Yuzi download

Uno de los grupos del Máster de Seguridad de la UEM ha hecho un trabajo tutorizado por el profesor Jorge Rey para implementar una solución de privacidad de conexiones VPN de bajo costo utilizando Raspberry Pi. El software que han utilizado para dicha tarea ha sido OpenVPN, y para dotar a la solución de mayor seguridad, han integrado el servicio Latch tanto en la autenticación de los usuarios, como en la protección del acceso vía SSH a la gestión del sistema operativo en la Raspberry Pi.

El trabajo resultante ha sido una documentación exhaustiva que explica cómo realizar, paso a paso la configuración de todos los elementos. Primero la configuración del sistema operativo en Raspberry Pi, luego la configuración del servicio OpenVPN para que funcionen correctamente las conexiones VPN y, por último pero no menos importante, la configuración de los plugins y SDKs de Latch para proteger tanto el acceso vía SSH como la autenticación de los usuarios vía VPN.

La configuración resultante es un servidor VPN de bajo coste con protección que permite a las personas realizar las conexiones en cualquier situación contra un servidor controlado al que, además se ha puesto la protección de Latch para saber quién está accediendo en cada instante.

En el documento, que he subido a SlideShare y podéis leer tranquilamente, se explica también como sacar partido a las estadísticas de Latch para saber que está pasando en cada momento con el servidor usando Latch Dashboard, aunque también se puede hacer una revisión detallada desde la propia aplicación móvil.

Si no tenías nada que hacer hoy domingo, ya sabes, día de bricolaje con la Raspberry Pi para tener montado tu propio servidor VPN y que nunca te quedes vendido por hacer una conexión a través de una red WiFi insegura en el momento equivocado. Gracias por la documentación generada a los miembros del grupo: A?lvaro Nu?n?ez-Romero Casado, Javier Jose? Pecete Garci?a, Alejandro Amori?n Nin?o y Juan Antonio Baeza Miralles.

Saludos Malignos!

Ayer publicamos en el blog de Eleven Paths un artículo sobre cómo utilizar Latch en Jenkins para que todos los que utilizan esta plataforma de integración continua puedan usar nuestro sistema de 2º Factor de Autorización en ella. Al final, dentro de nuestro trabajo intentamos fortificar todas las tecnologías con las que trabajamos internamente, así que hemos depurado algo que ya habíamos implementado en nuestros sistemas para que pueda ser utilizado por todo el mundo que quiera.

Si no eres de 450.000 usuarios que tiene a día de hoy Latch porque no conoces el sistema, te dejo una de las muchas charlas que di en el pasado sobre esta tecnología para que entiendas cuál es el pensamiento que nos llevó a crear esta pieza de nuestra visión de cómo debe ser un sistema de autenticación hoy en día.

La lista de plugins que tenemos hoy en día ya es muy larga y puedes acceder a todos ellos dentro del área de developer en la web de Latch. Como puedes ver, allí, en la sección de Plugins & SDK ya está disponible el último plugin que hemos lanzado.

Pero la lista es larga, y probablemente seguirá creciendo mucho. Además, hay integraciones de plugins que no son nuestras directamente, pero que están disponibles porque las ha hecho la comunidad. Desde integraciones en Django hasta plugins para el framework Laravel PHP. De todas ellas he intentado ir hablando por aquí, pero siempre puedes ir a la sección de documentación en la web de Latch o preguntar en la Comunidad de Eleven Paths para ver si hay una implementación disponible de Latch para tu sistema.

De muchos de esos plugins, además, hay vídeos disponibles en Youtube de cómo montarlos. En 10 minutos puedes aprender a proteger un WordPress, un Joomla! o un PrestaShop con Latch siguiendo los pasos de uno de los tutoriales. Hay cuatro listas de vídeos que tengo en el canal Youtube que te pueden ayudar a eso:

Al final, tras dos años y medio trabajando con Latch, el número de integraciones que hemos ido construyendo es alta, así que si necesitas alguna en particular, probablemente os podríamos ayudar, así que no dudes en contactar con nosotros para resolver cualquier duda. También está disponible para SalesForce o SugarCRM, que son algunas de las integraciones que nos solicitaron.

Como podéis ver hay una sección en la lista de vídeos de Latch dedicada al mundo del IoT (Internet of Thing). En esa lista podrás ver cómo Latch se puede integrar con diferentes partes del mundo físico, y esta tarde podrás ver cómo hacerlo tú mismo si asistes a la charla gratutita dentro de las Eleven Paths Talks que impartirá nuestro CSA Jorge Rivera. Como ya os dije, él está detrás de muchos de los proyectos IoT de integración con Latch, incluida la famosa hucha protegida por biometría y Latch que explica en este vídeo cómo funciona.

En la charla de esta tarde podrás ver cómo integrar el mundo físico utilizando alguno de nuestros SDKs para Latch que tienes disponibles en la sección de desarrolladores de Latch. Si estás en la universidad y tienes que hacer un Proyecto de Fin de Carrera o un Proyecto de Fin de Máster que quieres que sea tu carta de presentación en el mundo laboral, desarrollar alguna integración de Latch con el mundo IoT para añadir "El pestillo digital" al mundo físico puede ser una opción y tendrás nuestra ayuda. 

Como puedes ver en la image de arriba, hay SDKs para muchos entornos, así que si quieres animarte a hacer algo, no tienes excusas para no hacerlo. Aprender es un camino que se basa en hacer cosas que te aporten experiencia y conocimiento, por lo que tus proyectos personales te enriquecerán para siempre.

Saludos Malignos!

Ya os había avanzado que los premios para el último Latch Plugin Contest han sido concedidos, pero algunas de las ideas que nos han presentado merecen la pena revisarlas en detalle. En este artículo os voy a dejar información de seis Plugins y un SDK que tal vez te estimulen intelectualmente para crear algo nuevo, o te den idea para un Proyecto de Fin de Grado o de Máster, o para que lo uses como forma de fortificar algún sistema de seguridad en tu empresa.

SDK de Latch para GO y Latch CMD


Figura 3: Latch CMD usando SKD de Latch para GO
Tienes los códigos en las siguientes URLs:

- SDK de Latch para GO
- Latch CMD

Latch Proxymity: Zonas físicas de seguridad con Latch


Figura 4: Funcionamiento de Latch ProximityLatchWake: Controlar el apagado y encendido de redes de ordedores


Figura 5: Funcionamiento de LatchWake
Latch para NUXEO


Figura 6: Latch para NUXEO
Lockifi: Apaga y enciende la WiFi con con Latch


Figura 7: Lockifi para controlar tu red WiFi con Latch


Figura 8: Latch para MediaWiki

Latch no solo es una aplicación que sirve para abrir y cerrar un pestillo, sino que va mucho más allá. Puede usarse como un Segundo Factor de Autenticación si lo ponemos asociado al login de usuario como en el plugin de WordPress, Moodle, SSH o PrestaShop y si lo tuneas puede ser usado en un esquema de 4-Eyes Verification. Puede ser usado en soluciones como Segundo Factor de Autorización, para permitir o no permitir operaciones en un determinado sistema, como se puede ver en el caso de WordPress in Paranoid Mode - esta tarde Eleven Paths Talk Gratuito sobre este tema -  o como lo puedes probar en Nevele Bank con las operaciones bancarias o con tu cuenta de CajaMar si eres cliente. También puedes usarlo en un esquema de 2-Keys Activation tal y como se usaba en la hucha controlada por biometría y Latch o para proteger el acceso a ficheros seguros.

Figura 1: Configurar una HoneyPot en tu aplicación web con Latch

Se puede usar en sistemas operativos OS X, Windows, Linux o en el mundo IoT y tras ver los concursos de ideas, seguro que se te ocurren nuevas a ti. A mí se me ocurrió montar un entorno de Deception o una HoneyPot para saber lo que hacen los malos en la zona privada de mi plataforma si un día aparece un bug o son capaces de saltarse las protecciones de mi aplicación web. Y no, no hace falta nada adicional. Dejadme que os lo cuente.


Figura 2: Cómo usar Latch en la web de Cajamar
Si un atacante es capaz de obtener unas credenciales robadas por medio de un ataque de Spear Phishing y sabe que son válidas, puede intentar  acceder al sitio correspondiente. Si el sitio tiene un un 2FA o el atacante intuye que puede haber un Latch, esto no será suficiente, pero puede ser que aún así quizás no se rinda tan fácilmente e intente otros métodos para acceder al sistema sin tener que pasar por el login de la aplicación web.

Una base de datos HoneyPot con Latch

Como ya sabéis, con Latch el atacante solo tiene un intento de acceder con las credenciales correctas, ya que el sistema avisa al usuario de que intentaron acceder y/o accedieron con sus credenciales en el sitio protegido. Pero veamos ahora un ejemplo exagerado de lo que podremos conseguir con Latch usando la potencia del interruptor en que se convierte. Si no te has visto alguna de las charlas de Chema Alonso sobre esto, deberías hacerlo. Aquí una que recoge todos los escenarios descritos.


Figura 3: Protección empresarial contra insiders que roban identidades locales
Imaginemos que a pesar de tener el Latch cerrado, la aplicación lo deja entrar porque el atacante no ha usado las credenciales, sino que ha sido capaz de robar una cookie de sesión y hacer un Session Hijacking o ha logrado acceso por medio de una password de aplicación o incluso porque la web permite acceso basado en tokens OAuth como en los ataques de Sappo y RansomCloud. Proteger las cookies contra un ataque de hijacking, los accesos vía Application Password o mediante Tokens OAuth no es algo que se proteja con un 2FA o un Latch puesto en el proceso de login y podría darse un caso en el que el atacante encontrara la forma de llegar a la información y los datos de la parte interna de una aplicación web.

Ahora vamos a cambiar el chip y utilizar Latch de forma más holística dentro de la aplicación, para que sirva no únicamente para bloquear o dejar acceder en el proceso de login, si no que además cambie completamente los datos de la aplicación usando el pestillo para indicar al sistema qué opción debe tomar: La pastilla azul o La pastilla roja. Es decir, el camino de la información falsa o el camino de la información real. Bien, ahora creo que ya sabéis por dónde voy.

Figura 4: Configuración de aplicación Latch para montar el HoneyPot

Cuando Latch esté cerrado, la aplicación estará siempre conectada a la base de datos con la información falsa. Por otro lado, si el Latch está abierto y se inicia sesión, las conexiones a la base de de datos antes de ejecutar los comandos SQL se harán entonces con la base de datos verdadera, obteniendo así la información real. En resumen el pseudocodigo sería algo como:

- Comprobar estado de Latch de AplicaciónWeb
- Si está abierto conectar a base de datos con información real.
- Si está cerrado conectar a base de datos HoneyPot
- Ejecutar consulta SQL con acceso a datos
- Cerrar conexión.

Si un atacante logra robar una sesión y tenemos el Latch cerrado, caerá en la aplicación HoneyPot, y revisando los logs de actividad podremos a posteriori ver cuales son sus intenciones y conocer cómo consiguió el acceso. Tal vez fue un Session Hijacking, tal vez un ataque de CSRF porque no se cerró bien la sesión pero sí el Latch, tal vez un ataque de red... Pero en todos los casos contra la base de datos HoneyPot.

Una pequeña PoC

Veamos ahora una pequeña PoC, de una aplicación donde podremos ver los proyectos de los responsables de una empresa con sus presupuestos (cualquier parecido con la realidad es pura coincidencia). Así es como se ve con el Latch abierto, es decir, información verdadera.

Figura 5: Datos reales a los que se accede con Latch abierto

Si el Latch estuviera cerrado, se vería otro tipo de información preparada, como esta:

Figura 6: Datos que aparecen en la base de datos HoneyPot

Y aquí vemos un ejemplo preparado de un SQL Injection con el Latch cerrado.

Figura 7: Ataque de SQL Injection a la web con la Base de datos HoneyPot

Mostramos ahora el registro de Logs de lo que está haciendo. Hemos descubierto que el atacante hizo un ataque de SQL Injection para obtener información sobre los presupuestos de PEPITO, y ahora deberíamos investigar cómo lo ha hecho. ¿Será por un CSRF como en el caso de la base de datos atacada desde el iPad del jefe?

Figura 8: Log de acciones de ataque en la HoneyPot

Evidentemente si en la aplicación con la información falsa existe este fallo, lo habrá igualmente con la información real, y además ha sido descubierto dicho bug por un atacante, pero sin arriesgar la información legítima. Ahora podemos arreglarlo lo antes posible para que no vuelva a suceder. Evidentemente una aplicación de empresa debe estar lo suficientemente probada y no dejar en mano de los atacantes descubrir los fallos, pero... las cosas pasan.

En este ejemplo vimos un uso adicional de Latch, no solo de permitir o prohibir el paso, si no de tomar una opción u otra en función de un estado. Esto no solo se aplica en bases de datos, podríamos usarlo para cambiar el tráfico de un host a otro, y tener muchas opciones más si utilizamos la granularidad de las operaciones. Otro caso útil podría ser el login de una web. ¿Por que mostrarlo si podemos bloquear con Latch tan siquiera la publicación del formulario de login? El límite lo pone nuestra imaginación y las ganas de programar. Te recomiendo que leas el artículo de cómo cocinar una aplicación PHP con Latch que explica paso a paso cómo se puede meter Latch en cualquiera aplicación web que tengas.

Autor: Borja Pintos

Después de mucho tiempo metidos en decenas de proyectos diferentes, esta ha sido una semana muy "Latch" en Eleven Paths, pues no solo hemos tenido integraciones con varios clientes nuevos, sino que además se nos han concentrado muchos anuncios y actividades en una sola semana. Primero el lanzamiento del plugin de Latch para Jenkins, luego la charla de Eleven Paths Talks dedicada a Latch para el mundo de IoT (Internet of Things), luego el anuncio de los ganadores del concurso Latch Plugin Contest 2015 y por último el anuncio de la integración de Latch en el servicio de Clean e-Mail.