El blog de los empleados
de Telefónica I+D

Autor: Carlos Plaza

La seguridad de un sistema viene marcada por el eslabón más débil, y éste suele ser el usuario -alguno de los hackers más famosos usaba la ingeniería social como arma principal para acceder a sistemas empresariales-.

Y en ese eslabón más débil, nos encontramos a un grupo aún más vulnerable: los niños.

Durante el mes de septiembre, un fabricante de seguridad, BitDefender, ha realizado una campaña informativa -evidentemente, con un interés comercial por difundir sus productos-, sobre este punto: los niños de hoy en día están creciendo y educándose con Internet, pero como niños, tienen aún menos consciencia que los adultos a la hora de aplicar medidas que eviten la infección de los equipos que usan.

Y ello hace que los sitios que visitan se hayan convertido en el objetivo de los atacantes para la propagación de malware, ya sea infestando el sitio o con mensajes tipo “spam” a los niños -con la esperanza normalmente de que los padres usen el mismo equipo para sus operaciones bancarias (-: -

Algunos ejemplos que se han usado para difundir softwara malicioso:

- Los niños buscan dibujos de sus series/personajes favoritos para pintarlos online o imprimirlos y pintarlos en papel; los atacantes difunden malware con este cebo.

- Juegos interactivos de buscar diferencias

- Mascotas virtuales, se pide al niño que se descargue una aplicación para poder pintar la mascota, alimentarla, etc

¿La solución? Pues si es complicado educar a los mayores, a los niños… técnicamente, se recomienda usar un buen antimalware o crear cuentas separadas con privilegios mínimos para los niños, con el fin de que la potencial infección cause el mínimo daño.

Autor: Antonio Manuel Amaya

Hace un rato me ha llegado un correo que reproduzco a continuación:

Para que el correo fuese más bonito, hasta le dije al Thunderbird que descargase la imágenes, tras verificar que, efectivamente, la descarga era de la web de la policía. Si bien a primera vista (bueno, a primera vista rápida desde una cierta distancia) el correo puede parecer legítimo, una vez nos ponemos las gafas de leer, el correo es más sospechoso que un duro de madera. No solo la palabra ‘procedimiento’ aparece escrita de tres formas distintas (una incluso correcta), sino que no se han molestado ni en disimular con el ‘adjunto’. Ya avisan de que es un “documiento”, el enlace es a un servidor web externo, y ni se han molestado en esconder el tipo del archivo (SCR).

Claro que, por otra parte, ¿por qué tiene un usuario medio, digamos mi hermana, que saber que SCR es la extensión de los salvapantallas, y que en realidad son ficheros ejecutables a los que simplemente se les cambia la extensión? Particularmente si desde Windows 200 para acá en Microsoft decidieron que eso de las extensiones era una cosa fea y cutre y decidieron ocultarlas.

En cualquier caso, no se trata hoy de despotricar contra la extendida costumbre de confundir ‘facilidad de uso‘ con ‘ocultar la información‘ sin mirar que implicaciones puede tener no mostrar la información. Y, afortunadamente para mi ordenador, mi tranquilidad mental, y posiblemente mi cuenta corriente, yo no soy mi hermana.

Ni siquiera se trata de pensar en la ironía de usar un supuesto correo de la policía para distribuir malware. Supongo que en este caso con lo que juegan más que con la curiosidad o la lujuria de los usuarios es con su mala conciencia de los mismos (posiblemente relacionado con la curiosidad o la lujuria ) y esperarán que cuando reciban el correo pensarán ‘¿que habré hecho?’ y pulsarán rápidamente el enlace sin pararse a leer el texto, ni a pensar que puñetas significará “el procedimiento de investigación de que se trata en esta conducta regional“.

Así pues hagamos un ejercicio de imaginación y pensemos que somos alguien que no sabe lo que es un SCR, y que pulsa compulsivamente en los enlaces que le vienen en los correos. Pero supongamos además que, irónicamente, estamos concienciados de que la red es un sitio peligroso y por lo tanto tenemos instalado un antivirus. Así que, confiando en nuestras medidas profilácticas, pulsamos el enlace, y descargamos el fichero.

¿Que pasará? A juzgar por los dos antivirus que yo tengo en este PC, que el ejecutable será considerado benigno y digno de confianza.

Es más, suponiendo una distribución uniforme de ventas de los antivirus, que tendremos un 88.4% de posibilidades de que el antivirus nos diga que el fichero que hemos descartado es puro y limpio, y que lo podemos ejecutar con total alegría:

Y, para eso, tres de los cinco que lo detectan deben dar falsos positivos a mansalva. Solo dos de los antivirus (cuales es irrelevante) lo identifican como un Troyano/descargador. El resto lo identifica como ‘sospechoso‘ simplemente porque está empaquetado con AsPack, es decir el ejecutable real está comprimido/cifrado dentro del ejecutable descargado. Supongo que en AsPack Software no cabrán en sí de gozo de que todo el software que sus clientes hagan, bueno o malo, sea marcado como sospechoso por algunos antivirus.

Tras esto no me queda otra que inclinarme ante los comerciales de la industria de seguridad. No se me ocurre ningún otro campo en el que se venda un producto profiláctico que consume recursos constantemente, es irritante, y que, cuando de verdad hace falta, falla en un casi 90% de los casos.

Y lo mejor de todo es que visto el enorme éxito que tiene el modelo en los PCs de sobremesa para controlar las infecciones, la industria está lanzada a toda máquina para exportar el mismo modelo hacia los nuevos dispositivos: Una búsqueda de ‘antivirus móvil’ en Google devuelve casi 40 millones de resultados. Y, solo en el primero, hay 38 antivirus para descargar.

Autor: Luis Cucala

Hace poco ha aparecido la noticia de que SFR (segundo operador móvil en Francia) ofrece a todos sus clientes la posibilidad de disponer en sus hogares un femtonodo, sin coste para el usuario. De hecho, en la web de SFR ya se ofrece esa posibilidad; el cliente solicita un femto e inicialmente le cuesta 49€, que le son reembolsados cuando se realiza la primera conexión del equipo a la red.

El femtonodo que instalan está fabricado por la británica Ubiquisys. Según la información disponible en su página web, la solución que ofrecen para entornos residenciales es la llamada G3-Mini, que permite hasta 8 llamadas simultáneas y soporta HSPA. Según la web de SFR, su femtonodo podrá soportar hasta 4 llamadas simultáneas solo, lo cual hace pensar que se trata de alguna limitación impuesta por motivos comerciales.

¿Quiero lo anterior decir que el femtonodo cuesta 49€? No necesariamente. El coste por femtonodo debe incluir el coste del equipo en si, y la parte repercutida de los equipos de red y sistemas de gestión asociados.

Por una parte veamos el coste del femtonodo en si. La información sobre costes de femtonodos es absolutamente opaca, pues nadie puede ir todavía al supermercado y comprarse uno por su cuenta, de modo que es el operador el que adquiere partidas de cierto volumen, con precios que se fijan a partir de múltiples y variados criterios, y los distribuye por su red comercial. El coste del femtonodo depende, entre otras cosas, del grado de integración de su HW; la tendencia ha sido pasar de diseños que emplean múltiples chips, a diseños que emplean un único chipset o SoC (System on Chip), de forma similar a lo que ha sucedido en los puntos de acceso Wi-Fi.

Ubiquisys no fabrica sus chips, sino que se los suministran terceros. Explorando un poco por webs especializadas, parece que inicialmente emplearon chips de Picochip, y que actualmente emplean los de Percello(adquirida por Broadcom). Tirando un poco del hilo vemos que sí, Percello suministra el SoC de Ubiquisys.

Se trata de un encapsulado de los llamados BGR (Ball Grid Array), nada barato de fabricar, y bastante complejo de montar en placa. Este chip es caro, ¿pero cuanto?. Vamos a compararlo con un SoC para Wi-Fi, por ejemplo el BCM4329 de Broadcom y que está instalado en los IPhone 4, IPad, etc, y que tiene un encapsulado similar al SoC femtonodo de Percello. Bien, ¿y cuanto cuesta este SoC de Wi-Fi?. Tampoco aquí podemos ir al súper para saber lo que cuesta, pero hay una web de “hackeadores” de HWque han destripado el Iphone4 y dan una lista de componentes y sus precios (el Iphone4 ya no aparece en su web, si bien yo me descargué el análisis hace un par de meses).

Si nos podemos fiar de ellos, el chipset de Wi-Fi BCM4239 cuesta 7,80 USD (se supone para pedidos de millones de unidades). A esto habría que añadir el coste del “front-end” de radiofrecuencia (pues el SoC de Percello para femto no lo incluye), que puede ser similar al de la Banda Base, y el coste de los pasivos; conclusión, el coste de la interfaz radio en el femtonodo, para cantidades de MILLONES de unidades no puede ser inferior a los 10 USD. A esto hay que añadir como mínimo el coste de los chips de comunicaciones (Ethernet o USB), un procesador de propósito general, antena y caja, además del montaje.

Conclusión, el femtonodo de Ubiquisys podría llegar a valer 49 €, pero si se fabrican millones de unidades, cuando los costes fueran similares a los de un punto de acceso Wi-Fi, gracias a los grandes volúmenes.

En cuanto a los costes repercutidos, un grupo de femtonodos debe conectarse a un nodo de agregación (Access Gateway, de coste desconocido), que en el caso de Ubiquisys no lo fabrican y están asociados a Nokia Siemens Networks, capaz de gestionar varios miles de femtonodos, y es necesario dimensionar el resto del núcleo de red radio para poder absorber el tráfico generado por los femtonodos. También tiene un impacto sobre los costes repercutidos la necesidad de emplear sistemas de provisión y gestión automática de los femtonodos que se instalan, pues si se despliegan por miles no es posible darlos de alta en la red de forma manual. Estas herramientas, si se hacen bien, cuestan mucho dinero. Otra cosa es que no se hagan bien, y el despliegue sea “best-effort”…

Conclusión final; SFR cobra inicialmente 49 € al cliente por el femtonodo y se los devuelve cuando lo activa, probablemente para que no lo guarde en un cajón, y establecer una correlación entre esa cifra de 49 € y el coste real del femtonodo es aventurado.

Autor: Antonio Manuel Amaya

Podría haber titulado el post como ‘No dejes que la realidad te estropee un buen titular’, pero como total parece que todo el mundo ha copiado el titular de The Register, que es justo el del post, para que molestarme. Es una de las noticias estrella del mundillo de la seguridad de hace unos días, y se puede leer en el enlace anterior por ejemplo.

Para aquellos que no tengan tiempo o ganas de leer la noticia completa, el primer párrafo lo resume muy bien:

Researchers have discovered a serious weakness in virtually all websites protected by the secure sockets layer protocol that allows attackers to silently decrypt data that’s passing between a webserver and an end-user browser.

Ahí es nada. Hay una vulnerabilidad muy seria en prácticamente todos los sitios que usan SSL/TLS que permite a un atacante realizar ataques de Man-in-the-middle. Que es, precisamente, una de las dos cosas que se supone impide SSL.  A partir de ahí la noticia se dedica a asustarnos más contándonos que a partir de ahora (bueno, en realidad desde antes, ahora solo se ha presentado una prueba de concepto) nuestra navegación ha dejado de ser segura y vamos a tener que volver a ir al supermercado a hacer la compra a mano. Y todo porque los navegadores no implementan TLS 1.1 y 1.2. Y no lo hacen porque los desarrolladores de NSS y OpenSSL son una panda de vagos que no han implementado un estándar que tiene cinco años. Curiosamente, yo hubiese jurado que Chrome usa CryptoAPI y no NSS, pero en realidad es lo de menos.

Pero… ¿es cierta la noticia? ¿Tenemos de verdad que volver a ir al banco a hacer las transferencias en persona? ¿Que va a ser de nuestra vida online?

Pues sí, y no. Lo que no cuenta la noticia es cual es el problema real. El problema para el que se ha presentado una prueba de concepto se conoce desde el año 2002 (al menos el enlace más antiguo que yo he encontrado eshttp://www.openssl.org/~bodo/tls-cbc.txt que incluye correos de Febrero del 2002), y se debe a la forma en la que se realiza el cifrado en SSL.

De forma muy sencilla, y obviando algunas cosas, cuando se manda un mensaje cifrado normalmente el mensaje se parte en bloques de un tamaño fijo (tamaño de la clave normalmente). Hay varias formas de cifrar los bloques, a su vez. El mecanismo más sencillo es ECB (Electronic Codebook Cipher), que consiste en cifrar cada bloque de forma independiente:

Este es el mecanismo más sencillo, pero tiene un problema básico: un bloque se cifra siempre de la misma forma. Y esto da lugar a dos problemas:

• da información del contenido del mensaje
• permite ataques de texto elegido: Un atacante que capture un mensaje cifrado cuyo valor sea ‘ABCD’ no puede descifrarlo para saber que es en realidad ‘HOLA’ cifrado. Pero si puede inyectar bloques, o incluso mensajes completos, puede introducir ‘HOLA’, obtener ‘ABCD’ y así sabrá lo que se había transmitido. En un ejemplo más real, si sabemos que hay una parte del mensaje interceptado es un PIN que tiene un valor entre 0000 y 9999, y podemos inyectar bloques en el proceso de cifrado, podemos probar todos los valores y así averiguar cual era el PIN original.

Para solucionar estos dos problemas hay otros mecanismos de cifrado por bloques. El usado por SSL se conoce como CBC (Cipher Block Chaining) y podemos verlo en la siguiente figura:

 Este mecanismo de cifrado evita los dos problemas que tiene ECB: un mismo bloque de texto en claro se cifrará de forma distinta según la posición del mensaje en la que esté. Y, si además el mensaje de inicialización es aleatorio (o pseudoaleatorio), un mismo mensaje completo, cifrado con la misma clave, dará un mensaje cifrado distinto cada vez que se introduzca en el sistema. Y el problema que tiene TLS 1.0 es que usa un vector de inicialización pseudoaleatorio para el primer mensaje que se intercambia. Pero para el resto de los mensajes se usa como vector de inicialización el último bloque cifrado del mensaje anterior.

Así pues, si llamamos

• C(K,B) a la función que cifra un bloque B con clave K,
• (B1,…,Bn) a los bloques de un mensaje M
• + a la función XOR (ya, ya sé que tradicionalmente + es OR, pero no sé poner el + con un círculo en ASCII)

Entonces, los bloques cifrados son

• C1=C(K,IV+B1)
• C2=C(K,C1+B2)
• …
• Ci=C(K,Ci-1+Bi)
• …
• Cn=C(K,Cn-1+Bn)

Y, en SSL, el mensaje M’, que está compuesto por los bloques (B’1,…,B’n) se cifrará como

• C’1=C(K,Cn+B’1)
• C’2=C(K,C’1+B’2)
• …
• C’n(C(K,Cn-1+B’n)

Ahora supongamos que el que realiza el cifrado es un navegador web que usa SSL, que yo soy un pirata ruso, que creo que Bi es un PIN, y quiero verificar si el valor del PIN es 1234. Y supongamos que yo, con los superpoderes que me proporciona el ser un pirata ruso, puedo generar mensajes (o bloques) con el valor que yo quiera en el navegador del usuario. Entonces simplemente genero un mensaje cuyo primer bloque sea Cn+Ci-1+’1234′, y lo envío tal cual. El mecanismo de cifrado, amablemente, me calcula C’1=C(K,Cn+Cn+Ci-1+’1234′). O lo que es lo mismo, C’1=C(K,Ci-1+’1234′).

Entonces, si Bi=’1234′, C’1 será igual a Ci. Y ya sé el PIN. Si sé que Bi contiene el PIN, pero no es ‘1234′ basta con repetir esta operación otras 9999 veces y sacaré el PIN.

Como decía, este ataque se conoce desde el 2002, pero se creía que no era explotable porque los superpoderes de los piratas rusos no incluían el envío de paquetes escogidos desde el navegador del usuario. He encontrado un paper del 2006 que explica el problema y propone un ataque factible basado en applets en el navegador.

Y la ruptura del SSL a la que hace referencia el artículo de The Register es una prueba de concepto basada en Javascript, que lo que permite es realizar ataques de fuerza bruta remota. O sea, adivinar el PIN generando todas las opciones posibles, mandándolas cifradas como comentaba antes, y verificando en un Sniffer si el valor que se envía es el que se capturo originalmente. En la noticia dicen que funciona para extraer cookies, supongo que porque es más fácil saber en que bloques se envían las cookies.

Para que el ataque sea práctico, es necesario:

• Que la víctima descargue un Javascript malicioso. El Javascript debe quedarse corriendo en segundo plano.
• Que la víctima visite el sitio de el que el pirata quiere obtener algún dato, como por ejemplo Paypal (es el ejemplo del artículo).
• Que sea factible sacar el valor de la cookie por fuerza bruta. O tienen un valor pequeño, o tienen una estructura conocida. Por cierto, en este caso el que el cifrado sea en bloques es una ventaja para el atacante. Si los bloques son de 4 bytes, para romper un PIN de 8 dígitos hay que probar  100.000.000 de combinaciones. Solo hay que probar 20.000 combinaciones, o sea los cuatro primeros dígitos y los cuatro últimos por separado.
• Que la víctima no cierre el navegador mientras estamos haciendo el ataque.
• Y que la sesión SSL no caduque en el proceso, porque  caduca cambia la clave K.

¿Es un ataque interesante? Sí. ¿Práctico? No mucho, la verdad. Creo que sigue siendo más sencillo mandarle un correo a la víctima en perfecto castellano powered-by-Google diciéndole que vaya a piratasrus.com a cambiar la contraseña de Paypal o le cerramos la cuenta.

Fuente:

• The Register
• OpenSSL
• Citeseer

Autor: Eduard Goma

En los últimos años el elevado consumo energético de los aparatos IT (ordenadores, servidores, redes) y la infraestructura de soporte (sistema de refrigeración, UPS, etc.) ha planteado graves inquietudes en relación con el medioambiente y con el control de costes. Se desperdicia una cantidad importante de la energía que se consume debido a la ausencia de una Proporcionalidad Energética en el perfil del consumo energético de los dispositivos IT, que suelen consumir casi la potencia máxima independientemente del verdadero volumen de trabajo. Ahora se está convirtiendo en una prioridad para los fabricantes de componentes y sistemas que los dispositivos consuman energía proporcionalmente al volumen de trabajo, pero se espera que este objetivo a largo plazo tarde varios años hasta que se desarrolle completamente. Una solución alternativa que se puede aplicar relativamente rápido es permitir que grupos de dispositivos (base de servidores, segmentos de red, etc.) se comporten colectivamente como un conjunto que consuma energía proporcional, a pesar de componerse de dispositivos de consumo de energía no proporcional. La clave para conseguir este objetivo es poner algunos de estos dispositivos en modo suspensión o de bajo consumo cuando la carga total de trabajo disminuya. Esto permite al conjunto encargarse de la carga ofrecida con pocos dispositivos conectados. En la entrada de este blog nos centraremos en las redes de acceso a Internet.

Las redes de acceso incluyen módems, home gateways, y multiplexores de acceso DSL (DSLAMs). Éstos son responsables del 70%-80% consumo energético total de la red. Por ejemplo, solo en Europa, se calcula que en 2015 los equipos de banda ancha consumirán anualmente  50 TWh apróx, comparado con los 61TWh que se consumen anualmente en Estados Unidos por los centros de datos.

Nosotros  hemos propuesto oportunidades de ahorro de energía en las redes de acceso de banda ancha, tanto por parte del cliente como de los ISP. Por parte del usuario, la combinación de un tráfico ligero y la falta de vías alternativas condenan a  los gateways a estar alimentados la mayor parte del tiempo a pesar de disponer de los modos de suspensión y reposo (SoI).

Para abordar este problema, introducimos “Broadband Hitch-Hiking (BHH) es decir, “Auto Stop en la Banda Ancha”, que se aprovecha de una superposición de redes inalámbricas para agregar al tráfico del usuario en el mínimo numero de gateways posible. En los actuales entornos urbanos, el BHH puede apagar entre el 65-90% de los gateways.  Apagar gateways permite al resto sincronizarse a una mayor velocidad  ya que se reducen las interferencias teniendo menos líneas activas. Nuestras pruebas demuestran el aumento de la velocidad en un 25%.

Por parte del ISP, dentro del marco de distribución  cada ADSL termina en uno de los módems pertenecientes a la tarjeta de línea DSLAM. La inflexibilidad de los despliegues actuales impide agrupar las líneas activas en un subconjunto de tarjetas dejando al resto en suspensión. Proponemos la introducción de  switches sencillos y económicos en la distribución para permitir la gestión flexible y de consumo proporcional de energía de los equipos ISP. En conjunto, nuestros resultados muestran un 80% de margen de ahorro energético en las redes de acceso. La combinación de BHH y switches permiten acercarse a este margen, ahorrando una media del 66%.

Investigadores: Eduard Goma, Alberto Lopez Toledo, Nikos Laoutaris, Pablo Rodriguez, Pablo Yague, Marco Canini (EPFL), Dejan Kostic (EPFL),  Rade Stanojevic (IMDEA)

Documentos:

• Goma E, Canini M, Lopez Toledo A, Laoutaris N, Kostic D, Stanojevic R, Rodriguez P, Yague P. Insomnia in the Access or How to Curb Access Network Related Energy Consumption. In: Proceedings of ACM SIGCOMM ’11. Toronto, Canada: ACM New York, NY, USA; 2011

Patentes:

• Número de solicitud de la patente 61/522,968: “INSOMNIA IN THE ACCESS OR HOW TO CURB ACCESS NETWORK RELATED ENERGY CONSUMPTION“

Autor: Luis Cucala

Siguiendo el hilo de entradas anteriores sobre los llamados White Spaces, el regulador americano, la FCC, ha publicado en pruebas una base de datos donde se muestra el uso actual de las bandas UHF y VHF de televisión, de modo que los operadores que deseen emplear alguna zona blanca del espectro puedan ver que canales hay disponibles.

Esta base de datos se puede encontrar en este enlace, y estará disponible en pruebas solo durante 45 días, contando desde el pasado día 19 de septiembre.

¡Oh, sorpresa! De acuerdo con las reglas actuales de la FCC, las zonas del territorio de EE.UU con disponibilidad de Espacios Blancos para uso en exteriores con potencias razonables (vatios) son escasas. El boletín del MIT publica un mapa donde es difícil ver algo en blanco, más bien hay muchas manchas negras de disponibilidad nula, que evidentemente coinciden con las zonas de mayor densidad de población.

Si buscamos la disponibilidad en Nueva York, el resultado es el esperado (disponibilidad nula)

Si buscamos algún lugar desolado, como el Gran Cañón, la disponibilidad es bastante buena (aunque no haya mucha gente, salvo turistas)

Pero si decidimos ir a la cercana Flagstaff, ya más poblada, pero tampoco gran cosa (68.000 haabitantes), la disponibilidad de canales para espacios blancos pasa a ser más bien pobre.

La conclusión que empieza a calar es que a no ser que la FCC relaje las reglas de uso del espectro para su uso como espacios blancos (a lo que se oponen los operadores de TV), las llamadas Super-WiFi en exteriores solo serán super en zonas poco pobladas, y el uso principal se restringirá a puntos de acceso en interiores tipo Wi-Fi, con potencia muy baja, 40 mW, bastante inferior a la de la Wi-Fi normal, que llega hasta 1.000 mW. Eso sí, la propagación en interiores en UHF/VHF es mejor que en 2,4/5 GHz.

Autor: Wolodyk

Con fecha de 1 de septiembre, el regulador de telecomunicaciones británico Ofcom ha hecho pública su decisión de seguir adelante con la promoción del uso comercial de los espacios blancos espectrales, los canales de televisión que están vacíos. La decisión se ha tomado después de analizar las respuestas recibidas a una solicitud pública de información sobre el tema.

De la lectura detallada del documento publicado por Ofcom se extraen las consideraciones siguientes:

- La gestión de los espacios en blanco, es decir, la determinación de qué canales están vacíos en un determinado lugar y periodo de tiempo, se apoya en el empleo de bases de datos de espectro georeferenciadas. En este aspecto se sigue el procedimiento ya elegido por el regulador de Estados Unidos (FCC).

- Prácticamente todo lo demás requiere estudios, pruebas de campo y consultas entre los posibles actores.

Ofcom también ha indicado que seguirá las normas que dicte la Unión Europea sobre espacios en blanco, pero como la Unión Europea todavía no se ha pronunciado sobre el tema, en ausencia de normativa europea seguirá adelante con normativa propia de U.K., que se adaptaría a la europea cuando esta última estuviese disponible.

El documento publicado por Ofcom está disponible aquí.

Autor: David Barroso

La eterna discusión entre full-disclosure vs responsible disclosure tiene un nuevo área relativamente reciente: la protección de infraestructuras críticas (CIP). Es bastante común, que cada cierto tiempo se vuelva a discutir la mejor forma de reportar una vulnerabilidad a un fabricante, puesto que a día de hoy, todavía no se ha institucionalizado un procedimiento que pueda satisfacer a ambas partes (la persona que encuentra la vulnerabilidad, y el fabricante).

Existe todo tipo de alternativas, sin ser ninguna más exitosa que otra: agradecer al investigador su ayuda (como por ejemplo Microsoft), pagarle una determinada cantidad de dinero (Google), o simplemente, utilizar alguna compañía que funciona como broker para pagar las vulnerabilidades (iDefense VCP o Tippingpoint ZDI por ejemplo). Pero la realidad es que el sistema no funciona, y ejemplos como el del año pasado de la vulnerabilidad descubierta por Tavis Ormandy en Windows, es el ejemplo perfecto que demuestra que es necesario tener algún procedimiento que contente a todas las partes.

A día de hoy lamentablemente algunos fabricantes no consideran que la seguridad es un elemento crítico para no poner en riesgo a sus usuarios (la lista de ZDI sobre las vulnerabilidades aún no parcheadas es bastante ilustrativa), y por el otro lado, algunos investigadores también piensan que los fabricantes deben cumplir con sus exigencias de forma inmediata, llegando incluso a extorsionar al fabricante. Si bien han existido siempre intentos de procedimentar el reporte de vulnerabilidades (desde el famoso procedimiento de RFP, pasando por un intento del IETF, Responsible Vulnerability Disclosure Process, que acabo siendo la base de un procedimiento de la Organization for Internet Safety, hasta la iniciativa de No More Free Bugs promovida por varios investigadores).

Si nos movemos en el campo de la protección de las infraestructuras críticas, recientemente estamos viendo lo mismo que ocurrió hace ya varios años: después de intentar hacer las cosas bien, al ver que a menudo no se obtiene ningún resultado, nos encontramos con posiciones como la de Digital Bond, donde su política de reporte de vulnerabilidades es tan simple como: haremos lo que nos de la gana; cansados de ver cómo los grandes fabricantes industriales, después de todos los ríos de tinta que han provocado incidentes como Stuxnet o las vulnerabilidades encontradas por Dillon Beresford, parece que no reaccionan, ni siquiera cuando se involucra al ICS-CERT (puede que incluso el fabricante desee denunciarte).

Al final del día, lo que importa es cómo cada fabricante se preocupa de manejar y coordinar estas incidencias (la comunicación con los investigadores y empresas), puesto que, si por fin nos hemos dado cuenta que ninguna de las políticas de reporte de vulnerabilidades globales funciona, es trabajo de cada fabricante organizar su propia política que sea de gusto de ambas partes. Por poner un ejemplo, Mozilla, Barracuda, Google, FaceBook o Twitter ya lo han hecho, y no todas ellas pagan por vulnerabilidad encontrada, sino que algunas simplemente reconocen la ayuda.

En definitiva, más vale prevenir que curar, y es necesario que todas las grandes empresas tengan en marcha una política clara y publicada sobre las vulnerabilidades que terceras personas encuentren sobre sus productos, servicios, o simplemente, sobre sus portales web, y que se reconozca también la labor de las personas anónimas o no, que, positivamente, colaboran en la mejora de la seguridad en la red.

Autora: Ruth Gamero

4. Áreas de aplicación de la Realidad Aumentada

En la actualidad, gran parte de las iniciativas de realidad aumentada, se han centrado en el ámbito del ocio y el marketing, pero es previsible que se extiendan a otras áreas a medida que la tecnología madure y se simplifique todavía más. Sectores como los del turismo, la educación y la salud también comienzan a tener un grupo considerable de aplicaciones, a los que hay que añadir los que tradicionalmente han venido utilizando más estas tecnologías (incluso en su acepción más amplia de realidad aumentada inmersiva) como son el militar, la manufactura y mantenimiento automovilístico y aeronáutico así como el entrenamiento de habilidades y destrezas. A continuación se enumeran algunos ejemplos:

En el ámbito de la educación en la actualidad, están apareciendo aplicaciones sociales, lúdicas y basadas en la ubicación que muestran un potencial importante, tanto para proporcionar experiencias de aprendizaje contextual como de exploración y descubrimiento fortuito de la información conectada en el mundo real. En este sentido, uno de los campos de aplicación de la realidad aumentada son los libros. Un ejemplo de esta aplicación es el de la alemana Metaio que desarrolla libros que incluyen elementos de este tipo utilizando realidad aumentada basada en el uso de códigos.

Aplicación de la realidad aumentada a la educación

En relación al marketing, área en la que captar la atención es un elemento fundamental, las empresas ven la realidad aumentada como una forma de diferenciarse con respecto a la competencia, ofreciendo al usuario la posibilidad de acceder a experiencias visuales llamativas; en el ámbito de la venta, la gran ventaja que ofrece la realidad aumentada es la opción de comprobar el resultado de su compra sin necesidad de probar físicamente el producto, lo cual es ideal en entornos de venta por Internet. Un ejemplo en el caso de la venta es el la tienda de ropa online Zugara, que utiliza esta tecnología para solventar el problema que tienen los clientes al no poder probarse la ropa. El sitio web de la tienda permite seleccionar la prenda de ropa que se desea comprar. Posteriormente es posible “probarse” la ropa utilizando realidad aumentada.

Realidad aumentada en una tienda online

Fuente: http://www.zugara.com/ y http://www.youtube.com/watch?v=NxQZuo6pFUw

Sin duda, el ámbito de los viajes y el turismo es muy adecuado para la explotación de la tecnología de realidad aumentada, tanto en el campo de las guías de viaje, como en el de la promoción de lugares. Un ejemplo de aplicación es Wikitude que permite, con su versión “Travel Guide” gracias a una aplicación instalada en un smartphone, detectar qué es lo que se está viendo en cada momento y mostrar la información más relevante sobre el lugar (información histórica, monumentos emblemáticos cercanos, puntos de interés, etc.). Wikitude, utiliza una combinación entre la cámara, la brújula, la conexión a internet y el GPS del teléfono móvil para activar la AR. Con ello, se identifica la posición del usuario y la orientación, después se reciben los datos pertenecientes al objeto enfocado y se muestra en la pantalla sobre la imagen capturada por la cámara. El contenido se extrae de Wikipedia, Qype y Wikitude, y los usuarios pueden añadir información propia.

                                 Wikitude Travel Guide

Otra aplicación relevante de la realidad aumentada tiene que ver con un uso social. Se trata de mezclar las redes sociales y las interfaces de AR de manera que se satisfaga la necesidad humana de encontrar gente y compartir experiencias e información con amigos y compañeros. Además, las aplicaciones bajo esta categoría facilitan la realización de anotaciones en diferentes lugares. Tagwhat es un servicio en esta línea que tiene las capacidades de redes sociales envuelto en un navegador de realidad aumentada. El resultado es una red de localización que se puede compartir con amigos. Sus funcionalidades permiten mostrar donde se está, así como acceder a resúmenes de bares y restaurantes, e información de ayuda sobre comercios. La red digital pretende situar a los usuarios dentro de su propio mundo personalizado en el que puedan descubrir, explorar y compartir lo que importa con amigos y seguidores.

Tagwhat

Fuente: http://www.youtube.com/watch?v=DNtpWm_6Dqk

5. El futuro de la Realidad Aumentada

La realidad aumentada es una tendencia tecnológica relativamente joven y que empieza a vivir cierta edad dorada debido al desarrollo de los smartphones. No obstante, este estadio debe considerarse como un primer paso en la evolución de la realidad aumentada, que irá avanzando al ritmo de maduración de las tecnologías de la información. Y esta evolución vendrá marcada según dos ejes: usabilidad y funcionalidad.

La tendencia de los sistemas de realidad virtual es a ser más portables, más cómodos y más transparentes para el usuario. En la actualidad, ordenadores y teléfonos móviles son los dos tipos de dispositivos utilizados, aunque se espera que con el tiempo, el desarrollo de nuevas tecnologías de display junto con la miniaturización de componentes permitan hacer realidad el sueño de unas gafas en las que se sobreimprima directamente sobre los cristales la información virtual. A pesar de que existen ya ciertos prototipos de gafas adaptadas a la realidad virtual, todavía será necesario que pase un número de años determinado para que existan modelos comerciales que ofrezcan estas capacidades con calidad aceptable.

En la actualidad, los servicios de realidad aumentada se configuran generalmente incrustando pequeños fragmentos de información digital en la realidad que observan los usuarios. Esta información suele consistir en etiquetas de texto describiendo un determinado objeto o imágenes. Esto debe considerarse como el principio de una tendencia de mezclar información real y virtual que todavía tiene un largo recorrido por delante. El avance de las tecnologías en las que se apoya la realidad virtual marcará el ritmo, tanto para el enriquecimiento de la información digital como de la mezcla de forma transparente con la información que los sentidos nos muestran, creando experiencias de usuario diferentes a las actuales.

La realidad aumentada como se entiende actualmente se puede considerar como una categoría de “mix reality”, o de mezcla entre información real e información virtual en el que predomina la información real.

Sin embargo, según se observa en la figura, existen diferentes grados de mezcla de información real y virtual. La realidad aumentada se trata de una aproximación desde la realidad, lo que viene a suponer que la información real predomina y la información virtual es complementaria. En el otro extremo la realidad virtual completa consiste en un mundo creado virtualmente como el que propone Second Life, y cuando en este entorno virtual se introducen componentes reales daría lugar al augmented virtuality que es la forma de realidad mixta en que lo virtual se constituye como el elemento fundamental. Por tanto, realidad aumentada y virtualidad aumentada son dos aproximaciones de la mezcla de información real y virtual que muestran puntos de convergencia y que con el tiempo pueden llegar a confundirse.

 Modelos de mezcla de entornos reales y virtuales

Según las tecnologías de sensores, procesamiento y display alcancen nuevas metas es de esperar que la información virtual que se muestra en las aplicaciones de realidad aumentada se enriquezca hasta dejar de ser algo complementario para convertirse en el núcleo de la información que recibe el usuario. Este proceso será un proceso paulatino en el que convivirán aplicaciones en las que el “mix”, virtual-real tendrá diversos pesos en función del objetivo que se persiga con las aplicaciones. En el caso más extremo el usuario podría llegar a encontrarse completamente inmerso en mundos virtuales. Se conseguiría así un objetivo vislumbrado por tecnólogos futuristas y por los creadores de ciencia ficción de que el hombre se libere de las limitaciones del entorno real para crear un entorno a su antojo con el que pueda interaccionar a su voluntad.