Seguridad

Conectar un firewall Fortigate con Windows Active Directory.

por

Si has instalado en tu red un firewall de Fortigate (muy recomendable) y tienes un Windows Server, es interesante conectar ambos. De esta manera, por ejemplo, puedes crear usuarios de VPN que sean los de Active Directory, o poner reglas de bloqueo o de exclusión para grupos de AD. Te permite no tener duplicidad de cuentas, y gestionar las mismas desde el servidor.
Hoy os enseñamos a conectar ambos sistemas.

Cómo conectar un firewall Fortigate con Windows Active Directory.

Lo que tenemos que hacer es entrar en el Fortigate y:

  • Acceder a User & Device > LDAP Servers > Create New.
  • Poner el nombre, la IP del servidor y el puerto (389 por defecto).
  • En Common Name Identifier poned: sAMAccountName
  • En Distinguished Name poned: dc=dominio,dc=local
    Nota: supongo que es dominio.local tu dominio
  • Bind Type: Regular
  • Pon tu usuario en format Administrador@dominio.local
  • Pon la contraseña
  • Si le das a Test Connectivity o Test User Credentials debería dar un tic verde de Successful.
  • Con esto ya debería estar. Dale a Ok y lo guardas.

Nota: En teoría puedes poner en Common Name Identifier: cn (como viene por defecto), y entonces el username tiene que ser en formato DN (cn=Administrator,CN=Users,DC=empresa1,DC=dominio,DC=local), pero a mi me funcionó la configuración anterior mejor.

Una vez añadida la conectividad con el servidor de Active Directory, puedes ir a User & Device > User Groups para crear los grupos que necesites usando el active directory (por ejemplo usuarios de VPN, usuarios con permisos especiales etc). Cada grupo puede usar un CN del AD diferente.

Para más información de lo que puedes hacer con esta conexión con el AD puedes ver este enlace.

Control parental gratuito con OpenDNS.

por

Hace unos días un amigo me llamó porque sus hijos habían venido corriendo porque “un señor estaba diciendo cosas raras en el ordenador”. A través de un juego (de los que juegan todos los chicos a esas edades), un jugador les había pasado un enlace por chat. Ese enlace llevaba a una web de chats aleatorios, y les debió tocar un desequilibrado.
Obviamente el tema era preocupante, y una llamada de alarma para implantar una solución: un control parental.

Como consejo general, todos los que tenemos niños deberíamos implementar controles en los dispositivos con conexión a Internet. Ellos no son conscientes de los peligros, ni de los contenidos no adecuados existentes. Con unas simples limitaciones evitamos problemas.
Esto (en mi opinión), también debería implementarse para restringir su uso (puede llegar a ser una adicción para ellos).
Como padres es nuestra labor establecer límites.

Cuando me puse a mirar cómo estaba el tema del control parental, vi que había cambiado respecto a artículos que escribimos hace años. Ahora la mayoría de programas son de pago.

Solución: control parental cambiando los DNS a OpenDNS.

La solución por la que nos decantamos fue cambiar los DNS (podéis ver aquí qué son los DNS) por los de OpenDNS (ahora propiedad del gigante de las comunicaciones CISCO).

¿Qué es lo que pretendemos con esto?

Como los DNS son “las páginas amarillas” a las que van los dispositivos para traducir nombres de dominio a direcciones IP (que son las que usan los ordenadores), se pueden usar muy eficazmente para bloquear ciertas páginas y direcciones de Internet. Nosotros cogemos gestión de esas páginas amarillas y censuramos (de hecho OpenDNS tiene un gran listado de direcciones censuradas) las que no queremos.

¿Cómo se implementa?

Siempre que cambiamos los DNS tenemos dos opciones:

  • Cambiarlo en el router (o dispositivo que haga el DHCP, porque también asigna los DNS de los equipos). Si lo hacemos ahí, automáticamente todos los dispositivos de nuestra red tendrán los nuevos DNS. Es más sencillo, más cómodo y más difícil de quitar (porque los niños tendrían que saber modificar la configuración del router).
    Si no queremos algún ordenador con control parental, sólo tenemos que cambiar los DNS de ese dispositivo.
    Nosotros, en este caso, optamos por el segundo método porque el router casero de Vodafone no dejaba cambiar los DNS.
    Cómo hacerlo en el router depende de cada modelo, así que no lo mostramos. Pero es entrar en la configuración avanzada, LAN y DHCP. Ahí veréis los DNS que asigna junto a la red y el rango de IPs.
  • Cambiarlo manualmente en cada equipo. Es más laborioso en teoría. Pero en una casa los niños usarán pocos dispositivos. El gran problema de este método es que, cuando el niño aprende informática, puede deshacer el cambio (entonces tendríamos que crearles cuentas que no sean de administrador y no darles permiso a sus cuentas).

OpenDNS: ventajas.

Como hemos dicho la solución que escogimos fue OpenDNS. Porque es gratuita, porque lleva tiempo, es muy fiable y porque permite personalizar los DNS (añadir restricciones o eliminarlas). Sus DNS tienen listados de sitios no adecuados (que personalizan y actualizan).

OpenDNS tiene dos modalidades gratuitas.

  • En la sencilla OpenDNS Family Shield, no tenemos que crear cuenta. Sólo cambiar los DNS de los equipos a los “protegidos”, y dejar que estos nos protejan. Aquí tenéis un manual.
  • En la segunda opción,OpenDNS Home, la que recomendamos. tienes que crear una cuenta gratuita (registrarte). Pero merece la pena porque con tu cuenta puedes poner el nivel de protección, habilitar o deshabilitar tipos de restricciones, y bloquear (o permitirlos) sitios específicos.
    Esta es la que mostramos en el vídeo.
    La configuración es parecida a la anterior, pero los DNS cambian.

Aquí podéis ver cómo configurar OpenDNS en varios dispositivos: https://www.opendns.com/setupguide/

Podéis comprobar que estáis protegidos con OpenDNS intentando entrar en los siguientes sitios (que deberían producir un aviso de bloqueo por CISCO.

Vïdeo sobre cómo usar OpenDNS como control parental.

Aquí os dejamos un vídeo sobre cómo usar OpenDNS como control parental.

Diferencia entre tap y tun en OpenVPN

por

Cuando queremos crear una conexión de VPN, y elegimos como solución (buena) OpenVPN, tenemos una decisión que tomar: usar tap o tun.

El problema es que no se explica bien estas opciones, ni las ventajas de cada una. Hoy os lo explicamos.

¿Qué diferencia hay entre una configuración tap o tun?

TAP.

Al elegir la configuración TAP, lo que se hace es crear una “interfaz virtual de Ethernet” . Esta es la interfaz que crea el programa de OpenVPN cuando lo instalas en tus interfaces de red y puedes ver porque pone TAP y se activa al conectarse la VPN.

Es, por tanto, una VPN de nivel 2 en el modelo OSI, de la capa de enlace de datos. Esta VPN crea un bridge entre dos LANS, y funciona en parte como un switch. Tiene las mismas ventajas, mucha potencia, puedes hacer casi cualquier cosa…pero puede haber muchos problemas de rutas.

TUN.

Tun es un enlace punto a punto virtual por IP. Es, por lo tanto una VPN de nivel 3 en la capa OSI (nivel de red). El problema es que es un enlace punto a punto…es decir conecta dos máquinas y no dos redes.

¿Cuándo debe usarse Tap y Tun al configurar una VPN de OpenVPN?

La decisión final es del técnico, pero os dejamos varios puntos para que podáis realizarla.

  • Tun está pensado para conectarse a otra máquina, sólo a una. No a recursos de red. Si quieres conectarte a un servidor solamente es una buena decisión.
  • Con Tun puedes acceder a otros recursos de red haciendo que parezca que están en el servidor, pero no es su función.
  • Tap permite conectarse a otra red, incluidos todos los recursos de esa red (clientes, impresoras etc). Si necesitas acceder a varios recursos o servicios de la red remota, debes elegir tap.
  • Tap introduce algo más de carga en la red porque incluye las rutas de cada red. En tun, como la conexión es punto a punto, no se necesita toda esa información.
  • Tap depende mucho de las configuraciones y enrutado de red. Pueden surgir problemas de rutas que son difíciles de identificar y de resolver. Por ejemplo un error muy común en España es tener la red del servidor en la misma red (192.168.1.X) que la de los clientes de VPN (192.168.1.X). En tun esto no da tantos problemas.
  • Si no te funciona bien uno, prueba otro. Nosotros configuramos una VPN por TAP y la interfaz tap estaba dando retardos al abrir y cerrar conexiones, y al levantarse. Fue cambiar a tun y ya no tuvimos ese problema y la VPN iba muy rápida (en comparación).
  • Si quieres algo rápido y menos complejo, usa tun.
  • Tap abre una LAN a la otra (dependiendo de tu configuración). Esto puede introducir fallos de seguridad.

Esperemos que os sirva para decidir.

Cómo denunciar la suplantación de identidad y robos de perfiles en las redes sociales.

por

Casi todos habréis oído alguna vez algún caso de los que vamos a hablar hoy, dos ataques muy comunes a los usuarios de las redes sociales. Ambos un delito que atentan al derecho a la propia imagen, artículo 18 del código penal:

  • Suplantación de identidad. De repente aparece una cuenta que no es la tuya, pero tiene tu foto, nombre etc y actúa entre tus contactos como si fueras tú. Penado hasta con 3 años de cárcel por el artículo 401 del código penal.
    ¿Por qué pueden querer hacerlo? Os dejamos algunas ideas aquí.
  • Robo de perfil. Alguien consigue tu contraseña, la cambia, y ya no tienes acceso a tu cuenta en esa red social.

Afortunadamente la mayoría de las redes sociales conocen el peligro de estos ataques a sus usuarios y tienen sitios donde podemos denunciar dichas actividades para borrar las cuentas suplantadas y recuperar las robadas. Nuestra intención hoy era tener dichos enlaces en un mismo artículo para poder encontrarlos rápidamente.

Si no consigues nada por estos métodos, puedes denunciar a las Fuerzas y Cuerpos de Seguridad del Estado (otro día pondremos un enlace con los diferentes cuerpos de delitos informáticos).

Cómo evitar estos ataques.

Para evitar que te roben el perfil el mejor método es seguir los conejos que siempre os dejamos.

  • No uses siempre la misma contraseña en varios servicios. Si roban uno tienen acceso a todos.
  • Usa doble autenticación en los recursos importantes.
  • Usa contraseñas seguras (longitud de más de 8 caracteres, letras mayúsculas y minúsculas, letras, números y símbolos).
  • No pinches en enlaces acortados ni en emails o mensajes de redes sociales sospechosos. Recuerda lo que es el phishing.
  • Cuidado con las redes públicas.
  • Usa cifrado (https) en las conexiones.
  • Cuidado con las solicitudes de amistad que aceptas en las redes sociales, no invites a gente que no conozcas a tu perfil.
  • No facilites datos personales a nadie.
  • Aprende a diferenciar páginas falsas (pharming).
  • Lee bien las condiciones de contratación y política de privacidad de los sitios a los que te conectes.

Cómo activar doble autenticación en Paypal

por

En estos días (en el momento de escribir esto estamos confinados por pandemia de coronavirus) los pagos en línea son cada vez más comunes. Cuando aumenta la frecuencia de pagos online, aumenta también el riesgo de fraude.
Por ese motivo, al comienzo de esta crisis me di cuenta que tenía Paypal “abierto” sólo con usuario y contraseña. No era aceptable

Los sistemas críticos: medios de pago, banco, gestiones de empresa etc deben estar protegidos al menos con doble autenticación.

No hacerlo es irresponsable y buscarse problemas. Las contraseñas hace tiempo que dejaron de ser seguras.

En el momento de escribir el artículo anterior sobre 2FA (doble factor de autenticación) pues que era algo latoso operar con este sistema. Ya no, ahora es muy cómodo.

Por eso hoy os enseño a activar el doble factor de autenticación en un método de pago tan usado como PayPal.

Cómo activar 2FA en Paypal.

Es muy sencillo. Ve a la rueda dentada -> Centro de Seguridad y pincha en Verificación en dos pasos (yo lo tengo en Actualizar porque la tengo activada).

Ahí puedes elegir entre recibir SMS en el móvil (menos seguro) o usar una aplicación de terceros (recomendado). Si quieres la aplicación de terceros y tienes el SMS activado desactiva la primera.

Cuando elijas la opción de Aplicación de Terceros te llevará a un asistente para configurarla. Puedes usar la que quieras, una muy cómoda es Google Authenticator.
Yo tengo dos aplicaciones de este tipo, Google Authenticator (que aceptan muchos servicios) y Latch (gran proyecto español).

Abre tu aplicación y escanea el código QR que te aparece, después tu aplicación dará un código que tienes que introducir en la casilla del Paso 2 de configuración. Una vez hecho esto, tendrás ambos sistemas conectados.

Te recomendamos que configures algún método alternativo como las preguntas de seguridad, por si acaso la aplicación falla.

A partir de ahora, cada vez que vayáis a iniciar sesión o a realizar una operativa en Paypal te pedirá el código (además de las contraseña inicial). Sólo tienes que abrir Google Authenticator y poner el código. Recuerda que los códigos caducan a los X minutos (creo que 5).

Espero que muchos activéis este servicio. Más info aquí.

Línea 017. Teléfono gratuito de ayuda en Ciberseguridad de INCIBE. Particulares y empresas.

por

Somos fans de los portales informáticos de organismos públicos como OSI o INCIBE, compartimos muchas noticias sobre sus servicios y consejos. De hecho estamos apuntados a sus correos informativos.
Hace unos días nos hemos entrado de este servicio gratuito para empresas y particulares que nos parece muy útil y queríamos compartir con vosotros.

La línea 017 es una línea telefónica a la que podéis llamar si tenéis cualquier duda sobre temas de seguridad informática.
Esto es lo más importante, un sitio al que cualquier ciudadano, ya sea particular o de empresa, pueda llamar para resolver una duda sobre seguridad. Con el repunte de ataques de spam, ransomware y similar, cualquier ayuda para proporcionar información es bienvenida.

El servicio es confidencial y gratuito.

Equipos con Kaspersky Internet Security que no permiten seleccionar certificado. Solución.

por

Os dejamos la solución a otro Poltergeist extraño, por si os lo encontráis.

El caso es el siguiente, nos llamó un cliente para decirnos que cuando intentaba entrar en páginas con certificado en ciertos ordenadores, le salía una página para elegirlo la primera vez. Pero las siguientes veces entraba siempre con el mismo certificado. Por más que cerraba sesión, y cerraba el navegador, volvía a entrar con el mismo. Tenía que reiniciar para poder elegir de nuevo (y claro, no es manera de trabajar).

Solución.

Lo primero que nos dimos cuenta es que la petición de certificado era distinta a la del navegador, porque la emitía Windows Security en vez del navegador.
Lo segundo era que sólo pasaba en los equipos con Kaspersky Internet Security.

Al final dimos con la solución, Kaspersky Internet Security. El problema es con su certificado.

Tienes varias opciones.

  • Usar otro antivirus y quitar Karpersky.
  • Deshabilitar el escaneo de web por Karpersky. No parece buena solución, quedáis muy inseguros…pero lo dejamos como opción. Tenéis que ir al equivalente en Español de.
    Settings of product –> Addition –> Network–> click on “Do not scan encrypted network traffic “
  • Instalar el certificado de Karpersky, más información aquí.
  • Nuestra opción recomendada: en el mismo sitio que el punto anterior puedes crear exclusiones. De esta forma estos sitios no serán escaneados por Karpersky, pero el resto de páginas si.

Veréis que cuando activáis alguna de las soluciones anteriores, y reinicias el navegador, os deja elegir el certificado, con el pop-up del navegador y cada vez que entréis.

Windows 7 no puede acceder a recursos compartidos de Windows Server 2019

por

Hoy hemos tenido una consulta de un cliente que tenía Windows Server 2019 y sus dispositivos con Windows 7 no podían acceder a los recursos compartidos en el servidor. Los veían, pero no podían acceder.
Os explicamos la solución.

Nota: esto también puede ocurrir con otro tipo de dispositivos y sistemas operativos. Básicamente la causa es que Windows 2019 incluye Samba 3.1.X (de hecho de Windows Server 2016 en adelante), con cifrado y no admite conexiones sin cifrar. Los dispositivos anteriores no pueden concetarse.

También puede pasar en Windows Server 2012 y 2016 donde hayáis habilitado el cifrado de los recursos compartidos.

Soluciones.

Os dejamos varias cosas a probar

Habilitar las conexiones sin cifrar.

Los dispositivos como Windows 7 no son compatibles con SMB 3, así que no pueden usar recursos cifrados.
Primero podéis probar a habilitar la opción de conectarse al recurso compartido sin cifrar (debería ser algo temporal hasta que actualices dichos dispositivos antiguos).

Abre un Power Shell en el servidor y pon el siguiente comando:

Set-SmbServerConfiguration –RejectUnencryptedAccess $false

El problema de esto es que se pueden realizar conexiones con SMB 1 que es muy inseguro. Así que si no tienes dispositivos que sólo tengan SMB 1 (y no deberías tenerlos, deberías actualizarlos al menos al 2), puedes deshabilitar SMB1 en el servidor (esto ya está hecho en Windows Server 2019 por defecto que sólo incluye el SMB 3).

Set-SmbServerConfiguration –EnableSMB1Protocol $false

Acceso como invitado deshabilitado den Windows Server 2019

Windows Server 2019 ha deshabilitado el acceso como invitado (sin identificarse). Si quieres una carpeta de este estilo tienes que cambiar la política (Group Policy) en:

Computer configuration\administrative templates\network\Lanman Workstation”Enable insecure guest logons”

Obviamente recuerda que estás reduciendo la seguridad de tu red.

Vulnerabilidad en Prestashop ante el malware XsamXadoo Bot. Solución.

por

Si tienes una tienda de Prestashop, puede que hayas recibido un aviso que tu tienda puede ser vulnerable ante ataques del malware XsamXadoo Bot. Mediante este malware, los atacantes pueden tomar el control de tu página web y acceder a tus datos.

No es un ataque exclusivo a Prestashop, muchos gestores y módulos de diferentes entornos, creados en php con la herramienta PHPUnit, pueden ser vulnerables. Pero se ha detectado en Prestashop estos días.

En qué consiste la vulnerabilidad.

Este ataque hace uso de un fallo de seguridad conocido desde el 2017: el CVE-2017-9841. Este fallo está presente en la herramienta PHPUnit, un framework que usan los desarrolladores de php para probar y crear sus módulos y aplicaciones. La vulnerabilidad se ha corregido en las versiones de PHPUnit 7.5.19 y 8.5.1 , pero las anteriores la tienen. Y muchos creadores de Prestashop usan esta herramienta.

Lo curioso es que los desarrolladores dejan ciertas carpetas y ficheros de este framework cuando pasan los módulos a producción. Carpetas y ficheros que ya no son necesarios porque son sólo para desarrollo, pero que dejan ahí. Y estos son los que contienen el fallo de seguridad.

Cómo solucionarlo.

Lo que tienes que hacer es borrar todos los directorios phpunit tanto de Prestashop como de los módulos (recuerda, la carpeta es sólo para desarrollo).

  • Si gestionas un servidor Linux puedes hacer esto con este comando:

    find . -type d -name "phpunit" -exec rm -rf {} \;

    En caso de no tener acceso a terminal, puedes buscar los directorios por FTP. Para ello.
  • En la carpeta de Prestashop busca la carpeta Vendor. Dentro de esa carpeta mira si tiene otra que se llame phpunit. Si es así, borra esa carpeta.
  • Ahora entra en cada carpeta de módulo. Busca la carpeta Vendor dentro de cada módulo. Si esta carpeta incluye el directorio phpunit borralo.

Cómo saber si te han infectado.

Es difícil porque pueden dejar diferentes rastros. Pero
1) mira en tu servidor a ver si tienes los siguientes ficheros:

File namemd5
XsamXadoo_Bot.php0890e346482060a1c7d2ee33c2ee0415 or b2abcadb37fdf9fb666f10c18a9d30ee
XsamXadoo_deface.php05fb708c3820d41c95e34f0a243b395e
0x666.phpedec4c4185ac2bdb239cdf6e970652e3
f.php45245b40556d339d498aa0570a919845

2) Entrar en Parámetros Avanzados->Información para ver si al final te indica si se ha modificado algún fichero del core de Prestashop. Esto también puede dar una pista de si te han infectado.

Para más información lee el anuncio de Prestashop y el artículo más detallado al respecto.

Explicación sencilla del ataque Man in the Middle. Cuidado en redes públicas o compartidas.

por

Dentro de la serie de artículos y vídeos sobre seguridad para todos los usuarios, hoy presentamos el ataque Man in the Middle. Es importante entender este ataque porque es uno que se puede dar mucho en redes públicas, wifis gratuitas, redes compartidas etc.

Para el que piense que “esto no me pasa a mi” que sepan que hemos conocido gente que se dedica a ir a las cafeterías, cibercafés, aeropuertos y demás sitios con wifi gratuita, para poder practicar sus habilidades de “hacker” con los “incautos” que se conectaban a dicha red.

Ataque Man in the Middle.

El ataque de Man in the Middle consiste en que el atacante se conecta a la red que usa el usuario al que va a atacar (por eso el peligro de las redes públicas) y se hace pasar o por el router o por el destino de alguna página web, redirigiendo el tráfico o a sí mismo o a un servidor infectado.

Para ello puede usar una de muchas técnicas como:

  • DHCP spoofing: modificar la asignación DHCP y la puerta de enlace del ordenador destino. Se puede hacer de muchas maneras, pero con crear un servidor DHCP en la misma red, si es suficientemente rápido puede atraer víctimas.
  • ARP caché poisoning o ARP spoofing: ARP es el protocolo que proporciona la dirección MAC (hardware) de una dirección IP y viceversa. Se pueden mandar paquetes “falsos” a la red para engañar a los ordenadores y que piensen que tu ordenador es el router.
  • DNS spoofing. Como vimos, se puede modificar la tabla de DNS para hacer pensar que ciertas páginas web están en tu ordenador o en otros servidores.

Os lo explicamos en este vídeo.

Conclusiones.

Esperamos que seáis conscientes de lo fácil que es atacar un ordenador en una red compartida. Como es necesario estar en una misma red, debemos tener cuidado y saber que esto puede ocurrir. Siempre sospechar que puede haber gente “espiando” en estas redes.
Para reducir el riesgo:

  • Usar https y otros protocolos cifrados.
  • Intentar no usar redes públicas. Podéis usar vuestro móvil para crear una wifi.
  • Usad VPN si usáis redes públicas.
  • Sospechar de wifis gratis o sin contraseña. Son “cebos” para incautos.
  • Si tenéis que usar redes públicas, no entréis en servicios que requieran vuestra contraseña. Y menos en servicios importantes como bancos etc.
  • Si no queda más remedio, que esos servicios tengan doble autentificación para que no importe si consiguen vuestra contraseña.