Archivos para Julio, 2009
2009/07/24 a 16:10
· Archivado en seguridad ·Etiquetado desbordamiento, enteros, seguridad
Para variar, desarrollo seguro pero no-web: As-if Infinitely Ranged Integer Model (pdf) es un artículo que nos recuerda el problema del desbordamiento de enteros (que no siempre pensamos en él). Tiene una segunda sección interesante donde nos recuerda los diferentes métodos que existen para tratar de evitarlo y finalmente proponen el modelo que llaman ‘As-If Infinitely Ranged’ que proporciona un valor equivalente al que se obtendría si el rango de los enteros fuera infinito cuando sea posible, o una violación de límites.
Permalink
2009/07/22 a 13:33
· Archivado en seguridad ·Etiquetado claves, identificadores, ocultación, passwords, seguridad
Un artículo sobre las claves en Do Strong Web Passwords Accomplish Anything? (pdf) donde se sugiere que a lo mejor es suficiente con claves más cortas de lo que solemos pensar y que valdría la pena incidir en el aspecto de los identificadores (en lugar del dni, o alguno predefinido permitir a los usuarios elegir el suyo). Creo que las claves conviene que sean fuertes y también que el identificador pueda ser elegido por los usuarios (más que nada porque, al final, en algunas aplicaciones -¿la de los puntos de tráfico?- hay gente que ni siquiera sabe que las tiene disponibles y los ‘malos’ saben perfectamente cómo intentar acceder a tus datos).
Siguiendo con el capítulo de ‘heterodoxias’ variadas, el experto en ergonomía (usabilidad) ‘emitía’ una de sus ‘alert box’ sobre el tema de ocultar la clave cuando la estamos tecleando: Stop Password Masking. Esencialmente decía que enmascararla puede favorecer la seguridad pero el precio que se paga desde el punto de vista del usuario es alto, especialmente en dispositivos móviles (doy fe). Bruce Schneier en un primer momento se mostró de acuerdo (The Problem with Password Masking) pero luego se lo pensó mejor y matizó (que es, casi siempre, la manera correcta de enfrentarse a las cosas): The Pros and Cons of Password Masking. Básicamente, depende del contexto: tal vez habría que pensarlo un poco antes de enmascarar la clave y ver cómo y dónde se va a usar.
Es como esas medidas que a veces se aplican sin pensarlo mucho: cambiar la clave cada X tiempo, obligar a que sea de determinada forma, …
Permalink
2009/07/20 a 14:54
· Archivado en OWASP, seguridad ·Etiquetado auditoría, checklist, listas, OWASP, seguridad, verificación
Ya hace unos días que se publicó pero hasta ahora no había tenido tiempo de echarle un ojo. Se trata del proyecto OWASP Application Security Verification Standard Project que publicó el mes pasado su guía. Se trata de una guía de verificación de aplicaciones web que establece distintos niveles de profundidad en la revisión: desde la revisión automatizada a la revisión manual, en sus niveles más básicas tests de penetración y auditoría de código y en los más altos revisiones de diseño y de arquitectura. Además propone listas de comprobación del tipo de cosas que habría que mirar, que siempre es una ayuda a la hora de enfrentarse a estas cuestiones.
Tiene 38 páginas que no son demasiadas para hacerse una idea.
Permalink
2009/07/15 a 20:55
· Archivado en intimidad, privacidad, seguridad ·Etiquetado intimidad, opera, privacidad, proxy, seguridad
No me termina de convencer Opera mini (para el móvil) porque una de las cosas que creo que hace es cargar las páginas a través de sus servidores y adaptarlas al móvil: tiene la ventaja de que las páginas se ven mejor y cargan más rápido pero el inconveniente obvio de que el tráfico pasa por sus servidores, que no siempre es lo que a uno le apetece más.
Relacionado con eso leía el otro día Opera 10 Beta “Turbo Experience”… no, gracias donde Manuel Benet nos cuenta como Opera ‘grande’ también tiene la posibilidad de ofrecer esa ‘ventaja’:
No entro a valorar el beneficio de la tecnología; si funciona bien, mal, es útil o no. Lo que de verdad me molesta (quizá sea demasiado quisquilloso, no lo sé) es que no se indique, de manera clara y cristalina como el agua, que cuando utilizas esta tecnología Opera dispone de acceso a todo el tráfico que intercambies con el servidor web; lo considero casi un atentado contra mi privacidad y la de cualquier persona que decida utilizar el navegador; ¿a qué viene tanto secretismo? Me inclinaría a pensar que indicarlo claramente haría que muchos usuarios no utilizasen dicha “ventaja” de Opera, pero tampoco quiero ser mal pensado, y sin embargo…
De cualquier modo, a estas alturas mi recomendación debería estar clara… ¿no?
Permalink
2009/07/09 a 12:59
· Archivado en seguridad ·Etiquetado ataques, botnets, divulgación, seguridad
Permalink
