Crean una colecta para compensar al hacker que Facebook ignoró

El experto en seguridad palestino Khalil Shreateh ha pasado de desconocido a celebridad. Al menos en Internet. Hace unos días hackeó el muro de Facebook de Mark Zuckerberg para avisar de un fallo de seguridad que permitía publicar en muros ajenos. Facebook, sin embargo, se negó a pagarle la recompensa que promete en estos casos. Ahora, cientos de personas anónimas han pagado el dinero de su bolsillo en una colecta online: 11.200 dólares.

La iniciativa, iniciada por Marc Maiffret responsable de tecnología de la firma de seguridad BeyondTrust, pedía 10.000 dólares para compensar al hacker Khalil Shreateh. En apenas unos días ha superado el objetivo, reuniendo 11.235 dólares. Será bastante más de los 500 dólares que Facebook debería haberle pagado por encontrar un agujero de seguridad en la red social. Además del dinero, Shreateh tendrá otra recompensa casi más importante: el reconocimiento de tu trabajo por parte de toda la comunidad hacker.

¿Cómo llegó la historia a este punto? Khalil avisó hace unos días del fallo en la página oficial de seguridad de Facebook. Sin embargo, los técnicos de seguridad de la red social bloquearon su cuenta y le contestaron que no se trataba de un fallo. Khalil reenvió entonces su descubrimiento una segunda, y hasta una tercera vez, mostrando en un vídeo (debajo) cómo había podido publicar en el muro de una compañera cuyo perfil era privado. Facebook reconoció entonces el problema, pero le respondió que no entraba dentro de los fallos que podían recibir una recompensa económica. Ni corto ni perezoso, Khalil aplicó su "insignificante" hallazgo sobre el muro de Mark Zuckerberg pidiéndole disculpas de antemano y explicándole muy amablemente la cuestión.
Su caso captó la atención de los medios y obligó al jefe de seguridad de Facebook, Joe Sullivan, a reconocer el error y pedir disculpas. En un post, Sullivan, admite que "fallamos en la comunicación con él. Comprendo su frustración. Recibimos cientos de envíos cada día y solo un pequeño porcentaje de ellos acaba siendo legítimo. Como consecuencia, fuimos demasiado pasivos en este caso". El problema también, explica Sullivan, es que Khalil ofreció poco detalle sobre el agujero de seguridad en sus comunicaciones iniciales, lo que les hizo pensar que se trataba de otro caso falso. Y confirma que no le pagaron finalmente porque la regla de la red social es que nadie puede probar una vulnerabilidad contra un usuario real. "No es aceptable comprometer la seguridad o privacidad de otras personas", dice Sullivan. Y, claro, en este caso se trataba de Mark Zuckerberg. ¿Injusticia por parte de Facebook? ¿Mala suerte de Khalil? ¿Ambas? Sea como fuere, al menos ha recibido una recompensa. Internet también es bondadosa. [Reuters y BusinessWeek]

Descubren un nuevo software capaz de espiar todo el tráfico HTTP

Por si no fuera suficiente con PRISM, con Fairview, y con Blarney, el periódico británico The Guardian acaba de hacer públicos nuevos documentos que revelan otra aplicación de espionaje del gobierno estadounidense. El nuevo software es capaz de espiarlo prácticamente todo, desde nuestros chats, al contenido de nuestros correos, nuestra actividad en redes sociales, o las páginas que visitamos. El software se llama X-Keyscore y funciona sobre protocolo HTTP, lo que le garantiza acceso a prácticamente todo. Según parece, X-Keyscore ha sido utilizado para analizar direcciones IP de millones de personas a día de hoy. Los datos de ese análisis preliminar en busca de palabras clave duran 30 días en las bases de datos de la NSA. Si resultamos sospechosos, nuestra IP pasa a un segundo nivel de análisis más minucioso en el que se examinan todas las comunicaciones. Los datos de esa segunda fase pueden permanecer en las bases de la agencia por un período de hasta cinco años. X-Keyscore no tiene más límite que la capacidad de almacenamiento para guardar los datos que genera. La Agencia de Seguridad Nacional estadounidense se defiende diciendo que X-Keyscore ha servido para atrapar a 300 terroristas hasta 2008. Ese 'hasta 2008' da una idea también de las proporciones de este nuevo caso de espionaje. La NSA asegura también que el programa no puede ser utilizado para espiar a ciudadanos estadounidenses sin una orden judicial. Ajá, NSA, ¡Estupendo! y el resto del mundo ¿Qué? [The Guardian via The Verge]

¿Huellas dactilares? Lo último en contraseñas es tu ritmo cardíaco

Mientras el nuevo iPhone 5S reinventa el clásico lector de huellas dactilares, una compañía llamada Bionym nos propone una alternativa bastante más futurista: una pulsera capaz de convertir los latidos de nuestro corazón en una contraseña única para todos nuestros dispositivos.


El dispositivo se llama Nymi, y tiene el aspecto de una pulsera cuantificadora como la Nike Fuelband o la Jawbone Up, pero lo que hace es registrar el ritmo característico de nuestro corazón (que, al parecer, es distinto para cada persona) y convertirlo en una contraseña única capaz de desbloquear un smartphone, un tablet, el laptop o incluso un automóvil.

El dispositivo comienza analizando nuestra frecuencia cardíaca y después genera una clave única que se envía de manera segura mediante bluetooth a cualquier dispositivo compatible. La pulsera funciona por proximidad, pero un sensor de movimiento interno permitiría además el uso de gestos para algunas
funciones específicas.
El CEO de Bionym, Karl Martin, asegura que la tecnología no es tampoco nueva, pero su aplicación abre las puertas a una forma de seguridad muy cómoda y conveniente ya que siempre la llevamos con nosotros (la pulsera no funciona a menos que su propietario la lleve puesta).

Martin comenta que el reto que tienen por delante en Bionym es lograr acumular una masa crítica de desarrolladores que generen aplicaciones para Nymi. El dispositivo ya está en producción y se puede reservar en su web oficial a un precio de 79 dólares. [Nymi vía FastCodeDesign]

Apple Touch ID: un sensor para reemplazar todas tus contraseñas

Finalmente era cierto. Apple ha dotado a su iPhone 5S de un sensor de huellas dactilares, pero el denominado Touch ID Capacitive Sensor es algo más que eso. Esta incorporación al terminal insignia de Apple abre las puertas a no pocas mejoras de interacción entre los iPhone y sus usuarios.

Una de las mejores características del sensor es su integración. No se trata de un botón aparte, sino que está alrededor del viejo y archiconocido botón físico que preside los iPhone. Una vez nos registramos con nuestra huella dactilar, el iPhone 5S almacena esta huella en una segura del procesador A7 y sólo ahí. No se hace copia en servidores ni en ninguna carpeta del sistema operativo ni de aplicaciones.

Una vez registrados, el sensor lee nuestra huella independientemente de en qué dirección pasemos el dedo. Físicamente, el cambio respecto al botón de inicio es muy leve. Sólo se nota un anillo metálico alrededor del botón. El sensor está oculto y protegido mediante un cristal de zafiro.

Se supone que el sensor permitirá, en el futuro, que todas nuestras contraseñas puedan resolverse simplemente pasando el dedo por el botón de inicio. Sin embargo, esto no será inmediato. Apple no va a liberar el código que gobierna este botón. Todo indica que los de Cupertino lo irán liberando poco a poco y sólo a compañías certificadas. De momento, el sensor sólo permitirá hacer operaciones con nuestra cuenta de iTunes, que no es poco.

Marina, el lugar donde la NSA guarda tu historial en internet

La administración de Obama aseguraba que sus agencias de espionaje online, como la NSA, sólo almacenaban mensajes y comunicaciones de personas sospechosas, pero nuevos documentos filtrados por Edward Snowden revelan que la NSA lo guarda todo en un repositorio llamado Marina.

Un documento de introducción a agentes como en su día lo fue Snowden explica como funciona este sistema de almacenamiento. Marina guarda metadatos como el historial de navegación, las cuentas de cada usuario en diferentes servicios y hasta algunas contraseñas.

Al parecer, Marina almacena todos estos datos por un período de un año, y lo hace independientemente o no de que la persona a la que pertenecen esos datos sea objetivo de alguna investigación o no.

Los datos de Marina se unan a las conexiones de Facebook y otras redes sociales, otra información que la Agencia de Seguridad Nacional recopila. Todos esos datos permiten condensar un perfil bastante preciso de millones de personas en todo el mundo. Poco a poco, los datos que comenzaron a destaparse en el caso PRISM nos dan a nosotros un perfil más preciso de hasta donde llegan las correrías de la NSA. [The Guardian]