces por la Oficina del Comisionado de Protección de Datos de Irlanda como parte de su revisión de nuestras prácticas." "El acceso se hace por etapas y limitada por la función de trabajo, y los empleados designados sólo puede acceder a la cantidad de información que es necesario para llevar a cabo sus responsabilidades de trabajo, como respuesta a los informes de fallos o preguntas de soporte cuenta. Dos sistemas separados están en su lugar para detectar patrones sospechosos en la conducta, y estos sistemas producen informes una vez por semana que son revisados por dos equipos independientes de seguridad ". "Tenemos una política de cero tolerancia al abuso, y los resultados de comportamiento impropio en la terminación."

En su comunicado, Facebook no explico cuantos empleados "elite" tenían este tipo de acceso, pero dejó clara una cosa: que tenían cero tolerancia para el abuso de dichos poderes.

Facebook dijo que la herramienta de servicio al cliente que puede permitir el acceso a un cualquier cuenta de usuario de Facebook es fuertemente vigilado y controlado, requiere el consentimiento del usuario (en la aprobación verbal, caso de Siljamäki fue tomada) y sólo se puede utilizar en casos específicos por un grupo selecto de empleados .

La declaración de Facebook dice que el abuso de estos poderes puede resultar en el despido de ese empleado en particular, pero sucederá en una etapa posterior, cuando el abuso ya ha sucedido.

¿Qué pasará con los usuarios de Facebook cuyas cuentas de Facebook son abusados de cualquier manera malintencionada o de mala fe por cualquier empleado o grupo de empleados? ¡Esta pregunta parece que jamas será respondida!

TalkTalk advierte a sus clientes sobre un robo de datos no masivo

La compañía de telefonía e Internet basada en el Reino Unido TalkTalk está advirtiendo a sus clientes que sus datos pueden haber sido comprometidas en una violación de la seguridad de los sistemas informáticos de la empresa.

Según la empresa, los estafadores lograron adquirir ilícitamente números de cuenta y los nombres de los clientes por medios engaños.

En concreto, TalkTalk describió cómo los estafadores utilizaban la información para tratar de engañar a los clientes para que ingresaran sus datos bancarios.

Mientras que el incumplimiento ha afectado en realidad sólo unos pocos miles de cuentas de clientes, TalkTalk ha advertido a toda su base de usuarios.

La compañía también ha establecido una línea telefónica exclusiva para que los clientes llamen si creen que sus datos han sido comprometidos.

TalkTalk descubrió el robo de datos después de investigar un fuerte aumento de quejas de los clientes sobre las llamadas de estafa durante el período comprendido entre octubre y diciembre del año pasado.


Un portavoz TalkTalk (a través de la BBC), dijo: "Hemos concluido una investigación a fondo de trabajo con una empresa de seguridad externa, y nos hemos dado cuenta que alguna información no sensible limitada puede haber sido visitada ilegalmente en violación de nuestro procedimiento de seguridad."

Los hackers supuestamente obtuvieron acceso a los sistemas de TalkTalk a través de un tercero que también tiene acceso a la red.

TalkTalk ahora está tomando acciones legales contra este tercero, aunque todavía no está claro quién o de cual tercero se trata.

La información conseguida consta de nombres, direcciones, números de teléfono y números de cuentas TalkTalk, aunque no hay pruebas de que se hayan robado datos de pago.

"Somos conscientes de un pequeño, pero significativo, número de clientes que han sido atacados directamente por estos criminales y hemos estado apoyando", agregó el portavoz.

Con información de TrustedReviews

Tails OS, el sistema operativo para navegar anonimamente

¿Alguna vez has tenido curiosidad de entrar en la Deep Web?

¿Tienes alguna razón para navegar de manera anónima?

O simplemente quieres preservar tu privacidad, te presentamos Tails OS, es un sistema operativo basado en Debian y esta diseñado precisamente para esto, dirigiendo todas tus peticiones hacia internet por medio de la red Tor.

Con Tails, puedes elegir no dejar rastro de tu actividad en tu computadora, incluye también herramientas criptográficas para el cifrado de tus archivos, correo electrónico o mensajería instantánea.

Si estas interesado en probar este sistema operativo, visita la pagina oficial del proyecto en y descarga la imagen.

Al momento de esta publicación, la versión mas reciente es Tails 1.3.