viernes, septiembre 20, 2019

"V" de Viernes. "V" de Vídeos.

Y sin darnos cuenta ya ha llegado el viernes de esta semana. No está mal el ritmo de combate al que nos movemos - o al menos al que me marca mi apretada agenda -. Para hoy os traigo un resumen de los vídeos que no te puedes perder de esta semana, para que no se te escape nada.

Figura 1: "V" de Viernes. "V" de Vídeos.

En primer lugar, desde ElevenPaths tienes tres vídeos que nos cuentan diferentes cosas. El primero de ellos es la CodeTalk For Developers que nos trae cómo se ha hecho y cómo funciona la ParanoidBox, un TFM que han dirigido nuestros compañeros.


Figura 2: CodeTalk For Developers: ParanoidBox

El segundo de los vídeos es realmente una nueva edición de 11Paths Radio, en esta ocasión con una entrevista de lujo a la gran Paloma Llaneza que habla de muchas cosas interesantes que tienen que ver con el mundo de los datos, la privacidad, y la economía digital. Más que recomendable escucharlo.


Figura 3: ElevenPaths Radio con Paloma Llaneza

Y por último, un vídeo cortito, de menos de dos minutos, en el que se presentan algunos de nuestros ElevenPaths CSE (Chief Security Envoy), para que conozcas más de ellos.


Figura 4: Conoce a los ElevenPaths CSE

Por otro lado, os dejo el vídeo en el que se explica el acuerdo entre Telefónica y Prosegur que hemos hecho esta semana para desarrollar los servicios de seguridad en el hogar desde una manera conjunta y más ambiciosa.


Figura 5: Acuerdo entre Telefónica y Prosegur

A estos vídeos, que están muy centrados en seguridad, hay que sumar el que han hecho nuestros compañeros de Home as a Computer en el que explican algunas de las nuevas funcionalidades de Movistar Home, para escuchar radio con los servicios de Ivoox, acceder a información del tiempo, y seguir la actualidad con Twitter Moments


Figura 6: Nuevas funcionalidades de Movistar Home

Y como llega el fin de semana, y hay que escuchar algo de música, os dejo este vídeo que han publicado mis amiguetes de Despistaos en el que se puede ver el espíritu de sus conciertos. Merece la pena que vayas a verlos si no has tenido la ocasión.


Y esto es todo, ahora a terminar la semana que se nos acaba el verano y tenemos que llevarnos puesto todo lo que podamos. 

Saludos Malignos!

jueves, septiembre 19, 2019

LUCA Innovation Day 2019: Artificial is Natural

Ayer fue un día intenso para nuestra estrategia de servicios digitales en el hogar. Primero tuvimos el anuncio de la operación que tanto tiempo llevábamos trabajando en Telefónica junto con Prosegur, y además ya se completó el despliegue de la nueva versión de Movistar Home en toda la planta de clientes con las integraciones de Twitter, Ivoox, el tiempo, y más servicios como Living Apps.

Figura 1: LUCA Innovation Day 2019: Artificial is Natural

Toda este trabajo avanza la visión que so compartí en el artículo que escribí durante el pasado Mobile World Congress 2019 dedicado a nuestro trabajo en la plataforma B2B2C "Home as a Computer" donde desplegamos las Living Apps de empresas.


Figura 2: Algunas novedades de Movistar Home

Y vamos a continuar trabajando en ese camino, por lo que en el próximo LUCA Innovation Day 2019, nuestra unidad LUCA de Big Data e Inteligencia Artificial, hablará, no solo de cómo sacar el máximo partido de las técnicas de Machine Learning e Inteligencia Artificial en los negocios, sino también de cómo llevar los servicios a experiencias en el corazón de la casa de las personas usando las Living Apps.

"Artificial is Natural": El evento de Inteligencia Artificial para empresas

La diferencia entre “artificial” y “natural” pierde importancia cuando el fin es facilitarnos la vida a las personas, tanto en el entorno social como empresarial, y es por ello que creemos que la IA ya es natural. Las tecnologías tienen un peso mayor que nunca en la forma en cómo vivimos en sociedad y en la propia naturaleza de las empresas; cada vez más conectadas y con mucha vida en el mundo digital.

Desde LUCA, la Unidad de datos e Inteligencia Artificial de Telefónica, te queremos demostrar cómo la Inteligencia Artificial ya está al alcance de tu mano y la de tu empresa. Resérvate el próximo 16 de octubre en tu agenda, y descubre cómo hacemos accesible la IA a nuestros clientes.

Mostraremos los diferentes usos y aplicaciones más innovadores desarrollados en este último año, para dar respuestas a las necesidades de tu negocio con soluciones para todos los sectores como el Financiero, Retail, Media, Turismo, Transporte, Industria 4.0, entre otros, donde podrás escuchar de primera mano la experiencia de nuestros clientes.



Figura 3: Presentación de Movistar Living Apps

Además, este año lanzamos al mercado español Movistar Living Apps; el nuevo canal de llegada a tus clientes. Porque Telefónica lleva años llevando la mejor tecnología al hogar. Nuestra transformación se basa en la conectividad inteligente, los servicios digitales en el hogar y ahora aprovechando este rico ecosistema, hemos creado nuevas experiencias accesibles a una frase de distancia gracias a Aura. Algunos de nuestros partners ya se han sumado y tú, puedes ser el siguiente. ¿Quieres saber más?

¿Por qué asistir al LUCA Innovation Day 2019?

Sabemos que es momento de grandes desafíos, y queremos ayudarte de la forma en que mejor sabemos hacerlo; habilitando tecnologías necesarias para que puedas optimizar tu propuesta al mercado y afianzar la relación con tus clientes, de persona a persona.



Figura 4: Presentación de Living App de Air Europa

Conoce las soluciones de IA que mejor se adapten a tu sector de actividad, tamaño y objetivos. Escucha testimonios de clientes de diferentes industrias que ya se apoyan en nosotros como partner tecnológico. Para ver, tocar y experimentar con nuestras soluciones IA y  multisector en directo junto a nuestros expertos. Descubre Movistar Living Apps, el nuevo canal inteligente que lleva tu negocio al hogar de nuestros millones de clientes.


Figura 5: Ponentes del LUCA Innovation Day 2019

Creemos que hoy la barrera entre lo artificial y lo natural se difumina a medida en que las tecnologías evolucionan y aprenden a comunicarse con nuestro lenguaje. La incorporación de Inteligencia Artificial dentro de la estrategia corporativa es hoy la evolución natural en la transformación de cualquier compañía. Te invitamos a que seas parte de este cambio y que nos acompañes a una jornada donde verás desarrollo humano y mucha tecnología creada para maximizar las capacidades de tu negocio. ¿Te lo vas a perder?

Reserva tu plaza en la web del LUCA Innovation Day 2019. Recuerda que siempre se llena y tenemos que dejar a gente fuera, así que cuanto antes reserves mejor que mejor.

Saludos Malignos!

miércoles, septiembre 18, 2019

WordPress Stored XSS: Nueva vulnerabilidad para tu CMS. Actualiza.

En este blog tratamos mucho los temas que afectan a la seguridad de WordPress. Aquí se ha hablado varias veces de los grandes problemas de seguridad a los que se enfrenta la plataforma, el CMS más utilizado para la publicación de páginas web hoy en día. Hemos llegado hasta el punto de crear un WordPress en Modo Paranoico, incluso implementado en Docker para ponerlo aún más fácil y 0xWord ha publicado un libro dedicado íntegramente a la seguridad de WordPress que se ha convertido en una auténtica referencia, llamado “Máxima Seguridad en WordPress”.

Figura 1: WordPress Stored XSS: Nueva vulnerabilidad para tu CMS. Actualiza.

Nos preocupamos porque localizar y solucionar vulnerabilidades de seguridad en esta plataforma no es una tarea sencilla, que requiere una actualización constante. No sólo hay que analizar el código fuente de la aplicación principal, también se suman (y posiblemente este sea el principal problema hoy día) las vulnerabilidades que puedan aparecer en los miles de plugins que existen para WordPress.

Figura 2: Libro de "Máxima Seguridad en WordpPress"

Exactamente de eso habla este artículo de Chema Alonso donde también se da a conocer un paper llamado “Detección y estimación de vulnerabilidades en plugins de WordPress”, dedicado exactamente a esta función, donde además se muestran varios CVE generados a partir de vulnerabilidades que se descubrieron a raíz del mismo.


Incluso desde el punto de vista profesional, ElevenPaths ofrece una solución orientada a empresas para proteger la infraestructura WordPress. Esta aplicación se llama FAAST para WordPress y permite de una manera sencilla, realizar todas estas tareas de detección de posibles problemas relacionados con la seguridad de la plataforma. Como queda claro en este artículo, nos preocupamos mucho por WordPress. Y no es de extrañar, ya que seguimos viendo noticias que afectan a su seguridad, como esta reciente vamos a comentar en profundidad.

Stored XSS en WordPress

Hace unos días, se solucionó un problema de seguridad en WordPress el cual permitía ejecución remota de código (RCE). En concreto, la vulnerabilidad era del tipo XSS o Cross-Site Scripting. Para ser más exactos del tipo “stored XSS” o también llamada “persistente”, que luego veremos en detalle. Este tipo de ataques a tecnologías web se basa en sacar el máximo de los Client-Side Attacks, que tanto daño hacen a las plataformas de Internet.

Figura 4: Libro de Hacking Web Technologies: Client-Side Attacks
(XSS, CSSP, SSRF, XSPA, SSJS)

Este fallo de seguridad, con CVE-2019-16219 afectaba a la versión 5.0 o posterior. En concreto, el código que provocaba dicha vulnerabilidad se encontraba localizado en el editor incorporado en WordPress llamado Gutenberg. Al parecer, existía un problema relacionado con los “Shortcodes”, que veremos a continuación. Ejemplo de Shortcode para incrustar un documento de SlideShare:
[slideshare id=8874930&doc=sotw2011-as-delivered-110816213106-phpapp01&w=650&h=500]
Los “Shortcodes” son básicamente una serie de comandos (atajos) que pueden utilizar los usuarios para incrustar ficheros o crear objetos en una sola línea (vídeo, audio, imágenes, documentos, etc). Estos códigos se pueden incorporar a una página Wordpress simplemente utilizando el botón de “Añadir bloque” que está presente en el editor Gutenberg.

Figura 5: Información de Shortcodes en WordPress

El problema aparece cuando se añaden ciertos caracteres como por ejemplo “<” (sin las comillas) cuando se está subiendo un bloque. Esto provoca un error (y muestra una pre-visualización) ya que Wordpress traduce “&lt;” como “<” y aunque Gutenberg tiene un detector de ataques XSS, este puede se puede engañar fácilmente añadiendo el siguiente código:
"><img src=1 onerror=prompt(1)>
A partir de este momento, cuando cualquier usuario visite la página web con esta publicación, el código XSS se ejecutará en su navegador. Es decir, cualquier usuario con simplemente con accesos de nivel “Contributor” o superior, permitiría ejecutar este ataque e inyectar código JavaScript/HTML en el navegador de la víctima. El rol de “Contributor” es importante, ya que es el nivel mínimo para que este ataque se pudiera materializar.

El término “stored XSS” significa, simplificando mucho el término, que el código inyectado se almacena en el mismo código fuente de la aplicación principal, aunque el objetivo final son los usuarios que visitan la página y no la aplicación (aunque se podría atacar el servidor web como veremos a continuación).

Figura 6: Código insertado en el bloque de los Shortcodes.

OWASP trata este tipo de ataques como uno de los más peligrosos del tipo XSS. Pero este puede ser aún incluso más devastador. Si el atacante consigue una cuenta tipo "administrador", es posible incluso poner en riesgo el servidor web donde se aloja la aplicación. Este sería más o menos el procedimiento (en este enlace de Fortinet se describe en profundidad):
1. El atacante envía una petición GET a la siguiente URL:
/wordpress/wp-admin/user-new.php
2. Se obtiene el valor actual “nonce” (un token de seguridad en forma de hash de una duración limitada).

3. Utilizando este valor nonce, se podría programar una query POST para crear un usuario y una contraseña (ambas aleatorias) del tipo administrador. 
4. De esta forma, el atacante podría modificar el fichero existente php a una webshell, lo que permitiría ejecutar acciones sobre el servidor y de esa forma tomar control sobre el mismo.
Este no ha sido el único problema solucionado relacionado con XSS y WordPress. También aparecieron otros de un funcionamiento similar asociados a la sección de comentarios, subida multimedia o incluso el dashboard.

Figura 7: Código XSS para añadir una cuenta administrador.

Wordpress es el CMS más popular, llegando al 60% de utilización (Joomla! es el segundo con sólo un 5,2%). Por lo tanto, su securización y control de vulnerabilidades es algo no debemos dejar de lado. Tener una solución para analizar tanto el código principal como los plugins es una tarea que se convierte en crítica para mantener seguro tu servicio WordPress. En esta charla, Chema Alonso cuenta algunos procedimientos que implementamos nosotros para Fortificar WordPress like a Hacker!


Figura 8: Faast For WordPress de ElevenPaths

Mantener la seguridad de nuestro sitio WordPress es una prioridad absoluta, pero como hemos podido observar, no podemos centrarnos sólo en la seguridad del CMS exclusivamente. Los plugins se están convirtiendo en el mayor problema relacionado con la seguridad de WordPress. De nada sirve tener nuestra web al día si no realizamos un seguimiento e incluso auditorías, de los plugins instalados.


Figura 9: Faast For WordPress de ElevenPaths

Si necesitas una solución profesional para auditar y mantener segura tu página WordPress, recuerda que ElevenPaths ofrece la solución Faast For WordPress, un servicio de pentesting persistente para sitios con dominio WordPress.

Happy Hacking Hackers!

Más Referencias:

[Libro] Máxima Seguridad en WordPress
[Libro] Hardening GNU/Linux
[Paper] WordPress in Paranoid Mode (Parte 1)
[Paper] WordPress in Paranoid Mode (Parte 2)
[Paper] Detección y estimación de vulnerabilidades en WordPress
[Vídeo] Proteger WordPress con Latch
[Vídeo] Proteger WordPress con Latch Cloud TOTP
[Vídeo] MyWordPress in Paranoid Mode (conferencia Chema Alonso)
[Vídeo] MyWordPress in Paranoid Mode (ElevenPaths Talks de Pablo González)
[Vídeo] Ejemplo de uso de Latch en WordPress
[Vídeo] Hardening WordPress like a hacker
[Vídeo] WordPress Demo XSS en WP-UserAgent
[BlogPost] My WordPress in Paranoid Mode
[BlogPost] Máxima Seguridad en WordPress
[BlogPost] Hackear un WordPress con Network Packet Manipulation
[BlogPost] Fortificar comunicación entre WordPress y MySQL
[BlogPost] WordPress Latch Enforcement
[BlogPost] WordPress aún más seguro con Latch Lock After Request
[BlogPost] Fortificar WordPress frente a ataques de fuerza bruta
[BlogPost] Ataques (al corazón) de tu WordPress
[BlogPost] Cómo robarle las contraseñas a los administradores de WordPress
[BlogPost] Agrupar el control de varios WordPress con un solo Latch
[BlogPost] WordPress: Time-Based XSPA (Cross-Site Port Attack)
[BlogPost] Cómo debería ser un WordPress un poco más seguro
[BlogPost] WPHardening: Automatizar fortificación de WordPress
[BlogPost] Protege los borradores de los artículos de tu WordPress
[BlogPost] Registro de cuentas en WordPress públicos
[BlogPost] Riesgos en la ejecución de tareas de Cron
[BlogPost] WordPres: XSS en plugin WP-UserAgent
[BlogPost] Listar los plugins de WordPress en un pentest
[BlogPost] WordPress: SQL Injection en Scarcity Builder Plugin
[BlogPost] Docker WordPress in Paranoid Mode
[BlogPost] Faast for WordPress
[BlogPost] Cómo buscar {y encontrar} 0days en plugins de WordPress
[BlogPost] WordPress Stored XSS: Nueva vulnerabilidad para tu CMS. Actualiza.

Autor: Fran Ramírez, (@cyberhadesblog) es investigador de seguridad y miembro del equipo de Ideas Locas en CDO en Telefónica, co-autor del libro "Microhistorias: Anécdotas y Curiosidades de la historia de la informática (y los hackers)", del libro "Docker: SecDevOps", Machine Learning aplicado a la Ciberseguridad” además del blog CyberHades.

martes, septiembre 17, 2019

Un viaje por el fin de semana: RootedCON, TechParty y una visita a El Pardo con mucho honor

Volver de vacaciones el 9 de septiembre, tras un par de semanas lejos de todo y casi de todos, y tener que enfrentarse a la vuelta al trabajo y a los eventos acordados. Llegó el día 13 de septiembre y, por sexto año, tuve el RootedLab en Valencia. En las seis ediciones de RootedVLC he tenido un Lab y eso para mí es un verdadero honor. Cada año me repito lo mismo: “Venga Pablo a por otro más, a dar lo mejor de ti”.

Figura 1:Un viaje por el fin de semana: RootedCON, TechParty
y una visita a El Pardo con mucho honor

Fue un taller especial, como lo son todos, con gente con muchas ganas de aprender, de sacar el máximo aprovechamiento de un día que, como siempre, pasa volando. Uno piensa que ocho horas son muchas, pero siempre pasan rápido, necesitamos más horas.

RootedCON Valencia, TechParty y una charla de Phishing

El día 14 de septiembre, siguiente al del RootedLab, tenía una pequeña maratón. Y es que primero exponía en la Rooted Valencia, donde hablaba sobre uac-a-mola^2, y presenté uac-a-mola^3, que ha llegado en los últimos días a estar listo a tiempo. De esta nueva versión hablaré en el post de hoy para contar el funcionamiento.

Pero mi odisea continuaba después de la presentación, ya que ese mismo día, debía estar por la tarde en la TechParty 2019 en La Nave, Vicálvaro. La charla en esta conferencia fue un enfoque sobre cómo investigar manualmente y qué herramientas utilizar para obtener bypasses de UAC.

Por último, hoy lunes 16 de septiembre un amigo nos invitó a participar en una charla sobre la evolución del phishing hasta la llegada de la inteligencia artificial. Contaré algo un poco más tarde. Así que vamos a comenzar por el principio.

UAC-a-Mola^3

La charla de uac-a-mola mostraba un repaso sobre lo que es la herramienta UAC-A-Mola, publicada en 2017 y que fue presentada en BlackHat Europe 2017. La utilidad evolucionó en 2018 en una “spin off” en la que queríamos llevarla a Powershell - ya sabéis mi afición al Pentesting con Powershell - y orientarla a complementar los bypasses de UAC que otras herramientas no implementaban. La idea era poder ejecutarla siempre desde memoria y poder hacer uso de las funcionalidades necesarias con el objetivo de evadir protecciones.


Con esta razón nace uac-a-mola^2. Esta herramienta se presentó en 8dot8 2018 en Chile. En el siguiente video se puede ver una demo del uso de la herramienta. Es cierto que aún no se ha publicado esta función de Powershell, que se utiliza en la demo con Meterpreter, pero lo haremos pronto, junto a la publicación de uac-a-mola^3.

Figura 3: Demo de UAC-a-mola thin client

Esta solución buscaba una serie de cosas que yo tenía en la cabeza, para integrarla más con Powershell y con Metasploit, del que ya sabéis que me ha quitado tanto el sueño como para sacar dos libros: Metasploit para Pentesters y Hacking con Metasploit.
• Descarga directa a memoria, evitar en la medida de lo posible el uso del disco. 
• Integrar el entorno de uac-a-mola en memoria y en Powershell. 
• Detectar y explotar bypasses de UAC desde Powershell y complementar otras soluciones de frameworks como Metasploit o Empire. 
• Utilizar desde el Meterpreter.
Este thin client nos llevó a evolucionar la solución y buscar una integridad más amigable, ya que sabíamos que no era todo lo usable que un pentester quiere o necesita. Para ello pensamos que la mejor solución era integrarlo como una extensión de Meterpreter real. Para ello, estudiamos el framework y fue nuestro compañero Josué Encinar el encargado de poner las piedras a estos pensamientos. Hay que recordar que Josué trabajó en un TFM que llevé desde la UEM dónde nació el proyecto Boomer.

Figura 4: Libro de Hacking con Metasploit: Advanced Pentesting

La idea era la extensión para cualquier Meterpreter, pero uac-a-mola^3 presenta la extensión para el Meterpreter de Python. Tendremos que seguir trabajando para cubrir el resto de Meterpreter que se pueden ejecutar en Windows. Por tanto, es disponible que la víctima o la máquina comprometida disponga de Python en Windows. Los comandos y las posibilidades que ofrece la extensión hace que sean sencillas de usar y ejecutar.

Probando de UAC-a-mola^3

Un ejemplo de funcionamiento de la extensión es el siguiente en el que podemos ver cómo haciendo uso del comando load se puede cargar la extensión. Una vez cargada, si ejecutamos la opción help podemos encontrar las opciones y comandos de la extensión. Solo tiene un comando que es start_uacamola.

Cuando se ejecuta el comando start_uacamola obtenemos una shell dentro del proceso. Esa consola es nuestro uac-a-mola integrado, con diferentes módulos. El comando help puede ayudarte a encontrar lo que necesitas. La capacidad que se tiene para poder integrar nuevos bypasses de UAC es rápida, por lo que puedes encontrar algunos bypasses que no encontrarías con Metasploit o con Empire.

Figura 5: cargando uacamola como extensión de Meterpreter

La charla de Valencia tuvo cinco demos en directo que mostraban lo que era un bypass de UAC, lo que era uac-a-mola y todo lo que había evolucionado después. Pronto estará listo para ser publicado y os iremos informando. Estará en el repositorio de Github de ElevenPaths en el apartado de uac-a-mola. Seguiremos trabajando para que podáis utilizarlo y saquéis el máximo jugo a uac-a-mola.

Una historia de UAC en TechParty

Después de la charla de Rooted en Valencia, el AVE me llevó a Madrid a la carrera. Próxima parada La Nave en Villaverde. En la TechParty me encontré con más de 90 ponentes en un día, con más de 9 salas y con bastante gente. Un evento grande en un espacio grande. Blockchain, Inteligencia Artificial, Ciberseguridad, Legalidad, diferentes ámbitos que empujaban el mundo actual y con ponentes de diferentes sectores que, estoy seguro, disfrutaron y dieron lo mejor de sí.

Figura 6: De charla en Valencia a charla en Madrid

El título de la charla: “The UAC Story: How-Tos for bypass research”. Un paseo por cómo abrir investigaciones para detectar nuevos bypasses de UAC en diferentes versiones del sistema operativo Windows. La idea, siempre, mejorar la calidad de la seguridad del sistema, y conocer técnicas nuevas que poder usar en proyectos de Ethical Hacking que tengan que pasar por un Hacking de Windows.

Figura 7: Libro de Hacking Windows: Ataques a sistemas y redes Microsoft

Se pudo ver los resultados que uac-a-mola sacó en el paper que hicimos para publicarlo, respecto a las posibilidades que los investigadores tienen para lograr encontrar, con técnicas conocidas, nuevos bypasses. Un tema interesante para los que nos dedicamos a esto.

Y ahora algo de Phishing con Inteligencia Artificial

Ayer lunes 16 teníamos una cita en El Pardo para mostrar la evolución de las técnicas de Phishing, desde el engaño clásico hasta el uso de Inteligencia Artificial, pasando por las nuevas amenazas a las que nos enfrentamos. En este repaso, lo primero que vimos fue cuáles eran las creencias de la sociedad en cuanto al Phishing más clásico, las medidas importantes que debíamos tener en cuenta, como por ejemplo usando 2FA con Latch, y vimos la evolución de ataques como:
• Bar Spoofing. 
• Punycode. 
• QRLJacking. 
• OAuth Apps.
• WebView embebidas en apps. 
• Rogue Apps.
Posteriormente tocó hablar de la Inteligencia Artificial y su irrupción en el mundo de la ciberseguridad para lo bueno, pero también para lo malo. A lo que nos enfrentamos no solo las empresas, si no la sociedad y los estados. El ejemplo más claro era la evolución de una estafa del CEO/CDO que se mostraba en vídeo y con audio de la persona suplantada. Se explicó lo que había por detrás. Lo contamos mi compañero Enrique Blanco y yo en RootedCON. Hablamos de Machine Learning, de Inteligencia Artificial, de redes neuronales, de Autoencoders, de GANs, etcetera.

Con las GANs jugamos y mostramos como la estafa del CEO podía llegar a límites visuales y auditivos más que interesantes. ¿Cómo combatirlos? También expusimos trabajos que han salido para detectar DeepFakes, pero, ¿quizá sea necesario un dataset de esto para poder detectarlas? Parece que algunas empresas ya trabajan en esa idea.

Figura 8: Una placa para el equipo de Regimiento de Guerra Electrónica 31

La sorpresa vino al final de la charla, cuando nos entregaron esta placa para el equipo de Ideas Locas y la gente de Telefónica Digital. Un agradecimiento con el que estamos muy contentos y queremos compartir. Trabajo de todos.

Y en cuanto toque... más aún

Como podéis ver, un fin de semana y un lunes de mucho trabajo y de buenos resultados que hacen que todo este “trajín” merezca la pena. Gracias al equipo de Ideas Locas por todo su esfuerzo y por toda la pasión que se pone en todo lo que se hace. Seguiremos, y espero que, por mucho tiempo, al pie del cañón.

Saludos,

Autor: Pablo González Pérez (@pablogonzalezpe), escritor de los libros "Metasploit para Pentesters", "Hacking con Metasploit: Advanced Pentesting" "Hacking Windows", "Ethical Hacking", "Got Root" y “Pentesting con Powershell”, Microsoft MVP en Seguridad y Security Researcher en el equipo de "Ideas Locas" de la unidad CDO de Telefónica.

lunes, septiembre 16, 2019

La felicidad como forma de seguridad siendo una robot rata #IA #robotica #scifi

Cuando lees muchas cosas que tienen que ver con el futuro, la imaginación no deja de explotar en tu cerebro, y eso me ha pasado este verano a mí con la lectura de algunos libros. Y hoy me apetece contaros alguna de ellas. En concreto, lo que tiene que ver con las "Robo Ratas" y los interfaces cerebro-computador que llevan años diseñándose.

Figura 1: La felicidad como forma de seguridad siendo una robot rata

Todavía no se conoce del todo el cerebro humano, ni de ningún animal, completamente. Todavía es difícil de entender bien eso que llamamos consciencia, y leyendo el libro de Homo Deux, el capítulo que habla del fin del humanismo, me dejó bastante pensativo.


Al final, el libro habla de tres cosas que rompen las bases del humanismo, y que son relevantes. La primera de ellas, pone en duda el famoso "libre albedrío" que hace que todo funcione en el mundo de hoy en día. Este "libre albedrío" supone que los humanos tomamos decisiones porque tenemos capacidad de elección. Y parece que no es tan así.

El segundo de los puntos al que hace referencia es al "individuo". ¿Realmente somos solo una persona o somos más de uno? No, no estoy hablando de los Géminis y el horóscopo. Estamos hablando de que nuestro cerebro es capaz de tener opiniones diferentes al mismo tiempo según qué centro tenga el poder de tomar esa decisión. Podemos pensar algo y hacer lo contrario. Y mucho peor.

El tercer problema es que los humanos pueden pasar a ser "irrelevantes" para el futuro si seguimos definiendo la vida como la hemos definido hasta hoy. Es decir, para producir riqueza, tomar decisiones o pelear guerras. Esto puede dejar de ser importante en el futuro, y puede que tengamos que redefinir muchas cosas en el humanismo.

Ni libre albedrío, ni relevantes, ni únicos y especiales

No os quiero romper el libro, porque merece la pena que lo leáis y descubráis sobre todo los puntos dos y tres que os he citado. El punto dos porque habla de los experimentos con humanos a los que se ha separado el hemisferio derecho del cerebro del hemisferio izquierdo, con resultados asombrosos de cómo somos más de una persona en el cerebro. Es como si tuviéramos varias CPUs en la cabeza con tomas de decisiones y opiniones totalmente distintas. A mí me dio escalofríos pensar que somos "dividuos" en lugar de "individuos".

El tercer problema, el de que los seres humanos pasemos a ser irrelevantes por tener que delegar las decisiones en sistemas de Inteligencia Artificial más capaces que nosotros por su capacidad de procesar datos y generar conocimiento, además de que junto a la robótica, la importancia de los ser generadores de riqueza nos dejará fuera de muchas competiciones.

Este es un debate interesante, ya que las probabilidades de que muchos trabajos sean sustituidos por robótica e IA en la próxima década es muy alta. Desde Contact-Centers, hasta conductores, pasando por camareros, recepcionistas, peluqueros, jardineros, etc, etc... Un debate que debemos ir teniendo ahora para pensar en cómo queremos que sean nuestras sociedades en el futuro.

Pero quería hablaros de la parte de las Robo-Ratas, que es más que interesante. Es verdad que os he dicho al principio que conocemos poco del cerebro humano, pero no que no conozcamos nada. Al contrario, y cada día conocemos más. Sabemos que hay determinadas sustancias que influyen en nuestra forma de ser y sentir. Por eso a veces recurrimos a la química para controlar nuestros estados de ánimo, las euforias, las depresiones, o los trastornos bipolares. Mantener un cerebro en un estado de felicidad constante y controlado se puede hacer a base de química.

La felicidad como forma de seguridad siendo una robot rata

Esto lo contaba ya el libro de Un Mundo Feliz con su querido Soma. Primero te cuento cuál va a ser tu lugar en la sociedad. Te hago una "narrativa" que haga que tu vida sea plena y tenga sentido - tal y como se explica en Sapiens - en tu rol de alfa, beta o delta. Pero si la narrativa que da sentido a tu vida - para la que te he condicionado desde el principio, falla - no te preocupes, tengo una pastilla que se llama Soma que te va a dejar como nuevo. Hoy en día, tienen otras marcas, pero se usan para cosas similares.

Pero el tema de las Robo Ratas es aún más allá. ¿Qué pasa si puedo incidir en tu toma de decisiones estimulando zonas de tu cerebro? ¿Y si puedo hacer que ir a la izquierda sea o que quieras hacer? ¿Y si puedo hacer que ir a la derecha sea tu decisión personal? Pues en esto consiste. El cerebro toma decisiones en "libre albedrío" porque quiere tomarlas, pero la realidad es que antes de tomarlas hay unos estímulos que hacen que la persona quiera tomar esa decisión. En las ratas sucede lo mismo, y lo que hicieron hace ya mucho tiempo es poner unos cascos con interfaces directos al cerebro para hacer que la rata quiera subir las escaleras, girar a la izquierda, girar a la derecha. El vídeo es antiguo, pero lo explica bien.


Figura 3: Robo Ratas

Por supuesto, se está trabajando también con las personas. En el libro de Homo Deux cuenta casos de cómo se utilizan estos sistemas para conseguir la concentración de franco-tiradores, o controlar la depresión de militares en situaciones de estrés post-traumático. ¿Pero podría llegar a ser obligatorio su uso para controlar la felicidad de todos los humanos?

Hace unos años, en una conferencia en Madrid, la entonces alcaldesa de a ciudad decía que la mejor forma de luchar contra la violencia era la educación de los más jóvenes. Si educamos a los más jóvenes, los estamos "programando" para que cuando tengan que tomar una decisión en el futuro a lo largo de su vida adulta, tomen una decisión no violenta. La educación, como forma de "condicionamiento" consciente que planteaba Aldoux Husley en "Un Mundo Feliz".

¿Qué quieres que te diga que quieres ser?

Pero ¿y si vamos más allá? El libro de "¿Sueñan los androides con ovejas electrónicas?" que dio origen a la mítica Blade Runner comienza con una escena maravillosa en la que el protagonista charla con su mujer sobre que código marcar en su "mood organ" o "teclado de estado de ánimo" para ese día. Si marcar el de felicidad, el de tener ganas de ser aventurera, o el de tener un estado de ánimo de "hombre de negocios". Es decir, está configurando la química de su cerebro para tener un estado de ánimo diferente.


Pero... ¿y si los interfaces humano-computador y el conocimiento del cerebro se desarrolla un poco más? Podría darse el caso de que se condenara a un atracador a llevar un casco que mediante un algoritmo de AI controlase su comportamiento para que fuera "bueno". O a un inmigrante se le podría imponer como forma de entrar en el país a llevar un casco para garantizar y controlar que lo que "le apetezca" sea hacer cosas que la gente de ese país decida. O podría ser que ese casco con control de lo "que te apetece" se aplique por seguridad a la gente que trabaja en una empresa. O a todos los ciudadanos de un país. O a toda la humanidad, y lo controlamos por una IA que nos hace ser buenos y felices a todos, porque todos queremos cosas buenas para todos.

La verdad es que la ciencia-ficción me deja siempre un poco tocado, pero ver a la velocidad a la que se están desarrollando los conocimientos científicos y tecnológicos, hace falta preguntarse muchas cosas. ¿Y si realmente el humanismo está llegando a su fin y tenemos que dejar que la IA nos gobierne?

Ya Neil Stephenson hablaba en su novela "Interface" de controlar a un presidente del gobierno de USA por medio de un sistema que conectaba el cerebro del candidato con un equipo informático que controlaba un grupo de expertos en política. ¿Y si al final, como decía ese capítulo de "Love, Death & Robots" en Netflix, tenemos que dejar que "Un yogurt tome el control de la humanidad" y ser simplemente felices y seguras Robo Ratas? Feliz lunes.

Saludos Malignos!

sábado, septiembre 14, 2019

Conferencia de Chema Alonso en RoortedCON 2019 sobre "Second Factor Web Browsing (2FWB)"" (y Whitepaper)

Hace ya varias semanas salieron publicadas la mayoría de las conferencias que se dieron este año en la RootedCON 2019. Por un error, o un descuido, la charla que yo impartí este año salió confundida, por lo que se quedó sin publicar. Así que, mientras que descubro si la tienen grabada o no os voy a dejar una grabación que hizo uno de los asistentes al evento.

Figura 1: Conferencia de Chema Alonso en RoortedCON 2019 sobre
"Second Factor Web Browsing (2FWB)""

La charla, como ya os conté, versa sobre Second Factor Web Browsing, una idea que se me ocurrió durante el verano de 2018 para poder ayudar en la navegación a Mi Hacker y Mi Survivor. De todo eso, os hablé en el artículo de "Second Factor Web Browsing" que acompaña a la charla, donde tenéis no solo el detalle de todo el proceso, sino también las demos en vídeo, las explicaciones y las diapositivas de la charla.


Figura 2: Chema Alonso en RootedCON 2019

Como no he conseguido la grabación, os he traído una que hizo Yair Rodriguez que tiene bastante buena calidad, para que no se pierda como las lágrimas en la lluvia. No es muy larga, ya que me pidieron un poco de tiempo para presentar a  una startup española y recorté alguna cosilla con el objeto de no romper la agenda.


Además, os hemos publicado ayer mismo ya el whitepaper que recoge el trabajo que hemos hecho de 2FWB "Second Factor Web Browsing", que hemos subido a SlideShare.

Saludos Malignos!

viernes, septiembre 13, 2019

Un par de citas para la semana que viene, unas charlas en vídeo y las conferencias del Espacio Telefónica

Hoy os dejo la lista de actividades para la semana que viene que tengo en el radar. No son muchas, así que os las completo las actividades con los vídeos de las dos últimas ElevenPaths Talks dedicadas al mundo del Car Hacking y la ¿Privacidad?. Además, os dejo la lista de las charlas del Espacio Fundación Telefónica esta semana.

Figura 1: Un par de citas para la semana que viene, unas charlas
en vídeo y las conferencias del Espacio Telefónica

Yo esta semana voy a participar en pocas cosas, que la tengo atareada. Pero sí que estaré el día 18 de este mes en la presentación del equipo Movistar Estudiantes para esta temporada, que esa cita no me la puedo perder.

18: ParanoidBox: la caja fuerte digital [Online]
En este webinar impartido por Álvaro Lancho y Marcos Rodríguez, dos invitados especiales, nos hablan sobre su trabajo final de máster realizado en la Universidad Europea de Madrid, en el que presentan una caja de seguridad en la que los datos pueden entrar, pero no salir. El presenta el concepto de una caja de seguridad en la que los datos pueden acceder sin problema alguno, pero no pueden salir. Estos datos solo pueden ser liberados cuando no se pueda comprobar la vida del propietario de los datos. En este caso, los datos serán públicos para que cualquier persona pueda conocerlos.
Figura 2: Codetalk For Devs "ParanoidBox"
Durante el proyecto se han trabajado varios conceptos de identidad digital robusta para la inserción de datos, la redundancia de sistemas para controlar que todos los nodos siguen vivos y no hay riesgos de ataques físicos contra la información, y la comprobación mediante prueba de vida de que el propietario sigue vivo. Un trabajo muy interesante que no puedes perderte.
20: B-Sides [Málaga] [G]
La Peña Overflow, que se define como "un grupo de humanos al que nos une un interés por la seguridad informática. Quedamos los primeros jueves de cada mes para hacer un trivial con preguntas relacionadas con el tema que nos ocupa" organiza las B-Sides en la sala La Trinchera en Málaga para hablar de Seguridad Informática y Hacking. No te lo pierdas, que la entrada es gratuita y la agenda mola. Mira en la web.
Figura 3: B-Sides Málaga
Como os he dicho antes, os dejo las dos últimas ElevenPaths Talks que hemos hecho, de media hora de duración cada una, en ElevenPaths, dedicadas a los temas citados: Car Hacking y ¿Privacidad?


Figura 4: Car Hacking


Figura 5: ¿Privacidad?

Y ya para terminar, la agenda de esta semana  en el Espacio Fundación Telefónica en Gran Vía, que también tienes una agenda cultural que merece la pena:

Figura 6: Agenda de charlas y talleres en el Espacio Fundación Telefónica

Y esto es todo en el post de hoy. Disfrutad el viernes que ya tenemos el fin de semana encima, con muchas cosa chulas. Hoy, como sabéis, están mis amigos de Despistaos en el Festival Oh, See! de Málaga, así que si estáis por allí.... no os los perdáis.

Saludos Malignos!

Entrada destacada

Seis recomendaciones personales de libros de @0xWord para disfrutar y aprender

Este verano pude disfrutar de la lectura de un libro que me encantó. El libro de Factfulness que me había regalado mi compañera Beatriz Ce...

Entradas populares