El tráfico de Google dirigido a China y Rusia, resultó en tiempo de inactividad para algunos servicios. El incidente podría ser el resultado de errores técnicos o actividad maliciosa
Una desviación del tráfico de Internet interrumpió los servicios de Google y redirigió sus datos
Los principales proveedores de Internet en China y Rusia interceptaron datos de usuarios de Google
El ataque puede provocar más ataques a gran escala de las naciones involucradas en el futuro
Las interrupciones duraron casi 1.5 horas hasta las 10:30 pm GMT (5:30 pm EST)
Google dijo que no tenía motivos para creer que el secuestro de tráfico fuera malicioso
Un desvío de tráfico de Internet redirigió los datos a través de Rusia y China e interrumpió los servicios de Google el lunes, incluidos los servicios de búsqueda, alojamiento en la nube y su conjunto de herramientas de colaboración para empresas.
Algunos usuarios de Google el lunes por la tarde informaron que los servicios, como YouTube, eran lentos o que no se podía acceder. La causa de este problema fue que el tráfico de la compañía se dirigía mal a través de ISP en China, Nigeria y Rusia. Google está investigando el problema, pero comentó que no hay razón para creer que esto fue un ciberataque.
La mayor parte del tráfico de la red a los servicios de Google (el 94% a partir del 27 de octubre) está cifrado, lo que lo protege de miradas indiscretas, incluso si se desvía.
En un aviso publicado el lunes en su sitio web, Google dijo que había resuelto el problema a las 2:35 p.m. Hora del Pacífico, y que sus servicios estaban funcionando como se esperaba.
El problema con las plataformas en línea
Los ingenieros en redes han advertido durante años que las plataformas en línea son vulnerables a los ataques basados en redes que hacen que los datos se desvíen ampliamente de su curso. Tales ataques son posibles porque los grandes proveedores de servicios de red intercambian tráfico a través de un sistema que se basa en gran medida en la confianza mutua a través de protocolos casi tan antiguos como la propia Internet.
Los fallos, como el que experimentó Google el lunes, pueden ocurrir debido a un error técnico, por ejemplo, cuando un ingeniero de red configura incorrectamente los sistemas, o también podrían representar un intento malicioso de interceptar datos, dicen los expertos en redes.
Si tienen acceso a un operador de red lo suficientemente grande, los hackers pueden alterar los mapas de red almacenados en los enrutadores centrales de Internet a través de un sistema conocido como protocolo de puerta de enlace fronteriza o BGP (por sus siglas en inglés Border Gateway Protocol).
El uso de fallas de BGP para redirigir los datos podría permitir a un hacker robar información, escuchar el tráfico o enviar información al olvido cibernético, según los investigadores de seguridad.
¿Un posible experimento de juego de guerra?
Según el profesor Alan Woodward, científico informático de la Universidad de Surrey, el secuestro podría haber sido parte de un elaborado esquema de vigilancia.
Dijo a MailOnline: «El acceso a los datos de las personas es un» activo estratégico «para la vigilancia, y Rusia y China han llevado a cabo ataques de secuestro para recopilar esos datos anteriormente.
Los expertos ahora están preocupados por la posibilidad de que las naciones involucradas obtengan acceso a los datos privados de los usuarios al monitorear el tráfico redirigido.
El presunto ataque también puede ser un signo de lo que vendrá a medida que la guerra cibernética se intensifique entre Occidente y sus competidores globales.
Google ahora requiere que los fabricantes de teléfonos con sistema operativo Android realicen actualizaciones de seguridad durante al menos 2 años
Nuevo requerimiento obliga a fabricantes de teléfono a dos años contractuales de actualizaciones de software, y 4 en el primer año
La medida está diseñada para aumentar la creciente cantidad de ciberamenazas
Los fabricantes tendrán una ventana de 90 días para realizar cada actualización
Cuando se trata de actualizaciones de seguridad, Android es un verdadero desastre. Incluso después de que Google haya implementado oportunamente los parches de seguridad para su plataforma Android, una parte importante del ecosistema de Android sigue estando expuesta a los hackers informáticos porque los fabricantes de dispositivos no entregan parches regularmente y de manera oportuna a sus clientes.
Para lidiar con este problema, Google en su Conferencia de desarrolladores de I/O de mayo de 2018 reveló el plan de la compañía para actualizar sus acuerdos OEM (Por sus siglas e inglés, Fabricante de Equipos Originales) que requerirían que los fabricantes de dispositivos Android implementen al menos actualizaciones de seguridad con regularidad.
Ahora, una copia filtrada y no verificada de un nuevo contrato entre Google y OEM obtenido por The Verge revela algunos términos del acuerdo que los fabricantes de dispositivos deben cumplir o, de lo contrario, tienen que perder su certificación de Google para los próximos dispositivos Android.
Nuevos Términos para la seguridad en Android
Los términos cubren cualquier dispositivo lanzado después del 31 de enero de 2018 que haya sido activado por más de 100,000 usuarios. A partir del 31 de julio, los requisitos de aplicación de parches se aplicaron al 75 por ciento de los «modelos de seguridad obligatorios» de un fabricante. A partir del 31 de enero de 2019, Google exigirá que todos los dispositivos obligatorios de seguridad reciban estas actualizaciones.
Los fabricantes de dispositivos Android tienen el mandato de lanzar «al menos cuatro actualizaciones de seguridad» en el primer año después del lanzamiento de un teléfono inteligente, pero para el segundo año, el número de actualizaciones no está especificado.
Además de esto, el contrato también estipula que los fabricantes no deben retrasar las actualizaciones de parches para vulnerabilidades de seguridad durante más de 90 días.
Seguridad Fragmentada
La seguridad fragmentada ha sido durante mucho tiempo un problema en Android, donde los fabricantes de teléfonos a veces ignoran los productos a medida que envejecen o su uso disminuye. Los consumidores rara vez han tenido la certeza de que su dispositivo recibiría actualizaciones oportunas, lo que lleva a fallas que permanecen abiertas mucho más allá de su identificación.
Si bien este es obviamente un paso en la dirección correcta, todavía no es una solución completa al problema. Dado que Google lanza parches de seguridad mensuales. En estos nuevos documentos contractuales confidenciales, Google está permitiendo a los fabricantes de equipos originales publicar una actualización al menos una vez cada 90 días. La actualización cuatro veces al año todavía dejaría a algunos usuarios vulnerables por hasta 90 días.
Si bien la autenticidad del nuevo contrato de socios de Android no se verifica, los nuevos cambios realizados por Google definitivamente tendrán un impacto masivo en el estado general de la seguridad de Android y beneficiarán a millones de usuarios de Android.
El jefe de seguridad de WordPress muestra los esfuerzos del equipo para mejorar la seguridad de casi un tercio de todos los sitios de Internet
Jefe de seguridad de WordPress anuncia nuevas medidas de ciberseguridad
Continuará el soporte a versiones anteriores, pero nuevo enfoque se centrará en poner al usuario sobre el software
Demuestra nueva solución para demostrar limpieza de puntaje
La mayor batalla del equipo de seguridad de WordPress no es contra los hackers sino contra sus propios usuarios, millones de los cuales continúan administrando sitios web en versiones anteriores del famoso CMS (Sistema de Administrador de Contenidos por sus siglas en Inglés), y que regularmente no aplican las actualizaciones al núcleo del CMS, los plugins o plantillas.
Hablando en la conferencia de seguridad cibernética de DerbyCon a principios de este mes, el líder del Equipo de Seguridad de WordPress, Aaron Campbell, le dio al público una idea de cómo el equipo de WordPress ha estado abordando este problema durante los últimos años.
Describió este proceso como un cambio de enfoque. Él dice que el equipo de WordPress decidió hace unos años que, en lugar de mantener el software seguro parcheando errores, se centrarían en mantener a los usuarios seguros, tanto a través del software como de sus acciones.
Los usuarios son más importantes que el software
«La primera lección que aprendimos fue que los usuarios son más importantes que el software», dijo Campbell frente a una audiencia en vivo.
«Hubo un par de cosas pequeñas en las que enfocarse en los usuarios nos brindó cierta claridad y se simplificó un poco», agregó.
El problema principal fue que millones de usuarios todavía utilizan versiones anteriores de WordPress para administrar sus sitios. Esas versiones anteriores eran técnicamente seguras, pero los usuarios que ejecutaban esos sitios enfrentaban más riesgos que los usuarios que ejecutaban versiones más recientes.
Un problema difícil de responder
Después de largas discusiones internas, el equipo de WordPress decidió seguir soportando estas versiones anteriores sin especificar un término en la vida útil de dichas versiones. El motivo principal es porque muchos usuarios todavía las están usando.
Esta decisión vino con sus inconvenientes y la más grande fue la necesidad de respaldar los parches de seguridad recientes para versiones anteriores de WordPress, algunas de las cuales tienen ya cinco años.
Campbell se quejó del proceso de respaldo de parches. «¡Realmente apesta! Pero es absolutamente lo mejor para nuestros usuarios. Y dado que es ahí donde establecemos la medida de nuestro éxito, eso es lo que hacemos».
«Estamos trabajando en posibles formas de reducir esa brecha, pero no queremos hacerlo eliminando el soporte para versiones anteriores que la gente todavía está usando», agregó.
«En lugar de eso, estamos trabajando para descubrir formas de actualizar esas versiones automáticamente sin romper los sitios de los usuarios, y esencialmente estamos trabajando para intentar eliminar de la existencia esas versiones en Internet y hacer que la gente avance.»
«No es un problema fácil de resolver, pero estamos trabajando en ello», dijo Campbell.
Una de las formas en que el equipo de WordPress ha estado abordando el problema de las versiones anteriores de WordPress es a través de las actualizaciones automáticas, un mecanismo introducido con WordPress 3.7, lanzado en 2013.
Las actualizaciones automáticas están activadas de forma predeterminada para todas las instalaciones nuevas y han desempeñado el papel más importante en mantener la mayor parte de la base de sitio de WordPress en las versiones más recientes, aunque algunos percentiles permanecen en las versiones anteriores de 3.xy 2.x
Una Industria Colaborativa
Para el resto de los usuarios, Campbell dice que el equipo de WordPress se está enfocando en la educación del usuario y las colaboraciones con la industria de la tecnología en general.
Por ejemplo, el equipo de seguridad de WordPress ha estado trabajando con Google para mostrar materiales de capacitación dentro del panel de la Consola de Búsqueda de Google, para advertir y ayudar a los usuarios a migrar a versiones anteriores de sus sitios.
El equipo de WordPress también ha creado una alerta que se muestra dentro del propio panel de WordPress. Esta alerta aparece cuando los usuarios están utilizando una versión anterior de PHP para sus sitios. La idea es que al atraer a los usuarios para que actualicen su entorno de alojamiento PHP, los usuarios también buscarán actualizar WordPress.
Pero además de centrarse en los usuarios de WordPress a las versiones recientes, el equipo de WordPress también ha trabajado para aumentar la seguridad de todo el ecosistema en su conjunto.
Campbell dice que el equipo de WordPress ha estado colaborando con los autores de los complementos más populares en su repositorio de complementos. Ha estado ayudando a estos complementos a seguir las mejores prácticas de codificación.
Esto ha producido grandes resultados, dijo Campbell, ya que los plugins más pequeños ahora han comenzado a seguir (o robar) las técnicas de codificación utilizadas por estos proyectos más grandes, e indirectamente han aumentado la seguridad de sus propios plugins.
Además, el equipo de seguridad de WordPress también ha estado trabajando con Google, XWP y algunas otras compañías en un proyecto llamado Tide que mostraría una calificación de cinco estrellas en cada plugin.
Llamada «puntuación Tide», esta clasificación está destinada a brindar a los usuarios un indicador de la calidad y seguridad del código delplugin, y si ese código respeta las técnicas modernas de codificación.
Campbell dice que el nombre del proyecto proviene del concepto de que «elevar las aguas en todas partes levanta todos los barcos».
Pero además de un cambio en el enfoque del software a los usuarios, el líder de seguridad de WordPress también admitió que también se necesitaban mejoras dentro del propio equipo de seguridad, que en los últimos años ha pasado por un proceso de modernización.
Uno de los temas que abordaron fue el de sus herramientas internas. Campbell dijo que el uso de sistemas obsoletos como listas de correo y canales de IRC ha llevado a muchas situaciones en las que investigadores externos informaron fallas de seguridad, pero a medida que las discusiones sobre cómo corregir el error de seguridad avanzaban dentro de la lista de correo interna, el investigador externo se mantuvo al margen del bucle.
Estos incidentes provocaron que los investigadores de seguridad concluyeran que el equipo de WordPress no se preocupa por los errores de seguridad, una opinión que a veces terminó en informes de noticias o enojadas críticas en las redes sociales.
Campbell dijo que el equipo de WordPress ha mejorado mucho con el tiempo en el manejo de informes de errores al cambiarse a herramientas más modernas como Slack, Trac o HackerOne, y al incorporar nuevas personas que quizás no eran tan buenas para corregir fallas de seguridad, pero que eran mejores en Comunicándose con investigadores externos.
Aquí el video por si te interesa.
WordPress es el sistema de gestión de contenido de sitios web más grande de la actualidad, con una cuota de mercado de casi el 60 por ciento entre todos los CMS, y actualmente está instalado en más del 32 por ciento de todos los sitios de Internet, según W3Techs.
Aprende cómo borrar tu cuenta de Google+ y mantén protegida tu privacidad
Es viernes de trucos y por lo mismo te traigo un truco muy relevante. Estimado lector, quizá estés o no estés enterado del reciente descubrimiento de vulnerabilidades en Google+, la red social de Google. La vulnerabilidad fue reportada hace tan sólo unos días después de que Google y otros medios reportaran el posible impacto a medio millón de cuentas de usuario. Aunque no existió un hackeo como tal, a partir de este evento así como a la baja usabilidad de dicha plataforma, Google decidió poner fin al proyecto. Por esa razón te explicamos cómo borrar tu cuenta de Google+.
¿Por qué debes eliminar tu cuenta de Google+?
Google+ es un sitio de redes sociales establecido y administrado por Google. Si bien no es tan popular como Facebook o Twitter, Google+ es excelente cuando se trata de crear redes y promocionar negocios. Sin embargo, Google+ es propiedad de Google, y recientemente Google ha estado bajo fuego por sus políticas de privacidad cuestionables.
En octubre de 2016, se informó que Google actualizó su política de privacidad para eliminar una importante protección de la privacidad del consumidor. La protección preexistente era una prohibición de la recopilación de datos de identificación personal. Ahora que se ha eliminado, los usuarios de Google quedan expuestos a violaciones de privacidad invasivas. Debido a que Google+ es operado por Google, es seguro decir que los usuarios pueden estar preocupados por las características de privacidad actuales y futuras implementadas por Google+ también.
¿Cómo eliminar tu cuenta de Google+?
Borrar esta cuenta es permanente, por lo que deberás asegurarte de haber iniciado sesión en la cuenta correcta antes de eliminar tu perfil Google+. Para eliminar permanentemente tu cuenta de Google+, simplemente sigue esta sencilla guía de 5 pasos:
Haga clic en el menú desplegable en la esquina superior izquierda de la página y seleccione Configuración.
Desplázate hasta Desactivar Google+ y haz clic en Eliminar todo tu perfil de Google aquí.
Desplácese hasta la parte inferior de la página y marque la casilla junto a Requerido.
Haga clic en Eliminar servicios seleccionados.
Verás una página de confirmación antes de borrar los archivos. Asegúrate de leer y entender la información de Google para que estés tranquilo que no perderás nada valioso. En resumen sólo perderás lo que publicaste en Google+, no se borraran tus fotos ni tus contactos, ni tu actividad en YouTube. También se eliminará el acceso a ciertas apps integradas con Google+ por lo que asegúrate de revisar las cuentas conectadas en cuentas conectadas. Revisa las instrucciones de Google para el borrado de tu cuenta Google+.
Algunos de los tipos de información que borrarás son:
Eventos de Google+
Fotos de publicaciones den Google+
Publicaciones en Google+
+1 en comentarios
+1 en publicaciones
Comentarios en Google+
Votos en encuestas en Google+
¿Cómo respaldar tu información de Google+?
Quizá antes de borrar tu cuenta de Google+ quieres exportar tu información. Yo usaba la red social de forma semi regular, pero hay algunas publicaciones e información que me gustaría revisar antes de borrar de forma definitiva, por lo que te recomiendo hacerlo de este modo. Además, revisar la información que publicaste en una red es una forma de higiene cibernética que te hará más consciente del tipo de información que publicas.
Para exportar tu cuenta de Google+ sólo deberás ingresar a Google Takeout. Un servicio gratuito de Google que te permite descargar todos tus archivos de forma rápida y segura. Sigue estos sencillos pasos.
2. Selecciona solamente los archivos que quieres descargar (Google+)
Google Takeout seleccionará por defecto todos tus archivos, por lo que debes desactivar la casilla de preselección y seleccionar sólo los documentos que digan Google+. De lo contrario podrías terminar con un archivo de decenas o cientos de gigabytes de información.
3. Haz click en siguiente
4. Confirma tipo y tamaño de archivo
5. Crea tu archivo.
Después de que hayas apretado el botón crear archivo, deberás esperar unos 5 a 10 minutos para que Google recolecte toda tu información. No te preocupes que este proceso es automático y una vez terminado recibirás un correo de parte de Google informándote que el archivo está listo.
6. Descarga tu archivo
Recibirás un correo de Google similar al que se muestra a continuación. Una vez que hagas click en descargar archivo comenzará la descarga. Ten cuidado de hacerlo en un lugar con wifi de gran capacidad o con suficiente tiempo ya que la descarga puede tomar cualquier tiempo desde unos minutos hasta un par de horas, dependiendo de la información que tengas.
7. Revisa y cambia la ubicación de tu archivo (opcional)
El siguiente paso es opcional, aunque de todas formas sugiero hacerlo ya que de conservar tus archivos de Google+ en tu equipo local podrías llenarlo de información innecesaria. En lo personal me gusta tener un equipo ligero y sólo con lo necesario para trabajar, por lo que cree una cuenta en un servicio de hospedaje en la nube donde alojo todos los archivos a los cuales no accedo de forma regular.
Muchos de estos servicios ofrecen suficientes gigabytes gratuitos de alojamiento por lo que no deberías tener problemas para subir esta descarga de Google+. Te recomiendo los servicios de Dropbox, Box o Mega.
Otras formas de mantener segura tu información.
Usa un VPN
Piensa antes de compartir
Lee las políticas de privacidad
Ajusta tu configuración de privacidad
¡Eso es todo! Recuerda que la seguridad la hacemos todos. No caigas víctima de los hackers. Si te gusto este artículo compártelo!
Google+ descubre vulnerabilidad en más de medio millón de cuentas afectadas, decidieron no revelarlo
La red social para individuos cerrará definitivamente por baja participación y fallas en seguridad.
Google no pudo verificar el mal uso de los datos de más de 500,000 cuentas.
Google mantendrá abierta una versión de Google+ para empresas.
Google ha anunciado que cerrará la versión para consumidores de Google+ debido a problemas de seguridad (distintos a los recientemente reportados en Facebook) así como la baja participación de los usuarios en su intento fallido del ‘Facebook’ de Google. Además, está anunciando la introducción de nuevos permisos de cuenta de Google más específicos, nuevos límites para aplicaciones de terceros que buscan permisos para acceder a los datos de los usuarios de Gmail y Android.
Ben Smith, miembro de Google y vicepresidente de ingeniería, mencionó que los “desafíos significativos para crear y mantener un Google+ exitoso que cumpla con las expectativas de los consumidores” así como el bajo uso y compromiso de los usuarios son la razón detrás de la decisión de cerrar Google+.
«El 90 por ciento de las sesiones de usuario de Google+ son menos de cinco segundos«, añadió.
Al mismo tiempo, Smith compartió detalles sobre una vulnerabilidad de seguridad que encontraron en una de las APIs de Google+, que podría haber permitido a aplicaciones de terceros acceder a campos privados en el perfil de los usuarios.
«Descubrimos e inmediatamente solucionamos este error en marzo de 2018. Creemos que ocurrió después del lanzamiento como resultado de la interacción de la API con un cambio posterior en el código de Google+«, dijo.
Como no encontraron pruebas de que ningún desarrollador estuviera al tanto de este error o abusara de la API, y era imposible saber cuántos o qué usuarios estaban potencialmente afectados, la Oficina de Protección de Datos y Privacidad de la compañía decidió no informar a los usuarios ni hacer pública la información al respecto, ya que, después de tomar en consideración todos los factores, sentían que no estaban obligados por ley.
Google indicó en su blog oficial que «…no podemos confirmar que usuarios fueron afectados por este error. Sin embargo, realizamos un análisis detallado durante las dos semanas previas a parchar el error y, a partir de ese análisis, detectamos los perfiles de hasta 500,000 cuentas de Google+ que se vieron potencialmente afectados. Nuestro análisis mostró que hasta 438 aplicaciones pueden haber utilizado esta API.»
Control de Daños
La publicación de Google se supo un día después de que el Wall Street Journal publicara un memorandum interno de Google. En dicho memorándum se habla sobre la no divulgación al público de dicho hallazgo, debido a que no se pudo comprobar el mal uso ni afectación de los usuarios.
«La incapacidad para evaluar y cuantificar a los usuarios afectados no está exenta de divulgación. Aunque una vulnerabilidad de seguridad en sí misma no activa automáticamente la obligación de divulgarlo, en este caso parece que Google tiene dudas razonables de que la falla podría haber sido explotada. Una aclaración adicional de Google y los detalles técnicos del incidente sin duda serían útiles para restablecer la confianza entre los usuarios actualmente abandonados en la oscuridad.», expresó Ilia Kolochenko, CEO de la empresa de seguridad web High-Tech Bridge.
«Es importante que los consumidores se den cuenta de que conectar aplicaciones mediante plataformas de redes sociales solo aumenta la cantidad de información importante que podría ser vulnerada, así como también incrementa los vectores de ataque que los hackers pueden aprovechar», agregó.
A diferencia de lo que otros medios señalaron, Google+ no fue hackeado. Incluso, Google+ seguirá existiendo como una red social corporativa con nuevas características diseñadas específicamente para empresas. Informó la empresa. Google anunció de forma simultánea el lanzamiento del proyecto ‘Project Strobe’ con el cual busca proteger la privacidad de los usuarios.
