¿Por qué no debemos usar la misma contraseña en todos los servicios que usamos?

Para muchos usuarios, seguramente, la respuesta a esta pregunta es más que evidente y no necesiten ningún tipo de explicación; sin embargo, existe un buen número de usuarios que repiten y repiten la misma contraseña en Facebook, Twitter, Evernote, Gmail y cualquier servicio disponible en la red que se nos ocurra.

• En el hipotético caso que alguien lograse descifrar las contraseñas tendría un listado de pares cuenta de correo-contraseña con la que probar, por ejemplo, en Facebook, Twitter, LinkedIn, Gmail y cualquier servicio que se nos ocurra. Si la contraseña es la misma en todos ellos, un atacante con no muy buenas intenciones tendría “barra libre” para acceder a toda nuestra información personal o realizar publicaciones en nuestro nombre.
• Otro escenario que podemos encontrar es el uso de aplicaciones que usan conexiones no cifradas (el correo, por ejemplo) en redes Wi-Fi abiertas y enviar, por dicho canal, nuestro usuario y contraseña para que un tercero con malas intenciones lo intercepte e intente usarlo en otros servicios o, incluso, que alguien intercepte lo que escribimos en un ordenador de uso público (con un keylogger) y pruebe la contraseña interceptada en otros servicios.

¿Cómo podemos adoptar prácticas seguras sin tener que recurrir a una libreta en la que apuntar todas las contraseñas? ¿Tenemos que depender de nuestra memoria?

Lo ideal sería recordar las contraseñas, no tenerlas que apuntar en ninguna parte y que siguieran patrones seguros pero, si no tenemos buena memoria, siempre podemos recurrir a algunas reglas que nos ayuden a llegar a un equilibrio entre nuestra memoria y algo seguro; por ejemplo, podemos usar patrón y, sobre éste, introducir variaciones.

Noticia "reciente" sobre robo de contraseñas.

Fuente:http://tecnologia.elpais.com/tecnologia/2016/09/22/actualidad/1474570081_475155.html

El gigante de Internet Yahoo ha reconocido que ha sufrido un robo masivo de datos que ha afectado a 500 millones de cuentas de usuarios, uno de los mayores hackeos de la historia. Supera en alcance de Linkedin, que afectó a 360 millones de perfiles, y al anterior de MySpace, que llegó a 100 millones. Los piratas han robado información personal, como fechas de nacimiento, direcciones de correo electrónico, números de teléfono o contraseñas, según ha manifestado el grupo en un comunicado, en el que añade que los datos bancarios o de las tarjetas de crédito de los usuarios no se vieron afectados.

Yahoo asegura que está trabajando en estrecha coordinación con los servicios de seguridad de Estados Unidos para intentar esclarecer todos los extremos de este robo de información, que fue perpetrado en 2014. Aunque la firma explica en su comunicado que no hay evidencias de que el ataque y robo hayan sido patrocinados por un Estado, la agencia Reuters mantiene que esa es la principal sospecha. Según las primeras declaraciones de la empresa, el ataque viene del exterior y sostienen que está avalado por un gobierno.

La firma subraya que el intruso ya está fuera de los sistemas de Yahoo y que se han tomado todas las medidas para asegurar de nuevo las cuentas pirateadas. Además, recomienda que los usuarios que no han cambiado sus contraseñas desde 2014 lo hagan tan pronto como sea posible, y que también modifiquen las preguntas y respuestas de seguridad. Jaime Blasco, experto en seguridad y líder de los laboratorios de AlienVault, insiste en la necesidad de añadir la opción de doble factor de autenticación. También considera importante reseñar que esa cuenta de correo, y su clave, servía como acceso a dos productos populares del universo Yahoo!, la plataforma de blogs Tumblr y el almacén de fotografía social, Flickr.

Este verano Yahoo admitió que estaba investigando la supuesta incursión de un pirata informático llamado Peace, que aseguró tener las credenciales privadas de 200 millones de usuarios de los servicios de Yahoo desde 2012. Peace vende los datos personales, cuentas de correo electrónico y contraseñas en la 'dark web' por tres bitcoins, equivalentes a 1.800 dólares.

Acceso y Tratamiento de Ficheros Informáticos

En particular, respecto a la información de carácter personal contenida en ficheros informáticos, deberá cumplir, en consonancia con lo expuesto en anteriores apartados, las siguientes diligencias:

• Claves de acceso al sistema informático. Las contraseñas de acceso al sistema informático son personales e intransferibles, siendo el Usuario el único responsable de las consecuencias que pudieran derivarse de su mal uso, divulgación o pérdida.
• Bloqueo o apagado del equipo informático. Bloquear la sesión del Usuario en el supuesto de ausentarse temporalmente de su puesto de trabajo, a fin de evitar accesos no deseados.
• Almacenamiento de archivos o ficheros en la red informática. Guardar todos los ficheros de carácter personal empleados por el usuario.
• Manipulación de los archivos o ficheros informáticos. Solo las personas autorizadas, podrán introducir, modificar o anular los datos personales contenidos en los ficheros. 
• Generación de ficheros de carácter temporal. Ficheros de carácter temporal son aquellos en los que se almacenan datos de carácter personal, generados a partir de un fichero general para el desarrollo o cumplimiento de una tarea determinada. Estos ficheros han de ser borrados una vez hayan dejado de ser necesarios.
• No uso del correo electrónico para envíos de información de carácter personal sensible. No utilizar el correo electrónico para el envío de información de carácter personal especialmente sensible.

Comunicación de incidencias que afecten a la seguridad de datos de carácter personal. 
Comunicar al responsable de seguridad las incidencias de seguridad de las que tenga conocimiento, que puedan afectar a la seguridad de los datos personales.

Entre otros, tienen la consideración de incidencia de seguridad que afecta a los ficheros informáticos, los sucesos siguientes:

• Pérdida de contraseñas de acceso a los Sistemas de Información 
• Uso indebido de contraseñas 
• Acceso no autorizado de usuarios a ficheros excediendo sus perfiles 
• Pérdida de soports informáticos con datos de carácter personal 
• Pérdida de datos por mal uso de las aplicaciones 
• Ataques a la red 
• Infección de los sistemas de información por virus u otros elementos dañinos 
• Fallo o caida de los Sistemas de Información, etc.

Ejercicio 10 T.3

¿Qué utilidad tienen las aplicaciones “congelador” del sistema operativo como DeepFreeze?

DeepFreeze es un controlador del núcleo que protege la integridad del disco duro redirigiendo la información que se va a escribir en el disco duro o partición protegida, dejando la información original intacta. Las escrituras redirigidas desaparecen cuando el sistema es reiniciado, restaurando el equipo a su estado original. Esto permite a los usuarios realizar cambios originales en el equipo, por ejemplo para probar cambios potencialmente inestables o malignos, sabiendo que al reiniciar el sistema volverán a desaparecer.Para realizar cambios el sistema se debe descongelar, desactivando DeepFreeze, de forma que los siguientes cambios sean permanentes.DeepFreeze puede restaurar ciertos daños provocados por malware y virus ya que tras el reinicio cualquier cambio hecho por el software malicioso debería quedar eliminado del sistema al ser revertido al estado original (junto con cualquier otro tipo de modificaciones que se hayan hecho). Sin embargo, esto no impide que un virus ó malware se desarrolle mientras que no se reinicie el sistema, ó que el virus afecte a una partición que no esté protegida, o que se coloque en el registro del DeepFreeze como archivo que estaba previamente en el sistema. Además de que daña el sistema operativo cuando la pc tiene ausencia de energía de un momento a otro.

Busca alguna otra aplicación disponible para Windows y otra para Gnu/Linux

• Toolwiz Time Freeze, Windows
• Ofris, Linux
  

¿Es posible instalar aplicaciones y guardar datos teniendo activada este tipo de aplicación?

Mientras el sistema está activo podremos realizar todos los cambios que queramos en el mismo, pero al reiniciar el sistema estos se borraran.
Por lo tanto si nos olvidásemos la contraseña de DeepFreeze, nos veríamos obligados a ejecutar algún tipo de crack para desactivarla o iniciar el sistema en modo de fallos con F8, ejecutar un msconfing y desactivar el inicio quitando la pestaña de este programa. Iniciaremos Windows normalmente y ya no estará congelado.


¿Qué protección ofrece?

Crea un punto de restauración del sistema que impide la permanencia de programas dañinos una vez que se reinicie el equipo.

Ejercicio 9 T.3

A partir de Windows XP se solicita para realizar tareas de administración como cambios en la configurascion de red, instalación de drivers o aplicaciones, la contraseña de un usuario administrador.

Esta opción es interesante dado que el administrador del equipo es quien suele controlar su seguridad.

En GNU/Linux esta petición tambien se realiza, especialmente en la consola de comandos en la que deberemos registrarnos como "root".

Ejercicio 8 T.3

Chmod sólo atiende a los permisos basados ​​en el grupo de propietarios.

 -rwx ------ = leer, escribir y ejecutar sólo para el propietario:

Code:

chmod 700 file

-rwxrwx--- = read,write, y execute para el propietario y 1 grupo específico:

Code:

chmod 770 file

Setfacl permite un mayor control sobre quién tiene acceso a un archivo o carpeta específicos.

Puede conceder un acceso de lectura de archivo adicional a un  usuario:

Code:

setfacl -m u:lisa:r file

Ejercicio 7 T.3

Keepass Password Safe:

¿Qué opciones de configuración segura facilita?

La seguridad del gestor de contraseñas depende de varios parámetros:

•  La robustez de la clave maestra elegida. 
•  La seguridad del algoritmo de cifrado utilizado. 
•  La calidad del código fuente de la aplicación. 
•  La forma de almacenar la clave cuando el usuario la solicita. 
•  La existencia de virus u otro tipo de malware en nuestro ordenador. La solidez de la clave maestra y del gestor de contraseñas sirven de poco si tenemos un keylogger instalado. 

¿Es posible recordar las contraseñas de sitios web y acceder sin teclearlas?

Si es posible recordar las contraseñas de sitios web y acceder sin teclearlas. La mayoría de los navegadores de Internet actuales, como Firefox o Internet Explorer, llevan incorporado un gestor de contraseñas en forma de plugin que opcionalmente se puede proteger mediante una contraseña maestra. De esta manera cuando visitamos una página web que requiere autenticación, el navegador escribe automáticamente el usuario y la clave en los campos correspondientes sin necesidad de que el usuario intervenga. También existen aplicaciones independientes del navegador de Internet que tienen el mismo cometido y a menudo son más seguras, como KeePass Password Safe (open source). Una opción especialmente conveniente es instalar el programa en una memoria USB para llevarlo con nosotros. Esto sólo es posible si el gestor de contraseñas elegido dispone de una versión portátil.

Control de acceso a datos y aplicaciones

Windows:

Para modificar la configuración de seguridad local iremos a Panel de Control/Herramientas administrativas /Directiva de seguridad local.

Podremos modificar Directiva de auditoría, Asignación de derechos de usuario u Opciones de seguridad, en el árbol de la consola haz clic en Directivas locales, estas directivas se aplican a un equipo y contiene tres subconjuntos:

1. Directiva de auditoría: Determina si los sucesos de seguridad se registran en el registro de seguridad del equipo. El registro de seguridad forma parte del visor de sucesos.

2. Asignación de derechos de usuario: Determina que usuarios o grupos tienen derechos de inicio de sesión o privilegios en el equipo, entre otros:

     a. Ajustar cuotas de memoria para un proceso, permitir el inicio de sesión local, hacer copias de seguridad y restaurar archivos y directorios, generar auditorias de seguridad, o tomar posesión de archivos y otros objetos.


3. Opciones de seguridad: Habilita o deshabilita la configuración de seguridad del equipo, como la firma de datos, nombres de las cuentas Administrador e Invitado, acceso a CD-ROM y unidades de disco, instalación de controladores y solicitudes de inicio de sesión.

Para tener un mayor control sobre la configuración del nivel de acceso por parte de cada usuario a cada recurso del sistema, como por ejemplo una carpeta, es necesario realizar la configuración de ACL. En Windows es posible realizarla mediante el comando cacls (obsoleto, hoy en día sería icacls).

Como sabemos, en un sistema local las carpetas de usuario no son accesibles por otros usuarios del sistema. En caso de querer que un usuario 1 de acceso de lectura, solo a un usuario 2 a su carpeta Mis Documentos/Música, podremos ejecutar con el usuario 1 en la consola de comandos: cacls (icacls) “Mis Documentos\Música/t/t/ g Usuario2:R

Las opciones principales son:

/t: modifica las ACL de los archivos especificados en el directorio actual y subdirectorios.
/e: modifica en vez de reemplazar la ACL.
g/: usuario: permisos R (lectura), E (escritura), C (cambiar), F (control). Permite asignarlos (grant).
/p: permite reemplazar los existente o quitárselo todos con: N.

NOTA: cacls está obsoleto.

Icacls