La Comunidad DragonJAR

En este tercer y ultimo día del tercer encuentro internacional de seguridad informática se esperan con ansias 2 charlas la de luciano bello sobre el famoso bug en el openssl que fue presentado en la el defcon 16 y la de chema alonso sobre LDAP Injection & Blind LDAP Injection que presento en la black hat del año pasado, ademas la premiación del wargame (que por segunda vez se lo gana un equipo de La Comunidad DragonJAR) y como no…. el remate

Empezamos el día con david batanero y su charla sobre la tecnología GSM, en la que nos explica como funciona, los posibles ataques que se pueden realizar sobre esta tecnológica y por que debemos poner mas atención a la seguridad de nuestros dispositivos móviles.

Descargar Charla de David Batanero sobre GSM

Después martín rubio nos presenta su charla en la que habla de como ser un hacker realmente, que necesitamos saber y hacer para realmente ser catalogado como un hacker. Leer el resto de la entrada »

Se encuentra disponible la versión número 3 de la Guía de Testing OWASP.

El proyecto OWASP (Open Web Application Security Project) es una comunidad abierta de colaboración entre profesionales y expertos en la seguridad de aplicaciones Web. Entre sus muchos proyectos se incluye la Guía de pruebas, un manual de referencia con vulnerabilidades, contramedidas y una completa metodología para la revisión y evaluación del estado de seguridad de nuestras aplicaciones.

Dejo entonces una corta definición sobre el contenido de esta Guía y algo del contenido temático de la misma:

El marco de trabajo descrito en este documento pretende alentar a las personas a evaluar y tomar una medida de la seguridad a través de todo el proceso de desarrollo. Así, pueden relacionar los costes de un software inseguro al impacto que tiene en su negocio, y de este modo gestionar decisiones de negocio apropiadas (recursos) para la gestión del riesgo.

Leer el resto de la entrada »

El próximo Viernes 15 de Maryo de 2009 se realizara en el Ateneu Barcelonès de Barcelona, la quinta versión del OWASP Spain Chapter Meeting, una serie de charlas sobre seguridad web patrocinadas por el Proyecto OWASP.

Las charlas no tienen ningún costo y para asistir únicamente es necesario que los asistentes envíen un correo a “vicente.aguilera@owasp.org” indicando en el asunto del mensaje la palabra “INSCRIPCIÓN”. Solicita el certificado de asistencia y consigue CPEs.

La programación es excelentes, con ponentes reconocidos en el sector de la seguridad web y unas temáticas que no tienen nada que envidiar a un congreso internacional sobre el tema. Leer el resto de la entrada »

OWASP.TV es el nuevo recurso publicado por el proyecto OWASP (Open Web Application Security Project – Proyecto de seguridad de aplicaciones Web Abiertas), el cual ofrece el registro en video de las diferentes conferencias /capítulos realizados por el proyecto OWASP.

Estos videos son una grata solución para muchos de los que hemos deseado participar en estos eventos, pero que por diferentes motivos no podemos hacerlo.

Leer el resto de la entrada »

Hago anuncio oficial del lanzamiento del nuevo recurso de los laboratorios de la Comunidad (Labs.DragonJAR.org). En esta oportunidad se trata de Labs OWASP.

De esta manera, Labs OWASP pretende llevar a cabo diferentes laboratorios (Hack Labs) sobre los diferentes recursos relacionados con los proyectos desarrollados por OWASP (Open Web Application Security Project – Proyecto de seguridad de aplicaciones Web Abiertas). Leer el resto de la entrada »

Hace algunos días estaba realizando una instalación del sistema Linux Mint en mi Laptop, como de costumbre en cada reinstalación, incluyo las herramientas del proyectos OWASP (WebGoat, Pantera, WebScarab, etc.). Esta vez he sabido encontrarme con una agradable noticia, pues la mayoría de los proyetos OWASP contaba con su enlace correspondiente a la definición del mismo en idioma español.

Antes de continuar debo aclarar el concepto de OWASP para las personas que no estén familiarizadas con este espectacular proyecto (aunque ya he publicado varios recursos en la Web y el foro, ej. Guía de pruebas OWASP y F.A.Q de seguridad en aplicaciones Web -OWASP-), veamos entonces la descripción del proyecto desde la Wikipedia:

OWASP (acrónimo de Open Web Application Security Project, en inglés ‘Proyecto de seguridad de aplicaciones web abiertas’) es un proyecto de código abierto dedicado a determinar y combatir las causas que hacen que el software sea inseguro. La Fundación OWASP es un organismo sin ánimo de lucro que apoya y gestiona los proyectos e infraestructura de OWASP. La comunidad OWASP está formada por empresas, organizaciones educativas y particulares de todo mundo. Juntos constituyen una comunidad de seguridad informática que trabaja para crear artículos, metodologías, documentación, herramientas y tecnologías que se liberan y pueden ser usadas gratuitamente por cualquiera.

Los siguientes son algunos de los proyectos que se encuentran traducidos al español:

OWASP AntiSamy

El proyecto OWASP AntiSamy es unas cuantas cosas. Técnicamente, es una API para asegurarse que las entradas HTML/CSS del usuario estén en cumplimiento con las reglas de la aplicación. Otra forma de decirlo podría ser: es una API que le ayuda a asegurarse que los clientes no provean código malicioso en el HTML que proveen para su perfil, comentarios, etc. Que se quedan almacenados en el servidor. El termino código malicioso en términos de aplicaciones Web es generalmente relacionado solo con JavaScript. Hojas de estilo en cascada (CSS) son solo consideradas maliciosas cuando invocan a JavaScript. Sin embargo, hay muchas situaciones donde HTML y CSS “normales” pueden ser usados de una forma maliciosa.

Filosóficamente, AntiSamy es una desviación de todos los mecanismos contemporáneos de seguridad. Generalmente, los mecanismos de seguridad y los usuarios tienen una comunicación que es virtualmente de una vía, por una buena razón. Dejar al atacante potencial saber detalles acerca de la validación no se considera prudente, ya que permite que al atacante “aprenda” y “reconstruya” el mecanismo para debilidad. Estos tipos de fuga de información pueden también dañar en formas que usted no espera. Un mecanismo de ingreso que le dice al usuario, “Usuario invalido” revela el hecho de que un usuario con ese nombre no existe. Un usuario podría usar un diccionario o directorio telefónico o ambos para obtener remotamente una lista de usuarios validos. Usando esta información, un atacante podría lanzar un ataque de fuerza bruta o negación de servicio masivo de bloqueo de cuentas.

Más información sobre OWASP AntiSamy

Leer el resto de la entrada »