USUARIOS DE PGP ADVERTIDOS SOBRE VULNERABILIDADES DE SEGURIDAD DE ENCRIPTACIÓN DE CORREO ELECTRÓNICO

Un equipo de expertos en seguridad informática lanzo una advertencia sobre un grupo de vulnerabilidades que afectan a los usuarios de PGP y S / MIME. EFF se mantuvo en comunicación con el grupo de investigación y puede confirmar que las vulnerabilidades presentan un riesgo inmediato para los usuarios de estas herramientas en la comunicación por correo electrónico.

pgp-email

Los detalles serán publicarán en un documento el martes a las 07:00 a.m. UTC. Esto es con el fin de reducir el riesgo a corto plazo, los profesionales han decidido advertir a la comunidad de usuarios de PGP en general antes de su publicación completa.

Los expertos en seguridad informática recomendaron desactivar y / o desinstalar las herramientas que descifran automáticamente el correo electrónico cifrado con PGP. Esto hasta que los defectos se comprendan y se solucionen, los usuarios deben organizar el uso de canales seguros alternativos de extremo a extremo, y detener temporalmente el envío, además de leer el correo electrónico cifrado por PGP.

Debe pensar en estos pasos como una medida temporal hasta que el riesgo inmediato haya pasado y haya sido mitigado por la comunidad en general.

Anuncios

La Directiva sobre las cláusulas abusivas también puede aplicarse a instituciones educativas

El Tribunal de Justicia de la Unión Europea ha dictado sentencia sobre el asunto C-147/16 relativo a un contrato de crédito gestionado por una  institución educativa belga. En la Sentencia resuelve que el juez nacional debe apreciar de oficio el carácter abusivo de una cláusula contractual, lo que supone que está obligado a examinar si el contrato que contiene la cláusula está o no comprendido en el ámbito de aplicación de la Directiva sobre las cláusulas abusivas en los contratos celebrados con consumidores.

El Tribunal de Justicia considera que, al conceder facilidades de pago de una deuda la institución educativa actúa como «profesional» en el sentido de la Directiva, interpretación que resulta corroborada por la finalidad protectora de la Directiva. En efecto, en el contrato existe, en principio, una desigualdad entre la institución educativa y el estudiante, debido a la asimetría entre estas partes en materia de información y de competencias técnicas.

Según lo estipulado en el contrato objeto del asunto, el departamento de «asistencia a los estudiantes» de la institución educativa adelantó a la estudiante el importe que necesitaba para saldar su deuda, comprometiéndose esta a transferirlo en cuotas mensuales. Además, el contrato estipulaba unos intereses a un tipo del 10% anual en caso de impago (sin necesidad de requerimiento) y una indemnización en concepto de gastos de cobro. La estudiante no efectuó los pagos y la entidad educativa presentó una demanda contra ella ante el Juez de Paz de Amberes (Bélgica) con objeto de que se la condenara a abonarle el importe adeudado en concepto de principal más los intereses de demora a un tipo del 10 % y una indemnización.

Este es el contexto en que el juez belga decidió plantear una cuestión prejudicial al Tribunal de Justicia. El juez se pregunta, en primer lugar, si puede examinar de oficio, en el marco de un procedimiento en el que una de las partes ha sido declarada en rebeldía, la cuestión de si el contrato está comprendido en el ámbito de aplicación de la Directiva de la Unión sobre las cláusulas abusivas en los contratos celebrados con consumidores. En segundo lugar, el juez se pregunta si una institución educativa principalmente financiada con fondos públicos debe tener la consideración de «profesional», en el sentido de la Directiva, cuando concede a un estudiante un plan de pago a plazos.

El Tribunal de Justicia responde que el legislador de la Unión pretendió conferir al concepto de «profesional» un sentido amplio. En efecto, se trata de un concepto funcional que requiere que se determine si la relación contractual forma parte de las actividades que una persona ejerce con carácter profesional. Por definición, la concesión de facilidades de pago de una deuda existente constituye esencialmente un contrato de crédito, por tanto, dejando a salvo la comprobación de este extremo por el juez nacional, el Tribunal de Justicia considera que, al conceder tal prestación complementaria y accesoria de su actividad educativa, la institución educativa sí actúa como «profesional» en el sentido de la Directiva.

 

El juez Llarena informa a Alemania de que la euroorden de Puigdemont cumple con los requisitos

Llarena informa en una carta de que Bruselas ha denegado la entrega de los exconsejeros procesados Toni Comín, Mertixell Serret y Lluis Puig, basándose en que la euroorden no mencionaba ninguna orden de detención nacional previa a su emisión y que no consideran que el auto de procesamiento fuese equiparable a esa orden, contrariamente a la información que había ofrecido el Tribunal Supremo español. Así, el juez Pablo Llarena considera que las autoridades belgas cometieron un “error” de interpretación al denegar la entrega de los citados exconsejeros.

Con el fin de evitar que Alemania cometa el mismo error, Llarena informa de que el auto de procesamiento se incluye como una de las resoluciones judiciales del artículo 8.1 del acuerdo que regula las euroórdenes, según el cual, la información que debe contener una orden europea de detención es “la indicación de la existencia de una sentencia firme, de una orden de detención o de cualquier otra resolución judicial ejecutiva que tenga la misma fuerza prevista en el ámbito de aplicación de los artículos 1 y 2”. Según el Supremo, el auto de procesamiento encaja en este último apartado de resolución judicial ejecutiva que tiene la misma fuerza que una sentencia o una orden de detención.

En su carta, el Juez del Supremo informa a la fiscal jefe del tribunal alemán de que el auto de procesamiento contra Puigdemont cumple los requisitos de las euroórdenes al recordar que el auto de procesamiento del 23 de marzo recogía los hechos y responsabilidades atribuidos a Puigdemont, una vez terminada la fase de investigación y se acordaba la medida cautelar de prisión que ya había sido adoptada por la Audiencia Nacional al inicio de la instrucción. A partir de ese momento, en España, aclara “dicha resolución es la resolución ejecutiva respecto de la prisión provisional de Carles Puigdemont”.

¿Usas una VPN? Esto debes hacer para asegurarte que cumple su función

La seguridad y privacidad es uno de los aspectos que más preocupan a los internautas. Cada vez buscan más medidas de protección. Una de ellas es el uso de VPN, que ha aumentado en los últimos tiempos. Sin embargo no todos los proveedores son buenos y confiables. Hay que elegir bien y evitar así problemas. En este artículo vamos a explicar cómo diferenciar una VPN buena de aquellas que pueden no cumplir correctamente su función.

La seguridad de una VPN

Como sabemos, una VPN es una red privada virtual. Permite, básicamente, que nuestra conexión viaje dentro de un túnel. El tráfico fluye entre nuestro dispositivo y el proveedor de Internet, pero utiliza la VPN para llegar al destino. Esto provoca que nuestra conexión vaya cifrada y, en definitiva, la IP no es la nuestra real, sino la del servicio que estamos utilizando.

Esto es muy útil para acceder a una red desde un lugar lejano, por ejemplo. Trabajadores de una empresa que en ese momento no estén allí físicamente y tengan que acceder a la red. También para evitar censura y bloqueos en una región determinada. Como sabemos, algunas páginas están bloqueadas en ciertos países. Podríamos acceder a ellas a través de una VPN.

Y por último, para lo que lo utilizan muchos usuarios: aumentar la seguridad. Especialmente si nos conectamos a una red Wi-Fi pública, como puede ser en un centro comercial o estación, supone una capa extra de seguridad. Hace que los paquetes que enviamos y recibimos, la conexión, vayan cifrados.

El problema llega cuando los usuarios no conocen o no tienen en cuenta los riesgos de un determinado servicio de VPN.

Herramientas para detectar la seguridad de una VPN

Saber si una VPN es segura

Lo primero que tenemos que tener en cuenta para determinar si es o no seguro, es informarnos de que no existen fugas. Esto significa que nuestros datos de conexión (DNS por ejemplo) no pueden filtrarse de ninguna manera. Normalmente el propio servicio debería de informar de posibles vulnerabilidades que pueda haber. Hay que tener eso presente y siempre estar actualizados.

Lo siguiente muy recomendable es realizar al menos una prueba de seguridad. No obstante, los expertos en seguridad informática recomiendan realizar al menos un par de pruebas. Esto habría que hacerlo en todos los dispositivos que vayamos a utilizar.

Una prueba muy sencilla consiste en averiguar si se están filtrando los DNS de nuestro proveedor. Simplemente tenemos que entrar en la web de DNSleaktest para realizar la prueba. Podremos ver rápidamente si todo está correcto o no.

La Audiencia Nacional responsabiliza a la Administración de los mails masivos de información sindical

La Audiencia Nacional sentencia que la Central Sindical Independiente de Funcionarios (CSIF) “no tenía la condición de responsable del fichero ni del tratamiento respecto de los datos personales que figuran en las listas de distribución a las que envía la información sindical”. Por tanto, es el responsable de dicho fichero, en este caso la Xunta de Galicia, quien debe responder ante cualquier reclamación por una presunta vulneración de la Ley de Protección de Datos.

En el fallo, de Sección Priemera de la Sala de lo Contencioso-administrativo de la Audiencia Nacional, además de dar la razón a CSIF y anular la resolución de la directora de la Agencia Española de Protección de Datos (AEPD), Mar España, y condena en costas a la propia AEPD.

Los hechos se remontan a mayo de 2015, cuando una persona denunció a CSIF ante la AEPD por recibir notificaciones de información sindical, solicitando la eliminación de sus datos de la lista de distribución de correo, de la que era titular el citado organismo de la Xunta de Galicia. La Agencia de Protección de Datos le dio la razón e hizo responsable a CSIF, pese a que no era titular de la lista ni tenía facultades para administrarla.

La central sindical comunicó a la Administración gallega dicha circunstancia para que en su calidad de titular del fichero y responsable del tratamiento de los datos del mismo hiciera lo procedente. Pero la Administración Gallega, al igual que la AEPD, no hizo caso e insistió en responsabilizar a CSIF del mal uso de los datos personales.

En la sentencia de la Audiencia Nacional queda “meridianamente” claro que el titular del fichero y el responsable del tratamiento de la lista de distribución es la Administración Gallega y no CSIF, por lo que anula la resolución que pesaba sobre el sindicato.

“Ha resultado meridianamente acreditado que la Central Sindical recurrente no tiene acceso a las direcciones de correo que forman parte de las listas de distribución a las que envía información sindical, ni mucho menos acceso a los datos personales de quienes figuran en tales listas de distribución, sino que únicamente conoce una dirección genérica (la de la lista de distribución) y no el nombre, apellidos, correo electrónico y categoría profesional de quienes integran las repetidas listas de distribución, cuyos datos personales son tratados por cada Organismo o Conselleria que componen el sector público gallego, cada una dentro de su ámbito”, señala la sentencia.

Aunque la sentencia no es aún firme, CSIF la considera un éxito ya que sienta un precedente en lo relativo a las listas de distribución de las distintas Administraciones y a la responsabilidad sobre las mismas.

Dune!, una app muy descargada en la Play Store que roba información de los smartphones

¿Sorprendente? No. Podría decirse que ya casi a ningún usuario pilla por sorpresa. La existencia de malware en la tienda de aplicaciones del sistema operativo móvil del Gigante de Internet es algo de sobra conocido. Sin embargo, hemos tenido la oportunidad de asistir a otro capítulo dentro de esta pesadilla que desde la compañía estadounidense están lejos de poner punto y final. La aplicación señalada en esta ocasión se llama Dune!.

Podría decirse que, a grandes rasgos, nos encontramos ante la misma situación que en otros casos, salvo que esta app maliciosa parece mucho más agresiva y con varias funciones. Expertos en seguridad de la empresa Pradeo han tenido la oportunidad de analizar en un primer momento el comportamiento de este software. Como primeras conclusiones, indican que la aplicación facilita que el smartphone o tablet se pueda utilizar para llevar a cabo ataques de denegación de servicio. Pero, sobre todo, se centra en la recopilación de información, enviando cada muy poco tiempo información a un servidor ubicado en China.

Los expertos en seguridad indican que no solo son estos los problemas. Tras realizar una análisis un poco más exhaustivo, indican que la aplicación está plagada de fallos de seguridad que podrían en peligro la seguridad del terminal o tableta y la información almacenada.

El dato más preocupante es que la app habría sido descargada por un número de usuarios que supera los 5 millones.

¿Qué información puede robar?

Además de la relacionada con el propio dispositivo, como la versión del sistema operativo móvil, la localización GPS, el tipo de procesador, la memoria RAM el IMEI o el espacio de almacenamiento disponible, la aplicación Dune! también es capaz de robar imágenes y documentos. Incluso el nivel de batería es un dato que aparece en el código de la aplicación.

Tenemos que decir que, de nuevo, el problema radica en los permisos que el usuario otorga. En el momento de la instalación, el usuario acepta ofrecer permisos de administrador y que acceda a una gran cantidad de información. Por ejemplo, recopilación de la información de los contactos y la lectura y el envío de mensajes de texto. Si se trata de un juego, no es necesario que acceda a esta información.

Una vez recopilada toda esta información, se envía de forma periódica a uno de los 32 servidores localizados, una de las cifras más grandes que se han visto en lo que se refiere a malware en dispositivos móviles

Es decir, hablamos de un número que es muy superior al que generalmente se puede encontrar en una aplicación de este tipo. Los expertos en seguridad indican que cada una de ellas se encarga de comunicarse con un servidor remoto diferente. Aunque no está del todo claro, parece que cada una se encarga de enviar cierta información a su servidor. Es decir, parece que a uno se envían las imágenes, a otros los documentos, a otro diferente los contactos, … Cada información a un servidor.

Lo que está claro es que se trata de una información que puede resultar peligrosa para los usuarios, y más si hablamos de personas que trabajan en la administración pública y grandes empresas, acostumbrando a almacenar información importante en los terminales.

Fuente: https://www.redeszone.net/2017/12/18/dune-una-app-descargada-la-play-store-roba-informacion-los-smartphones/

OSArmor, una aplicación para detectar y bloquear procesos sospechosos

Los piratas informáticos ya no se centran solo en crear malware convencional, sino que hoy en día las amenazas informáticas con realmente complejas, tanto que incluso los antivirus del día a día, en ocasiones, no son suficientes para detectarlas, bloquearlas y poder estar seguros en la red. Por ello, algunas empresas de seguridad optan por crear aplicaciones de seguridad que, lejos de ser alternativas a estos antivirus, buscan abrirse un hueco como herramientas complementarias, ideales para reforzar la seguridad de estos antivirus, como es el caso de OSArmor.

OSArmor es una nueva aplicación de seguridad creada por NoVirusThanks para permitir a los usuarios tener todos los procesos del ordenador siempre controlados, evitando así que se pueda ejecutar malware en el equipo que pueda poner en peligro nuestra seguridad.

Prácticamente todo lo que se ejecuta en un ordenador tiene que contar con su correspondiente proceso, incluso el malware más avanzado, por lo que si tenemos controlados nuestros procesos, el malware no se podrá ejecutar en el sistema, y es aquí donde entra en juego OSArmor.

A diferencia de los antivirus convencionales, que están constantemente analizando todos los archivos del PC, o herramientas como Microsoft EMET y Malwarebytes Anti-Exploit, que buscan evitar que el malware pueda aprovecharse de una debilidad para poner en peligro todo un equipo, este software se centra en analizar los procesos y decidir si estos pueden ejecutarse, o no, en el equipo.

OSArmor

Características de OSArmor

Como ya hemos explicado, esta aplicación no busca ser una alternativa a los antivirus convencionales, ni mucho menos. OSArmor busca abrirse un hueco entre las aplicaciones de seguridad alternativas que complementan la seguridad de nuestro ordenador. Así, algunas de las medidas de seguridad que nos ofrece esta herramienta de seguridad son:

  • Protección básica contra exploits.
  • Evitar que las aplicaciones de Office ejecuten otros programas (malware, o terminales como CMD y PowerShell).
  • Mantiene procesos como los navegadores, Office o Adobe PDF controlados.
  • Bloquea el malware USB.
  • Bloquea procesos que ejecutan comandos en el terminal.
  • Protege las Shadow Copies para que, en caso de un ataque de ransomware, podamos recuperar los datos.
  • Bloquea la descarga de archivos desde procesos, bloqueando los payloads.
  • Bloquea los procesos .COM y .PIF.
  • Evita la ejecución de un gran número de procesos relacionados con malware.
  • Bloquea la ejecución de scripts remotos.

Todas las reglas son, además, personalizables, pudiendo elegir fácilmente las que queremos aplicar y las que no.

Reglas OSArmor

Además de todas estas medidas de seguridad OSArmor es una aplicación muy ligera, que prácticamente no consume recursos en nuestro sistema, y que podemos utilizar de forma totalmente gratuita, sin tener que pagar ninguna licencia por ella.

Si queremos, podemos descargar este nuevo software de seguridad desde el siguiente enlace. El programa viene sin ninguna ayuda, por lo que solo recomendamos utilizarlo si somos usuarios con algunos conocimientos avanzados ya.

Como vemos, OSArmor no está pensado para ser una alternativa a los antivirus convencionales ni para proteger nuestro sistema de los exploits, pero sí sirve perfectamente como una medida de protección adicional para nuestro equipo.

Fuente: https://www.redeszone.net/2017/12/19/osarmor-bloquear-procesos/