¿Qué se necesita para tener seguras las identidades digitales en la empresa?

La semana pasada un amiguete y compañero de profesión me hizo esta pregunta: "¿Que necesitaría para tener seguras las identidades digitales en mi empresa?" ¿Necesitaríamos invertir más en Soluciones de Gobierno de la Identidad, de Gestión de Cuentas Privilegias, Control de Acceso, CIAM, Multifactor Authentication? ¿O sería conveniente que empezáramos a mirar soluciones de ISPM (Identity Security Posture Management) o ITDR (Identity Threat Detection and Response)?

Figura 1: ¿Qué se necesita para tener seguras

las identidades digitales en la empresa? 

Una pregunta de muñeca rusa, donde una pregunta lleva a otra y a otro. Para responderle fácilmente, y comenzar la conversación con un poco más de contexto, la respondí cariñosamente que eso dependerá de los resultados de la Evaluación de Riesgos. Así que si ya tenía una duda, yo le acababa de meter un nivel más de complejidad, que hizo que se le quedara cara de sorprendida.

Figura 2: Open Source INTelligence (OSINT): Investigar personas e Identidades en Internet 2ª Edición de 0xWord, escrito por Vicente Aguilera y Carlos Seisdedos

Hay que tener en cuenta que no en todas las organizaciones, los departamentos que gestionan la Seguridad de las Identidades Digitales, están integrados en el área de seguridad, y en muy pocos se realiza una evaluación de riesgos más o menos formal para concluir los controles a implementar en base a los riesgos identificados.

Riesgos de Seguridad de la Gestión de Identidades

Seguidamente la invite a reflexionar de manera una poco más profunda, y estuvimos comentando los escenarios riesgos principales que afectan a la Gestión de Identidades Digitales y que controles mitigantes en formato de soluciones de seguridad de la identidad sería conveniente implementar en base a los mismos:

• Leavers: Casos frecuentes de personas que abandonan la compañía y cuyas cuentas de acceso a la organización no se desactivan a tiempo - o nunca- o usuarios que cambian de departamento y arrastran sus permisos de acceso a sistemas. En este caso deberíamos priorizar una herramienta de Gobierno de Identidades Digitales.

• Cuentas Privilegiadas Sin Control: Administradores de sistemas o aplicaciones que mantienen el acceso privilegiado asignado de manera permanente y no se monitoriza / controla cómo usan sus privilegios. En este caso deberíamos priorizar la implementación de una solución que nos permita movernos a un escenario de Zero Standing Privileges (ZSP) y que asigne los permisos de administrador durante el tiempo que se necesiten para realizar la tarea administrativa y siguiendo el flujo de aprobación necesario.

Figura 3: Demostración de Robot de Tokens OAuth de identidades

También dependiendo del escenario podría ser conveniente implementar una solución que haga grabación e indexación de sesiones como las que aportar los Privileged Access Manager (PAM) tradicionales, aunque de manera generalista no es algo que, a mí personalmente, me guste del todo, ya que la telemetría que ofrecen hoy en día los End-Point Detection & Response (EDR) es suficiente en la mayoría de los casos para tener un tracking que nos permita identificar cómo los administradores utilizan sus permisos administrativos.

• Acceso con una autenticación débil: Tanto a aplicativos como a servicios expuestos en Internet - e incluso que no están expuestos en Internet hoy en día 😊 -. En este caso los  Identity Providers (IDP) que la mayoría de las empresas tienen, como pueden ser Azure AD o Google IDP, ya tiene capacidades más que suficiente para proveer una autenticación robusta, pero claro hay que configurarlos bien. Sin embargo, hoy en día una autenticación con usuario y contraseña + un Multi-Factor Authentication (MFA) compartido por SMS es algo que se nos queda un poquito cortito en cuanto a seguridad.

Figura 4: Las Yubikeys para gestión de Passkeys

Por lo tanto deberías abogar por implementar Passkeys en la medida de los posible, y ya de paso, quitamos a los usuarios el dolor de las passwords añadiendo unas políticas de acceso condicional que tengan una inteligencia mínima que haga que el sistema sea capaz de reaccionar frente amenazas del sistema de autenticación como puede ser cambios de ubicación imposibles o un usuario que se autentica con una parámetros que difieren bastante de sus comportamientos, tales como horarios y localizaciones de login.

• Riesgos asociados con las identidades de Business Partners: Ya sean clientes, proveedores, o fabricantes, que consumen servicios digitales que provee la empresa. En este caso sería conveniente contar con un Customer Identity & Access Management (CIAM) que nos permita unificar la experiencia de usuario en su proceso de autenticación, aportando seguridad y reducción fricción, así como asegurar el cumplimiento a normativas que puedan ser aplicables como el Reglamento General de Protección de Datos (RGPD) y tunear la experiencia del usuario

• Riesgo de Fraude debido a Conflictos de Segregación de Funciones: o dicho de otra de manera  más sencilla con un par de ejemplos, que el mismo usuario tenga permisos para hacer las nóminas y liberar los pagos, o que el mismo usuario tenga permisos para crear solicitudes de pedidos de compras y aprobar la mismas. 

En este caso necesitaremos una solución de estilo  Government Risk & Compliance (GRC) que nos permita controlar conflictos de segregación de funciones, idealmente de manera proactiva, y que sea multi aplicación, es decir, que no se limite a los permisos de una sola aplicación, como el ERP. Esto es algo que algunas herramientas de Gobierno de Identidades proveen, y también, obviamente, existen soluciones dedicadas a mitigar este tipo de riesgos

 

No creo que sea necesario seguir con más ejemplos, entiendo que con estos cinco casos se ve bastante bien que los riesgos que se busquen proteger en la gestión de identidades deben priorizar la decisión sobre que tecnologías debes implantar. Como habéis visto, además, no he querido tirarme al barro del riesgo relacionado las Non-Human Identities - y las tecnologías de seguridad para las Non-Human Identities -o las Identidades de Agentes IA, ya que estos actúan en nombre del usuario, o con su propia identidad, por lo que se debe tener en cuenta que los mismos van a trabajar en base objetivos y no de manera determinista, por lo tanto sus permisos es fácil que necesiten cambiar mientras estás realizando una tarea.

Figura 5: Identidades NO Humanas (NHI "Non-Human Identities").

La Gestión de un Riesgo de Seguridad Emergente

Esto seguro que nos da para otro artículo dedicado, aunque si me gustaría mencionar que esto a día de hoy es un riesgo relevante real, principalmente para organizaciones mas avanzadas tecnológicamente hablando (por supuesto que llegará al resto). Esta es una categoría que aún está siendo construida - no olvidéis que el primer Agentic AI lo vimos en diciembre de 2024, con lo que llevamos menos de un año y medio con los agentes, y empresas como Cloudflare están construyendo arquitecturas de referencia para la gestión de la seguridad de estas identidades.

Figura 6: Arquitectura de MCP Security en Cloudflare

Como conclusión, me gustaría resaltar la importancia de definir un roadmap de trabajo dentro del Plan Director de Seguridad con todas las iniciativas relacionadas con la Seguridad de Identidades en base a los riesgos que necesitemos mitigar. Y por supuesto, que seamos conscientes de que la seguridad de la identidad digital en muchas ocasiones (cada más) es la única capa de defensa, por lo tanto debemos tomarnos muy en serio esta labor, e implementar las medidas de protección pertinentes hasta llevar el nivel de riesgo a ratios aceptables para nuestra organización. O atente a las consecuencias.

Saludos,

Autor: Samuel López Trenado, especialista en Gestión de Identidades Digitales

Contactar con Samuel López Trenado

Cómo exportar tus TOTPs de Latch a Google Authenticator

Si eres uno de los cientos de miles de usuarios de Latch, probablemente ayer recibirías un mensaje que te avisaba que el producto lo van a poner en un Phase-out, así que debes especialmente salvaguardar tus TOTPs, exportando desde tu cuenta en la Cloud de Latch todas las semillas de tus 2FA para que no se te quede ninguna cuenta bloqueada sin acceso a ellos.

Figura 1: Cómo exportar tus TOTPs de Latch a Google Authenticator

Como recordaréis, esta era una de las características que tenía Latch con el Cloud-TOTP, y que evitaba la pérdida de las semillas y el bloqueo de cuentas cuando se perdía el 2FA, por ejemplo, con apps como Google Authenticator que - por seguridad - guardaban las semillas en la zona segura del terminal móvil. Tiempo después, Google Authenticator siguió la misma propuesta que Latch, y comenzó a guardar las semillas en la Cloud, y hoy en día lo hace igual que lo hace Latch, así que puedes exportarlas allí perfectamente. 

Figura 2: Mensaje de entrada en Phase-out de Latch

Una de las cosas que esperemos que Google Authenticator añada pronto es el log de visualización de los Tokens TOTP que te permite saber si alguien ha iniciado al 2FA accediendo con información de tu app de 2FA o no, pero seguro que en el futuro tendremos esa opción.

Figura 3: Guía de exportación de TOTPs de Latch

Para hacer el proceso de exportación, el equipo de Latch ha publicado una guía muy sencilla paso a paso para que exportes desde una nueva función de la app que añadieron en las últimas versiones justo para Exportar los TOTP que tengas en el servicio de Cloud-TOTP de Latch. Yo lo he hecho y funciona perfectamente, y he pasado todos los 2FA literalmente en 1 minuto.

Figura 4: Opción de Export TOTPs to another authenticator

Para empezar debes irte a las Settings / Configuración y seleccionar la opción que veis remarcada de "Export TOTPs to another Authenticator" y comenzará el asistente que te guiará en pocos pasos para tener un fichero con todos los QRCodes que necesitas para migar los 2FA a, en mi caso, Google Authenticator.

Figura 5: Seleccionar TOTPs a exportar

En la siguiente fase del proceso debes seleccionar los que te interesan exportar, y si quieres todos, pues haces clic en "Select all" y listo. Confirmas la selección y exportas las semillas de todos tus TOTPs en forma de QRCodes.

Figura 6: Tokens exportados y QRCodes

Una vez terminado, tienes la opción de "Compartir / Share" para enviarte el fichero con todos los QRCodes. a donde quieras, que luego lo puedas escanear bien. En mi caso lo he pasado mi equipo y lo he abierto allí en el monitor, para ver un QRCode por cada página. El resto, es ir a Google Authenticator, darle al "+" abajo a la derecha, y seleccionar "Scan a QRCode".

Figura 7: Google Authenticator - TOTPs en la Cloud de tu cuenta Google

En un minuto literalmente tendrás todos tus 2FA Cloud-TOTP almacenados en tu cuenta de Google, y podrás visualizarlos desde Google Authenticator. Si miras arriba a la derecha verás un icono que muestra que Google Authenticator está conectado a tu almacenamiento en Cloud, donde se están las semillas. 

Figura 8: FaceID + Exportación e Importación de cuentas

Por último, dos opciones más de Google Authenticator, una para proteger con FaceID la app, que se hace desde las Settings / Configuración que tienes en el menú superior izquierdo de la pantalla principal, y la opción de Exportar e Importar la cuenta completa con todos los QRCodes entre cuentas de Google. No es exactamente el mismo proceso, pero te permitirá llevarte tus 2FA a otra cuenta si lo deseas en el futuro. Goodbye Latch... qué buenos momentos me llevo con la creación de Latch y lo importante que fue para la construcción de nuestro querido "unicornio" ElevenPaths, pero 12 años después, el mundo ha girado mucho. 

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

¿Alucinaciones de IA por no reconocer la ficción?

¿Todas las alucinaciones generadas por IA son aleatorias, surgidas de carencias de datos, o puede que en su afán de darte una respuesta satisfactoria tiendan a malinterpretar algunos datos que sí estaban en su entrenamiento? En cuyo caso... ¿estarán ya aprendiendo a interpretar mejor? ¿Entenderán el humor y el sarcasmo? ¿O serán como Sheldon Cooper y se lo tomarán todo literal?

Figura 1: ¿Alucinaciones de IA por no reconocer la ficción?

No soy Maligno, soy María Gómez Prieto, hola qué tal ^_^. Hoy te traigo una dosis de especulación gratuita... Y te cuento mis sospechas. ¡Chan chan chánnn! (música de Ironside).

* TenYears Ago *

Octubre de 2014. El equipo de ElevenPaths busca developers para desarrollar plugins para Latch - ahora está abierto también el concurso  que han extendido el plazo-. Se reúnen. Debaten. Brainstorming. Una idea. Un concurso. Promo. Un vídeo molón. Graban, editan, montan gráficos...


Figura 2: Chema's Ocean's Eleven: Gana 10.000 USD
* Nine Years Later *

Noviembre de 2023. Chema Alonso trastea con Bard, la inteligencia artificial de Google. Bard genera una alucinación respecto a un “supuesto pasado penitenciario” que en realidad nunca sucedió. Que quede claro: Chema Alonso nunca ha estado en la cárcel.

Figura 3: Google Bard dice Chema Alonso ha estado en la cárcel

* One Year Later *

Septiembre de 2024. Estábamos bromeando, que si córtate el pelo y búscate un trabajo, como dice el libro de Rafa J. Vegas, que si de jóvenes estos llevaban el pelo más largo que yo, que ya es decir... Y entonces Pablo Álvarez a.k. "Penko" para un proyecto nos pasó, como documentación de su guapísima melena, el vídeo del canal de Chema Alonso. Y ahí se dispararon todas mis alertas.

Figura 4: Córtate el pelo y búscate un trabajo de Rafa J. Vegas

¡Ahá! Me dije con el dedito en alto. Y así me quedé, paralizada, mientras hileras de preguntas caían a scrolldown tras mis córneas. Muchas preguntas... En noviembre de 2023, ¿Bard consumía vídeos y/o sus derivados: descripción, comentarios, reposts, retweets, comentarios en redes, etcétera? Posiblemente sí. ¿No? ¿Sí? ¿No? Ok.

Una posible interpretación  

¿Bard en ese momento distinguía ficción de realidad? Lo dudo. Más que nada porque acabo de pasarle el enlace del vídeo a NotebookLM, sin más pistas para no condicionarlo y he generado un podcast a dos voces con Deep Dive y... ¡Chan chan chánnn! (más música de Ironside). NotebookLM de Google toma el vídeo como real, no percibe que es ficción. Lo curioso es que sí nota “algo raro” en la gramática. No sabe si son las prisas o algún tipo de mensaje oculto... Pero para nada piensa que pueda ser teatro. Oye campanas pero no sabe dónde, lo cual es bastante significativo. Transcribo y traduzco:

“La elección de palabras parece, no sé, apresurada. Casi como si estuviera intentando decir mucho con muy pocas palabras, como si tuviera prisa. […] Y tal vez no sólo lo que dice, sino cómo lo dice. ¿Y si el mensaje en sí es la clave, como la forma en que está escrito, incluso las capas gramaticales, tal vez sea algún tipo de código? […] Pero una cosa está clara: este Chema, sea quien sea, está jugando un juego peligroso.”

NotebookLM no escucha el vídeo, solo lee la transcripción. De hecho en este caso lee “lunch” en vez de “Latch” y no traduce “golpe”, con lo cual el resultado es bastante gracioso. Lo que no es nada gracioso es haber hecho un vídeo promo hace diez años y que ahora surjan alucinaciones así de locas... Aunque también puede que no haya ninguna relación. Aquí tienes la explicación en vídeo.

Figura 5: Chema's Ocean's Eleven & NotebookLM

El vídeo “Chema's Ocean's Eleven” es muy bonito, la gente que participó es muy guay... Y aquí me tienes diez años después, flipada en mi Golden Path de baldosas amarillas uniendo los puntos hacia atrás ^_^ 

Conclusión

¿Tú qué opinas? ¿Todas las alucinaciones son aleatorias, vienen de carencias de datos, o algunas surgen de datos mal interpretados? ¿Te ha pasado algún caso curioso? Por ejemplo, ¿te ha mezclado Grok en una foto varias personas en una? ¿Peor? Cuéntamelo aquí mismo o... ¡Nos vemos en el chat de este blog en MyPublicInbox! Chan chan chánnn... (qué groovy).

¡Saludos!

Autor: María Gómez Prieto

Contactar con María Gómez Prieto

Once Telefónico, Always Telefónico: Tras 4.750 días comienzo mi año 14 en la Gran Telefónica

Mirando hacia atrás en el tiempo tengo que guiñar mucho los ojitos míos que ya no funcionan como antaño para ver aquel ya lejano 1 de Febrero de 2012 cuando me dieron mi primera tarjeta de Telefónica. Una que me permitía entrar en el edificio de Gran Vía para poder subir a las instalaciones de Wayra comenzar a trabajar allí. Ha pasado mucho tiempo, pero sobre todo ha pasado mucha vida.

Figura 1: Once Telefónico, Always Telefónico.

 Tras 47750 comienzo mi año 14

Hoy comienzo el año 14 como Telefónico. Trabajando, como hago todos los días de mi vida, y con la sensación de haber disfrutado de hacerlo todos y cada uno de estos 4750 días - que son los que llevo contando con los cuatro años bisiestos vividos, los trece años anteriores y el día de hoy - de una manera intensa, especial y única.  

No todos los días han sido una fiesta de alegría, ni todos los días han sido un no dormir la noche antes, pero sí que ha habido muchos de todo. Y lo que sí que os puedo decir que nunca ha sido un día indiferente para mí. Cada día he tenido un reto muy difícil por delante, que Telefónica no se conforma con menos, un cambio de contexto, que la compañía está muy viva y no para de moverse en un mundo muy grande, y una nueva oportunidad de crear el futuro, que a Telefónica le late fuerte el corazón y no tiene miedo de ser pionera.

La vida siendo Telefónico es de todo menos ir a la oficina, echar las horas y volver. No en la Telefónica del siglo XXI que yo he vivido. Es ir a una compañía con alma que te enamora y te demanda lo imposible porque no se conforma con menos. Donde la tecnología es el corazón de lo que hacemos, y donde no se mira a lo que se ha conseguido, sino a lo que hay que conseguir. Ya pasó lo que conseguiste, tienes en el debe nuevas cosas que conseguir. Nuevas cosas que hacer. Innovar. Crear. Evolucionar. Nada de cuidar un jardín. Hay que hacer nuevos jardines.

Tener el privilegio de ser primero el Chief Data Officer y luego el Chief Digital Officer de una compañía como Telefónica desde el año 2016, y haber estado construyendo las plataformas que hoy dan soporte a los servicios y productos digitales de la compañía, ha sido un regalo espectacular en mi vida. Llevar los equipos de Kernel (codename:4th platform), de SmartWiFi, de Novum (Mi Movistar, Meu Vivo, My O2, Mi O2, Mein Blau, Mein O2, etc....), HaaC (Codename:Home as a Computer), Living Apps, plataforma de TV (OTT, IPTV, Movistar+, Vivo Play, Movistar Play, etc...), Aura (Codename:YoT), la plataforma de pagos, los productos de innovación como Movistar Tokens, Tu Wallet, Tu Latch, Movistar Home Connect, Tu Metashield, Tu VerifAI, Movistar Experiencia Inmersiva, Hellium, los proyectos de research, y sus soluciones de Quantum, las patentes de innovación, el equipo de Discovery, Wayra y las inversiones en startups desde las que ver el futuro un poco más cerca, iniciativas como Utiq o Aduna a nivel europeo, y el proyecto más ambicioso que he vivido nunca para cambiar la industria a nivel mundial, Open Gateway, que además surgió de una locura mía personal un día de hace tres años, es un premio grabado a fuego en mí.

View this post on Instagram

Yo y mi YOT }:)

A post shared by Chema Alonso (@chemaalonso) on Sep 20, 2017 at 3:01pm PDT

No solo tengo la suerte de llevar esas cosas tan chulas con gente tan especial, sino que además disfruto de meter las manos en la arcilla y moldear la base o partes de ellos. Dibujar la 4th Plataforma en 2016 en un papel, y verla hecha en 2019, dibujar en la pizarra cómo debía ser la plataforma móvil y verla crecer para soportar los más de 40 Millones de usuarios activos que tiene hoy, conectar puntos entre las plataformas, diseñar con el equipo un agente único en el router de SmartWiFi para crear HaaC, pensar en la interacción más allá de ver contenido con las Living Apps, hacer patentes con los equipos de innovación, discovery o research, y lo más importante, verlo funcionando todo con millones y millones de personas en todo el mundo, os prometo que es el sueño de cualquier ingeniero. Hacer tecnología que se use todos los días por millones de personas en su vida, es haber conseguido un sueño.

Pero lo mejor han sido las personas. La oportunidad de crear tecnología en una empresa tan grande, con tanto impacto en la sociedad, crea un tipo de personas con una cultura de servicio diferente. La gran Telefónica o la gran T, tiene en su gente su gran activo hoy en día. Y claro que tenemos conflictos. Muchos, si no no estaríamos retándonos a nosotros. Y más cuando lo que estamos haciendo es nuevo, no hay mucho con lo que compararse. Nadie tenía una 4th Plataform cuando Telefónica se atrevió a comenzar a hablar de ella, hoy todos nos preguntan "How did you built it?" o cuando Telefónica de España se atreve a competir con los grandes de la televisión, y hace una televisión única. O cuando se crea una red de SmartWiFi at scale con 11 millones de dispositivos conectados a un HaaC en tiempo real. O cuando el antiguo equipo de Tuenti hace Novum para soportar los más de 40 millones de usuarios activos en las apps móviles conectados a diferentes sistemas en diferentes países a través de Kernel, consumiendo billones de APIs. Todos los equipos que están ahí trabajando, en los países, tienen esa pasión en la mirada, y en las reuniones se respira el reto por delante siempre.

Y cuando vamos con los equipos de red y sistemas, la historia es aún más apasionante. Despliegues de servicios 5G, despliegues de fibra, operaciones de redes interconectadas con cables submarinos, con troncales, con pairing de empresas, con preocupaciones que tienen que ver con el milisegundo. Discusiones de densificación de planes urbanísticos, de datos para correr los algoritmos de ML que nos den los planes de despliegue más eficiente, de cómo están funcionando los algoritmos de IA para detectar los problemas de calidad, las averías o los servicios que no están bien dimensionados. Horas de trabajo pra que la calidad de la conexión suba en ancho de banda, baje en latencias, se reduzca en tasa de errores, aumente en tasa de aciertos. Problemas de ingeniería en los que la arquitectura de sistemas importa. En los que entender los detalles de la tecnología es crucial para tomar las decisiones que van a decidir el gasto de muchos recursos. 

Así que cada día de esos 4750 días durante todo este tiempo ha sido y es un viaje apasionando. Ha sido MI viaje. Cuando pienso en aquel mes de Enero de 2012 cuando acepté comenzar el 1 de Febrero siguiente me digo a mi mismo: "¿Y si llego a decir que no a Telefónica y me pierdo todo esto?". 

Por todo esto, hace ya muchos años que soy Telefónico. De esos que lo tienen grabado en la piel. A fuego. De los que se desvela por los problemas de la Telefónica. De los que no escatima horas que echar para mejorar algo de la parte que me toca barrer, o de lo que me pidan que barra, y cuidar de la casa. Es parte de mí. Es parte de todos los Telefónicos. Incluso de los que ya no están, que siguen, como vimos en la crisis de la Dana, ayudando a los compañeros como si aún estuvieran fichando en los tornos. Porque nosotros sabemos que "Once Telefónico, Always Telefónico". Así es esta compañía. Es difícil de explicar, pero es así.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

BlackHat Europe 2024 Arsenal: level_up! & Web3 Security WarGames by Ideas Locas

Este pasado miércoles día 11 de diciembre, tuve la suerte de asistir a BlackHat Europe 2024 celebrada en Londres. Esta vez tuve la suerte y oportunidad de presentar nuestro querido Level_up junto a Pablo González. Además, desde el equipo de Ideas Locas, presentábamos también una nueva herramienta de análisis para el mundo Web3: Matildapp, que estuvo defendida por nuestro compañero Javier Álvarez.

Figura 1: BlackHat Europe 2024 Arsenal: level_up! & Web3 Security WarGames

La presentación, ’level_up! : Web3 Security WarGames’, fue programada para el miércoles día 11, de 14:05 a 15:20 horas, en la estación 4 del Arsenal. Este sería el slot de tiempo que tendríamos para mostrar qué es este proyecto OpenSource, explicar algunos de sus flujos principales y su arquitectura, enseñar los diferentes retos de los que se disponen actualmente y como interactuar con la plataforma.

Figura 2: level_up! en Black Europe 2024 Arsenal

Antes de la presentación, realizamos el registro y recorrimos varios stands que había en el evento. Era imposible no notar la energía que generaban, con gran cantidad de publicidad y sorteos que incentivaban visitar varios de ellos. Además, situamos la tienda con los productos oficiales y la sección del Arsenal, donde tendríamos que asistir nosotros más tarde para defender nuestras herramientas.

Figura 3: Presentación de level_up! : Web3 Security WarGames
Llegado el momento, y ya situado en el stand número 4, comienza la sesión. Durante este rato, algunos asistentes se acercan a escucharte. Ven la presentación y la demo en directo. La explicación dura alrededor de unos 10 o 15 minutos y posteriormente un espacio para preguntas. Algunos interesados se acercan a preguntar para conocer algo más sobre la plataforma.

Figura 4: Matildapp by Ideas Locas en GitHub

Esto mismo se repite en varias ocasiones. En mi caso un total de 5 veces a lo largo de la hora y cuarto que tenía disponible. Fue gratificante recibir algunas preguntas sobre cómo podían montar el proyecto para competir entre amigos e incluso feedback constructivo para mejorar algunos aspectos, como es la internacionalización de la plataforma. Sin duda, una tarea pendiente. Fue una jornada intensa pero muy enriquecedora y la experiencia de volver a BlackHat Europe 2024 fue muy positiva.

Figura 5: Matildapp by Ideas Locas en GitHub

Una cosa curiosa que vi en esta edición fue un cuadro de grandes dimensionen que estaban construyendo con piezas de Lego: cada persona que visitaba esta zona, se registraba y recibía una imagen con los píxeles a completar junto a un pequeño cuadrado de Lego para situar aquí las piezas formando dicho patrón de colores. Esta actividad colectiva le daba un toque creativo y colaborativo al ambiente, haciendo que todos los asistentes formaran parte del evento de una manera única. Fue una pena que tuvimos que irnos antes de verlo terminado por completo.

Figura 6: Cuadro colaborativo formado con piezas de Lego en BlackHat Europa

Muchas gracias a todos los asistentes que se acercaron a conocer más sobre nuestra plataforma de aprendizaje basada en retos. A todos aquellos que ya la conocen y han jugado con ella. A todos los que se inspiraron durante la presentación para adentrarse en el fascinante mundo de la seguridad Web3. 

Figura 7:  OpenExpo Europe 2023: Web3 & CyberSec.

 PoCs & Hacks Just for Fun ( and Harden )

Level_up y Matidapp no son sólo herramientas, sino también una comunidad en crecimiento que busca compartir conocimiento y mejorar juntos, que tiene mucho que ver con nuestra apuesta por el mundo Web3, donde tenemos también Tu Wallet y Latch para Web3. Gracias por formar parte de este viaje; cada interacción, pregunta y comentario nos motiva a seguir construyendo y mejorando.

¡Nos vemos en los próximos retos!

Saludos y Happy Hacking!

Autor: Álvaro Núñez-Romero, investigador en el equipo de Ideas Locas. Autor del libro "Arduino para Hackers (& Makers): PoCs and Hacks Just for Fun" y del VBOOK de "Arduino para Hackers (& Makers): PoCs and Hacks Just for Fun"

Contactar con Álvaro Núñez-Romero

AuthQauke: Un bug en Microsoft MFA que permitía Brute Force de tus TOTP para entrar en tu cuenta de Microsoft

Esta semana se ha publicado la investigación de Oasis Security Research Team sobre el bug y la explotación de AuthQuake, un bug que contenía Microsoft MFA (Multi-Factor Authentication) que permitía explotar el 2FA (Second Factor Authentication) de tus cuentas de Microsoft Office mediante un ataque de fuerza bruta a los valores del TOTP (Time One-Time Passwords) asociados.

Figura 1: AuthQauke: Un bug en Microsoft MFA que permitía Brute Force

de tus TOTP para entrar en tu cuenta de Microsoft

Para que entendáis lo que han hecho, hay que saber cómo funciona la cuenta de Microsoft Office con MFA utilizando TOTP como método de autenticación, echar unos cálculos y ser muy rápidos. El funcionamiento es el siguiente.

Figura 2: Microsoft MFA para TOTP

Primero se pide una sesión a Microsoft Office que se autentica con usuario y contraseña, y Microsoft genera un ID de Sesión sobre el que se pueden hacer 10 intentos de TOTP. Es decir, que por cada autenticación se pueden hacer 10 intentos. 

Pero si no se valida el TOTP en esos 10 intentos, simplemente se cierra el ID de Sesión y hay que volver a autenticar el usuario y la contraseña, pero no se bloquea la cuenta, ya que no queda como intentos de contraseña errónea, sino como que no se ha validado el 2FA.

Figura 3: Tiempo de validez de un TOTP según el RFC 6238

Teniendo en cuenta que los valores de un TOTP deberían valer 30 segundos, pero según el estándar TOTP éste puede ir hasta los 10 minutos, nos podríamos encontrar con un entorno en el que la seguridad se degrada. 

En la práctica, la validez de un TOTP normalmente suele estar entre 1 y 3 minutos, y en el caso de Microsoft, los investigadores descubrieron que el valor que tiene configurado el proceso de login es de 3 minutos, lo que permite muchos intentos.

Figura 4: Microsoft MFA TOTP dura 3 minutos

Teniendo en cuenta que son 6 dígitos, hay que conseguir 1 Millón de intentos para cubrir un ataque de fuerza bruta, pero la estadística está de parte del atacante, ya que en media, el 50% de las veces tendrá éxito con solo la mitad de los intentos, y así sucesivamente.

Figura 5: Código TOTP (6 dígitos) de Microsoft MFA visto en Latch.

El bug en sí existía porque la cuenta no se bloqueaba a pesar del número de intentos de validación del TOTP que se haga porque el bloqueo lo tienen en el número de intentos de la contraseña y no en el de la validación del TOTP, lo que hace que una vez que se tenga la contraseña el 2FA de TOTP de Microsoft fuera poco útil.

AuthQuake Attack

El atacante podría atacar un TOTP y buscar si la estadística estaba a su favor durante esos tres minutos, generando nuevas autenticaciones correctas sin validación de 2FA, y ver si lo consigue o no. Pero si no lo consigue, no pasa nada, a los 3 minutos hacemos otro ataque al TOTP a ver si ahora la estadística está de nuestra parte y en 5 horas se tiene aproximadamente el 98% de probabilidades de saltar el 2FA.

Figura 6: Probabilidad de éxito a lo largo del tiempo

Ahora está resulto, pero es un aprendizaje sobre cómo se debe establecer un sistema de identidad, con autenticadores seguro para que no haya un ataque como éste que pueda anularlo por no haber hecho los deberes. Aquí la demo del ataque.

Figura 7: AuthQuake Attack con un script en Python

Al final, con ene intentos contra un TOTP cada tres minutos, es posible saltar el 2FA, porque como han explicado los investigadores:

• No había restricción de intentos de validación de TOTP

• El usuario nunca recibía una alerta de inicio de sesión o intento fallido de TOTP

Esto es algo que nos llevó a crear Tu Latch, ya que en este escenario el atacante tiene las credenciales pero nunca se entera el usuario de que se las han robado, mientras que con un Control de Latch, en el primer intento el usuario recibiría una alerta que le indicaría que alguien ha intentado iniciar sesión con su contraseña.

Figura 8: Yaiza Rubio y Chema Alonso presentando Tu Latch

En el vídeo anterior, estamos Yaiza Rubio y yo presentando cómo se puede utilizar Tu Latch para Control de Authorizaciones, tanto en el proceso de Login como 2FA, como con capa de Control de Autorizaciones para, una vez perdido el User/Password y 2FA aún se pueda tener protegida la cuenta del servicio digital con Tu Latch.

Figura 9: Contacta con nosotros para asistir al evento

Si quieres conocer más de Latch o cómo configurar un sistema de Identidades utilizando una capa de control de autorizaciones con Tu Latch y con OpenGateway para reducir el impacto de estos bugs al máximo posible, contacta con nosotros. 

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

Haciendo balance de 2024: Qué de cosas...

A punto de decidirme a operarme los ojos para quitarme la presbicia que se ha hecho con mi visión, llevo mis gafas siempre encima. Las uso para ver de cerca, para utilizar el ordenador y el móvil (si no, tengo que usar la lupa), para leer mis libros y mis cómics, o para escribir este artículo que os estoy preparando desde el avión que me está llevando a Fuerteventura, a mi última charla del año 2024.

Figura 1: Haciendo balance de 2024: Qué de cosas...

Sin embargo, cuando miro de lejos me las quito. Nos las uso para ver de lejos. Eso hace que durante el día me quite y ponga las gafas para ver de cerca y para mirar de lejos unas decenas de veces. Porque es necesario. Ver de cerca, pero mirar a media distancia y al horizonte.

Objetivos a corto, medio y largo plazo

Esta historia que os he contado no es más que una forma de introduciros en la metáfora que es para mí cada día de mi vida. Mucho de ejecución a corto, con mirada al detalle, pero con tiempo para otear a medio plazo, y sobre todo mirar hacia el horizonte, para no perder el camino.

A corto, para mí, la ejecución es semanal. Es la forma en la que hago mis propios sprints. Y os garantizo que para mí el término se adecúa mucho a cómo es mi día a día. Condenso el máximo de actividades de que soy capaz en cada semana. De todo. Desde primera hora, hasta la hora en la que caigo rendido con la lectura, en los brazos de Morfeo. Más bien no me caigo, me desplomo y me hundo en los abismos. Que se que el tiempo apremia. Si quiero que tenga más horas mis días se las tengo que robar a alguien... y siempre le toca a Morfeo perder.

También, a corto, suelo intentar hacer double-bookings. Aprovechar viajes en avión para preparar diapositivas y ejercicios. Hacer deporte para repasar inglés o escuchar un podcast y aprender. Anotar todo lo que me llama la atención de lo que vivo para que pueda convertirse en un artículo, o una investigación, o una idea para hacer algo.

Mi día es una secuencia recursiva de optimización de agenda y ejecución de tareas a corto. Pero no sólo eso, ya que intento meterme tiempo todas las semanas de cosas que se están fraguando para el futuro. Proyectos exploratorios, primeras reuniones de posibles acuerdos, de posibles inicios de cosas. De cosas que me interesan, pero que no se materializarán hasta dentro de unas semanas, meses o incluso un año.

Y por supuesto, cuando me escapo del ruido del ahora en unos minutos de un café, o voy conduciendo, o voy en un avión, o antes de soñar, también saco mi cabeza a pasear por la irrealidad de lo no materializado, para hacer un poco de Doctor Strange y evaluar los posibles escenarios del horizonte.Darle vueltas y más vueltas a la batidora para mirar el paisaje desde diferentes ángulos, para encontrar diferentes caminos, mundos y alterativas diferentes. Para enfocar mis pasos con la proyección del punto de fuga que haya escogido.

Así se me ha pasado 2024. Un año en el que, os garantizo, no me he dejado nada escondido o guardado en el cajón. No me he dejado energía sin consumir. No me he dejado batallas sin pelear. No me he dejado cosas para mañana si las he podido hacer hoy. Y por supuesto, donde he seguido la senda de proyección que me marqué al principio del año. Claro, ha habido que saltar, agacharse, dar patada voladora, y subirse al primer nivel. Ha habido que encontrar caminos paralelos, bailar, callar y hasta gritar.

Es la magia del día a día. Comienza, vas saltando por el reloj, y en cada minuto buscas cómo tejer una nueva puntada con el hilo que se tiene. Y no puedo decir que no me gusta. No puedo decir que este juego de hacer cosas en velocidad no me gusta. Tal vez podría pararme más, pero creo que ya me parará la vida cuando me toque, y como ya he tenido varios avisos, prefiero mirar hacia delante que hacia los lados a ver si hay asiento.

Balance de 2024

Durante 2024, pensando en cómo eran los objetivos a medio plazo - 1 año - que nos habíamos marcado,  hemos tenido mucha tarea en nuestra querida Telefónica. Ha sido el año de nuestro Centenario y la exigencia era máxima porque era el primer año de nuestro Plan Estratégico 2024-2026. Ambiciosa en cuanto a objetivos. Intensa en cuanto a actos a realizar. Muchos. Muy grandes. Muy relevantes. Y había que hacer mucha tecnología. Desde el rol de CDO nos toca evolucionar muchas cosas y hacer que Telefónica siga haciéndose más fuerte cada día en la parte digital como sea posible, asimilando las disrupciones tecnologías, y sacando partido de ellas, algo que cada día es más importante en cualquier industria. Y por supuesto, este seguirá siendo un reto que en 2025 aún mayor, y para el que ya tenemos hecho un calendario de trabajo con hitos y ejecuciones.

Por supuesto, Telefónica Innovación Digital - de la que os hablaba justo hace un año -, es desde estamos construyendo mucha de esa tecnología, y a medida que sigue creciendo el uso de la misma en los nuevos procesos, nuestros roadmaps se van intensificando. Y esto ha sido así en 2024, con lanzamientos muy importantes para nosotros. Nuevas evoluciones de Kernel 2.0, la llegada de OpenGateway, el despliegue de la nueva evolución de SmartWifi, la evolución de Aura con extensiones GenAI, o Movistar Home Connect en modo app para tablets en dock-station, nuevos despliegues de la plataforma de vídeo, nuevas Living Apps, y un largo etcétera de proyectos sobre las mismas. Apificaciones, automatizaciones, evoluciones constantes que mantienen un equipo de innovación, ingeniería, operaciones y producto con un día a día intenso.

Figura 2: Presentación de MWC 2024 de Chema Alonso

También, por supuesto, hemos seguido innovando en 2024. Tanto internamente con la evolución y lanzamiento de los productos de Tu.com. Retos como lanzar nuestro Tu Wallet para criptomonedas, VerifAI, las nuevas evoluciones de Metashield y Tu Latch, o los trabajos con Quantum Encryption & Quantum Drop. Trabajar en productos innovadores from-scratch, ha sido un reto para este año 2024. Usar una nueva marca, comenzar su comercialización, y ponerlos en mercado viniendo directamente desde la innovación.

Figura 3: Telefónica Innovation Day 2024

  

Por supuesto, tanto el Mobile World Congress 2024 como el Telefónica Innovation Day 2024, fueron dos momentos en los que aceleramos para que pudierais ver todo esto que estábamos construyendo. Y los equipos se portaron de 11 sobre 10. Magníficos.

Más allá del día a día en Telefónica

Además de toda esta actividad, que supongo que os imaginaréis requiere mucha dedicación, los ratitos los he utilizado para poder escribir todos los días en El lado del mal – espero que sea el segundo año consecutivo – un artículo para estar con vosotros. Una obligación auto-impuesta que me permite y me obliga a hacer cosas, a aprender cosas, a comunicaros cosas, pero que al mismo tiempo me permite tener un canal abierto al mundo para expresarme.

Desde este canal apoyo a desarrollar los proyectos de emprendimiento en los que colaboro. Mi querido 0xWord, del que hemos podido lanzar varios libros durante el año y conseguir que sobreviva un año más. Cuidar a Cálico Electrónico, que ha cumplido 20 años y hemos seguido sacando tiras semanales además del tercer volumen de sus cómics o recuperar el Pang Tumaka gracias a María. Seguir viendo crecer MoM y YoY a MyPublicInbox para convertirse en una plataforma enorme, con actividades como Singularity Hackers u OpenExpo Europe que complementan todo lo que vamos haciendo para crezca y crezca. Un año en el que hemos colaborado e integrado Cleb, RepScan, Union Avatars o AR Future. Donde hemos crecido en todos los parámetros.

Para completar esto, como no, mi parte de divulgación. En el año 2024 he hecho bastantes charlas. Creo que alguna más que en 2023. Y además poniendo el foco más hacia el extranjero. He estado dando charlas en Miami, New York, aprovechando el proyecto con el MIT, en Alemania, he vuelto a la Ekoparty, y no me ha faltado mi charla de RootedCON en Madrid, las charlas de Mobile World Congress en Barcelona, o visitas A Coruña, Santiago de Compostela, Zaragoza, Málaga, Gijón, Cáceres, Salamanca, Bilbao, Tudela o Sevilla, por poner algunos ejemplos. También de hacer el discurso en la ceremonia de graduación de la Universidad Carlos III, que me gustó mucho. En 2025 será más o menos similar, espero. Además, me han liado para la tertulia en la radio, y he ido alguna vez a la televisión, he grabado algún documental, y he tenido alguna entrevista en algún podcast. No me he aburrido, os lo puedo prometer.

Más allá del trabajo

Además de todo esto, el año 2024 me ha dejado algo de espacio para estar con los amigos por el Sahara, para escaparme a ratitos a cenar, para ir al cine, para tener algo de vida personal, hacer deporte, y sacar, aunque sean momentos furtivos para ver una película, una serie, leer un libro o un cómic. He celebrado mi cumpleaños como siempre, para despedirme del último antes de llegar a los 50 años. Y he hecho muchos más amigos, que eso siempre es bueno.

Como extra-bonus, tuve la suerte y el honor de recibir el Premio Nacional de Divulgación Tecnológica por la Real Academia de Ingeniería, el premio al mejor CEO por el Colegio de Ingenieros Informáticos de Zaragoza y el Premio Trayectoria por la Ekoparty, ahí es nada para un año. Para mí los premios sólo me recuerdan que soy mayor, pero sí que muestran cariño y valoración por parte de gente que es de tu sector y te los otorga, por lo que los hace los más importantes del mundo para mí. Es más valioso el cariño de la gente y las instituciones que te los dan que el premio en sí. Así que no puedo estar más agradecido de haberlos recibido este año.

Por último, que este post ya se me va de las manos y quiero aprovechar a recuperar algo de sueño en lo que me queda de viaje hasta Fuerteventura – que tengo un Consejo y dos reuniones antes de ir al auditorio -, he tenido mi cuota de cagadas, errores, fracasos, decepciones, tristezas, lamentos, pérdidas y metidas de pata big-time. He tocado suelo mi cuota de veces correspondiente, como supongo que muchos de vosotros.

También se me han quedado cosas en el tintero. He tenido miedo de dar pasos que a lo mejor debía de haber dado pero no me he atrevido. He hecho el bicho bola para evitar ir al cole algunas veces, y he discutido conmigo mismo más de una vez. Me he regañado. Me he sacado el dedo. Me he frustrado unas cuantas veces, y se me han hecho largas muchas esperas. Ya ves. De todos los colores me llevo las bolitas este año. Pero como tú. Si no, no has tenido un buen año. Veremos qué mejoro para el siguiente yo, que estoy haciendo análisis.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)