Quands.cat

A mesura que les aplicacions web han anat guanyant popularitat, la utilització d’Ajax s’ha convertit en quelcom ben normal. És la millor forma d’oferir una capacitat d’interactivitat amb l’usuari i facilitar una forma de funcionament semblant a la que estàvem acostumats en les aplicacions tradicionals.

Però Ajax neix de l’aplicació de múltiples “pegats”… és un autèntic hack on s’utilitzen diverses tecnologies existents des de fa temps pensades per a realitzar altres tasques, però que combinades i utilitzades d’una forma particular permeten una funcionalitat nova i innovadora.

Però tot això també mostra un altre aspecte interessant: la seguretat. Ajax no neix amb un disseny específic i amb totes les consideracions necessàries per a la seguretat.  La simple utilització d’Ajax no implica que una aplicació sigui menys segura. Senzillament, com en tot, cal ser-ne conscients i aplicar tot un seguit de consideracions.

Si a tot això hi sumem el fet que la utilització d’Ajax sovint està emmascarada per la utilització d’entorns de programació i biblioteques de funcions.

El llibre que comento aquí, que encara no he llegit, tracta del tema específic de la seguretat en aplicacions Ajax i del que estic veient força comentaris molt positius:

If you are writing or reviewing Ajax code, you need this book. Billy and Bryan have done a stellar job in a nascent area of our field, and deserve success. Go buy this book. I can’t wait for it to come out.

Is it just a re-hash of old presentations? No. The book breaks some new ground, and fills in a lot of the blanks in all of our presentations and demos. I hadn’t heard of some of these attacks in book form before. The examples improved my knowledge of DOM and other injections considerably, so there’s something there for the advanced folks as well as the newbies.

I really liked the easy, laid back writing style. Billy and Bryan’s text is straightforward and easy to understand. They get across the concepts in a relatively new area of our field.

The structure flows pretty well, building upon what you’ve already learnt … there is advanced stuff, but the authors have to bring the newbie audience along for the ride.

Billy and Bryan spend a bit of time repeating the old hoary “no new attacks in Ajax” meme which is big with the popular kids (mainly because their products can’t detect or scan Ajax code yet and still want money from you), and then spend the rest of the book debunking their own propaganda with a wonderful panache that beats the meme into a bloody pulp and buries it for all time.

Postgres Online Journal és una nova revista online i gratuïta especialitzada en el gestor de base de dades PostgreSQL.

Aquest primer número tracta aquests temes:

• PostgreSQL The Road Behind and Ahead.
• PostgreSQL 8.3 is just around the Corner.
• Converting from Unix Timestamp to PostgreSQL Timestamp or Date.
• Using Distinct ON to return newest order for each customer.
• How to create an index based on a function Intermediate.
• The Anatomy of a PostgreSQL - Part 1.
• How does CLUSTER ON improve index performance Intermediate.
• Language Architecture in PostgreSQL.
• PostGIS for geospatial analysis and mapping.
• Database Abstraction with Updateable Views.

Comprar el llibre

La història de la criptografia és una d’aquelles on més clarament es pot apreciar l’esperit dels primers anys d’Internet. L’objectiu d’acostar la criptografia per tal que fos una eina a l’abast de tothom no tenia una mentalitat comercial, sinó de garantir els drets de les persones per damunt les intencions de control i les excuses de “seguretat nacional”.

Cripto és un llibre d’Stephen Levy, un reconegut autor de llibres sobre la cultura i la gent que ha construït la xarxa. El subtítol del llibre ja dóna una molt bona idea del que tracta: “Cómo los informáticos libertarios vencieron al gobierno y salvaguardaron la intimidad en la era digital“. El llibre és doncs l’explicació de la història del naixement de la criptografia pensada per a ser utilitzada de forma general per tothom i no com una eina de guerra per part dels exèrcits i els governs (especialment el govern dels Estats Units, ja que els protagonistes d’aquesta història desenvolupen la seva activitat bàsicament en aquell país).

A Cripto coneixerem com va néixer la criptografia de clau pública, les desventures de les primeres empreses que van comercialitzar productes de criptografia, l’aparició del primer sistema criptogràfic d’ús general (PGP), la resposta de l’administració nord-americana per a impedir que les persones puguin ‘amagar informació (el xip Clipper, un sistema criptogràfic universal però sota el control del govern, que és el dipositari de les claus de forma que el pot intervenir quan vulgui), les restriccions per a l’exportació…

I també al llibre veiem un dels efectes més clars del perjudicial que és l’existència dels exercits amb els seus secretismes i accions fora del coneixement general. La criptografia de clau pública fou descoberta molts anys abans del que tothom s’imaginava per membres de l’exèrcit britànic. Però com això era matèria reservada, no va poder ser coneguda fins molts anys després. Així una investigació pagada amb diners públics va restar oculta i va ser necessari que passessin molts anys per tal que fos redescoberta.

Cripto és un llibre de fàcil i ràpida lectura. No calen coneixements matemàtics per a llegir aquest llibre, ja que no tracta sobre els mètodes de xifrat sinó sobre com unes persones amb uns ideals de llibertat i protecció de la privadesa van esforçar-se per acostar les eines necessàries per a poder fer realitat aquesta llibertat i de privadesa.

Títol: “Cripto. Cómo los informáticos libertarios vencieron al gobierno y salvaguardaron la intimidad en la era digital” (”Crypto. How the Code Rebels Beat the Government“)
Autor: Steven Levy
Traducció: Dimitri Fernández Bobrovski
Alianza Editorial
366 pàgines
Edició 2002
ISBN: 9788420691084

Publicat el número 13 de la revista online (IN)Secure Magazine.

Contingut:

• Attacking consumer embedded devices
• Review: QualysGuard
• CCTV: technology in transition - analog or IP?
• Interview with Robert “RSnake” Hansen, CEO of SecTheory
• The future of encryption
• Endpoint threats
• Review: Kaspersky Internet Security 7.0
• Interview with Amol Sarwate, Manager, Vulnerability Research Lab, Qualys Inc.
• Network access control: bridging the network security gap
• Change and configuration solutions aid PCI auditors
• Data protection and identity management
• Information security governance: the nuts and bolts
• Securing moving targets
• 6 CTOs, 10 Burning Questions: AirDefense, AirMagnet, Aruba Networks, AirTight Networks, Fortress Technologies and Trapeze Networks

DJB escriu sobre la seva experiència a QMail des d’una perspectiva de seguretat: Some thoughts on security after ten years of qmail 1.0. La seva visió pot considerar-se gairebé un tractat en programació segura.

The qmail software package is a widely used Internet-mail transfer agent that has been covered by a security guarantee since 1997. In this paper, the qmail author reviews the history and security-relevant architecture of qmail; articulates partitioning standards that qmail fails to meet; analyzes the engineering that has allowed qmail to survive this failure; and draws various conclusions regarding the future of secure programming.

Guia del CERT sobre l’amenaça interna: Common Sense Guide to Prevention and Detection of Insider Threats. L’amenaça interna són les persones que, per la seva feina, disposen d’accés als sistemes d’informació d’una organització i, en conseqüència, necessiten un seguit de mesures de protecció diferent del que s’aplica a les persones que accedeixen de forma remota.

No s’ha de ser paranoic, però cal ser conscient de tot allò que pot succeir com a conseqüència de l’acció d’una persona de l’organització.

Over the past several years, Carnegie Mellon University has been conducting a variety of research projects on insider threat. One of the conclusions reached is that insider attacks have occurred across all organizational sectors, causing significant damage to the affected organizations

(…)

Insiders have a significant advantage over external people who might want to cause harm to an organization. Insiders can bypass physical and technical security measures designed to prevent unauthorized access. Mechanisms such as firewalls, intrusion detection systems, and electronic building access systems are implemented primarily to defend against external cyber threats. Not only are insiders aware of the policies, procedures, and technology used in their organizations, but they are often also aware of the vulnerabilities, such as loosely enforced policies and procedures or exploitable technical flaws in networks or systems.

El document és una mena de guia de tot allò que cal considerar per tal d’identificar les possibles amenaces i com prevenir-los:

This report is written for a diverse audience, outlining practices that should be implemented by organizations to prevent insider threats. Each practice is described briefly in terms of why it should be implemented and one or more case studies illustrate what could happen if it is not implemented, and how the practice could have prevented an attack or facilitated early detection.

Redbook d’IBM dedicat a la seguretat en entorn Mainframe: Security on z/VM. Tracta sobre las característiques de seguretat del sistema operatiu, la gestió d’usuaris amb RACF i LDAP.

El contingut del redbook és el següent:

1. Seguretat i z/VM
   Conceptes de virtualització, detecció d’intrusions, conceptes generals de RACF i DLAP
2. RACF en entorn z/VM
   Instal·lació i configuració, gestió d’usuaris, funcions de seguretat, auditoria, autorització.
3. Servidor LDAP
   Instal·lació i configuració de l’LDAP a l’entorn z/VM. Ús de l’LDAP per a l’autenticació d’usuaris.
4. Implementació de mòduls PAM als servidors Linux
5. Integració empresarial
6. Criptografia en entorn Mainframe
7. Consol zSecure

Publicat el número 5 de la revista IDP (Internet, Dret i Política).

Contingut:

• III Congrés Internet, Dret i Política. Noves perspectives
• Només sé que no sé res (efectivament)”: l’apreciació del coneixement efectiu i altres problemes en l’aplicació judicial de la LSSI
• Perspectives del dret a l’autodeterminació informativa
• Vers nous principis de protecció de dades en un nou entorn TIC
• El dret fonamental a la protecció de dades: perspectives
• La investigació policial a Internet: estructures de cooperació internacional
• Primeres Jornades Professionals sobre la Protecció de Dades a la Universitat
• La protecció de dades a Espanya i a la Unió Europea. Especial referència als mecanismes jurídics de reacció davant la vulneració del dret a la intimitat
• La reforma penal de la falsificació, tràfic i ús il·lícit de targetes bancàries
• Estudi europeu sobre e-govern a les ciutats
• Activitats dels Estudis de Dret i Ciència Política de la UOC

Guia del NIST per a la protecció de sistemes RFID: Guidelines for Securing Radio Frequency Identification (RFID) Systems. Analitza les consideracions de seguretat que implica la utilització de l’RFID i l’impacte que tenen dins dels processos funcionals i organitzatius.

For RFID implementations to be successful, organizations should effectively manage their risk.

Like other technologies, RFID technology enables organizations to significantly change their business processes to increase efficiency and effectiveness. This technology is complex and combines a number of different computing and communications technologies. Both the changes to business process and the complexity of the technology generate risk.

• Business process risk
• Business intelligence risk
• Privacy risk
• Externality risk

Algunes novetats interessants del NIST:

• Guide on Securing Public Web Servers
  Guia per a l’enfortiment de la configuració de servidors web accessibles a través d’Internet. És una guia genèrica i no específica d’un producte en particular.
• Performance Measurement Guide for Information Security
  Guia per a la definició, selecció i implementació de les mètriques que permetin identificar el nivell de seguretat dels sistemes d’informació.
• Computer Security Incident Handling Guide
  Definició dels protocols d’actuació a seguir davant un incident de seguretat informàtica.

Publicat el número 34 de la revista online SET (Saqueadores Edición Técnica).

Contingut:

0×00 Contenidos (007 k) SET 34 SET Staff
0×01 Editorial (002 k) SET 34 Editor
0×02 Inyeccion SQL sobre soft anticuados (047 k) SQL Anonimo
0×03 Bazar de SET (079 k) Varios Varios Autores
3×01 RSA Curiosidades Anonimo
3×02 Escalado de permisos en Symbian Moviles FCA00000
3×03 Diario Sociedad HackMan
3×04 Utilidad para formateo en ASCII Software elotro
0×04 Curso de electronica 04 (022 k) Hardware elotro
0×05 I-O Ileso (020 k) Hacking blackngel
0×06 LiveCD (023 k) Linux blackngel
0×07 La importancia de una buena pass (016 k) Info thenemi
0×08 Inyeccion en SQL (016 k) Hacking thenemi
0×09 Proyectos, peticiones, avisos (009 k) SET 34 SET Staff
0×0A Diez anyos despues (025 k) @rroba SET Staff
0×0B Curiosidades sobre eMule (018 k) Hacking FCA00000
0×0C Unete al Software Libre (FreeCol) (019 k) Soft libre FCA00000
0×0D Overflows en linux (046 k) Linux Raise
0×0E Llaves PGP (008 k) SET 34 SET Staff

Publicat el número 13 de la revista online (IN)Secure Magazine.

Contingut:

Interview with Janne Uusilehto, Head of Nokia Product Security

Social engineering social networking services: a LinkedIn example

The case for automated log management in meeting HIPAA compliance

Risk decision making: whose call is it?

Interview with Zulfikar Ramzan, Senior Principal Researcher with the Advanced Threat Research team at Symantec

Securing VoIP networks: fraud

PCI DSS compliance: a difficult but necessary journey

A security focus on China outsourcing

A multi layered approach to prevent data leakage

Safeguard your organization with proper password management

Interview with Ulf Mattsson, Protegrity CTO

DEFCON 15

File format fuzzing

IS2ME: Information Security to Medium Enterprise