Feb 23 2016

Sobre mi participación en MorterueloCON 2016 (recursos y enlaces de interés sobre cifrado, privacidad y anonimato)

Este ha sido mi tercer año en MorterueloCON, y sólo puedo dar las gracias una vez más por la cercanía y el gran trato recibido. En esta edición he participado en el track de Periodismo junto a Rafael Fraguas (impresionante) con una charla técnica titulada: “Cifrando tus fuentes, o el periodismo en tiempos de Snowden”, y también he impartido un taller dentro de los “Ajoarriero Labs” titulado: ¿Apache DoS?.

Además, he tenido la suerte de asistir como alumno a un taller, en este caso de OSINT. Mi chica, que también asistió, os lo cuenta mucho mejor que yo en su blog, pero no hablo sólo del taller, sino de cómo ha vivido su primera MorterueloCON (Hack&Beers incluida): “Entre Hackers, birras y casas colgadas” ;).

“Cifrando tus fuentes, o el periodismo en tiempos de Snowden”.

MorterueloCON 2016El objetivo era primeramente, dar a conocer al alumnado de la Facultad de Periodismo y asistentes a la charla casos como los de Chelsea Manning, Julian Assange y Eduard Snowden , para después, y ya desde un plano técnico – teórico, mostrar una serie de recursos destinados a la defensa digital (y de otras índoles) de Periodistas y sus fuentes con un lenguaje lo menos técnico posible para facilitar su comprensión.

Sobre los casos a los que aludo, hablamos de tres personas que se han jugado / jodido la vida por sus ideales o aquello tan denostado de “la verdad”¿Activistas, “Ciberactivistas” o Hacktivistas? como respondí a dos asistentes a la charla, más allá de etiquetas, son gente comprometida con cuestiones para ellos irrenunciables y que ayer se pudieron expresar en la calle, hoy en La Red y mañana en otro medio, pero seguro que su mensaje y reivindicaciones serán las mismas.

Si os habéis pasado antes por el artículo en Wikipedia sobre Rafael Fraguas, os haréis una idea de lo que supuso ir tras él en la charla. Periodismo comprometido, valiente y del de verdad. Pero no es ya lo que cuenta, sino cómo lo cuenta y ahí Rafa nos dio una gran lección de humildad y humanidad a partes iguales a quienes tuvimos la suerte de verle.

Pienso que la combinación y el orden fueron adecuados ya que él nos habló de lo que supone informar en países y zonas de conflicto, y yo en la seguridad de las comunicaciones centrándome en temas de privacidad, cifrado o anonimato. Pero sin olvidar algo tan olvidado para muchos gobiernos como los Derechos y Libertades Civiles que tanto quieren acotarnos con leyes como la Patriot Act en Estados Unidos, o nuestra Ley Mordaza.

Hice una cronología de los casos de Chelsea Manning y Assange con Wikileaks como nexo, además de algo tan repugnante como “Collateral Murder“. Presenté la plataforma Fíltrala con el leak e intrusión de La 9 de Anon en su última intervención (Hacktivistas por antonomasia, de elevado nivel técnico) en la web corporativa del El Corte Inglés (por cierto, cascos de la 9 estarán online en RootedCON, suerte amigas ;)

Para quienes no estén al tanto, Fíltrala es parte de la red internacional de la Associated Whistleblowing Press (AWP). Se trata de una ONG con sede en Bélgica que se dedica a combatir la corrupción y violación de Derechos Humanos a través del periodismo de investigación.

A continuación, volví con Snowden e hice un repaso cronológico a su caso (que como veréis, tiene mucha miga y está lleno de matices). Allí salieron a la palestra parte de las vergüenzas de Estados Unidos en colaboración con Reino Unido: PRISM, Tempora o XKeyscore. Hablé de las consecuencias de sus filtraciones, las reacciones de gobiernos o compañías , de la persecución al cifrado y también de lo importante que es estar preparado para que si como le sucedió a Glenn Greenwald, una fuente como Eduard Snowden intenta contactar a través de PGP durante casi un año para darte la exclusiva de tu vida y no sabes cómo gestionarlo.

Afortunadamente para Glenn Greenwald y todos nosotros, Snowden contactó con Laura Poitras y ella hizo de puente con un periodista comprometido como pocos como Greenwald que por aquél entonces, e trabajaba en “The Guardian” (ahora están los dos en “The Intercept”, un medio financiado por el fundador de eBay), para hacer públicas sus revelaciones.

Fue el momento idóneo para presentar el oscarizado documental Citizenfour. Un histórico resumen de las más de 20 horas de conversación grabadas en el Hotel de Hong Kong  en el que estuvo Eduard Snowden cuando salió de E.E.U.U por las consecuencias de las filtraciones realizadas. No está de más visualizar una imagen en la que se ve cómo ha afectado a nuestros usos y costumbres de navegación este tema.

Hablé de la importancia del uso de Software Libre como medida fundamental frente a tanto espionaje y seguimientos masivos, para a continuación, ir presentando herramientas, enlaces y recursos en pro de ir solventando problemas en las áreas anteriormente citadas.

Recursos y enlaces para mejorar nuestra Seguridad y Privacidad.

No están todos los que son, pero os dejo una lista de las herramientas que mostré y usé en mi charla, junto a otras que comenté o que se complementan.

Sobre los Passwords: Creando contraseñas seguras | KeePassX | LastPass | KeePass

Alternativas a Google: Disconnect Me | DuckDuck Go | Disconnect Search | DebianHackers

Alternativas a Gmail: Riseup | Protonmail | 10 min mail | OpenMailBox | Dark Mail (ant Lavabit).

Correo cifrado GPG: Thunderbird + Enigmail + GPG creando tu par claves (recordad)

Cifrado de ficheros: Cifrando con GnuPG | Veracrypt en GNU/Linux | Veracrypt en Windows.

Alternativas a Hangout: Pidgin + OTR | Tox | Chat Secure y Private Messaging (móviles)

Alternativas a Skype: RedPhone | Jitsi | Tox | Private Calling | Mumble

Navegación “Segura”: Firefox + HTTPS Everywhere + NoScript + AdBlock + Taco , etc

Navegando con Tor: Vídeo sobre Tor | Usando Tor Browser | Sobre Tor en THW | Orbot (móvil)

Navegando con TAILS: Guía de instalación y uso | Instalación de TAILS en un USB

Navegación con VPN: Comparativa | Torrent Freak 2016 | VPN RiseUP | Ojo con algunas gratuitas

Libros recomendados.

Marta Peirano: El pequeño libro rojo del activista en La Red.

Daniel Echeverry: Deepweb, TOR, FreeNET, I2P, Privacidad y Anonimato.

Javier De La Cueva:  Manual del Ciberactivista.

Mario Tascón y Yolanda Quintana: Ciberactivismo.

De todos modos, no dejéis de pasar por PRISM Break para profundizar en este tipo de alternativas. Viendo las preguntas que se realizaron en el turno de Rafa Fraguas, el “Manual de Seguridad para Periodistas” de Reporteros sin Fronteras es también una lectura muy recomendada si vais a emitir desde zonas de riesgo (que no necesariamente tiene por qué ser a miles de kilómetros). Este apartado de “Seguridad móvil” para Android es más que recomendable para quien quiera profundizar más, al igual que estas “guías paso a paso” y resto de material publicado por “Security in a Box” (en castellano). Para acabar con los recursos web, la información recopilada en la “Operación NewBlood” de Anonymous es también un buen material de referencia en Privacidad, Seguridad y Anonimato.

Muchas gracias a toda la gente de Periodismo por la colaboración, implicación e interés mostrado en nuestro “Track” ;). También por supuesto a Cota y Rafa por el currazo que se pegaron, sin olvidar a resto de asistentes, ponentes y toda esa buena gente que te encuentras en Cuenca. He recopilado en mi cuenta de Twitter unas cuantas fotos tanto del Track de Periodismo como mi Taller, sin olvidar el dibujo que nos dedicó el gran Forges a través de otro grande como Rafael Fraguas ;).

Crónicas relacionadas: Sobre nuestro track en “El Observador” de la UCLM, MorterueloCON 2016 en Makingdos, Tic y Privacidad en MortueloCON por Teresa Sáez, en “The Honey Sec“, crónica de la Morteruelo por Raúl Renares y ya está publicando sus entrevistas para “Palabra de HackerYolanda Corral que se pegó un currazo de los buenos con las grabaciones.

Sobre mi taller Apache ¿DoS?

morteruelocon2016Preparé una máquina virtual con Debian 8.3 y LXDE y fuimos instalando Apache una vez explicados los módulos Multi-Proceso (incluyendo el Event de Apache 2.4) así como otras herramientas que yo también iba instalando en el  servidor VPS de OVH que contraté para el taller. La mayor parte de información de mi PDF de ConcectaCON sigue siendo válida aunque hay cambios ya que está basado en Apache 2.2.

Analizamos cuestiones relativas al tráfico buscando discernir entre el legítimo y otro proveniente de ataques por Bots o de otra índole, implementamos medidas para paliar un DoS y sobre todo, intenté desmitificar ciertos aspectos sobre (algunos) ataques DoS que son más bien la consecuencia de aplicaciones y servicios mal configurados o no preparados para una carga medio alta. Acabamos el taller moviendo en directo un dominio a Cloudflare, usando su SSL gratuito “Flexible” y analizando las diferentes opciones que ofrece.

Por la parte que me toca, comentar que fue muy divertido y didáctico. Estuve haciendo varias pruebas de estrés (o mejor dicho, “DoSeando”;) contra un servidor (mío) en producción llegando a ponerlo con un índice de carga de casi 280, con la inestimable ayuda de esos cracks que asistieron al taller colaborando y participando a tope.

Otros enlaces relacionados:

Apache 2.4 y Mod Prefork | Mod Worker | Mod Event (recordad la mejora en conexiones “keep Alive”).

Instalación de Mod Evasive y Mod Security | Reglas Mod Evasive | Funcionamiento de Cloudflare.

Protegiendo Apache con Fail2ban (recordad mirar bien las “Jails” y sus expresiones regulares).

Instalación de DoS Deflate | “DoS Deflate, mitigando ataques DoS” | Slowloris Attack (y explicación en vídeo)

Ataques DoS con Ufonet v05 invasion | DoS attack Tools | “Free DoS Attack Tools”.

Añado 1 febrero 2017: “Guía de Twitter para Activistas.

 Vaya desde aquí mi agradecimiento también a toda la gente que asistió al taller (casi 30 personas). ¿Sobre la Morteruelo? sólo comentar que ya falta menos para la edición 2017 ;). Por cierto, he tardado más de lo que pensaba en publicar esta entrada debido al número de enlaces e información que quería incluir, espero que os sea de utilidad. Mucho cuidado ahí fuera !

Tags: , , , , , , , , , , , , , , , , , , , , , , , , , ,


Oct 28 2014

En ConectaCON 2014. Sobre mi taller: “Hackeando Servidores GLAMP”.

ConectaCON 2014 (Jaén).Antes de ir a la parte relativa a mi taller, tengo que destacar el esfuerzo, ganas y calidad humana que hemos sentido todos los participantes de la tercera edición de ConectaCON Jaén.

Alguno puede pensar que estás en esa fase de exaltación de la amistad típica de las “CON”, en la que aún están vivos esos momentos (diurnos y nocturnos xD;) y te dejas llevar. Pero no, en Jaén, de nuevo lo han vuelto a conseguir. Más de 400 personas inscritas al evento, una gran asistencia a las diferentes ponencias y los tres talleres que se impartían al 150 % de su capacidad original.

Creo que esas cifras ya dicen bastante de su evolución. Lo que ya es más difícil de compartir son esas conversaciones entre ponencias o tomando unas cañas. Eso forma parte de las “CON”, alguno se quedaría alucinado del concepto de “socializar” que tienen muchos colegas que se pasan por ahí (asociales por naturaleza, más allá de tópicos).

Sobre el evento, se publicarán en la web las diferentes intervenciones, en su Twitter os irán informando.

Material de apoyo para mi taller: “Hackeando Servidores GLAMP“:

¿Qué hicimos en el taller? Partiendo de una (insuficiente) configuración por defecto e instalación mínima, fuimos auditando y asegurando servicios. Ataques de fuerza bruta, búsqueda de posibles puertas traseras, seguridad por oscuridad ocultando versiones de software instalado, ataques DoS, IDS-IPS, firewalls, monitorización, optimización, control de logs, etc.

Os recomiendo (dependiendo del tiempo que tengáis) mi intervención en DRagonJAR TV sobre ataques y defensas básicas en Apache, mi resumen en PDF de ConectaCON 2013 y “DebianHackers Elementals” (acceso al PDF).

También este webcast sobre Seguridad en WordPress, en el que encontraréis un enlace a mi paso por MorterueloCON (repito en 2015;) con extensiones para el navegador web a modo de complemento de otras herramientas que usé en Jaén. Sobre lo más social, en mi Twitter he guardado algún favorito con fotos de esos días. Muchas gracias a todos los asistentes a mi taller por hacerlo tan llevadero (más de 4 horas seguidas, nadie quiso parar). Por supuesto a la organización que tanto se esforzó pensando en cada detalle y al resto de compañeros por tanto buen rollo y ganas de compartir conocimientos estos días en Jáén.

Foto con parte de los alumnos -;)

ConectaCON 2014

Tags: , , , , , , ,


Feb 21 2014

Webcast en EscuelaIT con Oreixa sobre seguridad y WordPress

Seguridad en WordPressDentro del ciclo de cursos gratuitos que viene poniendo en marcha EscuelaIT, había un módulo dedicado a cuestiones de seguridad en el dedicado a WordPress. Miguel, responsable de Desarrolloweb y cliente nuestro en APACHEctl además de buen amigo, nos pidió que participásemos en él y allí estuvimos Oreixa y yo (AJ no pudo porque andaba a full en un servidor) con casi 200 alumnos online muy interesados en la temática, junto a parte del staff de Escuela IT. (Actualización julio 2014, buen resumen en Desarrolloweb).

Para los que les van los detalles más técnicos (y porque alguno me lo ha comentado;), en mi caso es cierto que el audio sale un tanto bajo. Estaba conectado desde la Galaxy Tab 2 con el cliente GoToMeeting, y compartía la pantalla de mi Debian o la máquina virtual de Kali que lancé en la demo, a través de Teamviewer por la pantalla de Miguel. Por el momento, esta tecnología de Citrix no es compatible con GNU/Linux.

La demo que realicé, es similar a una de las tres partes de lo expuesto en la de MortuerueloCON. Sobre las herramientas o extensiones que se pueden ver en el vídeo me habéis preguntado varios de vosotros y están recopiladas en esta otra entrada sobre mi participación en MortuerueloCON 2014.

Muchas gracias tanto a los responsables de Escuela IT como a toda la gente que estuvo conectada por hacernos un hueco en el módulo de WordPress (especialmente a Francisco por prestarse a analizar su sitio). Obviamente, no era plan de poner en marcha técnicas o herramientas más intrusivas para los sistemas (y menos sin autorización) de ahí que me centrase en el navegador, whatweb o wp scan, ya que tal y como están las leyes hoy en día, la nuestra es una profesión de riesgo.

Leer el resto de;”Webcast en EscuelaIT con Oreixa sobre seguridad y WordPress”

Tags: , , , , , , , ,


Feb 05 2014

DaboBlog Podcast, “Kernel Panic” número 43. Con Yago Jesús, sobre GNU/Linux, Hacking, (IN) Seguridad, privacidad.

tuxipod.jpgDe nuevo al micro tras el nª 42 y al igual que el anterior, cerca de las 2.000 descargas según Ivoox, se agradece y mucho ver que estáis ahí a tope ! En este episodio, estoy con Yago Jesús de Security By Default hablando de Hacking, GNU/Linux, detección de intrusos, (IN) Seguridad, privacidad, mi participación en la MorterueloCON, RootedCON, etc. Muchas gracias Yago por acercarte al podcast con esa gran disponibilidad y cercanía -;)

Enlaces y proyectos web comentados: Security Projects (donde podéis ver alguna de las aplicaciones que citamos en el audio), Unhide (Yago es su creador), eGarante, el post del “secuestro de datos” (RansomWare) y sobre su RootedCON 2012 (Applied Cryptography FAILs)

En el 44, estaré con n1mh y calculo que lo publicaremos a mediados de marzo, aunque puede que publique algún otro en el medio tipo este con una temática determinada. Os recuerdo que para cualquier tema, petición, sugerencia o lo que se os ocurra, podéis ir dejándolas bien aquí, o con el hashtag en Twitter #KernelPanic44 vía un reply a mi cuenta de Twitter.

Daboblog Podcast

> Kernel Panic 43 Duración, 2h 03 min.

Ficha completa en ivoox.com del episodio 43. (Nuevo enlace para suscribirse)

Leer el resto de;”DaboBlog Podcast, “Kernel Panic” número 43. Con Yago Jesús, sobre GNU/Linux, Hacking, (IN) Seguridad, privacidad.”

Tags: , , , , , , , ,


Ene 27 2014

Sem 04/2014. En Twitter –> GNU/Linux | Hacking | SysAdmin.

En mi TwitterA continuación, os dejo un resumen de lo que va llamando mi atención sobre (IN) Seguridad informática, los Servers o GNU/Linux. Son de la semana pasada y están recopilados desde mi Twitter (también usados como mi propio “almacén de links” ;).

También recordarte si te interesa la seguridad informática, que en Daboweb (puedes seguirnos vía RSS o Twitter ) publico regularmente y junto a mis compañeros, nos hacemos eco de una forma más elaborada sobre temas similares. También te animo a participar en nuestros foros.

Y si lo tuyo es Debian GNU/Linux, nos vemos por DebianHackers, saludos ;).

En mi Twitter, @daboblog, sobre GNU/Linux, Hacking, SysAdmin, semana 04/2014: (Anteriores).

En Twitter (Del 20  al 26 de enero) Primero van los más recientes.

Leer el resto de;”Sem 04/2014. En Twitter –> GNU/Linux | Hacking | SysAdmin.”

Tags: , , , , , , , , , , , , , , , , , , , , , , , , , ,


Ene 24 2014

En «Ventanas a la Red» de Radio3W, hablando de Hacking y Servidores Web con Pilar Movilla

Radio3W, Ventanas a la RedHoy, como todos los viernes, ha visto la luz un nuevo programa de «Ventanas a la Red», espacio destinado a tratar temas relacionados con la seguridad informática en todas sus variantes dentro de la programación de Radio3W. Según ellos, el enfoque está orientado a profesionales, pero yo lo recomiendo a todo tipo de público interesado en estas cuestiones (por cierto, felicidades por ese primer año online;).

El espacio está conducido por Pilar Movilla y además de destacar su gran profesionalidad, vaya un gracias desde aquí Pilar tanto por invitarme a estar en tu programa, como por la cercanía y lo cómodo que estuve durante toda la grabación.

En sus programas podréis escuchar una primera parte de 45 minutos destinada a debates o entrevistas, para seguir después con la sección “No Hack no Fun” de la que se encarga Juan Carlos García, en la que os podéis poner al día de noticias y eventos relacionados con el Hacking. También podéis escuchar todos sus programas a través del feed de Ivoox (es de mis podcast de cabecera). Por cierto, grabamos el día que este blog cumplió 8 años -;).

¿De qué hablamos? de mis inicios, los proyectos que llevo adelante, de mi futura participación en MorterueloCON, mi Lab en RootedCON, algo de hacking, mi día a día con los servidores en APACHEctl, etc. Acceso al programa y audio en Radio3W: “Hacking y seguridad bajo GNU/Linux”.

Tags: , , , , , , , , , , ,


Ene 22 2014

Sem 03/2014. En Twitter –> GNU/Linux | Hacking | SysAdmin.

En mi TwitterA continuación, os dejo un resumen de lo que va llamando mi atención sobre (IN) Seguridad informática, los Servers o GNU/Linux. Son de la semana pasada y están recopilados desde mi Twitter (también usados como mi propio “almacén de links” ;).

También recordarte si te interesa la seguridad informática, que en Daboweb (puedes seguirnos vía RSS o Twitter ) publico regularmente y junto a mis compañeros, nos hacemos eco de una forma más elaborada sobre temas similares. También te animo a participar en nuestros foros.

Y si lo tuyo es Debian GNU/Linux, nos vemos por DebianHackers, saludos ;).

En mi Twitter, @daboblog, sobre GNU/Linux, Hacking, SysAdmin, semana 03/2014: (Anteriores).

En Twitter (Del 13 al 19 de enero) Primero van los más recientes.

Leer el resto de;”Sem 03/2014. En Twitter –> GNU/Linux | Hacking | SysAdmin.”

Tags: , , , , , , , , , , , , , , , , , , ,


Ene 15 2014

Sem 02/2014. En Twitter –> GNU/Linux | Hacking | SysAdmin.

En mi TwitterA continuación, os dejo un resumen de lo que va llamando mi atención sobre (IN) Seguridad informática, los Servers o GNU/Linux. Son de la semana pasada y están recopilados desde mi Twitter (también usados como mi propio “almacén de links” ;).

También recordarte si te interesa la seguridad informática, que en Daboweb (puedes seguirnos vía RSS o Twitter ) publico regularmente y junto a mis compañeros, nos hacemos eco de una forma más elaborada sobre temas similares. También te animo a participar en nuestros foros.

Y si lo tuyo es Debian GNU/Linux, nos vemos por DebianHackers, saludos ;).

En mi Twitter, @daboblog, sobre GNU/Linux, Hacking, SysAdmin, semana 02/2014: (Anteriores).

En Twitter (Del 6 al 12 de enero) Primero van los más recientes.

Leer el resto de;”Sem 02/2014. En Twitter –> GNU/Linux | Hacking | SysAdmin.”

Tags: , , , , , , , , , , , , , , , , , , ,


Página siguiente »