Muchos ya conoceréis el cliente Tweetdeck, un magnífico cliente para los que nos parece muy limitada la interfaz web de Twitter. Pues bien, Tweetdeck es vulnerable a ataques XSS, y se ha descubierto hoy a raíz de un _tweet_ malicioso.

El problema viene del hecho de que Tweetdeck está escrito en HTML, e interpreta algunos códigos HTML que haya en los tweets. Más concretamente, interpreta lo que haya dentro de etiquetas script y ejecuta el código JavaScript que haya dentro. En el _tweet_ malicioso más distribuido, el código simplemente retuitea el código original y muestra una alerta al usuario. Sin embargo, no es descartable que puedan aparecer _scripts_ con peores intenciones, que distribuyan spam o traten de tomar el control de tu cuenta.

A pesar de que, según @TweetDeck, la vulnerabilidad ya se ha corregido y se aplica saliendo y volviendo a entrar en la aplicación, en muchos casos el problema sigue apareciendo. Finalmente han apagado el servicio de TweetDeck (no aclaran cuáles) mientras resuelven la vulnerabilidad, así que no os sorprendáis si no podéis acceder.

En teoría, los principales afectados son los usuarios de la versión web en Chrome. Sin embargo, en otras versiones también falla: en mi caso, en Tweetdeck de escritorio, he visto la ventana de alerta "XSS in Tweetdeck".

En muchos medios veréis que se recomienda cambiar las contraseñas. Aunque no es una mala práctica, sobre todo si la contraseña es débil o repetida, no debería ser necesario. Si todo se ha hecho bien, desde TweetDeck no se podría acceder a vuestra contraseña, así que bastaría con revocar el acceso a la aplicación si creéis que vuestra cuenta ha podido ser comprometida.

Os mantendremos actualizados con las novedades que haya sobre el tema.

En Genbeta hablamos de software e Internet, y algunos de esos artículos hablan de seguridad informática: vulnerabilidades en aplicaciones, ataques a servidores, protocolos poco seguros… Por eso, hoy en Genbeta vamos a tratar, sin entrar en detalles técnicos, algunos temas de seguridad informática.

Como en todo, conviene saber sobre qué estamos trabajando (Internet en este caso), y cómo protegemos nuestra seguridad. Y qué mejor lugar que Genbeta (tanto en artículos como en los comentarios) para entrar un poco en materia. Aunque no soy un experto en seguridad, voy a tratar de explicaros algunos conceptos básicos de la seguridad en Internet y cómo nos afectan como usuarios.

¿Cómo se mantienen nuestras contraseñas seguras?

Las contraseñas son la primera barrera que ponemos para que nadie puede entrar en nuestra cuenta. En Genbeta os dimos consejos para mantener vuestras contraseñas seguras, pero, ¿qué hacen los servidores, los que las guardan, para que también estén seguras por su parte?

Si vosotros mandáis la contraseña “pepe” al servidor, en su base de datos no se guarda “pepe”, sino algo llamado el hash. Por así decirlo, el hash es la huella digital de una palabra. Teóricamente es único, y a partir de él no se puede recuperar la palabra original. De esta forma, aunque un atacante lograse todos los hashes de un servidor, le resultaría difícil recuperar las contraseñas.

Sin embargo, como bastantes medidas de seguridad, los hashes se pueden saltar a lo bruto, en este caso, probando. Al final, este método consiste en probar muchas combinaciones de letras y palabras de diccionario a ver si alguna coincide. Por eso es importante que vuestra contraseña no sea una palabra o algo sencillo. Si usáis como contraseña “patata”, por mucho hash que haya estáis vendidos.

OAuth (Twitter y Facebook Connect), más seguro que las contraseñas

En algunos sitios tenéis la opción de entrar no con usuario y contraseña, sino con vuestra cuenta de Facebook o Twitter a través del protocolo OAuth. Además de ser más cómodo, este método de autenticación es bastante más seguro.

Este método es bastante sencillo. Cuando entras en un sitio web con Twitter o Facebook, te redirigen a la página de la red social. Ahí, tu das la autorización para que la web pueda acceder (con más o menos privilegios) a tu cuenta. La web recibe un par _token / token_secret_, que son una especie de usuario y contraseña. Con ellos, la web puede acceder a tu cuenta de Twitter o Facebook.

Lo bueno es que cada par de tokens es único. Cada sitio web tiene un par distinto para cada usuario, así que aunque alguien consiguiese todos los pares de todos los usuarios, no le servirían de nada porque sólo sirven para acceder a Twitter/Facebook desde un único sitio. Además, tienen la ventaja de que se pueden revocar: en cualquier momento prohíbes el acceso de la web a tu cuenta sin cambiar ni una sola contraseña.

¿Y nuestros datos? ¿Cómo viajan los datos sin que nadie los vea?

Un certificado que nos indica que la conexión es segura.

Seguro que alguna vez os habéis preguntado cómo funcionan eso que llaman las conexiones seguras, que supuestamente impiden que nadie vea los datos. Es sencillo: cifran los datos (que no encriptan, eso es sólo una mala traducción del inglés). El cifrado consiste en transformar un mensaje de forma que sólo se pueda recuperar el original con una clave, que puede ser o no la misma con la que se cifró.

Cuando establecemos una conexión con un servidor seguro, el navegador y el servidor intercambian las claves en un proceso llamado hand-shaking o apretón de manos. Con esas claves se cifra todo el tráfico entre ambos, así que nadie más puede ver los mensajes. Además, con esto se evita los llamados ataques man in the middle, literalmente hombre en el medio.

Estos ataques consisten en que alguien se convierte en el intermediario entre el servidor y el navegador. Todos los datos transmitidos en cualquier sentido pasan por él, de forma que tú, como usuario, podrías estar recibiendo cosas falsas y enviando datos a alguien que no es quien tú esperas. Las conexiones seguras evitan estos ataques, ya que garantizan que el servidor es quien dice ser.

Las conexiones seguras no sólo aplican a la navegación normal, también a las conexiones WiFi. Por eso es peligroso usar una Wifi abierta. No sólo se te puede colar cualquiera, sino que también pueden ver todo lo que transmites. El tráfico no está cifrado, y es como si estuvieses gritando a los cuatro vientos lo que estás haciendo. Cualquiera podría copiar a su ordenador todo el tráfico que generáis, o incluso manipularlo. Resumiendo: si podéis, no os conectéis a redes wifi abiertas.

¿Qué pasa cuando atacan a un servidor?

Que levante la mano el que no haya oído hablar de la palabra DDoS estas últimas semanas. Nadie, ¿verdad? Y es que últimamente, los DDoS están de moda de la mano de Anonymous. Pero, ¿qué es un DDoS?

Los ataques DDoS son ataques de fuerza bruta. Consisten en dar mucho la lata al servidor saturándole a peticiones, hasta que el servidor dice basta y deja de responder. Es un método muy burdo y simple, pero tremendamente efectivo cuando tenemos a un montón de gente haciendo peticiones a ese servidor.

Además de los DDoS, hay ataques a servidores más sutiles, algunos aprovechándose de aplicaciones no actualizadas. Otros están basados en la pieza entre el teclado y la silla, el querido usuario. Efectivamente, muchas veces el usuario se deja un archivo con las claves visible para todos, deja contraseñas por defecto, da pistas de dónde y cómo atacar…

Si tenéis un blog o algo similar, probablemente deberíais revisar este tipo de cosas. Recordad, nunca dejéis las contraseñas por defecto, y no guardéis nada confidencial, como contraseñas, en archivos de texto que estén accesibles.

Por último, también hay otro tipo de ataque muy conocido, los XSS. Son fallos en las webs que permiten que, cambiando algunos parámetros de la URL podamos mostrar cualquier cosa en la web: un texto, un script, una imagen de Mr Bean… No suelen ser demasiado peligrosos, y algunos navegadores (Chrome por ejemplo) ya lo evitan desde el propio navegador.

¿Y a mí? ¿Pueden atacarme a mi ordenador personal como hacen con los servidores?

Esto es bastante más difícil. Además de las medidas de seguridad que ponga el operador, vuestro ordenador está detrás de un router. Aunque alguien consiguiese tu dirección IP, sería complicado llegar a tu ordenador personal ya que habría que pasar por encima de un router que, salvo que hayáis tocado algo raro (como activar la DMZ, que deja el camino libre a vuestro ordenador), no debería dejar pasar ninguna conexión de este tipo.

De todas formas, que sea más difícil atacar a tu ordenador personal no quita que seas invulnerable. Siempre hay virus, troyanos y malware en general esperando a que algún despistado se lo instale en el ordenador, y para eso sólo vale tener sentido común y un buen antivirus.

¿Por qué es peligroso usar aplicaciones no actualizadas?

Una actualización como esta no sólo trae cosas bonitas y brillantes, también evita problemas de seguridad.

En Genbeta, tanto editores como lectores solemos tener versionitis, y siempre estamos instalando la última versión de todo para tener todas las características. Pero no todas las actualizaciones traen novedades, de hecho, la mayoría de ellas corrigen problemas de seguridad.

¿Qué problemas de seguridad de las aplicaciones nos pueden afectar a nosotros como usuarios? Hay muchos tipos, pero el más peligroso es el llamado buffer overflow, o desbordamiento de búfer.

El desbordamiento de búfer es un fallo que hace que un programa escriba en la memoria RAM más de la cuenta. Así, sobrepasa el espacio que tenía asignado y escribe encima de otra cosa. El problema llega cuando esa otra cosa son instrucciones para que las ejecute el sistema. Aprovechándose de estos fallos, un atacante podría escribir en esa zona de memoria y ejecutar el código que le diese la gana en nuestro ordenador. No suena bien, ¿verdad?

Por eso es tan importante que mantengáis vuestras aplicaciones actualizadas. Ya no es sólo tener lo último de lo último, es una cuestión de seguridad.

Y hasta aquí llega este artículo. Espero que os haya servido para saber un poco más de Internet y cómo podéis estar más seguros en él. Si tenéis algo que añadir o que corregir, no dudéis en hacerlo en los comentarios.

En Genbeta | Cinco consejos que todos deberíamos seguir para evitar problemas mayores
Imagen | Sebastián Piraña | Johan Larrson

Sí, Wordpress vuelve a actualizarse en las dos actuales ramas (Wordpress 2.2.x y Wordpress 2.0.x) con Wordpress 2.2.2 y Wordpress 2.0.11 solventando más de los continuados agujeros de seguridad que se van encontrando cada semana. Por suerte los chicos de Wordpress lo actualizan rápidamente para mantener seguro nuestro sitio.

Como suele ser común en la mayoría de los desarrollos actuales, el problema es un agujero de seguridad XSS en el archivo de subida de ficheros (upload.php) entre otros fallos diversos.

Actualización muy recomendada.

Sitio oficial | Wordpress. Descarga | Wordpress. Vía | Mangas Verdes.