Willkommen! - Bienvenido! - Welcome!

Bitácora digital de Información al cliente de Tux&Cía.
Bitácora Central: Tux & Cía.
Bitácora Técnica (multilingüe): TecniCambalandia
May the source be with you!

Monday, November 24, 2008

I've Got A Penguin in My Briefs

Source

The practice of law is a knowledge, information, and document-intensive profession. In many respects, lawyers ply their trade in the same way independent programmers do: we sell our expertise, experience and technical skill in using what is, essentially, the aboriginal “open” source code — the code of laws and courtroom procedure.

In 2004, after practicing law for 23 years in a mid-sized downtown Seattle law firm, I opened my own boutique law practice and I decided to make GNU/Linux the centerpiece of a completely free/open software law firm environment.

Almost everything about the practice of law is open and public. You do not “lease” the law from any corporation and you do not acquire a license to use any federal or state statute, municipal code or administrative regulation. What the client pays for is the lawyer’s knowledge about how to use a highly complicated set of frequently asynchronous laws and procedures, much like what a client pays for when hiring a programmer.

In the Anglo-American legal system, the attorney deals with “legacy” code (otherwise known as “Common Law”) built up through the accretion of judicial case decisions over time (as in centuries, on occasion) and utility “programs” for special applications like federal taxation, bankruptcy, land use, criminal prosecutions, and divorce proceedings.

The expertise in law is knowing what sources to look in, how to read the code (law), what it means, and, most importantly, how to creatively and productively apply it in the context of a particular problem. In short, lawyers are not “law processors,” but “code programmers” working like free and open source computer consultants. Lawyers are naturals for GNU/Linux.

Cultural Inertia
Before making the cold-penguin conversion, I first had to overcome professional cultural inertia in creating a purely free and open law firm. I had spent 23 years working in a Windows world. All of my practicing colleagues used Microsoft products. All of my clients used Microsoft products. All of the courts used Microsoft products.

The first three questions I had to answer were:

  1. Could I actually run my practice using free/open source software?
  2. How would my GNU/Linux system interact with everyone else’s systems.
  3. And finally, why bother?
Addressing the last question first, the answer was simple: why not?

The 20th Century gee-whiz world of office technology has long since morphed into the world of office technology break-downs, power failures and mean-spirited invasions of viruses, worms, phishers, and spammers.

Simply put, I wanted, no, I urgently needed, a computer software and information management system that was both robust and fixable quickly, efficiently, and inexpensively. Although speed, efficiency and cost were virtues mostly forgotten in the big law firm environment, I knew that they would be critical in a small boutique practice. So it was a natural choice for me to choose a core technology — GNU/Linux — that fit all basic criteria.

Let me point out that I am, strictly speaking, a mere user of computers and computer software. I am not a techie in any sense except as a marginally sophisticated consumer of technology. Most lawyers do not know the difference between source code, machine code and the DaVinci Code.

Fortunately, I am married to a woman who speaks geek and who can program as readily as Gandalf blows smoke rings. She agreed to be the resident IT manager, my in-house information technology expert who would assemble the hardware and software systems, integrate them, tweak and refine them and, when necessary, rip them apart to fix whatever had gone wrong.

Purists might argue that a true user of GNU/Linux software should be able to do it all by oneself. I say that is a load of penguin poop.
Although Renaissance Man might have been able to do it all, not since the 13th Century and Roger Bacon has it truly been possible for one person to know everything about everything. In fact, if there is any advantage to civilization, it is that I do not have to know everything about everything.

For ordinary humanoids, it simply is not possible for one person in one day to learn to play Rachmaninoff’s Piano Concerto No. 3, try a lawsuit, write a Java script program, fix the chain on your bicycle, weed your vegetable garden, run a marathon, earn a black belt inkarate, frame your own house, write the great American novel, eat pizza, drink beer and occasionally socialize with a member of the opposite sex. In short, let me practice law, you program code, and we’ll both make a symbiotic living doing our own thing. That’s civilization.

The Building Blocks
My system is built around Debian, primarily because it is clean, reliable and because its proponents are dedicated to the principles of FOSS (Free and Open Source Software). Although my wife runs her machines on testing, or the bleeding edge versions of the operating system, I strictly run stable configurations. In part, I am chicken and in part I am prudent. I cannot afford to have the whole system melt down on me while responding to a 48 hour “motion to shorten time.”

In 2004, I purchased an IBM Thinkpad that came loaded with Windows and, after partitioning the hard drive, we loaded Debian Sarge. Now, in 2007, we are running Etch, the current stable release of Debian. My office runs a basic Pogolinux server.

Email has become an essential component of the practice of law. In fact, email now has supplanted the telephone, mail, and the facsimile machine as the workhorse of the law office. Literally everything is conducted by email, including correspondence with the judges’ clerks, communications with clients, and flamemail launched at opposing counsel. My email utility is Evolution and, although it periodically crashes or hangs, it is no less reliable than what I used to use.

My Web browser is Mozilla Firefox: although, on occasion, I will use one of the several other browsers that come loaded with my version of Debian. I use NoScript 1.3.1 (a FOSS program written by Giorgio Maone of InformAction, Palermo, Sicily) to preemptively block a lot of advertising and to protect myself from various Web security vulnerabilities.

Between my FOSS browser, Evolution, and GNU/Linux operating system, I like the fact that I am almost virus and worm free. My lawyer friends go through periodic emergency upgrades of their more prosaic software while I experience no such emergencies. Although my former partners are
forced periodically to abandon their operating systems for something newer, shiner, and just as flaky, my operating system is always backwards and forwards compatible.

When Debian releases its next version of its stable system, I will simply download it without charge. Ubuntu wasn’t available when I set up my “free and open” law firm in 2003. Now it is and I might try it, too.

Although Free Software does not cost anything, there truly is no such thing as a free lunch. If you like and support something, you should help pay for it. My in house IT manager contributes her time and programs to the common cause. I contribute money to the Debian Foundation and donate some of my professional time proselytizing in articles like these or sharing law knowledge with local FOSS communities.

It is proper and sporting to give back and make those contributions.

Businesses who think that the main attraction of FOSS is that it is, literally, free miss the point altogether. It is not about freeloading; it is about being part of, and contributing to what is literally an international software cooperative. In a way, that is how the legal codes, the common law develops, too: only much, much, much more slowly and without the intentionality of writing computer code.

The practice of law, like computer consulting, entails both professional and entrepreneurial elements. Thus, I needed a billing and accounting program. GnuCash was one of two billings systems available in 2003 and, with minimal adjustments, it seemed to fit the bill. GnuCash is sufficiently powerful to record billing records, track time, generate invoices and plot data graphs.

Frankly, it does need more polish, such as a more practical editor in the time sheet entry component, and it also needs expandability if it will ever be used in a larger office with multiple time-keepers.
Four years after I launched my law firm, there are now many FOSS accounting systems, a host of which are evaluated at
http://www.aaxnet.com/design/linuxacct.html.

Because law firms generate so much “paper”, one of the most important office programs is the word processor. I use Open Office 2.2 which, unfortunately, leaves a lot to be desired. As an ordinary “word processor”, Open Office works fine. However, the practice of law uses a lot of templates, macros, special formatting for pleadings in different courts, different jurisdictions and different venues.

Typically, trial level pleadings (motions, briefs, memoranda to the court, and the like) are prepared on double-spaced line-numbered pages with carefully prescribed borders and margins. In the courts of appeal, the lines are un-numbered and the margins are completely different.

Legal pleadings usually include highly technical citation formats for referring to legal precedents. Pleadings may also contain many single-spaced indented quotations, quotations within quotations, frames within frames, Latin short-hand and terms of art (such as sub rosa, res judicata, respondeat superior, u sua mea et i sua youa…), and peculiar forms of identifying the legal authorities upon which one relies.

It may be that Open Office already has the power and flexibility to meet all these requirements, but that no one has yet to create the standardized macros which can be easily adopted by techno-challenged users like myself. Thanks to my in-house IT expert, we have been able to develop work-arounds and special applications that serve my purposes. However, the special word processing applications needed for a law firm - and, indeed, needed for any large scale information-processing business - requires something more sophisticated that what Open Office currently has to offer.

Real Life
Although I was apprehensive about whether my FOSS law firm could communicate and interact with an un-FOSS world, my apprehensions proved to be baseless. For the most part, clients and lawyers were completely unaware what programs I was running. My conversion and simulation programs permit me to read other word processor files and to convert my Open Office documents to other peoples’ formats. I routinely use Xsane, another useful FOSS program, to scan documents and I use GIMP for image management. For spreadsheets I use Gnumeric. I can view JPEG files and many, but not all, compressed video files. I have some minor, but no significant problems using Lexis or Westlaw for computerized searching.

I am not, at this time, able to use certain proprietary electronic deposition formats. Instead, I use both hard copies and electronic text versions which I can easily manipulate for citation in briefs or for sending to clients or expert witnesses.

Many courts now require electronic filing and in some, like Federal District Court, practically the entire case, from filing to discovery to trial transcription, is conducted without any paper whatsoever. In most cases that does not present a problem. However, I sometimes run into problems using certain interactive documents prescribed by some courts when the formatting information becomes lost or jumbled when applied in Open Office.

Likewise, in not a few jurisdictions, the judge requires that documents like draft orders and proposed jury instructions must be presented to the court on disk in a certain proprietary format so that the judge’s own non-FOSS computer can manipulate and amend the lawyers’ proposals as the judge sees fit. I might fume about the unfairness of the court prescribing a particular commercial brand of word processor, but that is not an argument I can advance while my client’s case hangs in the balance.

Bug Off
Weighing heavily in favor of the FOSS law office is the simple robustness of the operating system. While my colleagues routinely groan through the latest invasion of zombies and botworms, I hardly worry about such things.

When they do occur, I know that the collective smarts of thousands of programs will quickly come up with a cure for the problem in very short order.

Cache
It is a fact that the advent of technology really did not make work any more efficient. That is because most office workers spend a lot of their time surfing, shopping on line, gambling on line, or playing computer games. Regardless whether this is good, bad or indifferent, the neophytes often brag about their non-work related computer capabilities. FOSS software, for better or for worse, seems to be just as available and just as mind-numbing as the non-FOSS software offerings.

In one realm, however, GNU/Linux beats the pants off the competition: its screen saver. Xscreen is one of the most mesmerizing, most creative screen saver programs available today. And it’s definitely not available on a Windows platform. Many have been the jealous lawyers who have spied my Xsaver moving through its variegated palette who wished out loud that they could have such a screen saver, too. But they can’t, so too bad.

Conclusion
Four years into my GNU/Linux law firm experiment, I find myself very comfortable with the technology, very fluent with the programs, but still wishing for a more flexible word processor and an email utility that is steadier than Evolution. The time and money I have saved by using GNU/Linux has translated into lower overhead, greater profit, a better legal product and lower overhead. All of that, in turn, has translated into less time behind the desk, and more time for doing meaningful things in life.

There are thousands of lawyers practicing in the greater Seattle area. A few use Macs, most use Wintel machines, and, so far as I know, I am the only attorney in the area exclusively using FOSS software for everything. I know of one other attorney who practices in Bellingham (that wonderful small city on the Canadian border that was a resting place for conscientious objectors en route to British Columbia during the Vietnam War) who also runs a GNU/Linux law office.

For the most part, however, we are a tiny minority. Lawyers, like other professionals, however, are a natural constituency for free and open source expertise. Indeed, as I wrote in the beginning of this article, there are many similarities between the nature of the practice of law and the nature of the free-lance FOSS software consultant.

Here lies a natural symbiosis which lawyers should encourage by using more FOSS more often, and FOSS programmers should encourage by writing programs for a natural market that could use it.

Steven A. Reisler earned his juris doctor degree in 1979 from the Georgetown University Law center in Washington D.C. In addition to practicing law covering a range of areas, such as contracts, business, real estate, and construction disputes to personal injury and probate litigation, Reisler also serve as Vice President of Monowave Corporation, a closely held neurotechnology company that is
doing R&D in the area of machine speech recognition. He can be found online at http://www.sarpllc.com/.

Thursday, October 30, 2008

Niveles de Seguridad en Windows

Una Política de Seguridad de Datos asume y comprende la implementación implícita de todos los niveles de seguridad indicados abajo
Recomendamos procesador PIV (o Celeron) >1,5 GHz con 512 MB memoria, en ordenadores con recursos de menor capacidad no se implementarán todas las soluciones.
El administrador de cualquier equipo debe tener contraseña segura. Los usuarios deben navegar y utilizar el equipo sin derechos administrativos o por lo menos con derechos restringidos.

1.Nivel Usuario [archivos del usuario]

Ver: Soluciones para Protección de Datos (Portátiles, Red)
Ver: Robo de Portátil -Sistema de localización del equipo robado
- Copias de respaldo en medios externos o NAS o Servidor de Archivos
- Copias de seguridad automáticas de versiones de archivos
2.Nivel de hardware
Protección primaria para evitar pérdida de datos por errores de hardware!
Protección contra aumento de temperatura en tarjeta madre y discos
-software monitor de temperatura (discos rígidos sobrecalentados >55ºC)
-análisis del SelfMonitoringAndReportTool (advertencia temprana en caso de discos defectuosos decididos a echar a perder sus datos)
3.Nivel de mantenimiento básico
(Tareas que debe cumplir de modo rutinario cualquier usuario serio)
Herramientas de defragmentación
Herramientas de limpieza de:
-Papelera de reciclaje
-Carpetas y archivos temporales
-Historial (navegación y descargas)
-Contraseñas guardadas y datos personales
-Cookies
-Cache (navegadores, java, otros)
-Prefetch
4.Nivel de medios de almacenamiento extraíbles

(USB Flash Memories, SSDisks, módulos de memoria de teléfonos celulares y cámaras)
Aplicación para desinfección de virus y software malicioso comunes
Protección contra infecciones por el autorun.inf
(Se aplica además a todos los discos lógicos)
5.Nivel de archivos
Protección contra:
- Virus (antivirus alemán con mejor puntaje en tests independientes)
- Troyanos (aplicación avanzada que protege de más de 63.700 troyanos)
- Malware (aplicación avanzada con exclusión de programas conocidos)
- Bots (aplicación monitorea procesos y comportamiento sospechoso)
- Rootkits (aplicación básica)
- Rogue-malware [software malicioso tramposo] (protección y eliminación de 'software engañifa': "antispyware", "antivirus", "hard drive cleaning applications")
- Spyware
  1. Aplicación escandinava usada por Google.com
  2. Aplicación pionera en el uso de técnicas de prevención ("system snapshot") contra software espía, propaganda y secuestradores de navegadores. Protección para IE, Firefox y otros.
  3. Aplicación para eliminar el control y espía de Micro$oft sobre diferentes niveles de su sistema operativo.
5.Nivel de servicios de nombre de dominios
Usamos las IP de un DNS universal y seguro, independiente de las direcciones DNS de cualquier proveedor de servicios de internet. No recomendamos usar el de su proveedor por la reinyección de DNS que afecta a las telefónicas bolivianas y permite fácilmente spoofing y phishing para obtener sus contraseñas de cuentas bancarias. Esperemos que los clientes de bancos ejerzan presión a las telefónicas! [una vergüenza mayúscula, pues ese error fue conocido hace meses!]
6.Nivel de mapeo de zonas
Un nivel de protección poco conocido, efectivo para evitar la reinfección de malware y troyanos en sitios pestíferos (Uso de lista negra con miles de entradas) (actualizable!)
- Protección de acceso por redirección a cualquier conexión (dirección IP) o por una conexión separada (otra pestaña o ventana en el navegador, como ad.doubleclick.net) con uso de zona restringida
- Bloqueo de conexión a Internet de aplicaciones dañinas y los sitios de estas "perlas": ads, banners, cookies de terceros, contadores de página de terceros, web bugs, ciertos secuestradores de navegadores
7.Nivel de acceso a la Web
Filtro de acceso (autoactualizable) a la Web (Versión libre del software alemán elegido como el mejor filtro de todos los tiempos en tests con más de 1,5 millones de variantes de software de código malicioso)
8.Nivel de navegación en la Web

Anulación del Internet Explorer 6 (o 7)
Instalación y configuración de navegadores seguros con mecanismos de protección como agregados o extensiones de seguridad (actualizables) y mecanismos de advertencia (actualizables) sobre los resultados de la búsqueda y los sitios Web fraudulentos (como phishing y timo digital), peligrosos, porníferos y pestíferos:
- Bloqueador de anuncios (propaganda en banners y ventanas emergentes)
- Web de confianza
- Extensión para búsquedas y navegación seguras
- Protección contra scripts, java, javascript y plugins dañinos (muy recomendable!)
- Protección de acceso a URL
- Protección contra phishing
- Barra de herramientas con base de datos de spyware y sitios seguros para analizar, buscar ayuda, descargar SW antipestes, subir archivos para análisis de malware, etc. (configurable)
- Guardián de seguridad contra sitios peligrosos con avisos configurables [Cuidado! - Peligro!] ante amenazas: spam, redes de propaganda, pornografía, adware-spyware-virus, sitios de phishing y scam, warez y contenido ilegal, inundación de ventanas emergentes
- Protección contra casi 370.000 sitios fraudulentos y engañabobos donde puede Ud. ser tentado a descargar e instalar rogue software (y luego comprar versiones superiores para limpiar la basura que Ud. mismo permitió instalar) [software engañifa o engañapichangas]
9.Nivel de acceso a redes P2P
Eliminación de mapeo de zonas pestíferas y desinstalación de software no recomendado. Instalación de software P2P libre de pestes
Filtro (aplicación actualizable) de protección de acceso a redes Peer to Peer [de igual a igual] peligrosas
10.Nivel de mensajería instantánea
Desinfección de malware de mensajería instantánea
11.Nivel de usuario de agentes de correo
Protección contra correo no deseado (spam)
12.Nivel de procesos
Software austriaco con control de procesos puertos, autorun, servicios
Aplicación para control de programas y procesos de inicio (startup)
Software para control de programas (auto-actualizable)
Análisis de procesos, análisis de puertos activos
Protección de mapeo de procesos a puertos
13.Nivel de aplicaciones
Software alemán para protección de cambios ocultos en el registro y monitoreo de aplicaciones (actualizable)
Protección contra instalación silenciosa de software desconocido (actualizable)
14.Nivel de detección por comportamiento de amenazas
IPS/IDS australiano (basado en el host)
15.Nivel de acceso al ordenador por la red o web
Firewall personal con el más alto puntaje en test independiente

Seguridad Informática (Definiciones)

[Traducción libre del artículo de Wikipedia]
Seguridad Informática
es una rama aplicada a ordenadores de la tecnología conocida como Seguridad de la Información.
Su objetivo varía y puede incluir protección de información contra robo o corrupción o la preservación de disponibilidad (o integridad de los datos) como definida en una política de seguridad, que impone requerimientos en los ordenadores que son diferentes de la mayoría de los requerimientos de seguridad de otros campos o tecnologías, porque a menudo toma la forma de restricciones de fuerza mayor en lo que los ordenadores se supone que no deben ser usados.
Estos requerimientos hacen de la Seguridad Informática un desafío muy particular porque es muy difícil lograr que programas de ordenadores (sistema operativo sobre todo) hagan (correctamente!) todo lo que (y tal como) ha sido diseñado.
Además, requerimientos "negativos" son decepcionantemente complicados de satisfacer y requieren exhaustivos tests para verificar qué no es practicable para la mayoría de programas informáticos.
Seguridad informática prove una estrategia técnica para convertir "requerimientos negativos" en reglas implementables positivas.
Por esta razón esta rama importante de la seguridad es más técnica y basada en teorías matemáticas que otros campos de la Informática.
Típicos modelos para mejorar la seguridad en ordenadores puede incluir lo siguiente:

  • Limitación del acceso físico a los equipos sólo a aquellos que no comprometan la seguridad.
  • Mecanismos de hardware que imponen reglas en el software. Y a la vez, eviten dependencia de programas para lograr esa seguridad
  • Mecanismos del sistema operativo que imponga reglas de programación para evitar confiar per se en programas informáticos.
  • Estrateg¡as de programación que hagan software dependiente y resista subversiones

1.Sistemas Operativos seguros
Un uso del término seguridad informática se refiere a la tecnología para implementar un sistema operativo seguro. Mucha de esta tecnología fue basada en ciencia desarrollada en los años (19)80'. Un ejempplo de una política en Seguridad Informática fue el modelo Bell-LaPadula, cuya estrategia está basada en un acoplaje de características de un microprocesador especial, muchas veces involucrando la unidad administradora de memoria, en un kernel (núcleo) especial de sistema operativo correctamente implementado.
La metodología del diseño para producir estos sistemas seguros es preciso, determinístico y lógico.
Sistemas diseñados con esa metodología presenta el "state of the art" de seguridad informática, aunque productos con esta seguridad no son ampliamente conocidos. Son usados para proteger información de seguridad nacional, secretos militares y los datos de instituciones financieras internacionales.
Estas pocos sistemas operativos han sido certificados con el más alto nivel (Orange Book A-1) para operar sobre el rango "Top Secret" a "no clasificado" (incluye Honeywell SCOMP, USAF SACDIN, NSA Blacker y Boeing MLS LAN)
Hay diferentes grados de fortaleza en seguridad definida por COMPUSEC. El Criterio Común cuantifica niveles de seguridad de productos en términos de dos componentes:

  • Seguridad en funcionalidad y
  • nivel de confidencialidad (como los niveles EAL),

y estos son especificados en un perfil de protección para requerimientos y un Blanco de Seguridad para descripción de productos. Ninguno de estos sistemas operativos de propósito general con ultra-alta confidencialidad han sido producidos o certificados durante décadas.

2.Arquitectura de Seguridad
Definida como los artefactos de diseño que describen como los controles de seguridad (contramedidas de seguridad) son posicionadas y cómo ellos relacionan la totalidad de la arquitectura de la tecnología de información. Estos controles sirven al propósito de mantener los atributos de calidad del sistema, entre ellos confidencialidad, integridad, disponibilidad, accountability y confiabilidad.
En palabras simples, es el plan que muestra donde deben ser puestas las medidas de seguridad.
Si el plan describe una solución específica, pues se debe hacer un análisis de riesgos.
Si el plan describe un diseño genérico de alto nivel (arquitectura de referencia) entonces el plan debe ser basado en un análisis de amenazas.

3.Securidad por Diseño
Las tecnologías de la seguridad informática están basadas en lógica.
No hay noción de un estándar universal de lo que es un comportamiento seguro.
"Seguridad" es un concepto que es único para cada situación.
Seguridad es extraña (no intrínseca, no esencial) a la función de una aplicación de ordenadores, antes que subservil o auxiliar a ésta, por lo tanto seguridad necesariamente impone restricciones al comportamiento de la aplicación.
Hay muchas opciones a la seguridad in computación, a veces una combinación de opciones es válida:
  1. Confía todo el software avalado en una política de seguridad , pero el software no es confiable (ésto es computer insecurity).
  2. Confía todo el software avalado en una política de seguridad y el software es validado como confiable (e.g. por tediosos análisis branch and path).
  3. No confies en software alguno, pero aplica una política de seguridad con mecanismos que no son confiables (nuevamente, ésto es computer insecurity).
  4. No confies en software alguno, pero aplica una política de seguridad con mecanismos confiables.
Muchos sistemas han resultado unintencionalmente de la opción 1.
Desde que la opción 2 es cara y no determinista, su uso es muy limitado.
Propuestas 1 y 3 tienden a fallar.
La propuesta 4 es a menudo basada en mecanismos de hardware y evita abstracciones y una multiplicidad de grados de libertad, es más prácticable.
cCombinaciones de propuestas 2 y 4 son a menudo usadas en una arquitectura de capas con capas delgadas de 2 y capas gruesas de 4.
Hay miríadas de estrategias y técnicas usadas para diseñar sistemas de seguridad. Hay pocas estrategias efectivas para aumentar seguridad acorde al diseño, si las hay.

4.Código seguro
Ver "Secure Coding in C and C++"

5.Capacidades vs. Access Control Lists
En sistemas informáticos, los dos medios fundamentales de lograr separación de privilegios son access control lists (ACLs) [listas de control de acceso] y capacidades.
La semántica de ACLs ha sido probada de ser insegura en muchas situaciones (e.g., Confused deputy problem).
También se ha demostrado que la promesa de ACLs de dar accceso a un objeto a una sola persona no puede ser jamás garantizado en la práctica.
Ambos problemas son resueltos por capacidades. Esto no significa que hayan defectos en todos los sistemas basados en listas de control de acceso, pero solamente ue los diseñadores de cieretas utilidades deben tomar responsabilidades para asegurar que ellos no introducen defectos.
Desafortunadamente, por razones históricas, capacidades han sido a menudo restringidas a sistemas operativos de investigación y los sistemas operativos comerciales aún usan listas para control de acceso.
Una razón para la falta de adopción de capacidades pueda ser que las ACL aparentaban ofrecer un 'arreglo rápido' para la seguridad sin rediseño pervasivo del sistema operativo y hardware.

Los más seguros ordenadores son aquellos no conectados al Internet y escudados de toda interferencia. En el mundo real, la mayor seguridad no es un agregado, sino viene con el sistema operativo, como el OS/400 de IBM. Éste nunca aparece en listas de vulnerabilidades por razones claras. Años pasan entre un problema de vulnerabilidad y el próximo.
Un buen ejemplo de un sistema seguro es EROS. Vea además el artículo sobre sistemas operativos seguros.
TrustedBSD es un ejemplo de un proyecto open source con el fin, entre otras cosas, de incorporar la funcionalidad de capacidades en el sistema operativo FreeBSD.

Aplicaciones
Seguridad informática es crítica en casi toda industria manejada por tecnonología que opera con equipos informáticos. Los problemas de sistemas basados en ordenadores y la solución de sus innumerables vulnerabilidades corresponden la principal tarea de mantener una industria operacional.

Rayos, fluctuaciones de voltaje, impulsos transientes, caída de voltaje, fundido de fusibles (cortocircuitos o sobrecarga) y muchos otras fallas del suministro de energía eléctrica desconectan instantáneamente todo el equipo informático, ya que éste es totalmente dependiente de la energía eléctrica dentro de los parámetros de calidad de suministro de energía.

Otras fallas accidentales e intencionales han causado significantes interrupciones de seguros sistemas críticos a lo largo de las últimas décadas y demostrado que la calidad de suministro de energía eléctrica está en interdependencia con comunicaciones confiables y una falla pone en peligro toda seguridad informática.

Por eso toda empresa de nivel mundial en Tecnologías de Información y Comunicación tienen todo su parque informático protegido con sistemas independientes de energía con baterías, centrales energéticas alternativas, fuera de la protección básica con UPS (Uninterruptible Power System) [Sistema autárquico de suministro de energía]. Ver las soluciones de American Power Conversion

Usuario con derechos administrativos restringidos

  • Sabe Ud que Windows puede ser infectado con sólo ver una página Web? Y Ud no puede estar seguro ni en los más reputados sitios web, pues pueden estar comprometidos por acciones de "chicos malos" que irrumpen en el sitio cambiando ciertas páginas.
  • La vieja regla de no abrir archivos que acompañan el mensaje digital o electrónico (email) ya no es valedera. Simplemente el leer el mensaje puede infectar el sistema operativo o sus aplicaciones.
  • Hay varios ejemplos tácitos de infección donde simplemente el ver una imagen o foto en su ordenador permite instalar software malicioso.
Ud. usa su ordenador (portátil o gabinete) con una cuenta de usuario Administrador? O usa una cuenta con su nombre, sin contraseña alguna y hasta ahora ha instalado lo que quizo sin problema alguno? Entonces debería alarmarse, si no sabía nada de lo que le informo en este documento.
Que Ud. no se preocupa, por que tiene un antivirus (actualizado)?
Que además no tiene conexión a Internet y por lo tanto no teme virus ni nada por el estilo.
O sí la tiene, pero usa también un programa antiespías (antispyware) y tiene además un firewall para su red, que le instaló un amigo técnico o estudiante de Informática.
Muy bien! Pero un problema principal de seguridad sigue estando en ciernes.
Ninguna de esas aplicaciones (ni la amistad de sus especialistas) evita la instalación de cierto software malicioso con todo el consentimiento de su configuración de usuario.
Apple OSX, Linux, Unix y versiones avanzadas de MSWindows soportan el concepto de restricción de derechos administrativos para usuarios que no cumplen tareas de administración o éstas no son necesarias o no les son asignadas.
Usuarios con derechos administrativos restringidos están limitados en cuanto a los cambios en la configuración y sobre todo a la instalación de aplicaciones con acceso a recursos y el hardware.
En OSX, Unix y Linux el usuario por defecto con todo derecho administrativo se llama root. En Windows Administrador.
El concepto principal de seguridad a nivel de usuario es que éste utilice el equipo como usuario con derechos restringidos. En Linux y OSX esto es la norma, no hay usuario que, con derechos restringidos y n unasin proponérselo, pueda destruir el sistema operativo o permita instalar rootkits, bots u otro software malicioso.
El usar MSWindows con una cuenta de usuario restringido en derechos administrativos trae consigo una serie de problemas, así que la mayoría de los integradores o técnicos (muchas veces por desconocimiento total del tema) y también para evitarse explicar políticas de seguridad (si tienen idea de eso) a sus clientes, en el 99% de los casos los equipos con Windows XP y Windows 2000-2003 son usados con cuenta de administrador, con todos los derechos de instalar, borrar, hacer y deshacer el sistema operativo.
Lo que es una vergüenza para los ingenieros y técnicos en los que confía y a los que paga el usuario o el empresario. Un equipo no configurado con esa norma mínima de seguridad es una presa fácil de:
  • crackers que en forma remota toman control del equipo, sin necesidad alguna de romper la contraseña del administrador (pues en el 90 % de los casos no la tiene!), que usan su equipo como suyo y ,a su vez instalan
  • software malicioso que subrepticiamente o en el caso de muchos troyanos, abiertamente (aprovechando el desconocimiento técnico del usuario), se instala e incrusta (infectando o reemplazando archivos del sistema) y una vez operantes, pueden hacer lo que les haya sido programado (ataques DOS, distribuirse por la red a otros equipos para sustituir, destruir o infectar archivos del sistema o del usuario, copiar o robar información empresarial o privada, etc.)
Tal como comprar el vehículo que tiene un sistema de protección antirrobos y de todos modos... cerrojo en todas las puertas y que el vendedor no considere de suma importancia la seguridad y que debe explicar el uso de la protección y darle el par de llaves para cerrar con llave el vehículo y dejar activas las alarmas incorporadas y otros mecanismos. En realidad, el conductor no necesita que le expliquen la importancia de usar sistemas de protección de la propiedad privada.
Pero en plena era de la Información y la Informática la mayoría de los usuarios de ordenadores con última tecnología y con sistemas operativos de última generación viven como un cavernario más, con el fuego como única protección.
Y pagan muy bien a sus especialistas informáticos!
Yo le ofrezco equipos o reconfiguraciones de sus equipos -que permiten el uso del administrador con derechos restringidos, para evitar los contratiempos al momento de administrar el equipo cuando se usa una cuenta de usuario sin ningún derecho administrativo. Además de configuraciones "híbridas" con cuentas sin permiso administrativo alguno para sus subalternos que no deben tener el derecho de ver ciertos datos o cambiar la configuración del equipo.
Windows 200X y Windows XP son más seguros cuando usa el usuario una cuenta donde programas seleccionados funcionan en un medio (sistema operativo) restringido o sea: con derechos mínimos.
Conoce el engorroso método (User Access Control) con el que Windows Vista le da una falsa sensación de estar protegido?
Eso también tiene una solución profesional... simultáneamente a un incremento de la seguridad tiene un significante aumento de facilidad de uso con respecto al UAC original.
Contáctese con Tux & Cía en Santa Cruz de la Tierra (77644057)
O... suerte con sus técnicos!

Mensajes encriptados a prueba de crackers

Necesita mandar información confidencial y sensible a algún colega y espera que no sea leída por otros?
Hay muchas soluciones de encripción (PGP, etc), pero Ud no desea instalar todo un software de encriptado y aprender a usarlo cuando al año sólo manda raramente unos contados mensajes con datos confidenciales que desea comprimirlos y encriptarlos
Le implemento la solución que le permitirá encriptar mensajes con compresión de hasta 95% que se auto-desencriptarán y desempacarán automáticamente, una vez que el receptor del mensaje digite la contraseña en la cajita que se presentará una vez que haga doble click sobre el archivo adjunto.
La solución usa un algoritmo de encripción Blowfish con un largo de llave de hasta 448 bits. Tan blindado que no ha sido aún posible romper la contraseña ("crackearlo"), aún con super-computadoras.
Y no olvide que no hay modo "supervisor" ni puertas traseras para tener acceso a sus datos comprimidos y encriptados con esta solución, si Ud. olvida la contraseña! ... No hay solución!
C' est perdu!
Contáctese con Tux & Cía

Robo de portátil- Qué hacer antes?

Ha estimado la posibilidad que le roben su portátil? O tiene ya un seguro por robo, válido en cualquier parte?
Un hecho no aislado es que alguna vez le puede tocar a cualquiera, peor en Santa Cruz, tierra de pícaros...
Si entonces espera encontrarla por medios policíacos o detectivescos bolivianos, puede mejor ir ahorrando para una nueva.
Si le interesa una solución especial que le permitiría encontrar el lugar o la red y la dirección IP que usa el nuevo dueño (y hasta unas fotografías de él), debe seguir leyendo.

En primer lugar, sus datos van a ser lo primero que borren los nuevos dueños. Aún cuando logre recuperar sus mil y pico dólares, no tendrá sus datos de vuelta.
Le ofrezco soluciones para evitar que al perder el equipo por robo o siniestro, pierda también sus datos.
Pase lo que pase con su portátil, Ud. tiene los datos hasta el día anterior a la pérdida.
Costos de la solución: No mayores a un tercio de los costos de un ordenador de escritorio o gabinete (150-180) US$. Solución profesional!

Y el problema de determinar y localizar al nuevo dueño de su portátil?
No es una opción propietaria y centralizada de alto costo como los servicios de empresas especializadas en eso. Es una solución libre que usa un servicio abierto de almacenamiento distribuido y que hace un seguimiento de las conexiones a la Web hechas por su portátil.
Es una solución que preserva su privacidad, lo que significa que nadie fuera del dueño (o el agente que escoja el dueño) puede usar los mecanismos para localizar su portátil. Así fácilmente recobrara la información que permite la localización del usuario Facine-Roso.
Como el nuevo usuario usará tarde o temprano la portátil en la Web, sabremos la(s) dirección(es) dinámica(s) o fija(s) que usó(a) y así determinaremos fácilmente la ciudad y la telefónica que usa.
El resto depende de la ayuda que le dé la telefónica en cuestión para determinar el nombre del dueño de la línea (telefonía analógica o digital) que usa su portátil en la nueva conexión a la Web, sea por ADSL o por modem convencional.
Eso no es posible hoy con los celulares, pero con suerte sí con los PDA.
Las portátiles son localizables, mientras se conecten alguna vez a la Web (Y sí que lo harán)
No podemos usar GPS, pero hay una forma de hasta recibir fotos del nuevo usuario, si la portátil tiene acoplada una cámara web. Y esas fotos las podrá ver Ud. y usarlas adecuadamente con ayuda del fiscal.
El resto es cosa de un allanamiento con todas las de la ley. No olvide llevar su factura de compra. Y un buen par de esposas!

Costos? Cuánto pagaría como recompensa, si no tuviera esa opción? O en primas de seguros?
No sea tonto, prevenga y contacte a los especialistas!
Único en Santa Cruz: Tux & Cía.
Tel. 77644057 -- 3346266

Software de Seguridad y dos tipos de usuario

A. Categorías de Software de Seguridad:
Software de seguridad que debe ser implementado en una Política de Seguridad de Datos.
Hay dos tipos básicos de usuarios con respecto a la seguridad informática:
  1. Usuario 1 sin mínimas pretensiones profesionales (usuario hogareño que sólo navega en la red con fines de jolgorio y entretenimiento, intercambia y lee emails, juega en la red, busca y baja cierto software, juegos, música, fotos y videos)
    Referido de otro modo: La eventual pérdida de datos -sean cuales fueran las causas- NO tiene para este usuario relevancia alguna!
  2. Este usuario usa Antivirus + Antispyware recomendados por el amigo o pariente técnico o ingenieril y considera que así está totalmente protegido contra amenazas. Y este único nivel de protección corresponde también a la de muchos usuarios del tipo 2 nombrado abajo, pero ese es otro cuento...
  3. Usuario 2 con ambiciones profesionales, cuyo ordenador es portador de datos referidos a su oficio, con fines empresariales y cuyos datos son irreemplazables en caso de:
    • pérdida por siniestro, robo, falla técnica y/o humana
    • copia de datos no autorizada o destrucción de datos tras intrusión por la red
    • robo de identidad, cuentas y contraseñas para uso no autorizado de cuentas en bancos o acceso a empresas y sitios privados
    • uso del equipo para repartir mensajes con contenido malicioso o viral a todos los contactos del usuario.
El tipo de usuario 2 debe tener implementados varios niveles de seguridad y soluciones
* Anti-Virus
* Anti-Troyans
* Anti-Spyware
* Anti-Adware
* Anti-Malware (aplicación de detección y detención)
* Monitoreo de aplicaciones para detección y detención de procesos maliciosos
* Protección contra mapeo de zonas de seguridad (inserción de "zonas restringidas" como confiables)
* Protección contra cambios indeseados del archivo hosts
* Protección de procesos del sistema y procesos de mapeo de puertos
* Protección incorporada en el navegador
* Protección avanzada al navegar, bajar música, fotos, videos y otros achivos, al recibir archivos en mensajería instantánea y diferida (emails), advertencias de sitios peligrosos durante la búsqueda y navegación antes de ingresar a ellos
* Otras aplicaciones anti-bots, anti-rootkits, etc.
* Firewall que permite filtrado (en "real time") de direcciones con contenido dañino, javascript-virus, scamers, recolectores de correos para spamers, timadores digitales y otros
* Aplicaciones de web y red con filtros de redes de igual a igual (peer to peer) [p2p]
* Uso de aplicaciones P2P libres de mecanismos de infección (evitar limewire, kazaa, etc.)
* Anti-Spam
Troyanos pueden ser más peligrosos que los virus, pues aunque éstos útlimos puedan destruir o alterar sus archivos, un troyano puede permitir acceso a un intruso por vía remota (cracker), quien puede hacer lo que quiera en su ordenador o red, sin su conocimiento y en resumen:
  • Tener acceso a sus archivos en su PC, sobre todo usar la información privada y sensitiva.
  • Usar su PC o red como contenedor de música o software pirata, pornografía tradicional o infantil.
  • Transformar su equipo o equipos para atacar como zombie (DOS or DDOS attacks) un blanco informático como un dominio determinado en la web (Ataque de Denegación de Servicios)[(Distribuited) Denial Of Service] a otros dominios sin que el usuario se percate de ello.
Spyware y Adware son un molesto nuevo tipo de amenaza cuyo propósito es hacer publicidad o aprovechar y analizar el comportamiento o uso del usuario en la red como consumidor, y usando todo tipo posible de tretas (para que se entre a un sitio, desde el más simple como ofrecerte un auto o un mp3 player o un concurso para ganar cualquier cosa imaginable hasta los peores como redireccionar a un sitio de porno a pagar o donde muestran algunas fotos gratis de alguna celebridad desnuda). Para lograrlo, usan ventanas de propaganda que se superponen a la activa, o redireccionan una dirección mal escrita a una página con temas sugerentes, raptan o comandan su agente de correo, navegador, mensajero instantáneo y escriben entradas en el registro (para ello, tan solo basta entrar a esos sitios minados de código malicioso y hacer un simple click para instalar de modo oculto algún código ejecutable o recibir automáticamente una coockie de trazado).
Todo esto conlleva a menudo:
  • Abuso o pérdida de privacidad (entregando información sensible suya a los autores del software o aplicación maliciosa,
  • Estrés del sistema operativo (consumo exagerado de recursos: Memoria y tiempo de procesamiento del CPU)
  • Navegación molesta con interferencias de otros sitios de propaganda o pornos o avisos engañosos ofertando mejoras en el sistema operativo y escaneo para mejorar el rendimiento y hasta librar de virus y software espía con la mejor de las ofertas y soluciones.
Uso de un "firewall" basado en software es un simple filtro de paquetes (y aplicaciones!) que chequea medidas técnicas para directiones del protocolo de internet, puertos y protocolos permitiendo o cerrando el tráfico de los paquetes. Hoy hay cortafuegos que manejan cookies de sitios de la Web, rechaza correo no solicitado (spam), ventanas emergentes, reductores del ancho de banda, mapeadores de puertos a procesos y sobre todo incluye filtrado saliente de aplicaciones, que permitirían la fuga de información sensible.
Hay además reglas avanzadas para evitar que el equipo sea escaneado en busca de puertos abiertos y demás agujeros del sistema operativo (aprovechado por los gusanos informáticos).

Monitoreo de aplicaciones Como las más sofisticadas amenazas son archivos ejecutables que se inician por alguna razón oculta, se trata de reconocer todas las aplicaciones confiables del sistema operativo, aplicaciones y utilitarios para así bloquear cualquier otra aplicación que no esté en la lista, tras que esta trata de desplegarse en la memoria.
Ciertos monitorean e interceptan todo acceso de lectura y escritura del registro y preguntan si se permite o bloquea cambios del registro, previniendo así que un software de código malicioso escriba una entrada del tipo llave de registro "Run" y no permitirle así que se active cada vez que se reinicie el sistema operativo.
Hay monitores del sistema operativo que permiten al usuario observar una serie de actividades de las aplicaciones y permitirlas o bloquearlas: acceso a la red, creación y ejecución de procesos, ganchos globales (inyección de librerías directas vinculadas, usurpadores de contraseñas), suspensión de procesos o hilos y modificación de contexto, Modificadores de memoria virtual, creación remota de hilos, acceso a memoria física, terminación de hilos y procesos (si invisibles, no visibles en el administrador de tareas, métodos de instalación de rootkits.

Software relacionados a procesos Análisis de procesos y sus conexiones a la red (mapeo de proceso a puerto).
El "process to port mapping" significa que se pueda determinar qué proceso está usando qué puerto, cuál protocol esta conectado con cuál dirección IP, etc.
Al analizar el estado de las conexiones del ordenador, se puede detectar troyanos, espías y gusanos.
Si no se sabe si se debe confiar en una aplicación desconocida, con un mapeo del proceso al puerto permite entender qué exactamente hace la aplicación y hasta se puede restringir el ancho de banda usado por un proceso.

B. Categorías adicionales para encripción de datos y su transmisión segura en la Web
C. Categorías adicionales para el manejo de la privacidad del usuario