Exprimir el Secure Edge: Webinars de Cloudflare en Directo durante Septiembre

El calendario de actividades de divulgación tecnológica es alto en Cloudflare, y una de estas actividades son los Webinars en directo. Cada mes puedes participar en nuevos seminarios que además incluyen las novedades de todo lo que se va publicando en el modelo de Innovación Continua que defiende y practica la compañía.

Figura 1: Exprimir el Secure Edge - Webinars de Cloudflare

en Directo durante Septiembre

Hoy os traigo la lista de los que están planificados para este mes de Septiembre, para que si tienes tiempo, puedas participar en alguno de ellos que si te interesa el mundo de las tecnologías de seguridad en el Edge y los sistemas de Zero Trust en arquitecturas de Secure Access Service Edge (SASE), seguro que lo vas a disfrutar.

Todos los Webinars en Septiembre

09: From Robotics to Remote Access: Implementing Zero Trust in an Era of Evolving Threats

"Retailers are juggling managing vast amounts of customer data, payment information, and supply chain networks across multiple locations and platforms, traditional perimeter-based security models are proving inadequate against sophisticated cyber threats.Join us for our webinar featuring Ocado Group's Technical Architect as he shares their real-world Zero Trust Network Access (ZTNA) deployment journey. 

Figura 2: From Robotics to Remote Access: Implementing

Zero Trust in an Era of Evolving Threats

From securing robotic warehouse systems and customer fulfilment platforms to protecting proprietary technology solutions and sophisticated automation, discover how Ocado Group implemented Zero Trust principles across their entire technology ecosystem."

10: 3 phases, 10 steps: Implementing a SASE architecture

"Cloudflare experts will walk you through a proven 10-step roadmap to successfully implement SASE across your organization. Drawing from real-world customer examples, we’ll explore how leading enterprises are scoping their Zero Trust projects, overcoming common roadblocks, and unlocking measurable improvements in agility and security."

Figura 3:  3 phases, 10 steps: Implementing a SASE architecture

10: Securing and scaling your cloud environment to support AI transformation

"Even the most innovative and well-built AI application won’t succeed if it lacks the right underlying cloud infrastructure. The right foundation enables strong data security, efficient connectivity between AI components, and cost-effective scale. The wrong one turns those same benefits into obstacles. This is doubly true for agentic AI, whose complexity introduces a whole new realm of security and scalability issues.

Figura 4: Securing and scaling your cloud environment to support AI transformation

How should organizations adapt their cloud environments to support AI scale and security — whether they have already made cloud investments, or are turning to the cloud for the first time? Forrester guest speaker Lee Sustar has extensive experience advising enterprises on exactly that question. Join our webinar to learn about: Common trends and challenges in how organizations make AI-focused cloud investments Lee’s advice for organizations tackling these challenges Cloudflare’s perspective on how a commodity cloud vs a connectivity cloud delivers competitive advantage with AI scaling."

17: Modernizing Security: Real World Stories of Zero Trust in Action

"Employees, applications, and infrastructure exist everywhere today – across regions, cloud environments, and hybrid work settings. To manage this sprawling attack surface, many organizations are modernizing security with Zero Trust best practices to reduce risk, simplify their architectures, and enable business agility.

Figura 5: Modernizing Security: Real World Stories of Zero Trust in Action

In this webinar series, Cloudflare spotlights customers making progress on that journey. Register now to join a conversation exploring successful real-world deployments, including:Priority use cases to get started and scale with Zero TrustCommon challenges and best practices to overcome themArchitectural strategies and technical capabilities, including roadmap previews."

18: Temporada alta de fin de año 2025: Maximiza ingresos y minimiza riesgos.

"¿Está tu infraestructura digital lista para afrontar la temporada alta de ventas de fin de año 2025 y el aumento de ciber-amenazas?Únete a nuestros expertos de Cloudflare para conocer cómo fortalecer la resiliencia digital de tu negocio durante la época más exigente del comercio minorista.Compartiremos estrategias prácticas para retailers que se están preparando para los picos de tráfico del Buen Fin, Black Friday, Cyber Monday y la temporada navideña, en un contexto donde las amenazas evolucionan constantemente: desde ransomware que impacta operaciones e inventarios, hasta ataques dirigidos a APIs o páginas de pago.En esta sesión de alto impacto te mostraremos cómo proteger tus ingresos, reducir riesgos y asegurar una experiencia de compra fluida durante tus días más críticos.

Figura 6: Temporada alta de fin de año 2025: Maximiza ingresos y minimiza riesgos

Aprenderás cómo:Escalar sin fricción durante aumentos repentinos de visitas, donde cada segundo cuenta para convertirDefenderte de bots avanzados, ransomware y ataques DDoS que apuntan a los días de mayores ventasEvitar fraude digital, robo de datos de pago y abuso de APIs en plataformas de checkout, inventario y logísticaImplementar estrategias tecnológicas que prioricen al comprador real y aseguren la información del cliente."

30: How Cloudflare can coexist alongside Zscaler to fast-track your remote access project

"Are you worried about doubling down with the wrong security vendor? Maybe you are using one vendor (like Zscaler) for web inspections, but the thought of a full-scale SASE rollout seems overwhelming, complex, and disruptive. The good news is you can start modernizing remote access immediately, without those concerns.Join this webinar to discover how Cloudflare can strengthen and simplify security, while coexisting seamlessly alongside your web proxy from vendors like Zscaler.

Figura 7:  How Cloudflare can coexist alongside Zscaler

to fast-track your remote access project

In particular, our experts will show how to take advantage of clientless deployments of ZTNA, DNS filtering, and email security to improve your posture — all without installing additional software on devices.With demos, architectural walkthroughs, and real-world customer examples, you will learn:Use cases that deliver quick time-to-value with minimal disruptionStep-by-step technical guidance to run Cloudflare in parallel with Zscaler Recommendations on when a best-of-breed approach makes sense."

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

Webinars de Cloudflare en directo en Agosto: Edge Security, Threat Intelligence, Post-Quantum Cryptography & AI Security

Hoy viernes, quince de Agosto, donde supongo que casi todos estaréis de una forma un otra de vacaciones, os voy a dejar la referencia a seis webinars de tecnologías de Cloudflare que yo me he apuntado en mi agenda personal para aprender sobre cómo sacar el máximo partido de las capacidades de Secure Edge Computing para tener conectividad a través de los nodos del Edge, capacidades de seguridad desde el Edge o aceleración de aplicaciones

Figura 1: Webinars de Cloudflare en directo en Agosto. Edge Security,

Threat Intelligence, Post-Quantum Cryptography& AI Security

Son webinars todos ellos que se impartirán las próximas dos semanas de Agosto, a través de Internet y gratuitos y que hablan de Post-Quamtum Cryptography, de Threat Intelligence, de AI Security, AI Labirynth, Cloudflare Radar, del nuevo servicio de Pay Per Crawl o de Moderm Apps on the Edge. Os los dejo por si os encaja poder asistir, que yo voy a intentar asistir también a algunos de ellos, que ya sabéis que estoy en periodo de absorción y aprendizaje.

20 de Agosto: Building a multi-platform data strategy with Cloudflare R2 [Inglés]

Este webinar explica cómo utilizar Cloudflare R2, el servicio de Storage conectado al Edge para la construcción de aplicaciones con alto rendimiento en todo el mundo. Será por la tarde, a las 18:00 CEST, y el registro es totalmente gratuido.

Figura 2: Building a multi-platform data strategy with Clouflare R2

21 de Agosto: Protege tus Data Centers Frente a Ciberataques Actuales [Español]

El día siguiente, tenemos un webinar impartido por nuestra compañera Sandra Muñoz, Threat Advisor, Solutions Engineering en Cloudflare y que desde México impartirá este seminario para ver cómo proteger las conexiones de los Data Centers a Internet con las tecnologías de seguridad en el Edge.

Figura 3: Protege tus Data Centers frente a ciberataques actuales

Para asistir, lo único que debes hacer es registrarte y tener tu sitio guardado, y así le puedes preguntar a  nuestra compañera Sandra todo lo que necesites sobre las tecnologías de Cloudflare.

27 de Agosto: Future-Proof Your Digital Strategy in the AI Era [Inglés]

Este seminario está centrado en el mundo de la Inteligencia Artificial en los servicios digitales, y las herramientas de control y seguridad. Aquí el equipo hablará de AI Audit, para tener observabilidad de lo que hacen los AI Crawlers en tus assets de Internet, pero también del servicio de AI Labirynth y de AI Firewall, para proteger los MCPs de ataques y tener control para evitar abusos.

Figura 4: Future-Proof Your Digital Strategy in the AI Era

Todo esto, además con un análisis de la situación con Cloudflare Radar y el nuevo servicio de Pay Per Crawl que se ha lanzado hace poco en la compañía. Desde luego, un seminario más que necesario para los que trabajamos en ciberseguridad por todo lo que nos impacta el mundo de la IA.

28 de Agosto: Simplifying and Securing Developer Secrets for Modern Teams [Inglés]

Una sesión de seguridad sobre fortificación de sistemas, en este caso para gestionar a nivel corporativo API Keys, Certificados, Passwords, Tokens de Acceso con Cloudflare Secret Store. Será el mismo día que el anterior seminario.

Figura 5: Simplifying and Securing Developer Secrets for Moderm Teams

28 de Agosto: Securing Finance in the Quantum Age: A Post-Quantum Cryptography Blueprint [Inglés]

Aunque esté seminario está centrado en el vertical de finanzas, el tema es aplicable para todas las industrias. Se centra en hablar de la importancia de utilizar Post-Quantum Cryptography para preparar las apps y servicios digitales para el futuro. 

Figura 6: Securing Finance in the Quantum Age -

 A Post-Quantum Cryptography Blueprint

El seminario será en directo, así que si quieres preguntar cosas concretas sobre el mundo del PQC, este seminario es un sitio perfecto.

28 de Agosto: From Complexity to Simplicity: An Advanced Framework for Enterprise Network Modernization [Inglés]

Y el último webinar del mes de Agosto, sobre cómo utilizar las soluciones de gestión de conectividad usando la infraestructura de Egde Computing que tiene Cloudflare para gestionar aceleración de apps, conectividad por el borde y seguridad en un único punto de control. Este tipo de soluciones es perfecto para empresas deslocalizadas y/o con trabajadores remotos.

Figura 7: From Complexity to Simplicity - An Advanced

Framework for Enterprise Network Modernization

Y esto es todo por ahora, que ya os contaré los de Septiembre más adelante, pero si quieres conocer las tecnologías de Cloudflare para fortificar empresas desde la infraestructura de nodos de cómputo conectados en 125 países y 330 ciudades, estos son perfectos para ir comenzando poco a poco. 

Figura 8: Posiciones abiertas para trabajar en Cloudflare

Aprovecho para recordarte que la empresa está en pleno crecimiento, así que si quieres trabajar con nosotros, ya sabes que tienes las vacantes abiertas en la web: Posiciones abiertas para trabajar en Cloudflare. 

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

CodeName "NaaS" (Network as a Service): Telco Services in One Single Line of Code

Quería dejar pasar unos días el ruido en las redes respecto de Codename: "NaaS" (Network as a Service) para aclarar algunas cosas de este proyecto que estamos haciendo en Telefónica. Lo primero de todo es que no cambia mi rol, sigo siendo Chief Digital Officer de Telefónica. Sigo ocupándome de Kernel, del Hogar Digital, de Aura, de las Living Apps, de la innovación, de Wayra, de Movistar Home, de SmartWiFi, de Movistar Tokens, del proyecto Codeename: "Novum",  y alguno más. Es decir, de las plataformas de datos, las plataformas digitales, la innovación interna y externa. Así que no hay tanto cambio.

Figura 1: CodeName "NaaS" (Network as a Service).

Telco Services in One Single Line of Code

Sí que es verdad que en Telefónica - no solo mi unidad, sino la compañía al completo - tiene una visión muy clara y decidida de abrir nuestras capacidades a todos. De democratizar el acceso a todas nuestras capacidades a todos los creadores de tecnología digital. No solo para los que son lo suficientemente grandes como para hacer proyectos a medida con todas las "telcos".

Al final, nosotros estamos invirtiendo transformar nuestras capacidades de red. En desplegar fibra, 5G SA, en llevar fibra hasta la habitación, en poner Edge Computing, en desplegar WiFi 6, en utilizar de manera eficiente el espectro, en desplegar CDNs, plataformas IPTV, en tener pasarelas de Carrier Billing que usan las grandes compañías, etc... pero están lejos de poder ser utilizadas por todos. 

Tan sencillo porque son proyectos hechos a medida con integraciones B2B que requieren equipos de negociación por parte de cada una de esas empresas, negociaciones, firma de contratos... y no todas las startups, no todos los creadores digitales tienen ni el tiempo, ni la escala, ni la capacidad de hacer eso.

El siguiente es un ejemplo de capacidades disponibles para empresas solo vía proyectos ad-hoc. Es un caso de Remote Driving que configuramos para una demo en el Mobile World Congress. Se trata de una configuración con fibra hasta el stand, que luego lleva una red con calidad garantizada usado Network Slicing, un nodo de Edge Computing en el circuito, y una plataforma de gestión de IoT usando 5G hasta el coche. Tecnologías que estamos desplegando, pero que para consumirlas hay que hacer proyectos hechos a media. Y queremos democratizar el acceso a ellos para que sea tan fácil como configurar y consumir bajo demanda.

Figura 2: Remote Driving con  IoT - Fibra - Network Slicing - Edge Computing - IoT - 5G

Por eso, nuestra visión es que tenemos que abrirnos. Tenemos que democratizar el acceso a nuestros servicios B2B especializados a todos los creadores de tecnología. Ahora en nuestra industria trabajamos con Google en PoCs con Android y Network Slicing, tenemos a Netflix o Prime Video integrados en nuestra plataforma de IPTV, en nuestras CDNs, tenemos a TikTok o Youtube en acuerdos de Carrier Billing, y así infinidad de ejemplos, pero la gran mayoría, son empresas lo suficientemente grandes como para lidiar con proyectos a medida. Pero no todos tienen esa capacidad.

Y por esto tenemos que abrirnos. Abrirnos a todos los desarrolladores. Democratizar el acceso a todas las capacidades que creamos en Telefónica para que sean fácilmente accesible por todos. De una manera sencilla, asequible y rápida. La idea, por tanto, es APIficar todas nuestras capacidades, ponerlas disponibles a los desarrolladores a través de los markets de desarrolladores habituales, y que sean consumibles en "one single line of code". Y es un proyecto precioso que viene del área de innovación, del área de red, y en el que la compañía está volcada en cuerpo y alma. 

En el siguiente vídeo puedes ver en acción otro proyecto Ad-Hoc para demostrar la potencia de la red en experiencias inmersivas. En este caso soy yo montando en bicicleta, pero yo no veo el mundo con mis ojos. Lo veo a través de unas gafas de VR. En este caso, el caso lleva una webcam donde yo debería tener los ojos. Captura la imagen, y la envía por 5G a un nodo que tiene un modulo de Edge Computing. Allí se digitaliza la imagen enviada por la Webcam y se transmite digitalizada en streaming a mis gafas de VR. Y lo hace con tan baja latencia que yo soy capaz de montar en bicicleta con esta latencia. 

Figura 3: Virtual Biking con VR - 5G - Edge Computing

El disponibilizar las capacidades que estamos desplegando en nuestras redes a todos los creadores de tecnología para que creen los servicios digitales del futuro, usando las capacidades que deseen bajo demanda, personalizando la experiencia que sea mejor en cada momento es algo que nos permitirá ver más innovación, desde más rincones del mundo, y de forma más acelerada.

Sabemos que es un reto ambicioso, que llevará tiempo, pero poder democratizar el acceso a nuestras capacidades para que un desarrollador, una startup, una empresa que está creando un nuevo servicio digital pueda probar, utilizar, y construir sobre nuestras inversiones sin necesidad de tener que pasar por un proceso ad-hoc, es algo que nos motiva y nos parece el camino natural de nuestro sector. Ser una capacidad al servicio de los creadores de futuro.

Al final, llevamos años creando nuestra plataforma Kernel (Codename "4ª Plataforma") donde hacemos esto mismo para todos nuestros servicios digitales. Una capa que nos ha permitido disponibilizar las capacidades de la empresa para nuestros servicios digitales, y ahora vamos a utilizarla para llevar las capacidades de la red, y de nuestros sistemas a todos los desarrolladores, abriéndola al exterior. Permitiendo que todas las inversiones que hacemos en nuestras infraestructuras sean para todos los que quieran construir sobre ellas, sin necesidad de tener que pasar por procesos complejos. Que lo hagan igual que lo hacen para consumir servicios en Cloud Computing.

La Cloud, por supuesto. Algunos mensajes que hemos leído parecían decir que este proyecto era para competir con la Cloud. Pero nada más lejos de la realidad. De hecho este es un proyecto que cuenta con la Cloud como proveedor, como partner y como cliente. Es decir, trabajamos con las plataformas de Cloud Computing para desarrollar nuestras capacidades, creemos que las capacidades de NaaS deben estar disponibles a través de los markets de las plataformas de Cloud Computing, y creemos que muchos de los servicios de Cloud Computing se podrán beneficiar y ser mejores gracias a utilizar nuestras capacidades.

Mi hija me ha dicho:”¡Papá, no rompas la nube!” Y le he tenido que explicar que no voy a romper ninguna nube. “Al contrario, si tu padre adora jugar con las nubes. ¡Con todas ellas!” Así que no os asustéis que nadie va a acabar con ninguna nube, y menos yo, que me gustan mucho. pic.twitter.com/1bB1uVPQEZ

— Chema Alonso (@chemaalonso) February 6, 2023

No, no es un proyecto para acabar con la cloud. Y sí, vemos que tenemos que construir nuestras capacidades como si fueran un superordenador donde los desarrolladores puedan jugar, puedan innovar, puedan construir tecnología. Construir los servicios digitales. Usar Edge Computing, las plataformas de identidad, de datos, Carrier Billing, las modernas capacidades de 5G SA, el Network Slicing, nuestras plataformas de IPTV, nuestra CDN, y lo que estamos trabajando en Web3. 

Pero es un camino muy largo, y estamos solo al principio, así que será todo un viaje en el que estamos muy motivados como compañía. Y lo mejor,...imagina si todos los operadores de telecomunicaciones en el mundo nos ponemos de acuerdo para hacer lo mismo de forma que un desarrollador al enchufarse a la "Red" de una operadora pudiera conectarse a la "Red" de todas las demás, teniendo así acceso a miles de millones de potenciales usuarios con servicios avanzados en todo el mundo. Ya no sería necesario tener que lidiar con la complejidad de tantas integraciones ad-hoc y sería más fácil innovar en todo el mundo.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

¿Cómo deben ser las redes de datos "Metaverse Ready"? 5G, WiFi6, FTTH/FTTR, Edge Computing y Programables

Uno de los temas a los que prestamos mucha atención en nuestro Metaverse Day 2022 de Telefónica fue a explicar cómo deben ser las redes de datos que debemos construir para poder dar soporte a las necesidades de latencia, ancho de banda, capacidad de computo, escalabilidad y capacidad de configuración para que los servicios digitales puedan crear nuevas experiencias en el Metaverso.

Figura 1: ¿Cómo deben ser las redes de datos "Metaverse Ready"?

5G, WiFi6, FTTH/FTTR, Edge Computing y Programables

Como podéis ver en el siguiente esquema, estas redes "Metaverse Ready" se basan en tres pilares fundamentales que tienen que ver con:

• Redes de baja latencia y gran ancho de banda: Para eso, las redes que estamos desplegando, ya sean fijas, móviles o inalámbricas, se basan en tecnología WiFi 6 en el hogar, Fibra hasta el hogar (FTTH "Fiber to the home"), Fibra hasta la habitación (FTTR "Fiber to the room"), y 5G Stand-Alone. Estas son las tecnologías del futuro que nos deben dar el máximo de ancho de banda y el mínimo de latencia en todas las conexiones.

• Edge Computing: La apuesta por poder desplazar la computación en el borde es fundamental, para poder evitar la latencia hasta el Data Center o la Cloud, y para poder descargar la necesidad de cómputo del dispositivo de end-point a un nodo de Edge Computing en la antena.

• Redes Programables: En este caso la softwarización/clooudificación de funciones de red con SDN ("Software-Defined Networks"), las arquitecturas de OpenRAN, la APIficación de las capacidades de la red, y la posibilidad de poder configurar de forma programática en tiempo real las necesidades de red por cada conexión de cada cliente.

Figura 2: Tres pilares para las redes de datos Metaverse-Ready

Con estas tres capacidades, el número de experiencias en servicios digitales que se pueden crear crecen exponencialmente. Y en el evento hablamos de tres pruebas que hicimos en su momento para demostrar las capacidades de las experiencias que se pueden hacer, de las que yo probé un par de ellas.

Montar en bicicleta en el mundo real con gafas de VR

Esta prueba de concepto la realizamos a lo largo de La Vuelta Ciclista a España hace unos años, y en ella se utilizaban: 

• Webcam: El casco que lleva el ciclista lleva una cámara que va grabando lo que hay delante del ciclista.

• 5G: El raw de la grabación de la webcam se envía a una antena 5G donde hay un nodo de Edge Computing.

• Nodo de Edge Computing: Su misión es procesar la señal de la webcam digitalizando lo que hay delante del ciclista y enviarlo de vuelva, vía 5G, a unas gafas de VR que lleva el ciclista.

• Gafas de Realidad Virtual: En ellas, el ciclista ve el mundo digitalizado.

Como os podéis imaginar, para que una persona pueda montar en bicicleta viendo el mundo a través de unas gafas de realidad virtual que muestra la imagen capturada por una webcam, transmitida vía 5G y procesada en el Edge Computing, la latencia debe ser mínima. 

Figura 3: Montando en bicicleta con gafas de VR gracias

a la tecnología 5G y los nodos de Edge Computing

Yo lo probé en dos escenarios, en el escenario de bicicleta, y en el menos peligroso escenario de un cochecito, y en ambos funcionaba perfectamente y podías acostumbrarte a moverte por el mundo físico, aunque vivieras en un espacio de Realidad Virtual.

Figura 4: Conduciendo un coche con gafas de VR gracias

a la tecnología 5G y los nodos de Edge Computing

En ambos casos son dos escenarios de lo que hoy llamamos "Mixed Reality" donde se mezcla el mundo físico y el mundo digital de forma natural, permitiendo, por ejemplo, poner datos en las gafas de VR de velocidad, rutas, visión mejorada, etcétera.

Conducir remotamente un vehículo

Otra de las pruebas que demuestra el tipo de tecnologías que necesitamos para las experiencias que queremos realizar, fue la prueba de concepto del MWC de 2017, donde configuramos un entorno de conducción remota desde el stand de Telefónica con el Circuito de Montjuic. El montaje contaba con:

• Fibra desde el stand a Internet: Para conseguir que la salida a Internet fuera lo más rápido posible de los movimientos del volante y pedales de conducción que tenían lugar en el stand de Telefónica.

• Network Slicing: Reserva de calidad de red entre la conexión del Stand de Telefónica y la antena 5G a la que se conectaba el coche en el circuito.

• Nodo de Edge Computing en circuito: Para digitalizar la imagen que enviaba el vehículo en el circuito con la webcam y enviarla digitalizada de vuelta al stand.

• Conexión 5G: Entre el coche del circuito y la antena de Edge Computing para reducir al máximo la latencia.

Con esta combinación de tecnologías se podía conducir remotamente un vehículo que se encontraba a decenas de kilómetros con calidad suficiente como para navegar por obstáculos que se encontraban en la pista de conducción.

Figura 5: Conducción remota gracias a las tecnologías de

Fibra, Network Slicing, Edge Computing y 5G

Con estas tecnologías, en el mundo del Metaverso, podremos disfrutar de experiencias nuevas, inmersivas, masivas, en tiempo real, y calidad suficiente para crear todos los nuevos servicios digitales de los que estamos hablando hoy en día. Pero como os podéis imaginar, hay mucho que invertir, desplegar y crear aún para que lleguemos a ese Metaverso, del que por ahora solo tenemos pequeñas muestras de lo que puede llegar a ser.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

Road to Innovation Day 2020: Ven a ver en lo que estamos innovando

Ya os he contado que para mí es muy importante tener tres cosas en cualquier proyecto: Delivery, Deadline & Difusión. O lo que es lo mismo, sacar los proyectos adelante, tener fechas que cumplir en el lanzamiento de los proyectos, y contar lo que estás haciendo para que la gente pueda conocerlo, usarlo o darte ideas para mejorarlo. Es una regla personal, pero desde que estaba en Informática 64 la he llevado a rajatabla, y por supuesto, la seguí llevando con ElevenPaths y el Security Innovation Day, con LUCA y su BigData & AI Innovation Day, y con los equipos de 4P, Aura, Movistar Home y Living Apps en el Mobile World Congress año tras año.

Figura 1: Road to Innovation Day 2020: Ven a ver en lo que estamos innovando

Tener fechas que no se pueden cambiar en el calendario es una forma como otra cualquiera de llevar el tempo de trabajo en los proyectos. Es como si fuera un sprint anual de los equipos, igual que tenemos las reuniones diarias en cada proyecto, los comités de dirección cada semana, los comités ejecutivos cada mes, las fechas de Code Complete o las de QA Complete para poder poner un proyecto en una venta de producción a disposición de los clientes. Todo es cuestión de tempo y ritmo para conseguir que las cosas avancen en la dirección adecuada.

Figura 2: Primera parte de la agenda del Innovation Day

Y los días de los eventos son días de puesta de largo. Días en los que queremos contar todo el trabajo que hemos estado haciendo entre bambalinas. Detrás de la cortina durante un año. Y ese día invitamos a clientes, compañeros, amigos, socios, analistas y medios a que vengan a ver nuestro trabajo durante todo el año. Por eso, hace poco tuvimos el Security Innovation Day de ElevenPaths, el día 12 de Noviembre tenemos el evento de Hogar Digital, y, como no podía ser de otra manera, las unidades de innovación tienen su fecha para el día 19 de Noviembre en el Innovation Day 2020.

Figura 3: Irene Gómez (Connected Open Innovation) y David del Val (Core Innovation)

En este día vamos a juntar cosas que hemos estado haciendo en las unidades de Connected Open Innovation y Core Innovation. Así, nuestra directora Irene Gómez, responsable de las unidades de Connected Open Innovation  donde se enmarcan Wayra, la unidad de Talentum, el equipo de Ideas Locas, las unidades de Venture Builder - donde se encuentra Deeder, por ejemplo -, los equipos de trabajo con los hubs de innovación, y la unidad de prototipado para conectar las startups que tenemos invertidas con Telefónica, junto con David del Val, director de Core Innovation, donde se enmarcan los proyectos de Data Innovation, de Digital Studio, Network Innovation, Gaming, Didáctico, los equipos de Scientific Research y Edge Computing, además del nuevo Telefónica Tech Ventures powered by ElevenPaths, serán los anfitriones.

Figura 4: Segunda parte de la agenda del Innovation Day

Tendremos una agenda en la que estará lo mejor de nuestro equipo de innovación, con Miguel Arias, director de Wayra y alma de lo que hemos hecho en innovación abierta en Telefónica durante los últimos años y gran parte de su equipo. Con Guenia Gawendo que lidera el nuevo proyecto de Telefónica Tech Ventures powered by ElevenPaths, además de los directores de los principales proyectos de innovación en la casa en muchas de sus áreas.

Figura 5: Miguel Arias y Guenia Gawendo

Después de la charla principal, donde yo participaré unos minutos para contar algo de mi visión, y mi experiencia personal con la innovación, tendremos una serie de sesiones en paralelo para poder tener un recorrido más en profundidad con algunos proyectos. Además, participan ejecutivos de Telefónica que han sido "culpables" de hacer que la compañía se inunde innovación, como Pedro Pablo Pérez, CEO de ElevenPaths o Sergio Oslé director de Movistar+ en Telefónica de España. 

Hablaremos también del trabajo que hacemos en el equipo de Scientific Research e Ideas Locas en relación con las Fake News y reto que hemos lanzado que tiene como premio una beca Talentum. También hablaremos de los Activation Programs para las startups, como el programa que lanzamos para llevar sus experiencias a la plataforma de Living Apps. 

Figura 6: Beakout Sessions en el Innovation Day

No hemos querido que sea  un evento muy largo, a pesar de que hemos estado haciendo muchas, muchas, muchas cosas durante estos doce meses, pero se trata de que podamos contaros de forma amena qué hacemos y qué hemos hecho, para que si podemos hacer algo más juntos, o quieres conocer algo más de algún aspecto, puedas venir a estar con nosotros. En la web del evento, puedes reservar tu plaza registrándote desde ya, así que... nos vemos pronto.

Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso) - Consigue 100 Tempos en MyPublicInbox

Hacking Windows 10: Escalada de privilegios con CVE-2019-0841

Recientemente se ha liberado una PoC (Prueba de concepto) que implementa la escalada de privilegio descrita en el expediente CVE-2019-0841. Esta escalada de privilegio permite que un usuario pueda ejecutar código arbitrario, por ejemplo, a través de DLL Hijacking y ejecutar en el nivel de integridad de SYSTEM.

Figura 1: Hacking Windows 10: Escalada de privilegios con CVE-2019-0841

La vulnerabilidad se ha conocido por el nombre de “DACL Permissions Overwrite Privilege Escalation” y, si quieres saber más, la implementación de la prueba de concepto puede estudiarse y descargarse desde el siguiente Github.

Figura 2: GitHub con la PoC para estudiar

Con la vulnerabilidad un usuario sin privilegios o privilegios ‘bajos’ puede secuestrar archivos que son propiedad de NTAuthority\SYSTEM. Esto se realiza sobrescribiendo los permisos en el archivo destino, el que se quiere secuestrar. Cuando la escalada tiene éxito se obtiene un “Control Total” de los permisos para el usuario sin privilegio.

¿Dónde radica la magia?

En esta ocasión hay que hablar de que todas las aplicaciones de los sistemas Windows disponen de un archivo settings.dat. Este archivo es el que tiene la configuración de la aplicación. En otras palabras, es un registro que se puede cargar y modificar desde el propio registro.

Figura 3: Máxima Seguridad en Windows: Secretos Técnicos [4ª Edición]

Si eres de los que te preocupa por la tener fortificado al máximo tu sistema Windows, seguro que es un viejo amigo. En el libro de "Máxima Seguridad Windows: Secretos Técnicos [4ª Edición]" de nuestro compañero Sergio de los Santos (@ssantosV) sale en varios capítulos.

Este archivo del que hablamos es muy importante, y hay que tener en cuenta que en el momento en el que arranca una aplicación en Windows, el archivo settings.dat es utilizado por NTAuthority\SYSTEM. Esto es algo interesante, sin duda. En este punto al investigador que descubrió la vulnerabilidad le surge una nueva pregunta, ¿cómo se puede hacer un abuso de este acceso privilegiado a archivos?

Figura 4: Paquetes instalados en un Windows 10

El investigador se centró en el archivo settings.dat de Microsoft Edge. Cada paquete tiene un archivo settings.dat. Una vez que arranca dicho paquete o aplicación en Windows, el sistema realizará una operación OpLock o bloqueo exclusivo, con el objetivo de evitar que otros procesos utilicen o accedan a la información de ese archivo mientras se está ejecutando la aplicación.

Figura 5: Settings.dat de Microsoft Edge

En el caso de la PoC (Prueba de Concepto), cuando se arranca Microsoft Edge, el archivo settings.dat se abre como NTAuthority\SYSTEM. Una vez la aplicación es ejecutada y el archivo es abierto, se realizan algunas verificaciones de integridad:

1. Se comprueban los permisos de los archivos
2. Si los permisos son incorrectos, se corrigen los permisos de los archivos
3. Se lee el contenido
4. Si el contenido está corrupto o dañado se borra el archivo
5. Se restablece la configuración copiando el archivo, el cual sirve de plantilla, que se encuentra en C:\Windows\System32\settings.dat.
6. Se obtiene el bloqueo exclusivo en el archivo recién copiado
7. Se continua con la ejecución de la aplicación de Windows.

En resumen, si el fichero settings.dat no es considerado válido, Windows lo elimina y copia la plantilla que está almacenada en una ubicación protegida. De esta forma se evita el abuso, a priori. Pero no estamos aquí con un post que busca ampliar nuestros conocimientos de Hacking Windows para dejarlo aquí. Y vamos a verlo.

Figura 6: Libro en 0xWord de Hacking Windows:
Ataques a sistemas y redes Microsoft

El investigador se dio cuenta que se puede utilizar este comportamiento para establecer los permisos en ‘cualquier’ archivo mediante el uso de enlaces físicos. El objetivo ahora será crear enlaces duros a archivos dónde queremos tener un “Control Total” como usuario no privilegiado o usuario regular.

Explotándolo

Se sabe que los permisos de archivos establecidos en un enlace duro darán como resultado cambios en el archivo original. A continuación, se va a mostrar un ejemplo de cómo secuestrar un archivo. Para el ejemplo, el investigador optó por utilizar el fichero HOSTS. Un usuario normal no tiene acceso de modificación a este archivo, tal y como se puede ver en la imagen.

Figura 7: Modificación no disponible para usuarios no privilegiados

El investigador Nabeel Ahmed ha escrito un exploit que automatiza el proceso de creación de un enlace físico y provocar que la vulnerabilidad se desencadene. No es más que llevar a cabo lo que se ha ido explicando en los pasos anteriores. A continuación, se muestra el paso a paso del proceso.

¿Cómo funciona el exploit?

El exploit tiene el siguiente funcionamiento:

1. Primero verificará si el archivo settings.dat existe o no. Además, si éste existe, verificará los permisos. Si se utiliza la aplicación Microsoft Edge se parará la ejecución del proceso, en el caso de que esté en ejecución. Con cualquier otra aplicación ocurriría igual. Lo interesante es asegurarse de que se utiliza una herramienta que esté por defecto en el sistema, lógicamente.

2. Se buscará el archivo settings.dat y se eliminará para crear un enlace físico al archivo específico. En este caso al archivo HOSTS. En este paso es dónde se puede hacer el vínculo con cualquier archivo, por lo que, pensemos en un DLL Hijacking de una DLL que tenga nuestro código con un Meterpreter o con lo que sea.

3. Re-arrancar la aplicación. Una vez es creado el enlace físico, se vuelve a arrancar la aplicación, en este caso Microsoft Edge. Se desencadena la vulnerabilidad. Por último, hay que verificar si el fichero destino tiene permisos de “Control Total” para el usuario sin privilegio, lo que al principio no teníamos.

En la siguiente imagen publicada por Nabeel Ahmed se puede ver el resultado final después de lanzar el proceso que implementa el exploit de manera completa y con éxito en un sistema operativo Microsot Windows 10 vulnerable.

Figura 8: Exploit ejecutado con éxito

Además, se puede disfrutar de un video en el que se muestra la ejecución de una DLL, mediante técnica de DLL Hijacking y haciendo uso de la aplicación de actualización del navegador Google Chrome. Más que interesante.


Figura 9: DACL Permissions Overwrite Privilege Escalation (CVE-2019-0841) PoC using Google Chrome
Interesante técnica que seguramente abrirá puertas en los Ethical Hacking, por lo que habrá que ver cómo se reacciona ante esta vulnerabilidad. Los equipos de IT tendrán trabajo.

Autor: Pablo González Pérez (@pablogonzalezpe), escritor de los libros "Metasploit para Pentesters", "Hacking con Metasploit: Advanced Pentesting" "Hacking Windows", "Ethical Hacking", "Got Root" y “Pentesting con Powershell”, Microsoft MVP en Seguridad y Security Researcher en el equipo de "Ideas Locas" de la unidad CDO de Telefónica.

(Cross)Browser Fingerprinting via OS & HW Level Features

El mundo del Web Browsing fingerprinting es una disciplina que se ha desarrollado mucho durante los últimos años. El poder garantizar que un usuario es un usuario concreto y que es el mismo que estuvo mirando algo en otro sitio es una pieza clave dentro del mundo de la monetización de los datos. Para ello, lo que intentan todos los investigadores de estas disciplinas es estudiar al máximo al huella digital de tu conexión.

Figura 1: (Cross) Browser Fingerprinting via HW & OS

Conocer todos los patrones de ti que te hacen ser tú y poder reconocerte bajo cualquier situación y en cualquier lugar en el que estés navegando. Los trucos para crear tu huella digital son algunos muy conocidos, otros no tantos. Desde mirar todas las características del navegador, hasta mirar el comportamiento de la batería de equipo.

Figura 2: Mozilla Firefox quitó el acceso a Battery Status desde HTML5

Tanto es así, que hasta Firefox cortó el acceso de las funciones de consulta de la batería desde HTML5. Toda información que se pueda conseguir desde el navegador puede servir para identificarte y puede convertirse en algo que utilicen para monitorizar tus movimientos a través de diferentes sitios web.

Figura 3: Cross Browser Fingerprinting via OS and HW Level Features

Cada cierto tiempo salen nuevas formas de identificar propiedades del navegador - como este trabajo con los códigos de estado HTTP -, de generar una supercookie con algún leak de información, o de hacer que la cookie sea persistente de una forma u otra. Nosotros también estuvimos jugando con esto, y publicamos un trabajo hace mucho tiempo en Informática 64 sobre cómo usar los códigos de error de algunas funciones JavaScript para identificar el navegador. Todo por identificarte de la mejor forma posible. 

Figura 4: Resumen (no actualizado) de algunas técnicas de Webbrowsing fingerprinting utilizadas

Ahora, unos investigadores han ido un poco más lejos y han creado un conjunto de pruebas aprovechando WebGL para forzar al navegador a hacer llamadas que se ejecuten directamente en el hardware.

Figura 5: Forzado de figuras con WebGL que dependen del HW y el OS

Estas pruebas de dibujo, renderización de imágenes y materiales, se ejecutan directamente en las tarjetas gráficas y se ven afectadas por el tipo de hardware que tengan en ellas y el sistema operativo que las gestiona, así como de la potencia de la CPU del equipo. Es decir, la implementación del estándar WebGL en el navegador (ya sea Google Chrome, Firefox o Microsoft Edge) no incide en los cálculos que se obtienen en cada prueba.

Figura 6: El código del (Cross) Browser fingerprinting en GitHub

Esto quiere decir que cada prueba se puede hacer desde diferentes navegadores en el mismo hardware y se obtienen los mismos resultados, lo que lleva a que el Fingerprinting de un cliente web no se haga sobre el navegador, sino sobre el hardware y que si un mismo usuario se conecta con dos navegadores distintos, al final pueda ser identificado de igual forma.

Figura 7: Proceso de identificación de "huellas digitales" por medio de tareas de rendering

Esto no quiere decir que haya que dejar de hacer el resto de los cálculos de WebBrowsing Fingerprinting - ni mucho menos - sino que añaden un conjunto de pruebas que permite a las empresas que se dedican a esto la posibilidad de generar un parámetro más en la identificación de los usuarios basado en el equipo de conexión.

Figura 8: Big Data y Privacidad

Al final, cuando te conectas a Internet, el que te puedan identificar de una forma u otro es algo ya maduro y difícil de parar y en esta charla sobre Big Data y Privacidad hablé de esto tiempo atrás, por si quieres saber más de ello.

Saludos Malignos!