Heartbleed, la vulnerabilidad que afecta a cientos de miles de servidores de Internet, podría hacer que unas 1.300 aplicaciones de Android estuvieran indefensas, según un análisis que ha hecho la empresa software de seguridad Trend Micro entre más de 390.000 aplicaciones de Google Play.

Y es que las aplicaciones móviles -desde el navegador hasta las apps de banca o compra online-, como las páginas web, también alojan la información en un servidor. La empresa ha anunciado que ya ha informado a Google de esta incidencia.

Trend Micro incide en que, ante la posibilidad de comprar desde una aplicación móvil, a la hora de introducir los datos de la tarjeta de crédito y finalizarse la transacción, los datos bancarios se almacenan en un servidor y pueden permanecer allí por un periodo de tiempo indeterminado.

“Basta que los ciberdelincuentes aprovechen el error Heartbleed y se dirijan a ese servidor para extraer la información que almacena, entre la que se encuentra su número de tarjeta de crédito”, explican.

¿Mi servidor es vulnerable?

Para sacarse las dudas: CONTACTENOS EN FORMA INMEDIATA a soporte@kwell.net

Si tiene servicios corporativos en su empresa debe esperar a que su administrador de seguridad le indique qué passwords debe cambiar.

En el caso de los accesos personales, la síntesis de recomendaciones es la siguiente:

• Tenga en cuenta que los datos sensibles como contraseñas pueden haber sido vistos por una tercera parte si los sitios que visitas utilizaron una versión vulnerable de la biblioteca OpenSSL.
• Monitoree los avisos de los vendedores o empresas que utiliza. Una vez que un proveedor se comunique para cambiar sus contraseñas, hagalo sin demora.
• Tenga cuidado con los posibles correos electrónicos de phishing de atacantes que le solicitarán que actualice su contraseña. Para evitar ir a un sitio web suplantado, ingrese en el dominio oficial del sitio.
• Adhierase a sitios web y servicios de buena reputación. Ellos son los más propensos a informar verazmente y tener de inmediato soluciones a la vulnerabilidad.
• Revise sus estados de cuenta bancarios y de tarjetas de crédito para comprobar que no existen transacciones inusuales. (más…)

El viernes CloudFlare anunció un desafío para robar su clave  privada de un servidor nginx con OpenSSL  vulnerable a Heartbleed. Pocas horas después, dos personas resolvieron el  reto demostrando que efectivamente es probable robar claves privadas de los  servidores afectados.
Previamente, CloudFlare en un extenso post, había  explicado cómo habian configurado sus servidores y, luego de muchos experimentos  prácticos, habían llegado a la conclusión que robar las claves privadas del  certificado SSL explotando Heartbleed era extremadamente dificil, pero no  imposible. Por eso lanzaron este desafio a la comunidad. (más…)

¿Mi servidor es vulnerable?

Para sacarse las dudas: CONTACTENOS EN FORMA INMEDIATA a soporte@kwell.net

Este bug según todas las fuente recopiladas puede llegar a afectar a dos tercios de los servidores de Internet!

INFORMACIÓN RECOPILADA (muy interesante)

OpenSSL Security Advisory [07 Apr 2014]: https://www.openssl.org/news/secadv_20140407.txt

Detalle de la Vulnerabilidad: http://www.cvedetails.com/cve/CVE-2014-0160

Explicación en profundidad: http://heartbleed.com/ (muy interesante)

Nota de Electronic Frontier Foundation: https://www.eff.org/deeplinks/2014/04/why-web-needs-perfect-forward-secrecy (imperdible)

Proveedores afectados: https://www.kb.cert.org/vuls/byvendor?searchview&Query=FIELD+Reference=720951&SearchOrder=4 (la lista es impresionante, la reproducimos parcialmente señalando que mucho proveedores no han informado o verificado el estado propio, por lo tanto esta lista variará con el correr de los días) (más…)

¿Mi servidor es vulnerable?

Para sacarse las dudas: CONTACTENOS EN FORMA INMEDIATA a soporte@kwell.net

La vulnerabilidad en OpenSSL que parecía haber sido controlada, también opera en aquellos componentes de hardware, según advierten Cisco y Juniper Networks.

Heartbleed ya es “considerado como una de las mayores amenazas vistas en la Web desde su nacimiento”, según afirmamos en este repaso que dio cuenta del hallazgo de este bug detectado por Google y la firma Codenomicon en OpenSSL, protocolo que es utilizado en dos tercios de los servidores de Internet. Esta falla, la cual ha sido emparchada por los desarrolladores de Open SSL, no fue insertada en forma intencional sino que se trató de un descuido, según dijo el desarrollador alemán Robin Seggelman, quien trabajó en el proyecto.

Ahora, Cisco Systems y Juniper Networks indican que Heartbleed también afecta a routers que están a la venta actualmente. Estas compañías publican un listado de dispositivos afectados (los cuales utilizan una versión antigua del protocolo), indicando que trabajan en parches para los hardwares involucrados. Cisco menciona 65 productos afectados, mientras Juniper identifica 8. Las listas pueden ser consultadas en los siguientes enlaces:

• Cisco
• Juniper 1
• Juniper 2 (más…)

¿Mi servidor es vulnerable?

Para sacarse las dudas: CONTACTENOS EN FORMA INMEDIATA a soporte@kwell.net

Heartbleed, el bug detectado en el protocolo OpenSSL que puso en jaque a muchas de las contraseñas que los usuarios utilizan en internet, ya es considerado como una de las mayores amenazas vistas en la web desde su nacimiento.  La falla ha afectado a muchos portales y servicios populares – como Gmail, Facebook y Tumblr – dejando al descubierto información confidencial de millones de cuentas (incluidos números de tarjetas de crédito) desde hace, por lo menos, dos años.

El problema, que fue descubierto por Google y la firma Codenomicon, fue “emparchado” por los desarrolladores de OpenSSL con una actualización lanzada el lunes por la noche. Las miradas apuntan ahora al presunto responsable de la falla, el desarrollador alemán Robin Seggelmann. “En una de las nuevas características, por desgracia, me perdí la validación de una variable que contiene una longitud”, indicó el experto en software, a la vez que negaba acusaciones que aseguraban que el error había sido añadido intencionalmente. “Fue un simple error de programación en una nueva característica que, por desgracia, se produjo en un área relevante de seguridad” añadió. (más…)