jueves, 11 de febrero de 2010

Volar...¿es seguro? (Seguridad Aeroportuaria)



Todos hemos escuchado la famosa estadística que nos dice que es más seguro volar que viajar en auto, que es mas probable tener un accidente automovilístico antes que uno aéreo. Sin contar que cuando uno se dispone a subirse a un avión, pasa por 700 máquinas (capaces de decirnos que comimos la noche anterior :P) y controles de seguridad de nuestro equipaje, donde una tijerita para cortar la barba equivale a una bazuca de ultima generación.

Pero...¿Creen que estas personas tuvieron o tienen en cuenta la seguridad informática? ¿Creen que verifican que sus sistemas no hayan sido comprometido y que nadie los esta monitoreando?

Mmmm...nos gustaría creer que si. Ahora, si yo les muestro la siguiente captura, donde se observa el trafico aéreo en tiempo real del aeropuerto internacional de San Diego, ¿qué es lo primero que se les viene a la mente?:




Claro, ustedes seguro están pensando: "Este copio esa captura de Internet usando el buscador de imágenes de Google". ¿Y si no? Da miedo, verdad? Bueno, a continuación les dejo unos links de 14 monitores en tiempo real del trafico aéreo de 14 de los aeropuertos mas importantes de Estados Unidos:


San Diego International Airport - San Diego, CA
Bob Hope Airport - Burbank, CA
John Wayne Airport in Orange County, CA
St. Augustine Airport - St. Augustine, FL
St. Petersburg - Clearwater International Airport - St. Petersburg, FL
Boca Raton Airport - Boca Raton, FL
Louis Armstrong International Airport - New Orleans, LA
Logan Airport - Boston, MA
Nantucket Memorial Airport - Nantucket, MA
Newark Liberty International Airport - Newark, NJ
Teterboro Airport - Teterboro, NJ
JFK International Airport - New York, NY
LaGuardia Airport - New York, NY
Westchester County Airport - White Plains, NY


Increíble, no? Si, increíble pero verdadero. Estos aplicativos realizados en Java, nos muestran efectivamente el trafico aéreo en tiempo real, y nos permiten hacer clic sobre cualquier aeronave visible para así saber su altitud actual y el modelo de la misma.

Para poder ver esto no tuve que meterme en ningún servidor ni ingresar alguna credencial, simplemente ingrese a esta pagina.

Imagínense el peligro que esto representa. Esta información podría ser utilizada tranquilamente por agrupaciones terroristas para monitorear el trafico aéreo de Estados Unidos (si no es que ya fue utilizada en el pasado).

Se estarán preguntando que es ese ruido que escuchan desde que abrieron este post, no? Bueno, existe un grupo de radio aficionados que armaron un sitio donde tienen publicado feeds en vivo de las comunicaciones de radio de casi todas las torres de control de los aeropuertos del mundo. Si, como lo leyeron (y ahora escuchan)...ese ruido no es mas que una de las torres de control del aeropuerto internacional de Ezeiza, Buenos Aires.




Uno creería que estas comunicaciones deberían de viajar encriptadas o cifradas de alguna manera, pero no, viajan a través de simples ondas de radio, pudiendo ser captadas con cualquier equipo de onda corta y una antena casera.

Les dejo este link donde encontraran un mapa del mundo, donde haciendo clic en cualquiera de los países obtendrán la lista de aeropuertos dentro del mismo y sus respectivos feeds.


Ximo

viernes, 5 de febrero de 2010

Nueva versión 2.1.1 de Nikto



Hoy les dejo un post mas bien corto pero importante. El 30 de Enero pasado los muchachos de CIRT liberaron la versión 2.1.1 de Nikto. Esta es una excelente herramienta de auditoría, por lo que les recomiendo a todos aquellos interesados en la auditora de seguridad que lo descarguen, y para aquellos que ya lo tienen que lo actualicen.

Les dejo los links de descarga:

Descarga: Version 2.1.1 .gz o .bz2







Y a continuación les dejo el changelog (registro de cambios):

2010-02-01 Nikto 2.1.1
  • Ticket 117: Fixed SKIPPORTS
  • Ticket 116: Moved User-Agent string to nikto.conf
  • Ticket 116: Added dynamic variables to User-Agent (Testid, Evasion methods)
  • Ticket 95: Added support for OSVDB, now the fun bit of filling it in
  • Ticket 111: Basic syntax checks for all databases
  • Ticket 109: Added an extra optional element to xml output to contain the SSL date. Need to do similar for html, txt and csv
  • Ticket 106: Shorts authentication being successful if an error is returned
  • Ticket 107: Support for short reads in LW2.5
  • Ticket 98: If -Format is missed guess the format based on file extension in -output. Default is none if -output is omitted.
  • Ticket 96: Multiple index file enhancements for groups and better unique file identification
  • Ticket 103: content in xml report is now wrapped in CDATA
  • Ticket 110: Mutate now respects db variables
  • Ticket 97: Fix for response caching
  • Ticket 99: Spelling disagreements between Brits and Americans
  • Added @RFIURL to nikto.conf for a remote file include location, and supporting code.
  • Added ~2300 RFI tests from the combined RSnake/OSVDB list
  • Removed NMAP and NMAPOPTS from nikto.conf as it is no longer used/supported
  • Reporting: simplify xml/html code, fix a bug when a space is in the uri, and load ony needed templates
  • Upgrade to LibWhisker 2.5
  • Enable 2 new LW evasion tacticts (carriage return or binary value as request spacer)
  • Added support to select plugins via -Plugins and -list-plugins option to list current plugins
  • Major bug fix for proxy usage
  • Don't report p3p header as unusual
  • Various changes to aid future binary db usage for mutates
  • Various changes to aid future multi-threading
  • Fix for multiple index files


Ximo

martes, 2 de febrero de 2010

Humor Digital



Buenas gente...hoy les tenia un post super interesante, pero mientras lo redactaba el editor del blogger decidió volverse loco y borrarme todo. :(

Como me empaqué decidí postear un poco de humor digital para alegrarles la semana y ayudarme a pasar el mal trago. Prometo volver a redactar el otro post, pero mientras tanto a reírse un poco al estilo geek:







Espero les haya gustado...y recuerden:"Errar es humano, comentar es divino" :P


Ximo