•
•
•
•
Internet is now proved to be unsecured even if DNS are patched and i reached and unthinkable level of paranoia. Given that launchpad ppa (which are awesome for QA) doesn’t use signed packages, so i can’t actually check the integrity of them i’ve changed all my sources.list from url’s to ip’s so i can’t (at least i hope) be vulnerable to cache poisoning \o/
P.S: Please launchpad team, make ppa use signed packages!
(Update: y el bug ya se hizo público 2 semanas antes del plazo, y muchos servidores peruanos siguen vulnerables, excelente)
Update2: Ya hay plugin de metasploit para detectar el puerto de origen de los servidores DNS (lo que permite buscar todo un rango de IPs con facilidad). Esperen un exploit en unas horas.
ENJOY!
Local Host | Foreign
|
+---------+ +----------+ | +--------+
| | user queries | |queries | | |
| User |-------------->| |---------|->|Foreign |
| Program | | Resolver | | | Name |
| |<--------------| |<--------|--| Server |
| | user responses| |responses| | |
+---------+ +----------+ | +--------+
| A |
cache additions | | references |
V | |
+----------+ |
| cache | |
+----------+ |
Si tienen un Name Server autoritativo, este NO DEBE FUNCIONAR COMO RESOLVER.Si usan BIND, limiten allow-recursion con un acl. Si usan servidores DNS windows formatéenlos, instalen un sistema operativo de verdad (nos gusta FreeBSD en el server room) y compren un libro de BIND (o entren en la mente de djb ). Pero por favor, nunca, nunca, NUNCA dejen que su servidor autoritativo permita recursion. Y si no me creen a mí, por favor, créanle a D.J. Bernstein.
El viernes pasado y dado que mi DNI estaba por vencer, fui a hacer mi tramite de la renovación de este y viendo los videos que pasaban mientras esperaba me enteré de la nueva opción que estaban “desarrollando”, el DNI electrónico. Primero me pareció una gran noticia y un buen proyecto, pero instantáneamente esa sensación fue seguida de varias preguntas, conociendo sobretodo como funciona el estado peruano, algunas de las cuales fueron:
Como buen geek interesado en la seguridad empecé a investigar, buscar en internet, leer sobre el documento y mi respuesta fue la esperada: no hay información de NADA de esto en internet, o por lo menos no la encontré, será que lo que me temo es cierto y nadie sabe como funciona (como suele pasar en Perú), será que están confiando la seguridad en un cifrado “desconocido” por el atacante, será tan fácil de romper como hacer un simple ataque de ingeniería inversa?
En resumen: el estado quiere darnos una nueva tecnología y una nueva forma de “identificarnos”, virtualmente, pero no hay información sobre como funcionará esta, que es lo que realmente nos están dando, a que peligros nos podríamos exponer y al buscar una respuesta a estas interrogantes solo se encuentran más preguntas y dudas, pero total, a la población no le interesa, si un pequeño porcentaje tiene acceso a una computadora, y de ese pequeño porcentaje somos incluso mucho menor la proporción de ciudadanos que conocemos del tema, entonces no nos preocupemos por informarles! Pero no podemos dejar que jueguen con la seguridad de nuestra identidad, la reniec debe poner bien en claro todos los aspectos de este nuevo cambio, los legales, los de uso y los técnicos.
Ubuntu Pentesting Team is team formed to continue check the security of the ubuntu resources (i.e: wiki.ubuntu.com, launchpad.net, qa.ubuntu.com, etc…) and as it will deal with the security holes on those resources it’s a restricted team. It has a really nice purpose, and sound like really exciting tasks so i try to join it, attend to the previous meeting only to sit and watch, but at this time i apply myself, and i was approved! so now i’m part of the Ubuntu Pentesting Team!! I’m really excited and hoping to start working soon, see you on the Pentest Day!!
It all started with me surfing through my old archives looking for a little executable file i used some years ago while trying to recover my old blogger account password… the reason for this search was: I needed to read an asterisk (yeah the glyph ‘*’) password to ascii from a DSL router from one of our worsts internet providers, i found several programs that helped me get the job done, yet im my research i found this[0] piece of code to be inserted in the address bar of the Firefox browser, if you read it, it is quite simple yet clever and fun, the surprising thing for me was that i didn’t know you can pass directly javascript code into a address bar and the browser would execute it, havent made much research about this last yet, but i don’t think of it as a bug but as a feature[1], of course back then (2 or 3 years ago) i didn’t know you can store your html forms logons directly in the Firefox browser.
[0]
function() {
var s,F,j,f,i;
s = "";
F = document.forms;
for(j=0; j<F.length; ++j)
{
f = F[j];
for (i=0; i<f.length; ++i)
{
if (f[i].type.toLowerCase() == “password”);
s += f[i].value + “\n”;
};
};
if (s) alert("Passwords in forms on this page:\n\n" + s);
else alert("There are no passwords in forms on this page.");
};
[1] to be researched.
But is something most online stores, banks, etc sells us, here’s a clear case of it.
and YES, using Ethereal you can see your password passing through
We already got a great UNIX, and programming jokes from XKCD, but the new one is about cryptography (funny because I’ve been reading a lot about Cryptography the last 2 weeks).
In case you don’t know, in Cryptography, Alice and Bob are commonly used instead of A and B, as in “Alice delivers a message to Bob”. There are other recurring characters like:
By the way, there is also the Alice and Bob rap by “computer science gansta rapper” MC Plus+.
Alice and Bob
Alice is sending her message to Bob
Protecting that transmission is crypto’s job
Without the help of our good friend Trent
It’s hard to get that secret message sent
Work tries to deposit a check of your salary
But with no crypto it’ll be changed by Mallory
You think no one will see what it is you believe
But you should never forget there’s always an Eve
(Chorus)
‘Cause I’m encrypting sh*t like every single day
Sending data across the network in a safe way
Protecting messages to make my pay
If you hack me, you’re guilty under DMCA
DES is wrong if you listen to NIST
Double DES ain’t no better, man, that got dissed
Twofish for AES that was Schneier’s wish
Like a shot from the key, Rijndael made the swish
But Blowfish is still the fastest in the land
And Bruce used its fame to make a few grand
Use ECB and I’ll crack your cipher text
Try CFB mode to keep everyone perplexed
(Chorus)
Random numbers ain’t easy to produce
Do it wrong and your key I’ll deduce
RSA only public cipher in the game
Creating it helped give Rivest his fame
If we could factor large composites in poly time
We’d have enough money to not have to rhyme
Digesting messages with a hashing function
Using SHA-1 or else won’t cause dysfunction
(Chorus)
Nerds.
ChichaPlanet intenta recoger pedacitos de la vida, milagros y "sanas" ocurrencias de varios linuxeros y entusiastas del software libre que son peruanos o viven en Perú. Tenemos a gente de Lima, Arequipa, Ica, Trujillo, Ithaca, Uruguay, España y otros puntos de nuestra variada geografía y de todo el planeta. Casi ninguno resiste a la tentación de divertirse a morir diciendo payasada y media en el canal #linuxperu de irc.freenode.net.
En su tiempo libre la mayoría de ellos estudia, trabaja ó se hace algún cachuelito instalando servidores ó desarrollando.
Tambien puede ver los fortunes chicheros o agregar uno nuevo.
