BUSQUEDA EN GOOGLE

ABG COMPUTACION Y TECNOLOGIA

ABG COMPUTACION Y TECNOLOGIA
tecnicopcabg@gmail.com

NOTICIAS DE HOY DESDE SANTA FE y TWITER

------------------------------------------------------- TESTEA TU VELOCIDAD DE INTERNET ------------------------------------------------------- Test your Internet connection speed at Speedtest.net ------------------------------------------------------- ENTERATE DE TODO EN MI TWITTER HACE CLICK EN EL ENLACE SIGUIENTE -------------------------------------------------------

VIDEOS INFORMATICA

Loading...

CLASES Y REPARACION

clases y reparacion

clases y reparacion

Buscar este blog

TELEFONOS

TELEFONOS

ENSEÑANZA

ENSEÑANZA

NUEVOS TELEFONOS

4591009
4590083
155-779043




Mis paginas web con Información:
http://www.xigma74.com/

http://www.abgcomputacion.com/
----------------------------------------------------------------------Mail: tecnicopcabg@gmail.com




Nos dedicamos a:
servicio tecnico,computacion,servicio computacion,servicio computadoras,servicio tecnico computacion,computadoras,sola,computadora sola,servicio tecnico pc,servicio pc,reparaciones pc,informatica,mantenimiento redes,redes,instalacion redes,asistencia tecnica,asesoramiento,venta computadoras,pehuajo,sw computacion,sw,trenque lauquen,buenos aires,walter,dari,walter dari,redes inalambricas,Linux,servidores Linux,servidor Linux,sistemas administrativos,sistema administrativo,sistemas a medida,computadoras armadas,reparaciones computadoras,reparaciones,reparaciones computacion



Páginas vistas en total

lunes, 8 de octubre de 2012

RV: una-al-dia (06/10/2012) La paradoja de la seguridad en los navegadores

La paradoja de la seguridad en los navegadores
----------------------------------------------

Hoy nos encontramos ante lo que, a primera vista, se podría considerar una
especie de paradoja en la aproximación a la seguridad en
navegadores: el navegador con más fallos de seguridad y el más popular, es
el más seguro. Sin embargo, se trata en realidad de una evolución natural
que demuestra que lo importante es la protección, y no tanto las
vulnerabilidades.

Existe una creencia popular: El navegador más popular es el más atacado.
Si además es el que mayor número de fallos de seguridad contiene, el círculo
se cierra. ¿Quién usaría algo así? Hasta ahora, Internet Explorer honraba
esta máxima... pero Chrome la ha desmentido. Desde mediados de año es el más
usado y siempre ha sido el que más fallos contabiliza... pero es el más
seguro en el mundo real (es un hecho que confirma cualquier creador de
exploits).

En los 90

En los 90 los navegadores que se usaban principalmente eran Netscape e
Internet Explorer. Los dos un desastre en seguridad (como mandaban los
tiempos). Pero no importaba demasiado a los atacantes. La industria del
malware no estaba tan desarrollada, no existían kits de explotación tan
perfeccionados y además, se disponían de otros medios para infectar a las
víctimas: el email y el ataque directo a los puertos y servicios.
Los sistemas y programas de correo no eran tan efectivos contra el malware,
los usuarios no estaban tan concienciados y además, muchos se conectaban
directamente a Internet sin cortafuegos entrante. Explotar vulnerabilidades
en el navegador era sencillo pero no tan necesario.

En los 2000

La guerra la ganó Internet Explorer y se relajó. El cortafuegos se instauró
como norma y además los usuarios se conectaban por ADSL, por lo que solían
permanecer detrás del cortafuegos del router. El spam se controló en parte y
el usuario se concienció. Los atacantes tenían que saltar al navegador y
aprovechar las vulnerabilidades si querían infectar. Contaban con una enorme
ventaja con Internet Explorer: era ubicuo e inseguro. El problema creció y
aparecieron alternativas serias:
Firefox y Chrome. La guerra se centró no tanto en la cuota de uso (que
también, cómo no) sino en ofrecer elementos diferenciadores: seguridad en
profundidad. La cuota llegaría después.

Hoy

Hoy el panorama es curioso. La batalla la ha ganado un "recién llegado"
como Chrome por (varias razones, pero principalmente por) centrarse en la
seguridad. Pero no cualquier tipo de seguridad (dejemos al margen quién
detecta más phishing o malware), sino en la defensiva. Si bien es el
navegador con mayor número de fallos, es el más complejo de explotar.

http://2.bp.blogspot.com/-yMISW-4dKNQ/UHKjgBWm9gI/AAAAAAAABO0/bDiy9lygMHU/s1
600/navegadores_1.png

Fuente:
http://cert.inteco.es/extfrontinteco/img/File/intecocert/EstudiosInformes/ce
rt_inf_vulnerabilidades_2012_semestre_primero.pdf


Microsoft tomó otro enfoque. Apostó fuertemente por el Security Development
Lifecycle (SDL), que implicaba el desarrollo de sus programas desde cero
teniendo en cuenta la seguridad. El resultado es que su número de
vulnerabilidades ha descendido considerablemente en los últimos dos años...
pero las que hay son muy explotadas. Chrome se centró no tanto por bajar el
número de fallos, sino en que estos no fueran explotables. Apostó por
separar las pestañas en procesos con bajos niveles de integridad, por el
ASLR y el DEP en sus procesos, por meter los plugins en sandbox, por las
actualizaciones automáticas "sin permiso" y por motivar fuertemente a los
investigadores para que le detectaran los fallos de seguridad (paga bien
cada vulnerabilidad encontrada y reportada). De hecho, se atrevió a ofrecer
hasta 1.000.000 de dólares por la ejecución de código arbitrario en Chrome
bajo Windows 7. Lo consiguieron, pero solo el equipo de Vupen después de 6
largas semanas de trabajo. ¿Están los atacantes a la altura? Por supuesto...

pero de lograrlo, se deben plantear si no es mejor reportarlas de forma
legítima. Así ha conseguido la "paradoja": que Chrome, siendo el que más
fallos de seguridad acumula año tras año, y con una cuota de mercado más que
respetable, sea el más seguro "ahí fuera". Tiene el honor de ser aborrecido
por una de las mayores amenazas web actuales: el kit de explotación
"Blackhole", que no lo intenta atacar.

Internet Explorer por el contrario, encuentra que aunque con menos fallos,
su nivel de exposición es mayor: se le acumulan los ataques (a través de
0-day) y aunque ha mejorado el tiempo de respuesta (el último fue corregido
en algo más de una semana) sigue siendo lenta para lo que demanda hoy el
mercado. Si apuntamos a la "estricta" definición de "0-day", lo que importa
es que el navegador esté siendo atacado a través de las vulnerabilidades, no
solo que no estén parcheadas. Y ahí, Internet Explorer sale perdiendo. Una
buena parte de sus vulnerabilidades críticas se encuentran ya siendo
aprovechadas por atacantes, y esto hace que sus usuarios tengan un alto
grado de exposición que no se da en otros.

Es cierto que IE también separa las pestañas en procesos con bajos
privilegios, aprovecha DEP y ASLR... pero la motivación de los atacantes
también es mayor para poder eludir estos problemas (buscan en el mercado
negro la recompensa que no ofrece Microsoft) y su sandbox no es la de
Chrome. Ha salido perjudicado de esta guerra de la seguridad... y quizás,
por esa misma razón, está perdiendo la guerra por la cuota de mercado.

http://4.bp.blogspot.com/-ucDCSrHoaWE/UHKjz4B5Q7I/AAAAAAAABO8/KfcObBKo-uc/s1
600/navegadores_2.png

Fuente: http://gs.statcounter.com/#browser-ww-monthly-200807-201210

Mientras, Opera, con un número de fallos y una cuota menor, todavía no ha
implementado medidas de seguridad modernas (y por ello es atacado).
Firefox, en situación parecida, no ha sabido hacer frente a Chrome pese a
sus ventajas. Ambos pierden relevancia poco a poco...

En definitiva, tenemos de nuevo que revisar parámetros establecidos. No
importa tanto el número de vulnerabilidades y la cuota de uso ya no es
excusa. Lo que importa es cómo se gestiona la seguridad a todos los niveles
y sobre todo, reconocer que el software tendrá vulnerabilidades y ese factor
no va a eliminarse nunca... lo necesario es centrarse principalmente en
trabajar para que su impacto sea mínimo y que resulten endemoniadamente
complejas de explotar... Ese ha sido el genial movimiento de Chrome.

Opina sobre esta noticia:
http://unaaldia.hispasec.com/2012/10/la-paradoja-de-la-seguridad-en-los.html
#comments

Más información:

Pwnium: rewards for exploits
http://blog.chromium.org/2012/02/pwnium-rewards-for-exploits.html

Blackhole kit 2.0. Facilidades en la infección y dificultades para el
analista
http://unaaldia.hispasec.com/2012/09/blackhole-kit-20-facilidades-en-la.html

No hay comentarios:

Publicar un comentario

muchas gracias por los comentarios