Artigos novos
As contas de usuario para acceder a servizos e aplicacións web sempre levan asociado un contrasinal formado por un conxunto de caracteres que só debe coñecer o usuario ou usuaria para verificar que é a persoa que trata de acceder con esa conta. No mundo da seguridade os contrasinais son un elemento clave á hora de protexer a información e por tanto son tamén un dos obxectivos principais para calquera clase de malware. Coñecer un contrasinal permite acceder un servizo ou aplicación web, a datos de acceso restrinxido ou facerse para por outra persoa en redes sociais, bancos ou tendas online. Por tanto, garantir a máxima seguridade nos contrasinais vai ser moi importante.
¿Cando un contrasinal é realmente seguro? O sitio web Splashdata recolle os contrasinais máis utilizados en todo o mundo
A maioría de contrasinais están formadas por combinacións de letras e números sinxelas, o que fai que estatisticamente sexan máis doadas de adiviñar. Nos ataques por forza bruta vanse probando todas as combinacións posibles de caracteres ata dar coa combinación correcta. Este tipo de ataques que empregan os ciberdelincuentes proban diferentes combinacións por tanto os contrasinais que só leven letras ou números serán máis doados de atopar, pois requiren de menos combinacións que aqueles outros que leven letras maiúsculas e minúsculas, números e símbolos de puntuación. O mesmo pasa coa lonxitude, cantos máis caracteres teña o contrasinal máis difícil será dar coa combinación neste tipo de ataques.
Tendo en conta que cada vez temos máis persoas usuarias e contrasinais diferentes, practicamente para cada aplicación ou servizo web que utilicemos, cada vez fai máis difícil lembralas todas e é doado que nos esquezamos dalgunha cos problemas que iso implica. Os datos de acceso, en especial os contrasinais, son un dos principais obxectivos do malware, tanto para roubo de datos e identidades como para suplantar ao usuario e facilitar a súa replicación e propagación entre os seus contactos.
Unha ferramenta de seguridade útil e que ademais permite ter gardadas as contrasinais nun rexistro único e seguro son os xestores de contrasinais. Os xestores de contrasinais cifran nun único arquivo todos os datos de acceso que queiramos, protexéndoos cun contrasinal mestre. Este contrasinal ten que ser moi robusto pois é o que protexerá a todos os demais e nos permitirá a través do programa de xestión de contrasinais obter o contrasinal que precisemos en cada momento.
Temos que ter en conta que se esquecemos ese contrasinal mestre teremos un problema porque todo o sistema basease na utilización dese contrasinal chave.
Os xestores de contrasinais cifran de maneira moi segura a información. Poden empregar algoritmos moi complexos xa que en realidade gardan pouca información, só usuario e contrasinal. E isto fai que acceder a eses contrasinais resulte moi difícil para o malware, sobre todo se o comparamos con acceder a un arquivo de texto sen protección que teñamos no noso equipo. Os contrasinais podémolos ter sempre accesibles dende múltiples dispositivos, a forma máis doada e empregando un xestor de contrasinais online, pero tamén podemos levar con nós ou gardar na nube o arquivo de configuración cos contrasinais. Isto podemos facelo xa que sempre estará a información cifrada e segura grazas ao contrasinal mestre, ou cando menos tan segura como o estaría no noso equipo.
Algunhas alternativas gratuítas de utilidades deste tipo son:
• KeePass Password Safe. Xestor de contrasinais de software libre, con app para dispositivos móbiles que permite xestionar un arquivo con contrasinais. Ese arquivo pode sincronizarse entre múltiples dispositivos grazas a servizos de almacenamento na nube coma Dropbox.
• LastPass. Trátase dun xestor de contrasinais online enfocado a almacenar contrasinais de distintas páxinas web. Para facilitar o seu uso pode empregarse como plugin ou extensión dun navegador. Empregando a identificación co contrasinal mestre en LastPass pódese acceder ás demais contrasinais de cada sitio web que se copiarán aos formularios de acceso permanecendo ocultas.
1.400 millóns de contrasinais base de datos contrasinais por defecto
capturar Hashes NTML utilizando PDF
contrasinais de 55 caracteres contrasinais 128 bits
contrasinais máis inseguros comprobar contrasinais en Directorio Activo
cómo ter unha contrasinal segura consellos
o algoritmo que descubrirá a túa contrasinal contrasinais a evitar
¿pensas que tes unha contrasinal forte?
Por qué NUNCA deberías rexistrarte en webs coas túas contas de Facebook ou Google
regras
recomendacións mínimas de seguridade Thermanator roubando contrasinais teclados
crakear contrasinais de forma distribuída descifrar contrasinais de Firefox
password cracker
Ferramentas
comprobar seguridade contrasinais Kaspersky
5 formas de crear contrasinais
comprobar se a conta foi comprometida comprobar contrasinal
extraer contrasinais DVR HashKiller Rainbow Tables
Verificación en 2 pasos
¿qué é? Amazon Ebay PayPal
DropBox
Google cómo activar en Google e Gmail Activar
cómo usar unha chave de seguridade usb con Google Chrome
Facebook activar en Instagram Twitter
contrasinais de aplicacións e verificación en 2 pasos Microsoft Office 365
Autenticación de doble factor para o ID de Apple
WhatsApp - qué é e por qué é tan importante
así pretende Facebook superar a verificación en 2 pasos
Visualizar contrasinais nos navegadores
Firefox: about:preferences (Privacidade e seguridade / Contrasinais gardadas)
Chrome: chrome://settings/passwords
Edge: tecla "windows", escribir control (Contas de usuario/ Administrar credenciais web)
Infografías
consellos
O grooming é un delito introducido na nosa lexislación a través
da LO 5/2010, de 22 de xuño, pola que se modifica o Código Penal, co
novo artículo 183 bis do Código Penal que deberá denunciarse ante as
Forzas e Corpos de Seguridade, ante o xuíz ou ante o Ministerio Fiscal.
delitos cos que debes ter coidado
O Artigo 510 do Código Penal especifica, entre outras cousas, as consecuencias legais de ameazar nas redes sociais.
o novo artigo condeado
os xulgados comezan a invalidar as probas de videovixiancia para xustificar despidos
INCIBE CERT Resposta a incidentes de ciberseguridade. Servizo gratuíto para ciudadanos ou empresas
dereito ao olvido AEPD (dereito ao olvido)
dereito ao olvido - FAQ Google
eliminar fotos e vídeos de internet dereito ao olvido en hemerotecas
certificar contido de Twitter eGarante - certificar contido
denunciar web denunciar web
ligazóns ciberacoso xerar vídeo con acta de navegación
pantallazos con capacidade probatoria - eGarante
¿cómo actuar ante inxurias, trato vexatorio ou ciberacoso nas redes sociais?
así sabe a Policía se a túa denuncia é falsa
Pódense facer as denuncias dende as seguintes ligazóns:
AEPD
Garda civil
Policía Policía - Oficinas de denuncias
sedes da UPA
Ministerio Fiscal
Xulgados de Garda
Fiscalía Menores Coruña
Fiscalía Menores Lugo
Fiscalía Menores Ourense
Fiscalía Menores Pontevedra
Listado de Fiscalías Territoriais
Apps
ALERTCOPS
GDT
auditar WiFi
canles Wi-Fi crack WPA/WPA2 cómo aumentar a cobertura
coidado coa WiFi gratis sistemas de seguridade diferenzas estándares inalámbricos
hackear encriptación WEP Hijacker ¿cómo cambiar contrasinal? ¿WiFi lento?
¿AES, TKIP ou ambos? AES-killer (plugin Burp)
exemplo configuración WPA 2 router de doble banda THSuite
Wireless Penetration Testing Checklist
En Windows para ver as conexións de rede, escribir ncpa.cpl
WPS
¿qué é WPS Pin e porque debes desactivalo? non utilizar
risco de seguridade
¿qué é? ataques offline vulnerabilidade WPS
conectando dispositivos
Filtrado MAC
Para cargar na tabla ARP a MAC da IP, simplemente un “ping” á IP e despois visualizar a tabla arp:
ping 192.168.0.1
arp -a (en linux non poñer “-a”, poñer “-n” ou nada)
ifconfig eth0 Hwaddr é a dirección MAC
macchanger -r eth0 para que a dirección cambie aleatoriamente
macchanger -m eth0 para que a dirección cambie manualmente
¿qué é o filtrado MAC? Así funciona o filtrado MAC
filtros de direccións MAC - Cisco
para qué serve é cómo facelo exemplo configuración
SSID
Service Set Identifier (Identificador do Conxunto de Servizos), un identificador único para evitar interferencia nunha rede inalámbrica, e tambén se lle chama ESSID Extended Service Set Identifier (Identificador do Conxunto de Servizos Extendido). O SSID é un valor de 32-bits ou menos e é asignado ao punto de acceso.
Os dispositivos de rede inalámbrica que se necesiten asociar a unha rede inalámbrica deben coincidir co punto de acceso. Os puntos de acceso e os dispositivos de rede inalámbrica envian regularmente paquetes inalámbricos (baliza), coa información do SSID. Cuando o dispositivo de rede inalámbrica recibe unha baliza, pode entonces identificar a rede inalámbrica que está o suficientemente cerca para que as ondas de radio alcancen dito dispositivo.
¿qué é e porque non ocultalo? ¿é segura unha rede WiFi oculta?
¿cómo configurar? Guía
¿cómo atopar a información de seguridade inalámbrica en Windows?
Seguridade en redes WiFi
Seguridade
a pouca seguridade das redes WiFi Así se espía nas redes WiFi
ataques a dispositivos móbiles mediante redes WiFi
configuración da seguridade inalámbrica diferencias
guía privacidade e seguridade en internet - AEPD
¿é segura unha rede WiFi con WPA e WPA2? seguridade en redes WiFi
WPA2
importante risco de seguridade
crack WPA/WPA2 routers WiFi vulnerables
krack - análise da vulnerabilidade seguridade en perigo weakness
importante vulnerabilidade krack-attack Demo cómo protexer
WPA2 e KRACKATTACK
nova vulnerabilidade
Exemplos
análise de tráfico con Wireshark SampleCaptures como usar aircrack
extraer arquivos de capturas de paquetes WiFi Hash Monster
hcxtools - conxunto de ferramentas para capturar tráfico Wi-Fi e darlle formato Hashcat
Contramedidas
¿qué sabes sobre redes WiFi? - Cuestionario OSI
videoxogo ciberseguridade para empresas - INCIBE
Pautas de ciberseguridade
7 atributos e 9 consellos Aprende a asegurar a túa WiFi en 7 pasos
cómo saber se me rouban WiFi cómo saber se che están roubando a sinal Wi-Fi
cómo saber se alguén está conectado á túa rede WiFi
¿cómo poido evitar que me rouben a WiFi? como protexer a wifi da casa historias reais
medidas de protección extra - OSI
¿tes un intruso na túa rede? ¿por qué deberías usar unha rede privada virtual?
protéxete ao usar wifis públicas protexe a túa WiFi
qué é WPS Pin e porque debes desactivalo router - medidas básicas de protección
Ferramentas
Cisco Packet Tracer simulación e visualización de redes simuladores de rede
Wi-Fi Analyzer Busca o mellor canle WiPry
ver perfiles WiFi: netsh wlan show profile
ver detalle de perfil coa súa contrasinal: netsh wlan show profile NSA key=clear
AirCrack introducción a un ataque
AirCrack contén un analizador de paquetes de rede, un crackeador de redes WEP e WPA/WPA2-PSK e outro conxunto de ferramentas de auditoría inalámbrica entre as que se atopan:
configuración previa: /etc/init.d/network-manager stopiwlist / ifconfig : lista as interfaces Wi-Fi
Airmon-ng: establece a tarxeta inalámbrica en modo monitor para poder capturar e inxectar tráfico, xa que permite que a tarxeta escoite todo o tráfico.
Airodump-ng: escanea as redes e captura (e salva) vectores de inicio
Aireplay-ng: inxecta tráfico para elevar a captura de vectores de inico
Aircrack-ng: descifra a contrasinal dos vectores de inicio
Aircrack-ng: descifra a contrasinal dos vectores de inicio
LoRa
tecnoloxía de comunicación que permite transmitir datos a distancias moi longas con baixo consumo de enerxía.
Se conectamos un dispositivo con LoRa a internet (gateway) poderemos permitir que outros dispositivos con LoRa aislados sexan capaces de subir os seus datos a internet ( LoRaWAN está moi orientado a internet das cousas, monitorización e sensores ).
Ferramentas
NMap é un escáner de portos que permite analizar a exposición dun sistema, os servizos que ten abertos e as versión dos mesmos.
(instalada por defecto en Kali Linux) NMap GUI (portable)
OpenVAS é un escáner de vulnerabilidades para detectar e identificar fallos de seguridade.
( apt install openvas )
Acunetix Online: Online Vulnerability Scanner
Seccubus permite automatizar as mellores ferramentas de análise de vulnerabilidades facendo un único motor
Wireshark captura o tráfico enviado na rede e permite analizar o tráfico capturado empregando gran cantidade de analizadores de protocolo.
(instalada por defecto en Kali Linux)
Metasploit Framework é un proxecto open source que proporciona información sobre vulnerabilidades de seguridade que axuda en tests de penetración e no desenvolvemento de firmas para sistemas de detección de intrusos, permitindo atopar, explotar e validar vulnerabilidades.
MetasploitA máquina virtual Metasploitable2 é unha versión Linux intencionalmente vulnerable deseñada para probar ferramentas de seguridade e desmostrar vulnerablidades comúns. Guía msfadmin / msfadmin
Para traballar en VirtualBox, creamos unha nova máquina virtual (Linux\outro Linux)
"Usar un disco duro existente" e seleccionamos o arquivo .vmdk
En "Configuración" , "Procesador" seleccionamos "habilitar PAE/NX" xa que PAE (Physical Address Extension) é unha opción da CPU que permite a un microprocesador de 32 bits direccionar máis de 4 GB de RAM.
No apartado "Rede" seleccionar "Adaptador ponte" e "Modo promiscuo"=permitir todo
usuario e contrasinal:msfadmin
Na máquina virtual, no menú "Entrada" seleccionar "integración do rato" para que éste funcione.
Armitage - Administrador gráfico para Metasploit (incluído en Kali Linux)
Shields Up!! escáner de portos
Scan Online de portos
comproba que portos tes abertos
Comandos de xestión en Linux
interfaces de rede:
netstat -iiniciar servizo de xestión de rede: sudo service network-manager startestablecer dirección IPv4:ifconfig eth0 192.168.1.100 netmask 255.255.255.0
lista de portos abertos (Windows): netstat -a comandos consola Windows comandos administrador do servidor
comandos redes windows
/etc/passwd /etc/shadow
cómo executar aplicacións en linux
Artigos
análise de riscos en 6 pasos
modelo OSI e arquitectura TCP/IP información xeral de TCP/IP - Cisco
Three-Way Handshake protocolo de acordo a 3 vías
listado de portos comúns servizo e requisitos en Windows
comprobar os portos abertos con NMAP
Aprendendo a escanear portos UDP
principios básicos e legais do escaneo de portos
Metasploit
portos TCP/UDP máis comúns
Ferramentas OSINT OSINT ferramentas OSINT
OSINT Framework
dominios estadísticas RIPE
Namechk - buscar usuario en redes sociais e comproba coincidencias
Peekyou buscador personalizado na búsqueda de persoas
pipl buscador especializado en redes sociais
PáginasBlancas
Radare
Robtex consulta de DNS, blacklist, dominios, subdominios, direccións ip
SpiderFoot - recopilar información sobre un obxectivo concreto automáticamente.
xeolocalizar lugares
encántanos regalar información persoal
descubren apps que graban pantalla
USBHarpoon - método de ataque que utiliza un simple cable USB
saber se páxina foi hackeada ou información comprometida
nunca publiques entradas con código de barras
Infografías
OSINT
A criptografía (do grego kryptos "esconder" e graphein "escribir"), é unha técnica que converte un documento orixinal (texto en claro) nun criptograma
cyphertext, cuxo contido corresponde ao anterior, pero só é accesible por parte de persoas autorizadas.
As técnicas criptográficas úsanse para ocultar a mensaxe dun emisor (cifrar ou encriptar) e mandala por unha canle para que só o receptor autorizado poida ler a mensaxe orixinal auténtica "escondida" (descifrar ou desencriptar ).
De orixe militar (ENIGMA na 2ª Guerra Mundial ), industrial e comercial (DES en 1976) e no mundo TIC (RSA en 1978).
É a arte de escribir con clave secreta ou dun modo enigmático e técnicas de alteración de mensaxes para evitar a obtención de información por parte de persoas non autorizadas.
Un bo sistema de cifrado pon toda a seguridade na clave e ningunha no algoritmo: coñecer o algoritmo sen coñecer a clave non debe supoñer ningunha vantaxe.
A clave que se emprega para cifrar é a mesma que para descifrar
(a clave será específica para cada comunicación).
ventaxas:
o algoritmo é moi rápido; polo que o tamaño da clave é polo tanto a complexidade para descifralo pode ser moi longa (máis de 128 bits)
desventaxas:
hai que acordar a clave que se vai utilizar (problemas de autentificar a emisor e ao receptor cando este é descoñecido e/ou de intercepción por unha persoa intermedia (man in the middle) cando se manda por unha canle insegura:
se a clave é descuberta comprométese a autenticidade e o non repudio); o número de claves que hai que xestionar (cada posible emisor acordará unha clave distinta con cada unha das persoas destinatarias).
Tampouco pode garantir o non repudio xa que a clave é compartida, cando menos, entre o emisor e o receptor e calquera deles podería suplantar ao outro.
se a clave é descuberta comprométese a autenticidade e o non repudio); o número de claves que hai que xestionar (cada posible emisor acordará unha clave distinta con cada unha das persoas destinatarias).
Tampouco pode garantir o non repudio xa que a clave é compartida, cando menos, entre o emisor e o receptor e calquera deles podería suplantar ao outro.
DES (Data Encryption Standard) foi un coñecido sistema de criptografía simétrica que evolucionou a 3DES (Triple DES) RC5 (Rivest Cipher) AES (Advanced Encryption Standard)
Blowfish (sen patente) IDEA(International Data Encryption Algorithm)
Criptografía asimétrica ou de clave pública
Usa dúas claves para o envío de mensaxes.
As dúas claves pertencen a cada persoa . Unha clave é privada (o propietario debe gardala en segredo) a outra clave é pública (pode ser coñecida por calquera outra persoa). Aínda que as dúas son complementarias, é algorítmicamente imposible deducir unha da outra.
O interesante do sistema é que unha mensaxe cifrada con unha das claves, só pode ser descifrada coa outra.
Deste xeito pódese conseguir a autenticación do emisor e/ou a autenticación do receptorAUTENTICACIÓN E NON REPUDIO:
Se o emisor usa a súa clave privada para cifrar a mensaxe, calquera pode descifrala utilizando a súa clave pública, pero sabemos que só puido ser o emisor, como titular da súa clave privada, quen a puido mandar. Esta idea é a base da sinatura dixital dunha mensaxe (úsase tamén o nome sinatura electrónica).
CONFIDENCIALIDADE OU PRIVACIDADE:
Se o remitente usa a clave pública do destinatario para cifrar a mensaxe, só este, coa súa clave privada poderá descifrala
Clave
|
||
Cifrar
mensaxe
|
Pública
|
Receptor
|
Descifrar
mensaxe
|
Privada
|
Receptor
|
Asinar
mensaxe
|
Privada
|
Emisor
|
Verificar
mensaxe asinada
|
Pública
|
Emisor
|
ventaxas
non é necesario que o remitente e o destinatario se poñan de acordo na clave a empregar;
só se necesitan un par de claves por persoa
desventaxas
para resultar segura, as claves teñen que ser de moita lonxitude (máis de 1024 bits polo que o algoritmo de cifrado / descifrado é moi lento (gran capacidade de proceso de cálculo xa que se basea en operacións moi complexas como, por exemplo, a potenciación modular)
Criptografía híbrida
O intercambio de mensaxes nunha comunicación faise mediante cifrado
simétrico usando unha clave que se acordou previamente empregando cifrado
asimétrico.
Por exemplo, o estándar SSL(Secure Socket Layer) que se emprega nas páxinas https:// e nas VPNs funciona establecendo ao inicio da sesión unha clave que se transmite por criptografía asimétrica (asegurando a autenticidade e a confidencialidade) e empregando logo dita clave para
transmitir as mensaxes cifradas por criptografía simétrica (moito máis rápida).
transmitir as mensaxes cifradas por criptografía simétrica (moito máis rápida).
A clave só é válida para unha sesión (mentres non se produza a desconexión). Isto crea un túnel (un canal de comunicación encriptado seguro dentro dunha rede non controlada) como é o caso de Internet.
Outro exemplo sería o sobre dixital. A partir dun documento confidencial e dunha clave secreta xerada aleatoriamente, obtense un documento cifrado por criptografía simétrica. A mesma clave anterior, cífrase asimétricamente coa clave pública do(s) destinatario(s). Empaquétanse ambas cousas, dando lugar a un conxunto que é o sobre dixital que se envía ao(s) destinatario(s). Este(s) descifra(n), en primeiro lugar, a clave secreta coa súa clave privada e logo coa clave secreta revelada, desencripta(n) o documento cifrado, obtendo o orixinal.
introducción á criptografía o cifrado dixital criptografía de clave pública
¿criptografía despois do gato? google experimenta coa criptografía postcuántica
Arte de espiar e cómo vencer ao teu enemigo sustraer información de discos encriptados
CRYPTII - encriptar e desencriptar Scytale
Cifrado César
cifra e descifra mensaxe codificado co método César
cifrado César códigos
Encriptar
aplicacións para cifrar en Windows ¿para qué serve?
BitLocker - Windows cómo usar guía
Cryptkeeper ten un bug eCryptfs
establecer contrasinal a cartafol con 7-ZIP protexer arquivos en Windows
Tipos de cifrado - OSI cómo protexen os nosos datos
sistemas de cifrado Android cómo protexer WiFI SHA1 non é seguro
WiFi
WhatsApp WhatsApp Telegram móbiles móbiles cifrados
sistemas de cifrado Android cómo protexer WiFI SHA1 non é seguro
WiFi
WhatsApp WhatsApp Telegram móbiles móbiles cifrados
Ferramentas en liña
Cifrado de arquivos
No noso equipo podemos establecer diferentes niveis de seguridade, protexendo o dispositivo, as súas comunicacións, cartafoles ou particións ou mesmo arquivos individuais. Na mesma liña pode ser necesario que cando traslademos información nun pendrive USB ou a envíemos por correo electrónico, queiramos ou nos vexamos obrigados por lei a cifrar o contido de determinados arquivos para que vaian protexidos e se o USB ou o correo electrónico chega a malas mans, non poida acceder á información directamente, senón que precise dun contrasinal de acceso.
As utilidades de cifrado de arquivos permítennos cifrar a información para facer que non se poida ler sen unha contrasinal mestra. Algunhas utilidades sinxelas que nos permitirán realizar esta operación son as seguintes:
• BitLocker. Ferramenta incluída por defecto nas versións profesionais de Windows. Permite cifrar a unidade onde se atope instalado o sistema operativo, unidades extraíbles e pendrives USB. Para empregala a título local pode ser suficiente, aínda que para enviar arquivos ou compartilos con outras persoas, ou se queremos un nivel de seguridade máis alto pode ser máis recomendable recorrer a outras ferramentas.
• 7-ZIP. Realmente esta utilidade é un compresor de arquivos, pero ao gardalos no arquivo comprimido permite protexelos cun algoritmo de encriptación bastante seguro. Ao ser unha ferramenta multiplataforma e gratuíta resulta ideal para cifrar arquivos que imos enviar por correo electrónico ou compartir entre diferentes dispositivos ou con outras persoas.
• Veracrypt. Utilizado para encriptación de particións de disco que funciona ademais para a maioría de sistemas operativos. Consume máis recursos á hora de acceder á información. O seu funcionamento consiste en crear un contedor ou caixa forte e nel engadir arquivos ou carpetas. Ese contedor, que non deixa de ser un arquivo cifrado, pode gardarse nun pendrive USB ou enviarse por correo electrónico.
50 blogs
CNEC - Centro Nacional Excelencia en Ciberseguridade
INCIBE_CERT - Centro de Resposta a Incidentes de Seguridade para ciudadáns e empresas (anteriormente CERTSI) - conta Twitter
ciberinteligencia
ciudad con ley
Dark reading
El blog de Angelucho
un informático en el lado del mal No Hack, No Fun
blog INCIBE
InfoCon
Mundo Hacker
RENIC - Rede de Excelencia Nacional de Investigación en Ciberseguridade
S2 Grupo
Securelist - Kaspersky Talent Lab
StopBadware
Threatpost