CiberNews.Info

¡Noticias, Tecnología e Internet!

Entradas para 2007

Juez considera inadmisible obligar a un sospechoso a revelar su contraseña de cifrado

Fuente: Kriptópolis

Jerome Niedermeier, Magistrado Juez del Tribunal Federal de Vermont (Estados Unidos), acaba de dictar un auto donde afirma que las fuerzas de seguridad no pueden obligar a un detenido a revelar su frase contraseña, porque tal revelación iría en contra de su derecho constitucional a no autoinculparse, protegido en ese país por la Quinta Enmienda.

El documento, que puede crear jurisprudencia, ha sido dictado en el caso de Sebastien Boucher, acusado de almacenar abundante pornografía, adulta e infantil, en una unidad de su portátil cifrada mediante PGP.

Al parecer, en el momento de su detención un agente pudo observar "miles de ficheros" y Boucher reconoció -presuntamente- haber descargado a su portátil pornografía infantil. Sin embargo, tras ser detenido, los agentes procedieron a apagar el portátil. Una semana después, cuando un funcionario judicial trató de acceder a las imágenes, se encontró que la unidad en cuestión estaba cifrada, tal vez porque Boucher la había configurado para autocifrarse transcurrido cierto período de tiempo sin acceder a ella…

El tema de si un acusado puede ser obligado a revelar su contraseña de cifrado viene siendo objeto de debate jurídico en Estados Unidos desde hace años. Mientras los partidarios del sí alegan que el acceso a una unidad de disco, un fichero o una carpeta cifrada no se diferencia del acceso a una caja de seguridad, que también pudiera contener pruebas incriminatorias, los partidarios del no (la tesis que también parece sustentar el juez Niedermeier) afirman que la contraseña de cifrado no es una simple llave, sino algo que existe en la mente del acusado, por lo que sus derechos más íntimos como individuo han de estar por encima de cualquier otra consideración.

Metadatos no fiables en documentos firmados con Office 2007

Fuente: Kriptópolis

Al parecer, y según los mismos investigadores, tampoco las URLs contenidas dentro del propio documento firmado son fiables, ya que pueden ser modificadas sin alterar la firma.

A raíz de mis recientes comentarios sobre los bugs que no son, un amable lector aportaba la interesante posibilidad de someter también de vez en cuando a consideración los asuntos relativos a vulnerabilidades dudosas o no verificables.

Lo cierto es que esta nota encajaría perfectamente en ese apartado. Se trata de algo que Security Focus publica hoy como "debilidad" y "error de diseño", y que me gustaría presentar brevemente aquí para someterlo luego a vuestra consideración.

El asunto radica en que se pueden cambiar los metadatos de un documento OOXML firmado mediante Office 2007 (y posiblemente también en versiones anteriores de Office) sin invalidar la firma del propio documento. Como consecuencia, por ejemplo, un documento correctamente firmado puede revelar en sus propiedades un autor distinto del original…

Evidentemente, tal "falsificación" sólo logrará confundir a un lector poco avisado, porque el certificado debe seguir mostrando el autor real.

Microsoft ha sido avisado del problema pero no ha respondido, quizás porque comparte la interpretación de H.D. Naujoks, en el sentido de que los metadatos no necesitan ser abarcados por la firma.

¿Cómo lo véis vosotros? ¿Un fallo mínimo, un error o una característica?

QuickTime 7.3.1 corrige vulnerabilidades críticas

Fuente: VSAntivirus

Una actualización de QuickTime (QuickTime 7.3.1), corrige al menos tres vulnerabilidades, incluyendo una recientemente reportada que está siendo explotada en la red. Son afectadas todas las versiones, tanto para Windows como para MacOS, el sistema operativo de MacIntosh.

Según la descripción de Apple, dos de las vulnerabilidades provocan desbordamientos de búfer relacionados con el manejo de ciertos archivos multimedia.

Uno de los problemas está relacionado con la visualización de archivos RTSP (Real Time Streaming Protocol). Este protocolo es utilizado para realizar streaming, técnica de transmisión unidireccional de contenidos de video y audio a través de Internet.

El otro, permite que un atacante que convenza a un usuario para que visualice un archivo .QTL, pueda provocar el fallo del programa, o incluso la ejecución de código de forma arbitraria.

La tercera corrección se refiere en realidad a "múltiples vulnerabilidades" en la reproducción de archivos multimedia en Flash. La más grave de ellas, permite la ejecución remota de código con solo visualizar un video malicioso.

La actualización, deshabilita el manejo de películas en Flash, a excepción de un número limitado de éstas, que se saben son seguras.

La solución de deshabilitar capacidades como forma de proteger al usuario, no parece algo nuevo para Apple. Ya en una actualización anterior (la 7.3), QuickTime había restringido el uso de applets de Java para impedir que código no certificado pudiera tener acceso al programa.

Muchas actualizaciones para Windows en diciembre

Fuente: VSAntivirus

Según la notificación de boletines de seguridad de Microsoft, este mes (el martes 11), serían publicados 7 actualizaciones para todas las versiones de Windows, 3 de ellas críticas.

Una de estas últimas parece ser la que corregiría la vulnerabilidad en el componente DirectShow de DirectX. Todas las versiones actualmente soportadas, desde la 7 de Windows 2000 a DirectX 10 de las versiones de 64-bit de Windows Vista, son afectadas, y en todos los casos, las actualizaciones resultan esenciales.

La segunda vulnerabilidad crítica está relacionada con el soporte en tiempo de ejecución de Windows Media. Una vez más, todas las versiones son afectadas, y en todas ellas el parche está catalogado como crítico.

La tercera actualización crítica afecta a Internet Explorer, pero su nivel de gravedad no es el mismo para todas las versiones de Windows, aunque solo en Windows Server 2003, el problema es catalogado como moderado, debido a que su configuración de seguridad mitiga el problema. En este caso, la configuración "Modo protegido" de Internet Explorer en Windows Vista, no ayuda a evitar el problema.

Los demás cuatro boletines, todos ellos clasificados como "Importantes", afectan varias versiones de Windows.

Uno de ellos corrige un problema que puede provocar la ejecución remota de código en Windows Vista, aunque la vulnerabilidad es mitigada por la propia configuración de seguridad de este sistema operativo.

Otra actualización afecta a Windows 2000 Service Pack 4 (catalogada como "Importante"), y a Windows XP SP2, donde es evaluada como "Moderada".

Archivos de Access es un posible vector de ataque

Fuente: VSAntivirus

De acuerdo a una alerta del US-CERT (Computer Emergency Readiness Team), criminales en línea están explotando un fallo en las bases de datos de Microsoft Office Access, para instalar software no solicitado en las computadoras de los usuarios vulnerables.

El US-CERT ofrece pocos detalles del tipo de ataque, comentando simplemente que la organización tiene conocimiento de "una explotación activa" del problema por parte de delincuentes electrónicos, que envían archivos .MDB (las bases de datos de Microsoft Access), a sus víctimas.

Estos archivos están diseñados con el propósito de ejecutar comandos. Microsoft advirtió también su sitio sobre esto, insistiendo en que los usuarios no deben aceptar archivos no solicitados, sin importar quien sea la fuente.

Por las características de este tipo de archivos, los blancos principales parecerían ser las compañías (grandes o pequeñas). Aunque muchas empresas bloquean el uso de archivos .MDB de fuentes desconocidas, los criminales aún pueden sacar provecho de muchas organizaciones que no toman medidas al respecto.

Sin embargo, las características de los ataques no están claras, ya que por defecto, programas como Internet Explorer y Outlook Express suelen bloquear estos archivos. Para algunos es sorprendente que este vector de ataque pueda estar siendo explotado tan activamente, como menciona la alerta del CERT.