Archivo del autor León Ramos

León Ramos PorLeón Ramos

Seguridad en TI y equidad de Género

Patricia Cobilt nos platica sobre los diversos retos que las mujeres y tienen para ingresar al mundo de la ciberseguridad.

También platicamos sobre retos en general que la industria está teniendo en estos momentos y lo que podemos hacer para sufragarlos.

Ingeniera en Comunicaciones y Electrónica con especialidad en Computación, egresada de la Escuela Superior de Ingeniería Mecánica y Eléctrica (ESIME) Unidad Zacatenco del Instituto Politécnico Nacional (IPN) con Maestría en Gestión Pública Aplicada de la Universidad Virtual del Instituto Tecnológico de Estudios Superiores Monterrey (ITESM), cuenta con diversos cursos y diplomados en temas de Telecomunicaciones y de Cyberseguridad.

Desde hace 20 años ha desarrollado proyectos de Tecnologías de Información y Comunicaciones (TIC), principalmente para el Gobierno Federal en donde tuvo la fortuna de participar en el diseño, implementación y operación de los mismos de la mano con los diversos equipos de Seguridad de la Información.

Photo by Victoria Heath on Unsplash

Nuestras Redes

@creadoresdigita CreadoresDigitales

Sigue a León, Hiram y Alina en Twitter

Hiram @hiramcoop
León @fulvous
Alina @alinapoulain

¡Escúchanos!

En Ivoox En Spotify
ApplePodcast En Youtube
Google podcast
León Ramos PorLeón Ramos

Seguridad y BigData

Alex González nos platica algunas técnicas para implementar seguridad en entornos de BigData.

-La seguridad es una necesidad -nos comenta y reflexionamos sobre el compromiso de entregar un producto viable en poco tiempo y el proceso que sigue el departamento de seguridad para aprobar un producto.

Photo by Kirill Sh on Unsplash

Nuestras Redes

@creadoresdigita CreadoresDigitales

Sigue a León, Hiram y Alina en Twitter

Hiram @hiramcoop
León @fulvous
Alina @alinapoulain

¡Escúchanos!

En Ivoox En Spotify
ApplePodcast En Youtube
Google podcast
León Ramos PorLeón Ramos

¿Suficiente Internet para la pandemia?

Hace ya un año me cambié de la CDMX a un municipio del sur de Veracruz. Y pasé de experimentar una velocidad de 150Mbps de descarga con una fibra óptica bastante estable y a buen precio, a sufrir literalmente con anchos de banda de 10Mbps de descarga y 5Kbps de subida, sí, así como lo escuchan, 5Kpbs de subida y muy caro.

Los que me conocen saben que por el trabajo que realizo, el acceso a Internet me es imprescindible y, siendo dos en casa, el servicio de DSL con tan poco ancho de banda se traba cuando se abre Netflix en una pantalla y Zoom en otro dispositivo.

Para mí, antes de la pandemia, me fue muy claro que iba a necesitar otro enlace, así que tras mucho buscar y desilusionarme porque de verdad no había cobertura, me decidí por Internet 4G.

¿Oye León, pero por qué no incrementaste tu velocidad con el proveedor de DSL? Bueno, pues muy sencillo, hablando con los técnicos y vecinos de la zona me enteré de que la central técnicamente no iba a proporcionarme más de 15Mbps de descarga. Entonces mejor usé el presupuesto para tener un segundo enlace inalámbrico 4G que, no me lo van a creer, es mejor para el Zoom que el Internet por Cable.

Pues esto que les cuento no lo sufro solo yo, así está la mayor parte del país en donde la cobertura de Internet por cable llega gracias al DSL (casi 35% de las conexiones a Internet en México). Bueno, pues técnicamente hablando DSL no nos puede entregar más de 35Mbps de descarga asimétrica, es decir, descargo más rápido, pero subo contenido más lento y las videollamadas suben tu video y tu audio. Así que las clases y los trabajos hoy están sufriendo en la nueva normalidad. Antes se podían negociar horarios de entretenimiento para ver streaming, pero ahora no, tres o cuatro personas necesitan usar el ancho de banda al mismo tiempo.

Si eres de los suertudos de tener cobertura de fibra óptica, la historia es diferente, puedes alcanzar velocidades de hasta 1Gbps (teóricamente), sin embargo, sólo el 22% de las conexiones a Internet en México tienen cobertura de fibra, además, sólo están disponibles en ciudades muy grandes. Con una conexión de fibra una familia de 4 integrantes puede tener una buena experiencia de uso simultáneo.

¿Qué podemos esperar con esta demanda tan alta de ancho de banda? Pues quiero confesar que estuve tentada a contratar el segundo enlace DSL, pero el técnico me comentó que yo fui el último que saturó la zona. Las casas de mis vecinos que se están construyendo, ya no tendrán cobertura DSL. ¿Podemos esperar que llegue la fibra óptica?

Pues aquí la carrera del Internet es por la cobertura y por el futuro. Y aquí viene lo bueno, la cobertura de Internet móvil ya es tan alta que alcanza 73 líneas por cada 100 habitantes. Y, comparado con el mal DSL que se tiene en muchos lugares, como aquí donde me encuentro, su velocidad es mucho mayor, eso sí, es mucho más caro.

Pero pensemos un segundo, es más fácil instalar células para móviles que llevar fibra óptica a cada casa. No necesitas cables ni nadie que entre a tu hogar a hacer agujeros. El verdadero punto de inflexión será cuando adoptemos finalmente el 5G. Que todo parece indicar que llegará a México la tecnología que desarrolló Huawei, y con la que ya se están realizando pruebas.

¿Por qué es importante 5G? Pues porque la velocidad de navegación que te ofrecerá será similar a una fibra óptica, sí, tiene limitaciones de distancia y cobertura, pero todo parece indicar que la inversión mundial irá en ese camino y no por el camino de cablear cada hogar. Ya para hoy puedes buscar en Internet los videos en donde un celular puede llegar a velocidades de 1Gbps de descarga usando 5G y muchos que hacen prospectiva auguran que 5G podría ir desapareciendo paulatinamente a las redes de hogareñas o de pequeñas empresas. ¿Pues para qué instalar un cable cuando 5G te da mejor velocidad?

La implementación de la 5G no será mañana, pero de que tenemos hambre de ancho de banda, lo tenemos y quien pueda ofrecerlo lo antes posible, será quien gane nuestros corazones.

Photo by Markus Winkler on Unsplash

Nuestras Redes

@creadoresdigita CreadoresDigitales

Sigue a León, Hiram y Alina en Twitter

Hiram @hiramcoop
León @fulvous
Alina @alinapoulain

¡Escúchanos!

En Ivoox En Spotify
ApplePodcast En Youtube
Google podcast
León Ramos PorLeón Ramos

Entrevista a Tal Catran sobre emprendedurismo

Emprendedurismo y ciberseguridad

¿Por qué Israel es uno de los países más atacados por los ciberdelincuentes a nivel mundial?
¿Qué lecciones debemos aprender en estos tiempos sobre emprendimiento de un ángel inversionista?
Para responder estas preguntas tenemos a Tal Catran desde Israel, quien nos da una perspectiva de qué pensamientos y estrategias podemos poner a trabajar para superar la crisis económica y sanitaria usando la tecnología.
Acompaña a León Ramos, Hiram Camarillo y a Alina Poulain en esta entrevista.

Tal Catran
Especialista Israelí en emprendedurismo, mercadotecnia y desarrollador de negocios. Se convirtió en un líder en la generación de aceleradoras de negocios, hubs y ecosistemas startups, con la meta de motivar e inspirar emprendedores.

Es un mentor y conferencista de negocios que ha establecido 14 aceleradoras de negocios tecnológicos y tiene la meta de crear 2 aceleradoras más cada año. Es por ello que a Tal Catran se le conoce como el Gurú de las aceleradoras de negocio.

Nuestras Redes

@creadoresdigita CreadoresDigitales

Sigue a León, Hiram y Alina en Twitter

Hiram @hiramcoop
León @fulvous
Alina @alinapoulain

¡Escúchanos!

En Ivoox En Spotify
ApplePodcast En Youtube
Google podcast
León Ramos PorLeón Ramos

53 – Las noticias con Alina, Hiram y León

Emisión 53

  1. ¿Cómo será el comercio electrónico en México?
  2. Platicaremos sobre la semana de seguridad digital de la Defensoría Municipal de derechos humanos de Cuautitlán izcalli
  3. El 2020 nos demuestra que México no cree la ciberseguridad
  4. La india inspecciona 275 Apps chinas para cerrarlas
  5. Hackers pueden ingresar a tu cuenta de Whatsapp con solo una llamada telefónica
  6. Encrochat, los dispositivos usados por el Cártel de Sinaloa para comunicaciones cifradas.

Pues uno de los agentes más importantes de la transformación digital resultó ser el Covid-19. Dicha enfermedad disparó la necesidad de realizar comercio electrónico de forma inmediata.

Sin embargo, uno de los mayores problemas para alcanzar esta meta dorada de las ventas en línea es poder convertir el dinero físico en digital. La poca bancarización demuestra ese problema, según datos de principios del 2020, 36.9% de la población total tiene acceso a la banca y de ese porcentaje, 78.9% puede usar la banca electrónica. [fortuna].

Otra de las promesas que aparentemente nos llevaría a los pagos digitales es la apuesta de Codi o Cobros Digitales. El objetivo hacia 2022 es que 37 millones de mexicanos utilicen la plataforma de CoDi. Sin embargo, he escuchado que actualmente Codi no está disponible para recibir pagos en negocios y sólo se centró en envíos de dinero entre particulares, lo que está deteniendo sustancialmente. [informaBTL].

¿Quién parece haber sido el beneficiado directo este año en ventas en línea? [Expansión] Pues el primer trimestre del 2020 Amazon aumentó sus ventas un 29%, sin embargo, no estaba preparado para esto y su incremento en costos operativos provocó una disminución en su utilidad. Hay que tenerlo muy en cuenta porque desde el 2019 Amazon rebasó con 2% a Mercado Libre como el líder de ventas en México.

[hipertextual] Sin embargo, ya habíamos platicado en este podcast sobre la inversión de Paypal en Mercado Pago, bueno, pues hoy rinde sus primeros frutos. A partir de hoy se puede usar paypal como método de mercado pago en marketplaces y lugares que usen mercado pago como pasarela de cobro. Esto une a dos grandes competidores en el mercado Americano y los pone en una mejor posición para enfrentar a Amazon.

[FayerWayer] ¿Entonces el futuro será una pelea binaria entre Amazon y Mercado Pago? Pues no, para este mes se tenía proyectado el lanzamiento de WhatsApp pay. Así que estamos a la espera de que Facebook incursione en las ventas en línea con su método de pago y, ofreciendo como lo hace wechat, la facilidad de transferir dinero entre particulares, algo así como Codi.

Entonces el caldo de cultivo está listo, tenemos a Amazon con una utilidad disminuída con respecto al año anterior, a Mercado Pago con una alianza reciente con Paypal y a WhatsApp intentando parir ese niño llamado WhatsApp pay. ¿Ustedes quién creen que pueda acoplarse mejor a nuestra forma de hacer negocios? ¿Alguno permitirá realizar movimientos de dinero no fiscalizados?


El 2020 nos demuestra que en México su gobierno y empresas, no creen en la ciberseguridad.

Banxico
SAT
VisitMexico
Cuentas de Twitter del gob estales
salud.gob.mx
Gob Guadalajara
conapred

Después del anuncio de la plataforma Mexicana de préstamos e inversiones yotepresto de haber sufrido una brecha de seguridad el pasado 21 de Junio, donde los atacantes tuvieron acceso a datos personales de sus usuario, el grupo de criminales puso a la venta 1.4 millones de registros en un foro underground donde postearon hace unos días el schema de la base de datos extraída como prueba de que la tenían en su poder.

Pero Yo Te Presto no está solo, también, otra empresa mexicana iVoy, sufrió una brecha de seguridad (se desconoce cuándo sucedió) y el 27 de Julio pasado poco antes de las 6 de la mañana, los atacantes colocaron la base de datos robada para que cualquier usuario pudiera descargarla gratuitamente.

¿Qué pasa con esta información? La realidad es que se desconoce desde cuando los atacantes tuvieron acceso a los sistemas de las empresas y robaron la información, sin embargo, el uso de una sola contraseña en distintas plataformas expone a los usuarios a riesgos más graves.


[economictimes] Ya ha habido descalabros previos para compañías Chinas en medio de esta reubicación geopolítica de poderes en el mundo. Recordemos el caso de Huawei y su prohibición por EUA.

Hace poco el gobierno de la India prohibió el uso de 59 Apps chinas, incluído TikTok por considerarlas riesgosas o por hacer mal uso de los datos privados de sus usuarios.

Pues hoy la India dice que tiene una lista de 275 nuevas Apps Chinas que serán escrutadas para ver si son bloqueadas. Esta decisión se toma luego de que las tensiones Inda – China aumentaran recientemente en la franja de Kachemira en donde la India reporta 20 bajas militares.

Pues las tensiones se van a agravar cada vez más, ya que varias marcas en lugar de abandonar sus fábricas en China tras la escasez provocada por la pandemia, están buscando optar por la política China+1, es decir, dejar su planta principal en China, pero tener un segundo país en dónde se produzcan sus bienes a un costo similar.

[economictimes] Este mismo mes las noticias de la India trascendieron que Apple ya está fabricando iphones 11 en la planta de Foxconn de Chennai, una población costera al oriente de la India. Con este cambio de país de procedencia, Apple podría ahorrarse hasta 22% de costos.

Pues estos dos gigantes asiáticos se odian a morir, China le apostó a convertirse en la fábrica del mundo y la India le apostó a los servicios. ¿Creen que sea la India la nueva China? ¿Creen que México podría convertirse en el China + 1 de EUA?


Encrochat, los dispositivos usados por el Cartel de Sinaloa para comunicaciones cifradas.

Después del robo de información de 269 GB a 251 agencias de la policía de los EU (aka #BlueLeaks) los archivos muestran que probablemente el Cartel de Sinaloa usaba teléfonos y comunicaciones cifradas #Encrochat
Los teléfonos Encrochat no cuentan con cámaras, micrófonos, GPS y acceso USB. Tienen instalados programas de mensajería cifrada que enrutan la comunicación a través de sus propios servidores.
Su publicidad dice que sus servidores nunca crean, almacenan, descifran conversaciones o datos del usuario.
Sin embargo, en Junio la policía francesa tomó el control secretamente de la red de Encrochat. Las autoridades francesas aprovecharon ese acceso para instalar una herramienta de hacking que les permitió leer silenciosamente las comunicaciones de los usuarios durante meses. Luego, los investigadores compartieron esos mensajes con agencias de toda Europa.
Las agencias francesas, holandesas y europeas supervisaron e investigaron «más de cien millones de mensajes cifrados» enviados entre usuarios de Encrochat en tiempo real. Los teléfonos de Encrochat son esencialmente dispositivos Android modificados, y algunos modelos usan el «BQ Aquaris X2», un teléfono Android lanzado en 2018 por una compañía electrónica española
También tienen una función que borrara rápidamente el dispositivo si el usuario ingresa un PIN, los teléfonos pueden ejecutar dos sistemas operativos al mismo tiempo. Puede arrancar en Android normal o cambiar al sistema Encrochat. En mayo algunos usuarios notaron que el borrado del dispositivo no funcionaba y lo asociaron a un error. Sin embargo, este problema no fue un error. Encrochat encontró malware instalado en los dispositivo. El teléfono había sido «hackeado».
El malware se creó específicamente para el modelo X2. Además de interrumpir la función de borrado, el malware también fue diseñado para ocultarse de la detección, registrar la contraseña de bloqueo de pantalla y clonar datos de la aplicación.

Nuestras Redes

@creadoresdigita CreadoresDigitales

Sigue a León, Hiram y Alina en Twitter

Hiram @hiramcoop
León @fulvous
Alina @alinapoulain

¡Escúchanos!

En Ivoox En Spotify
ApplePodcast En Youtube
Google podcast
León Ramos PorLeón Ramos

52 – Las noticias de Seguridad y TI con Alina, Hiram y León

Emisión 52

  1. Finalmente Github congela el código para las futuras generaciones
  2. Gmail le apuesta por las cuentas verificadas para combatir el phishing
  3. 19 y 21 años de edad los hackers detrás del hackeo a Twitter
  4. Música en tu cabeza sin usar tus oídos con NeuraLink
  5. Hackers chinos intentan robar información sobre la vacuna que combatirá el covid-19
  6. La Secretaría de la Función Pública expuso datos personales de 830 mil funcionarios públicos de México.

[githubblog] Con todo lo que está pasando, la Pandemia, las guerras comerciales, etcétera, la humanidad debe de buscar una forma de tener una certeza. Una de éstas certezas es que el mundo corre con código abierto y por eso Github lanzó su programa de Archivo.

Se anunció desde el pasado noviembre del 2019 y se deseaba guardar código en una bóveda en el ártico llamada: Github artic code Vault. La meta es guardar el código abierto que soporta la interacción humana hoy hasta por mil años. Se dice fácil, pero casi cualquier medio electrónico o de almacenamiento moderno está sujeto a una degradación por condiciones ambientales.

Así que el pasado 2 de febrero de éste fatídico año, se tomó una fotografía con la última revisión de varios repositorios importantes para la humanidad. Se respaldaron 21TB en 186 carretes de Filme Digital fotosensible, es decir, en una especie de película.

Por las restricciones de vuelo, no fue posible para los empleados de Github ir personalmente a depositar los respaldos, así que fueron enviados a una compañía en Noruega, Piql, para que los enterrara por ellos. El destino fue una mina de carbón expropiada y abandonada en Svalbard en donde el código fue depositado el pasado 8 de julio del 2020.

Literalmente el código fue depositado en el vientre de la madre tierra en donde quedará envuelto por toneladas de permafrost. ¡Estos sí son cold backups o respaldos fríos!

Hay varios contribuidores al código que son mexicanos y han sido galardonados con un distintivo en su perfil de github que dice “Artic code Vault Contributor”. Si eres uno de ellos por favor compártenos tu historia para que más gente conozca el desarrollo al que apoyaste.

Por esto es importante que más desarrolladores latinoamericanos participen en el desarrollo del código abierto y software libre, porque junto con el código viaja también algo de cultura y hasta un poco de la identidad. Me pregunto si en nuestros países estamos ya discutiendo sobre las mejores maneras de respaldar nuestra herencia digital.


Google está experimentando con una nueva función que podría verificar las cuentas de correo electrónico como un paso más para combatir el phishing.
Utilizará el estándar de indicadores de marca para la identificación de mensajes (BIMI) y probará con un número limitado de remitentes en un inicio.
Esto puede ayudar a fomentar la confianza entre los usuarios y se dejen de abrir los correos de estafadores que pueden robar datos bancarios.
Se combinará con otra tecnología llamada DMARC que evita que se alteren las direcciones de correo y asegurarse de que viene de una fuente legítima.
Google aclaró que está utilizando dos Autoridades de Certificación para validar quién posee un logotipo en particular: Entrust Datacard y DigiCert.
Estará disponible para uso de empresas en los próximos meses.


19 y 21 años de edad los hackers detrás del hackeo a Twitter
El pasado 15 de Julio sucedió el hackeo más grande en la historia de Twitter. Las cuentas de oficiales de Twitter de Barack Obama, Elon Musk, Jeff Bezos, Kanye West, Bill Gates, CoinDesk, Apple, Uber y de otras celebridades, empresas y personalidades importantes fueron hackeadas. Todas las cuentas tuitearon que si enviabas una cantidad bitcoins a una cartera, recibirías de regreso el doble. «Doblaré todos los pagos que sean enviados a la cartera de bitcoins, si envias $1,000 dólares en los siguientes 30 minutos te enviaré de regreso $2,000»
Se registraron +300 transacciones que sumaron $120K dólares.

Los atacantes lograron esto mediante ataques de ingeniería social hacia empleados de Twitter quienes tenían acceso a un panel de administración de cuentas con permisos conocidos como “Nivel Dios”. Tuvieron acceso a los mensajes directos de al menos 36 de las 130 cuentas atacadas. 65k dólares fueron enviados a otras carteras de bitcoins, accedieron a la función de cuenta de Twitter «Your Twitter Data» para ocho cuentas.

Las entrevistas indican que el ataque no fue obra de un solo país como Rusia o un sofisticado grupo de hackers. En cambio, fue hecho por un grupo de jóvenes, uno de los cuales dice que vive en casa con su madre, que se conocieron debido a su obsesión por poseer nombres de pantalla tempranos o inusuales, particularmente una letra o número, como @ y o @ 6.

EL hacker conocido como “lol” y otro con el que trabajaba, cuyo nombre en pantalla era «muy ansioso», le dijeron a The Times que querían hablar sobre su trabajo con Kirk para demostrar que solo habían facilitado las compras y adquisiciones. de direcciones de Twitter menos conocidas temprano en el día. Dijeron que no habían seguido trabajando con Kirk una vez que comenzó más ataques de alto perfil alrededor de las 3:30 p.m. Hora del este el miércoles.

«Solo quería contarte mi historia porque creo que podrías aclarar algo sobre mí y estar tan ansioso», dijo «lol» en un chat en Discord, donde compartió todos los registros de su conversación con Kirk y demostró su propiedad de las cuentas de criptomonedas que solía realizar con Kirk.

«Lol» no confirmó su identidad en el mundo real, pero dijo que vivía en la costa oeste y tenía alrededor de 20 años. «Muy ansioso» dijo que tenía 19 años y vivía en el sur de Inglaterra con su madre.


Pues no le es suficiente haber creado un gateway de pagos internacional como paypal, crear un automóvil eléctrico de alta gama, un tren que levita, pues ahora ya incursionará en conectarse directamente al cerebro.

Brain-machine interfaces (BMI), es esa parte de la ciencia ficción que está a punto de volverse realidad. Elon Musk y NeuraLink prometen tener una interface directa al cerebro para que, inicialmente y entre otras cosas, puedas escuchar música sin usar audífonos.

3,072 electrodes per array distributed across 96 threads. We have also built a neurosurgical robot capable of inserting six threads (192 electrodes)

A single USB-C cable provides full-bandwidth data streaming from the device, recording from all channels simultaneously. This system has achieved a spiking yield of up to 70% in chronically implanted electrodes.

¿Qué tanto puede implicar que algo o alguien pueda reproducir música en nuestra cabeza? ¿O qué tal si puedas mandar comerciales una y otra vez a cierto número de suscriptores? ¿No suena como a inicio de una novela de ficción?

¿Se puede soñar con productos locos? ¿Cómo puedes llegar a una mesa de inversionistas y pedir fondos para crear un producto de este estilo?


Las empresas dedicadas a la biotecnología han sido las más atacadas en los últimos meses ya que están buscando la vacuna que ayude a todos a salir a la normalidad.
El Departamento de Justicia de Estados Unidos levantó 11 cargos en contra de dos hackers chinos y aseguran que también tuvieron acceso a servidores de empresas en España, Reino Unido, Alemania, y Bélgica.


El Economista – La Secretaría de la Función Pública expuso datos personales de 830 mil funcionarios públicos de México.

La Secretaría de la Función Pública abrió una “forma alternativa de acceso” a las declaraciones patrimoniales de 830,000 funcionarios públicos y expuso algunos datos personales confidenciales en internet.
El Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (Inai) informó que fue notificado por la Secretaría de la Función Pública de un incidente de seguridad de la información en la dependencia que expuso datos personales confidenciales de funcionarios públicos federales. Se han presentado 3 denuncias.
De acuerdo con el comunicado 241/20 del Inai, difundido esta mañana, la Secretaría de la Función Pública notificó al instituto de protección de datos sobre el incidente de seguridad el 10 de julio, 10 días después de que el incidente fuera detectado por la dependencia federal que encabeza Irma Eréndira Sandoval Ballesteros y de manera extemporánea a las 72 horas máximo que imponen los lineamientos de la ley de datos personales (artículo 66).

Nuestras Redes

@creadoresdigita CreadoresDigitales

Sigue a León, Hiram y Alina en Twitter

Hiram @hiramcoop
León @fulvous
Alina @alinapoulain

¡Escúchanos!

En Ivoox En Spotify
ApplePodcast En Youtube
Google podcast
León Ramos PorLeón Ramos

Programando con seguridad – Mesa redonda

¿Se puede programar de forma segura?

Nos acompañan Mariana Maguey, Fernando Perales y Horus S. Rico, varios programadores que lideran equipos de desarrollo y que se enfrentan a riesgos de seguridad constantemente. En esta mesa redonda platicamos sobre varios aspectos que están relacionados con la seguridad y, sobre todo, con la gente que forma los equipos de trabajo.


Hablando del problema de twitter. ¿Es importante contratar buenos programadores? ¿Se pudo haber evitado este problema?

¿Existen lenguajes de programación más inseguros o sólo hay malas prácticas de desarrollo?

Algunos especialistas dicen que el usuario y password están destinados a desaparecer. ¿Qué otras estrategias de autenticación están usando en sus desarrollos?

Hablando de hábitos, ¿Cuántas horas seguidas se puede desarrollar sin empezar a escribir código de mala calidad?

Algunos estudios dicen que el código que se escribe después de las 10pm debe de considerarse inseguro. ¿Influye la hora del día en la que programamos a la calidad de nuestro código?

¿Es necesario hacer code review?

¿Qué elementos relacionados con la seguridad se deben de buscar en un code review?

¿Se puede confiar en bibliotecas de terceros o tenemos que desarrollar las propias la mayor parte del tiempo?

¿Cómo se debe de tratar una vulnerabilidad detectada en producción?

¿Pueden compartir algunos consejos para mejorar la seguridad en el código?

Nuestras Redes

@creadoresdigita CreadoresDigitales

Sigue a León, Hiram y Alina en Twitter

Hiram @hiramcoop
León @fulvous
Alina @alinapoulain

¡Escúchanos!

En Ivoox En Spotify
ApplePodcast En Youtube
Google podcast
León Ramos PorLeón Ramos

51 – Las noticias de Seguridad y TI con Alina, Hiram y León

Emisión 51

  1. Flutter llega a Ubuntu de la mano de snapd
  2. Panel de 1Emprende en el que participa Ivonne Muñoz y León Felipe Sánchez, contrapone lo que dice R3D
  3. Plataformas mexicanas YoTePresto, Kavak y páginas del Gobierno de México de Banxico y del SAT bajo ciberataques.
  4. Alemania se perfila para ser el primer país desarrollado en dejar de usar carbón y energía nuclear.
  5. La policía usa FaceID para arrestar a un hombre que resulta inocente
  6. Dos servidores de Gentera estaban abiertos a cualquiera en internet

[muylinux] Esta nota es para los desarrolladores, pocas veces tocamos temas de desarrollo de software, pero creo que esta noticia es importante por lo que representa.

Para nuestros amigos que no conocen Flutter, es una plataforma de desarrollo que te permite fabricar software una vez y convertirlo en aplicaciones nativas de diferentes plataformas como iOS y Android.

El proyecto Flutter, impulsado por Google, llega al mundo Linux de la mano de Canonical, la marca que impulsa a Ubuntu. La meta es traer el mundo Linux las mismas aplicaciones creadas con Flutter ya disponibles en otras plataformas.

Las aplicaciones desarrolladas con Flutter estarán disponibles en la Snap Store, que es la tienda de aplicaciones de Ubuntu y necesitarán que tu distribución sea compatible con la solución snapd para instalar aplicaciones.

La solución snapd genera un entorno independiente para cada aplicación e intenta evitar la melcocha que se hace con otros sistemas de dependencias cuando diferentes aplicaciones piden diferentes versiones de bibliotecas y no pueden coexistir en el mismo sistema.

Canonical pondrá un número de desarrolladores dedicados a traer la mejor experiencia de flutter al sistema Ubuntu.

Es importante esta noticia porque leyendo lo que pasa a nivel mundial, en donde Apple deja a Intel para crear sus propios procesadores ARM y Huawei ya probó los caprichos de las leyes de veto americanas. No suena descabellado que algunos fabricantes saquen a mercado equipo basado en sus propios procesadores cargados con Ubuntu y la nube de aplicaciones de Flutter.


Plataformas mexicanas YoTePresto, Kavak y páginas del Gobierno de México de Banxico y del SAT bajo ciberataques.
YoTePresto se describe como Una plataforma de préstamos que conecta directamente a personas que necesitan un préstamo con personas que quieren invertir su dinero. De esta manera logran que el que pide prestado pague menos intereses y que el que invierte su dinero gane buenos rendimientos.
Sus usuarios recibieron un correo informándoles que el pasado domingo 21 de Junio por la noche, personas no autorizadas obtuvieron acceso a información de su base de datos. El incidente fue detectado el lunes 22 de Junio. Las personas no autorizadas tuvieron acceso a datos como cuentas de correos, contraseñas “encriptadas” (hash+salt) y datos de configuración de las cuentas no relevante. En el correo declaran “Puedes estar tranquilo, pues no se filtraron datos personales, ni información sensible como nombres de teléfono, direcciones, cuentas, comprobantes, etc.”
De cualquier manera, YoTePresto invita a sus usuarios a cambiar sus contraseñas.

La plataforma Kavak, quien se describe como “KAVAK es la plataforma online que ofrece una experiencia excepcional de compra y venta de autos seminuevos en México con los mejores precios del mercado. Con KAVAK, la compra o venta de autos en México es más sencilla que nunca, ya que puedes hacerlo desde la comodidad de tu computadora o smartphone. ¡Sin salir de casa!”

El pasado 6 de Julio encontré en un foro de venta de base de datos robadas, que un usuario estaba vendiendo una base de datos de Kavak con 488,814 registros. La Base de datos contiene datos como Usuarios, correo electrónico, hashes de contraseñas (MD5), IPs y más!
El “hacker” colocó 18 registros como prueba. Al realizar la búsqueda por email, es posible identificar las redes sociales de algunas personas. Hasta el dia de hoy Kavak no ha emitido un comunicado en sus redes sociales. Ese mismo día se pusieron en contacto conmigo y me pidieron dar de baja el post que hice y prometieron realizar una investigación.

Y por último las páginas de Banxico y del SAT estuvieron bajo un ataque de DDoS lo que hizo que las páginas estuvieran intermitentes durante 3 horas aproximadamente la del SAT y casi 1 hora la de Banxico. Estos ataques se los atribuyeron el grupo de hackers @an0n_mexico.


[BonstonHerald] La semana pasada, los parlamentos alemanes aprobaron leyes para terminar el uso del carbón para generar energía. Esto coloca a Alemania como la primera economía desarrollada en independizarse de dicho carburante.

La meta es cerrar la última planta de generación de energía con carbón para el año 2038. Sin embargo, a diferencia de sus vecinos franceses, que por cierto están locos por la energía nuclear, Alemania también quiere eliminar el uso de energía nuclear para el año 2022.

En este trayecto a energías limpias se gastarán 45mil millones de euros en inversión en energías limpias.

No todo es color de rosa, habrá un buen número de desempleados relacionados con la minería de carbón por ejemplo, pero se preparan para trasladarlos a sectores como el turismo y aún así, esta noticia es alentadora.

Esta actitud contrasta por completo con la tomada por Trump, quien argumenta que el cambio climático es una estrategia mediática China que busca agredir a la economía americana.

Esta noticia también es importante si tomamos en cuenta que la Administración de Información de Energía Americana preveé un aumento de la demanda global de energía para el 2050. Aunque el mayor incremento en la demanda energética se dará en Asia, cada clic que damos en nuestras aplicaciones demanda una cuota alta de energía en cualquier parte del mundo. Así que la carrera es contra reloj.

Como nota al calce me gustaría comentar que, para poder alcanzar la ambiciosa meta, Alemania está buscando generar acuerdos con otros países que tienen mayores porcentajes de irradiación. Por ejemplo, si se dan una vuelta por los documentales de la DW, podrán encontrar uno en donde fundaciones de energía solar Alemanas financian la adopción de equipo solar en Marruecos a pequeños productores y mezquitas. “Mezquita verde” es el programa, no es de extrañarse que el acuerdo para dicha coinversión sean unos cuantos kiloWatts por hora del magnífico sol marroquí.

¿Ven a México caminando en dirección Merkel o caminando en dirección Trump?


El Economista: Dos servidores de Gentera estaban abiertos a cualquiera en internet.
Los 2 servidores pertenecen a la Unidad de Investigaciones e Innovación Financiera de Gentera. Gentera posee a marcas como Banco Compartamos y la red de corresponsales bancarios Yastás. Los dos servidores estuvieron expuestos durante 7 meses sin ninguna medida de seguridad hasta el 17 de Junio y contenían información como datos personales, como nombres de las cuentas de usuario, nombres completos, correos electrónicos, sexo, fecha de nacimiento, CURP, RFC, dirección y teléfono.
Gentera le comentó a El Economista que la información contenida en los servidores era información ficticia, sin embargo WizCase, la empresa de seguridad que descubrió estos servidores, dice que después de realizar el descubrimiento, analizaron la información contenida en ellos e identificó 140,000 registros, que los datos eran reales y no falsos como declaró Gentera. WizCase realiza un procedimiento de validación de registros para estas situaciones y para contar con evidencia en caso de que los dueños de las bases de datos digan lo contrario. El Economista pudo verificar la veracidad de uno de los registros proporcionados por WizCase.
Según la holding, los servidores fueron utilizados por Fiinlab entre noviembre y enero del 2020 y estuvieron expuestos en internet hasta el 17 de junio pasado. Los servidores afectados son externos a la operación del banco por lo que la información de sus clientes no fue comprometida, dijo en entrevista Alejandro Puente, director ejecutivo de Relaciones Institucionales de Gentera. “No se vulneró en ningún momento datos, información de clientes o cualquier información sensible del negocio”, añadió.
En el artículo de El Economista también menciona las consecuencias legales y de protección de datos.
Cuando se trata de instituciones financieras, los incidentes de seguridad de datos personales deben notificarse también a las autoridades financieras, esto es la Comisión Nacional Bancaria y de Valores (CNBV), el Banco de México (Banxico) y la Secretaría de Hacienda (SHCP), según las Bases de Coordinación en Materia de Seguridad del sistema financiero mexicano.

Nuestras Redes

@creadoresdigita CreadoresDigitales

Sigue a León, Hiram y Alina en Twitter

Hiram @hiramcoop
León @fulvous
Alina @alinapoulain

¡Escúchanos!

En Ivoox En Spotify
ApplePodcast En Youtube
Google podcast
León Ramos PorLeón Ramos

50 – Las noticias de Seguridad y TI con Alina, Hiram y León

Emisión 50

  1. Nuevo Ransomeware en Mac también espía o ¿Por qué no debes de instalar software pirata?
  2. #NiCensuraNiCandados, Defensores de los derechos digitales alzan la voz ante la implementación (sin consultar a los mexicanos) de medidas que ponen en riesgo la libertad de expresión, su privacidad y seguridad al entrar en vigor el T-Mec
  3. Con Jammers pretendían encapsular al SSP de la CDMX durante el atentado
  4. Apple dice adiós a la plataforma X86 de Intel y toma el camino libre para armar sus procesadores basados en ARM.
  5. Sentencian a 9 años de cárcel al hacker ruso Aleksei Yurievich Burkov, fundador de Cardplanet un sitio que lucró con los datos de 150 mil tarjetas de crédito estadounidenses haciendo más de 20 millones de compras
  6. TikTok, el spyware viral y ”legal” de China

[wired] Pues el investigador Dines Devados de la firma K7 Lab publicó el martes 30 de junio un nuevo ejemplo de ransomeware para Mac. El ransomeware que originalmente era llamado EvilQuest, ahora se está conociendo como ThiefQuest.

Este ransomeware, según algunos investigadores de seguridad bien podría funcionar únicamente como ransomeware, pero también podría funcionar como un set de herramientas que realizan espoinaje a sus infectados.

ThiefQuest abre un backdoor persistente en el equipo infectado, es resistente a reinicios y, entre otras cosas, realiza las siguientes monerías:

Robar archivos
Buscar passwords
Buscar wallets de criptomonedas
Keylogger para atrapar passwords y tarjetas de cŕedito

El vector de transmisión de este ransomeware, según Thomas Reed de Malwarebytes, es el software pirata que se encuentra disponible en algunos torrents. Aplicaciones como Little Snitch, Dj software Mixed In Key y Ableton (Plataforma de producción musical).

Aunque hasta el momento no se han podido identificar pagos a la wallet Bitcoin que los atacantes publican para el pago de rescate, no se descarta la posibilidad de que este rarísimo ransomeware incremente su cuota de mercado.

Otra cosa interesante sobre este malware es que no ofrece una cuenta de correo electrónico para que las víctimas paguen rescate, así que eso hace dudar si realmente fue diseñado como ransomeware o si fue un addon que le agregaron al spyware. Peor aún, podría tener otras intenciones en realidad.


Entró en vigor el nuevo Tratador de Libre Comercio, después de meses y meses de negociaciones y, sin previo aviso, las cámaras de Legisladores aprobaron una ley que supuestamente defiende los derechos de autor y que puede otorgarle el poder a las autoridades para borrar autorización, bajo consignas de violación de los derechos de autor y la libertad de expresión se tambalea y además por si fuera poco también podría eliminar el cifrado de las comunicaciones en internet.


Los sicarios que participaron en el atentado contra Omar García Harfuch, no solo portaban armas, sino también tenían un Inhibidor de señales (jammer) para interrumpir las comunicaciones en el momento del ataque y evitar que pidieran ayuda via radio, celular, enviar la ubicación GPS, etc. A este tipo de ataques en ciberseguridad se les llama “Jamming attacks”.
¿Cómo interrumpen las señales? Estos dispositivos introducen “ruido” dentro de la frecuencia indicada, con ruido se refiere a información inútil que sature la banda, impidiendo que la información verdadera llegue a los dispositivos.
Estos dispositivos son ilegales en países como Australia, Brasil, Canadá, Francia, India, Israel, Italia, Nueva Zelanda, Pakistan, Reino Unido,
En México: A partir del 25 de enero de 2020 quedó establecido como ilegal, sólo será permitido dentro de las cárceles, todo uso se considerará un delito y será penado desde 12 a 15 años de prisión, en caso de ser servidor público pueden alcanzar hasta los 18 años.
El dispositivo utilizado por los sicarios es un Jammer que se puede encontrar en algunas páginas Chinas de venta por internet, cuenta con 16 antenas, lo que significa que puede bloquear muchos tipos de señales dentro de un radio de 60-70 metros y las 16 antenas pueden funcionar al mismo tiempo sin interferir una con otra, mejor dicho se aplica un bloqueo total para quien está siendo atacado.
El tiene 16 antenas y cada antena está dedicada a una señal específica, estas son algunas de ellas y algunas de sus aplicaciones:

  • CDMA, GSM, 3G, 4G: Comunicación celular…
  • VHF: FM, Televisión, Telefonía marítima y terrestre, Comunicación con aviones, Radio meteorológica…
  • UHF: Televisión, radios de comunicación no profesionales, hornos de microondas, telefonía móvil, redes inalámbricas, bluetooth…
  • WIFI
  • GPS versión L1, L2, L3, L4 y L5.

Este dispositivo cuesta $692.90 dólares en una de las páginas chinas en internet.
** Siento tirar su teorias conspiratorias de que el Jammer no sirvió, de que la camioneta llevaba dispositivos de contraespionaje, que el jammer no funcionó por que estaba conectado al carro y no a una batería, etc. Pero la camioneta que tenía el Jammer se encontró en la calle González Calderón, casi esquina con Victoriano Zepeda, de la colonia Observatorio, en la alcaldía Miguel Hidalgo, lejos de donde fue el ataque.
Tuit de la camioneta: https://skty.cc/ia
Nota de donde fue encontrada la camioneta: https://skty.cc/ib


[CNN] Apple dice adiós a la plataforma X86 de Intel y toma el camino libre para armar sus procesadores basados en ARM.

¿Por qué tomaron esta decisión? Bueno, pues son varios motivos, pero los principales son:
Apple tiene suficiente dinero para sufragar su diseño y lo puede realizar.
Desarrollar sólo para una arquitectura, ya todo sobre ARM y no una en ARM y otra en Intel como actualmente ocurre.
La tecnología está probadísima, ARM ya funciona sobre varios teléfonos y tabletas, así que migrarse a ARM es algo que no debe de escandalizarnos.
Los procesadores ARM y chipsets ya estaban listos para ahorrar batería y ser muy pequeños, cosas que se pueden usar en las laptops para hacerlas más peques y más rendidoras.
¡Qué interesante las computadoras teminarán corriendo con las entrañas de celulares!
¿Podrá ser el primer paso para la extinción de lo que conocemos como la PC? Vamos a darle un minuto de silencio sólo para curarnos en salud. 🙂


Aleksei Yurievich Burkov un hacker ruso de 30 años se declaró culpable de administrar CardNet y un foro de delincuentes que manejaban más de 150 mil datos bancarios de tarjetas de crédito y débito estadounidenses y además, se le acusó por cargos como fraude de dispositivos, robo de identidad, intrusiones informáticas, fraude electrónico y lavado de dinero.

Los cargos eran de entre 2 dólares y 50 centavos y 10 dólares por tarjeta y funcionó entre 2009 y 2013

fue arrestado en el aeropuerto Ben-Gurion cerca de Tel Aviv, Israel, en diciembre de 2015 y extraditado a los EE. UU. En noviembre de 2019 después de que perdió sus apelaciones contra la extradición en la Corte Suprema de Israel y el Tribunal Superior de Justicia de Israel.
Antes de su extradición a los Estados Unidos, Rusia también ofreció a Israel un acuerdo para liberar a Burkov a cambio de liberar al ciudadano israelí Naama Issachar, encarcelado en Rusia por delitos de drogas, pero Israel se negó a liberar a Burkov y aprobó la solicitud de extradición de los Estados Unidos.


TikTok, el spyware viral y ”legal” de China. Cómo Tik Tok espía a sus usuarios.

Los resultados de investigadores de Zimperium, descubrieron que la app tiene riesgos de seguridad y privacidad ya que puede realizar acciones sin que el usuario lo note. Estas son solo algunas de MUCHAS de ellas en su versión en Android:

  • Accede a datos del usuario, contactos, identificadores únicos del dispositivo.
  • Puede mostrarle adware al usuario.
  • Envía SMS.
  • Almacena datos y establece comunicaciones de forma insegura.
  • También hace uso del SDK de Facebook, el cual, la versión que TikTok usa es vulnerable al secuestro de sesiones.
  • Contiene un SDK de la empresa lgexin, a quien la empresa de seguridad Lookout descubrió en el 2017 que tiene la capacidad de espiar a las víctimas a través de aplicaciones benignas descargando complementos maliciosos.
  • A través de una URL envía información sensible en algunos parámetros.
  • Puede acceder a fotos, a la cámara trasera y tomar fotos sin interacción del usuario.
  • Obtiene la información del portapapeles (Información que el usuario copia y pega desde otras apps).
  • Accede al micrófono del dispositivo.
  • Puede acceder a la última ubicación registrada del dispositivo cuando los servicios de localización no están disponibles.
  • Si el dispositivo está rooteado, puede acceder a comandos del sistema operativo o en algunas situaciones cuando la app viene preinstalada, tiene asignados privilegios de sistema.

Por otro lado, la versión beta de iOS 14 descubrió a través de sus funcionalidades de privacidad integradas en esta nueva versión cómo TikTok accede secretamente a los portapapeles de los usuarios. Jeremy Burge Chief Emoji Officer, “Emojipedia” (Pfff) descubrió que mientras tecleaba algunos caracteres en la app, TikTok accedía al contenido del portapapeles cada 1-3 pulsaciones de teclas. iOS 14 le envíaba notificaciones de que TikTok estaba accediendo a información del portapapeles que provenía de Instagram.

Tras hacerse viral esto, India decidió banear 59 aplicaciones chinas. El gobierno de la India declaró «Son Perjudicial para la soberanía e integridad de la India, en defensa de la India, por la seguridad del estado y el orden público». Algunas de las apps son:

  • TikTok
  • Baidu Map
  • Shein
  • Virus Cleaner
  • WeChat
  • Weibo
  • My Video Call – Xiaomi
  • WeSync
  • Cam Scanner
  • Wonder Camera
  • Photo Wonder
  • Baidu translate

Nuestras Redes

@creadoresdigita CreadoresDigitales

Sigue a León, Hiram y Alina en Twitter

Hiram @hiramcoop
León @fulvous
Alina @alinapoulain

¡Escúchanos!

En Ivoox En Spotify
ApplePodcast En Youtube
Google podcast