{"id":2413,"date":"2014-04-10T09:00:00","date_gmt":"2014-04-10T12:00:00","guid":{"rendered":"http:\/\/www.radians.com.ar\/blog\/?p=2413"},"modified":"2015-09-18T18:38:51","modified_gmt":"2015-09-18T21:38:51","slug":"security-heartbleed-que-es-y-que-contraseas-debes-cambiar-para-evitar-ser-vulnerados","status":"publish","type":"post","link":"https:\/\/www.radians.com.ar\/blog\/?p=2413","title":{"rendered":"{Security} Heartbleed, que es y que contraseñas debes cambiar para evitar ser vulnerados"},"content":{"rendered":"

\"www.radians.com.arHace unos d\u00edas se dio a conocer esta nueva vulnerabilidad, hoy vamos a ver en detalle que es y que debemos hacer para evitar ser vulnerados. Espero les sea de inter\u00e9s. <\/p>\n

Saludos, Roberto Di Lello.<\/p>\n

El error Heartbleed<\/h4>\n

El error de Heartbleed es una vulnerabilidad grave en la Biblioteca popular de software criptogr\u00e1fico de OpenSSL. Esta debilidad permite robar la informaci\u00f3n protegida, en condiciones normales, por el cifrado SSL\/TLS utilizado para garantizar el Internet. SSL\/TLS proporciona comunicaci\u00f3n seguridad y privacidad en Internet para aplicaciones tales como web, correo electr\u00f3nico, mensajer\u00eda instant\u00e1nea (IM) y algunas redes privadas virtuales (VPN).<\/p>\n

El fallo de Heartbleed permite a cualquier persona en Internet para leer la memoria de los sistemas protegidos por las versiones vulnerables del software OpenSSL. Esto compromete las claves secretas utilizadas para identificar a los proveedores de servicios y para cifrar el tr\u00e1fico, los nombres y contrase\u00f1as de los usuarios y el contenido real. Esto permite a los atacantes para espiar comunicaciones, robar datos directamente de los servicios y los usuarios y hacerse pasar por usuarios y servicios. <\/p>\n

\u00bfQu\u00e9 tiene fugas en la pr\u00e1ctica?<\/h4>\n

Hemos probado algunos de nuestros servicios desde la perspectiva del atacante. Atacamos a nosotros mismos desde afuera, sin dejar rastro. Sin usar informaci\u00f3n privilegiada ni credenciales fuimos capaz de robar a nosotros mismos las claves secretas utilizadas para nuestro X.509 certificados, nombres de usuario y contrase\u00f1as, mensajes instant\u00e1neos, correos electr\u00f3nicos y documentos cr\u00edticos de negocio y comunicaci\u00f3n. <\/p>\n

\u00bfC\u00f3mo detener la fuga?<\/h4>\n

Mientras la versi\u00f3n vulnerable de OpenSSL est\u00e1 en uso que se puede abusar. OpenSSL fijo<\/a> ha sido liberado y ahora tiene que implementarse.Proveedores de sistemas operativos y de distribuci\u00f3n, proveedores de dispositivos, proveedores de software independientes tienen que adoptar la soluci\u00f3n y notificar a sus usuarios. Los usuarios y prestadores de servicios tienen que instalar el parche como est\u00e9 disponible para los sistemas operativos, aplicaciones en red y software que utilizan. <\/p>\n

Por el momento se sabe que infiltr\u00f3 los servidores <\/b>que utilizan los software Apache y Nginx, <\/b>y puede afectar a las p\u00e1ginas web y las aplicaciones que los utilizan. Su poder es tan grande que es capaz de vulnerar los programas de encriptaci\u00f3n de contrase\u00f1as m\u00e1s complejos<\/b>, como SSL encryption.<\/p>\n

Algunos de los sitios afectados introdujeron en las \u00faltimas horas un parche que inhibe su acci\u00f3n<\/b>. Pero para estar a salvo es necesario cambiar las contrase\u00f1as<\/b>, que ya pueden haber sido robadas. <\/p>\n

Como el estallido de esta brecha en la seguridad fue muy reciente, a\u00fan no se sabe con exactitud qu\u00e9 p\u00e1ginas y aplicaciones han sido vulneradas<\/b>. <\/p>\n

Entre las m\u00e1s utilizadas, seg\u00fan Mashable<\/i>, est\u00e1 comprobado que Google, Yahoo, Tumblr y Dropbox quedaron expuestos. En todos esos casos, la recomendaci\u00f3n es cambiar la clave inmediatamente<\/b>. <\/p>\n

No est\u00e1 claro si se produjo una filtraci\u00f3n con Facebook, pero los expertos aconsejan modificar la contrase\u00f1a de todos modos. Ante la duda, la red social instal\u00f3 un parche. Hotmail, LinkedIn, Amazon, PayPal y AOL quedaron a salvo, de modo que no hay necesidad de cambiar nada. <\/strong>A\u00fan se desconoce si Twitter, Apple, eBay y Netflix fueron vulnerados, y las compa\u00f1\u00edas no han dado instrucciones a sus usuarios. <\/p>\n

Les recomiendo ver las Q&A que pongo en el link abajo que hay mas informaci\u00f3n puntual sobre este inconveniente. <\/p>\n

Mas Informaci\u00f3n:<\/h4>\n