Category Archives: error de seguridad

Home / Archive by category "error de seguridad"

Intel da la cara y dice que el error abarca múltiples dispositivos

Luego de conocerse el terrible error de diseño en procesadores Intel,  el fabricante ha salido a dar la cara. En un comunicado oficial, Intel dice que los reportes son incorrectos y la falla no es exclusiva de ellos. Si bien el reporte original indica que los chips Intel serían vulnerables, el problema abarcaría a otros fabricantes de procesadores.

El comunicado indica que Intel trabaja de la mano con AMD, ARM y otros fabricantes de sistemas operativos para resolver el problema. Lo interesante del comunicado es que Intel asegura que el impacto en el rendimiento no sería significativo para el usuario promedio. Este impacto depende de la carga de trabajo y con el tiempo se solucionará.

El fabricante revelará todos los detalles la próxima semana, una vez que los parches sean liberados y dijo que tomó la decisión de revelar esto el día de hoy por culpa de los “informes de prensa imprecisos”.

¿Todos los computadores y dispositivos del mundo en peligro?

En el comunicado de Intel la empresa indica que esta falla no es exclusiva de ellos y que abarca a otros fabricantes. Si bien AMD dijo que este problema no les afecta, es otro el bug que se ha descubierto y afectaría a sus procesadores.,

De acuerdo con Reuters, expertos de seguridad de Google Project Zero, académicos e investigadores, descubrieron dos fallas. La primera, Meltdown, es la reportada y afecta a chips Intel permitiendo que se obtenga acceso a la memoria del kernel para extraer información sensible.

La segunda es donde AMD y ARM se suman a Intel como hardware afectado y es conocida como Spectre. Esta falla le da a los hackers el poder de engañar a una aplicación libre de errores para que ofrezca información protegida.

Meltdown (Afecta a hardware Intel)

Meltdown es la falla reportada originalmente, la cual rompe el aislamiento entre las aplicaciones de usuario y el sistema operativo, permitiendo que el atacante tenga acceso a la memoria del kernel en donde obtendría información sensible como llaves de usuario, contraseñas y otros datos de los programas o del sistema operativo.

Spectre (Afecta a hardware ARM, AMD e Intel)

Spectre es el segundo bug y a diferencia de Meltdown es más dificil de solucionar. Lo que hace el bug es que rompe el aislamiento entre diferentes aplicaciones y permite engañar a los programas sin errores para filtrar sus secretos.

Vale la pena mencionar que son fallas distintas y que la que ha acaparado los titulares es Meltdown, que ha sido catalogado como “el peor bug para CPU jamás descubierto”. En el caso de Spectre el peligro es menor, pero no deja de ser importante y por eso deberá ser parchado, cosa que resulta ser complicada. Daniel Gruss, investigador de la Universidad de Graz, dijo que de no solucionar Spectre, se convertiría en un problema a largo plazo.

El sitio de Project Zero ofrece detalles de ambas fallas y el modo como atacan al kernel. Aquellos interesados en conocer a fondo el problema que tiene que resolver los fabricantes, pueden dar un vistazo a la investigación.

El CEO de Intel dijo a CNBC que no todos los dispositivos del mundo estarían comprometidos, solo unos cuantos. La lista de afectados no solo involucra a computadores o dispositivos móviles, sino también altavoces portátiles o dispositivos inteligentes del hogar.

No hay indicios de que alguien haya sacado provecho del exploit

Brian Krzanich, CEO de Intel, apareció en CNBC y comentó que han trabajado en las últimas semanas para resolver el problema. Krzanich se muestra confidente y dice que el problema de seguridad no ha sido explotado. Si bien no pueden revisar todos los sistemas del mundo, “la dificultad para ejecutar el exploit” le da confianza para pensar que los usuarios se encuentran seguros.

El jefe de Intel dijo que toda la industria revelaría el problema de seguridad pero alguien publicó por error antes de tiempo mientras realizaba una actualización para Linux. Otro detalle a considerar es que el CEO de Intel vendió la mitad de sus acciones un mes antes que se conociera este error, lo cual ha levantado sospechas que el mismo Krzanich ha tenido que desmentir.

Los parches para Windows y macOS serían lanzados la próxima semana. En el caso de Windows 10 ya se han probado en ediciones anteriores de Windows Insider. Para Intel ha sido un día negro y prueba de ello es la caída de sus acciones, mientras que AMD cerró con números positivos en la bolsa el día de hoy.

The post Intel da la cara y dice que el error abarca múltiples dispositivos appeared first on FayerWayer.

Bug en Android permite a atacantes grabar el audio y la pantalla del teléfono

Los teléfonos que utilicen Android en sus versiones Lollipop, Marshmallow y Nougat se encuentran seriamente comprometidos tras un error que permite tomar control del servicio MediaProjection. Las consecuencias de este bug permiten que atacantes puedan grabar tanto el audio del dispositivo como la pantalla en su totalidad.

Android es el sistema operativo móvil más utilizado en el mundo y las tres versiones afectadas por este error de seguridad alcanzan el 77,5% de los dispositivos (Android 5.0, 6.0 y 7.0). Este indicador evidencia la gran cantidad de equipos que podrían ser transgredidos, atentando directamente contra la información y privacidad de sus usuarios.

De momento, todos los dardos apuntan al servicio MediaProjection que existía en Android desde sus inicios, pero para usarlo, las aplicaciones necesitaban tener acceso como administrador total del sistema (root), además de estar firmadas con las claves de lanzamiento del dispositivo. Esto restringió el uso de MediaProjection sólo a un número de aplicaciones desarrolladas por los fabricantes en sus versiones propias de Android, pero con el lanzamiento de Android Lolipop (5.0), Google abrió este servicio, y eliminó los permisos necesario para acceder a él.

Ventanas falsas para obtener privilegios

Para acceder a este servicio, las aplicaciones necesitan solicitar acceso mediante una llamada intencionada (intent call), que muestra una ventana emergente SystemUI de advertencia, indicándole al usuario que el software quiere capturar su pantalla y sistema de audio. Investigadores de MWR Labs descubrieron que los atacantes podían detectar cuando se abría esta ventana y disparar otra arbitraria. La técnica se llama tapjacking y ha sido utilizada por los desarrolladores de malware de Android durante años.

Así lo explican desde el equipo de MWR:

La causa principal de esta vulnerabilidad se debe al hecho de que las versiones de Android afectadas no pueden detectar ventanas emergentes de SystemUI parcialmente oscurecidas […] Esto permite a un atacante dibujar una superposición sobre la ventana emergente SystemUI, que llevaría a la elevación de los privilegios para que la aplicación maliciosa grabe.

La ventana emergente SystemUI legítima es el único mecanismo de control de acceso disponible que evita el abuso del servicio MediaProjection. Un atacante puede pasar por alto este mecanismo usando la técnica tapjacking, que permite capturar los toques sobre la pantalla con una actividad superpuesta intencionalmente. Y con esto, los usuarios creen que están haciendo toques sobre una actividad, aunque sin saberlo autorizan otras.

Google corrigió el problema hace unos meses con el lanzamiento de Android Oreo (8.0), pero las versiones mencionadas siguen por ahí con la falla.

De todas formas, hay esperanza: cuando el ataque ocurre (y si es que ocurre) aparece una notificación en pantalla avisando que se está grabando la información del teléfono, por lo que si ven que esto sucede sin haber hecho nada, tienen opciones como por ejemplo tirarlo a la basura detener el proceso o reiniciar el equipo. Aunque claro, la solución ideal (y lo mínimo en realidad) sería que Google parche el error.

The post Bug en Android permite a atacantes grabar el audio y la pantalla del teléfono appeared first on FayerWayer.

About Guardian

All the Lorem Ipsum generators on the Internet tend to repeat predefined an chunks as necessary, making this the first true generator on the Internet. All the Lorem Ipsum generators on the Internet tend to repeat predefined Lorem Ipsum as their default model text, and a search for web sites.