Una startup española en el DARPA Cyber Fast Track (CFT)

Publicado el junio 25, 2013 por Simon Roses

El panorama de la seguridad cambió en agosto del 2011 en el congreso de Black Hat cuando el legendario hacker del L0pht Peiter “Mudge” Zatko presentó el nuevo programa Cyber Fast Track (CFT) (DARPA-PA-11-52) del DARPA (Agencia de Proyectos de Investigación Avanzados de Defensa de los EE.UU.) para financiar proyectos de I+D para hackers y pequeñas empresas. En la web del DARPA CFT (offline en estos momentos) o DARPA CFT se puede encontrar toda la información sobre el programa

La idea es simple, los tiempos han cambiado y son los hackers y las pequeñas empresas quienes tienen las ideas y agilidad para innovar, pero no los recursos necesarios y esto es precisamente lo que aporta el programa. Muchos países deberían tomar nota de esta novedosa idea que potencia la creatividad y el I+D.

Para facilitar el proceso de solicitud se colgó una serie de documentos y guías. La idea era agilizar y simplificar el proceso para personas no acostumbradas a lidiar con la burocracia gubernamental. Sin duda una estupenda idea y de gran ayuda.

Aparte de ser un hecho insólito que el DARPA subvencione a hackers (creo que ha sido el único programa de estas características en todo el mundo), ¡mas insólito era el hecho de que este programa estaba abierto a cualquier hacker y boutique de seguridad del mundo entero!

A través de la empresa que funde el año pasado, VULNEX, una startup especializada en ciberseguridad ubicada en Madrid, decidimos probar suerte y creamos una propuesta de I+D que enviamos en agosto del 2012 y a los cinco días recibimos una llamada del DARPA comunicándonos que habían aceptado nuestro proyecto, increíble.

El objetivo del proyecto era mejorar la seguridad en el ciclo de desarrollo de software. La duración del proyecto era de cinco meses analizando los diferentes compiladores (Visual Studio, GCC y LLVM) y versiones para determinar qué medidas de seguridad ofrecen, su efectividad y cómo afectan a los binarios producidos.

Con este profundo análisis, la segunda y tercera fase del proyecto consistían en desarrollar dos tecnologías para ayudar a los programadores a producir software seguro.

Una de las tecnologías desarrolladas es BinSecSweeper, una potente herramienta fácil de utilizar para analizar la postura de seguridad de binarios. La herramienta es de código abierto, multiplataforma y capaz de analizar diferentes tipos de binarios y arquitecturas. BinSecSweeper estará disponible en la web de VULNEX próximamente.

Es una pena que el DARPA terminase con el programa CFT el pasado 1 de abril del 2013, del que tengo entendido se han beneficiado unos 500 proyectos de más de 1500 recibidos. De los proyectos seleccionados han salido herramientas muy interesantes y se presentan en congresos de seguridad de primer nivel, basta que hagamos una búsqueda en la web para poder encontrar muchos de ellos.

Sin duda una idea rompedora que para hackers y pymes ha sido de gran ayuda, y para nosotros VULNEX, una startup española, toda una grata experiencia poder colaborar con el DARPA y nuestra tecnología presentada en eventos internos :)

Desde aquí dar las gracias a Mudge, DARPA y a todo el equipo de BITSystems (encargados de la gestión del CFT).

Gracias!

¿Conocías el DARPA CFT? ¿Qué te parece?

— Simon Roses Femerling

Publicado en Economia, Hacking, Negocios, SDL, Seguridad, Tecnologia | Etiquetado , , , , , | Deja un comentario

¿Por qué debemos de informar sobre 0Day?

Publicado el junio 17, 2013 por Simon Roses

En las últimas semanas no cesan de aparecer noticias relacionadas con PRISM desde que lo filtrara Edward Snowden, que trabajaba para Booz Allen Hamilton, contratista de defensa para la NSA.

Un resultado interesante de estas filtraciones es el acceso por parte de la NSA a vulnerabilidades 0Day por parte de Microsoft y quién sabe si de otras grandes compañías (Google, Apple, Adobe, etc.) bajo los programas de colaboración Microsoft Active Protections Progam (MAPPS) y el Security Cooperation Program (SCP). El primero es para empresas de seguridad y el segundo para organismos gubernamentales -por ejemplo la agencia de inteligencia española (CNI) es miembro de este programa- con el objetivo de ser informados los primeros cuando aparecen vulnerabilidades para poder protegerse antes de que salgan los conocidos parches y actualizar sus productos de seguridad.

Estos programas se crearon con fines defensivos pero plantean una interesante cuestión: el uso de esta información para fines ofensivos.

Encontrar vulnerabilidades en productos de las grandes compañías es cada vez más costoso, por lo que el acceso a información sobre 0Day por parte de las agencias de inteligencia les hace ganar tiempo y ahorrar recursos. Ahora solo tienen que desarrollar exploits para atacar cualquier sistema, ya que recordemos que aún no se ha publicado el parche de seguridad.

Los países que quieran establecer unas capacidades ofensivas y defensivas deberían crear programas nacionales que ofrezcan una recompensa económica (en función de una escala) a los individuos que les informen de 0Day.

Las grandes compañías de software e Internet son principalmente americanas, pero muchas vulnerabilidades son identificadas y reportadas por expertos en seguridad extranjeros. Si existiera un programa nacional sobre vulnerabilidades podrían informar primero a su gobierno y no a las compañías de software.

La cuestión es ¿por qué debemos informar de vulnerabilidades a las compañías de software para que ellos a su vez informen a sus agencias de inteligencia para realizar actos ofensivos a otras naciones?

Recordemos que las vulnerabilidades 0day y exploits tienen valor económico hoy en día, y muchas empresas públicas y privadas pagan un buen dinero por ello.

En el fondo no deberían sorprendernos los actos de la NSA, ya que al fin y al cabo su misión es la seguridad nacional utilizando todos los medios posibles (legales ¿?), igual que hacen las agencias de inteligencia de muchos países.

Lo que está claro es que el caso PRISM puede que tenga más repercusiones para los EE.UU. de lo que parecía en un principio, y seguramente muchos países cambien su política de ciberseguridad defensiva / ofensiva.

Sin duda será interesante observar cómo las políticas de ciberseguridad evolucionan en los países durante los próximos años.

¿Qué cambios crees que son necesarios en las políticas de ciberseguridad?

— Simon Roses Femerling

Publicado en Hacking, Seguridad, Tecnologia | Etiquetado , , , , , , , | Deja un comentario

Una historia de troyanos gubernamentales

Publicado el junio 5, 2013 por Simon Roses

Mucho se está hablando estos días sobre el posible uso de troyanos por parte de las Fuerzas y Cuerpos de Seguridad del Estado debido al anuncio de un borrador de la comisión Gallardón, que propone el uso de troyanos y colaboración de hackers para acceder a ordenadores, tabletas y móviles en el curso de investigaciones de delitos de especial gravedad.

Disclaimer: soy el fundador de VULNEX, una boutique española altamente especializada en ciberseguridad que ofrece servicios y productos ofensivos y defensivos por lo que quizás no sea objetivo, pero tampoco pretendo serlo.

Como era de esperar, se están diciendo auténticas barbaridades en muchos medios de prensa, imagino que por la falta de conocimiento en la materia, por lo que expresaré mi opinión al respecto e intentaré arrojar un poco de luz sobre el asunto.

Personalmente no estoy en contra de la utilización de troyanos por parte de las Fuerzas y Cuerpos de Seguridad SIEMPRE Y CUANDO sea para capturar criminales (pederastas, terroristas, mafias, etc.) y NUNCA para otros fines (políticos, espionaje, etc.). Aunque estando en España y con la clase política que tenemos esta cuestión es realmente preocupante.

Vayamos por partes:

  1. Los criminales se han modernizado y utilizan sofisticadas medidas de seguridad informática (equipos de última generación, cifrado seguro, servidores por diferentes países sin tratados de extradición, etc.), por lo que es absolutamente necesario que las Fuerzas y Cuerpos de Seguridad se modernicen y utilicen las últimas tecnologías ofensivas y defensivas para la seguridad nacional.
  2. Pensemos que esto es el equivalente a las escuchas telefónicas (por las que nadie protesta) en el mundo digital.
  3. El uso de troyanos por parte de los gobiernos no es nada nuevo, solo que se mantiene en secreto o se intenta al menos (por ejemplo, Alemania o el FBI en los EE.UU.).
  4. Lo que se propone en el borrador no es pecata minuta, ya que escribir un troyano no es nada trivial. Para esta tarea vamos a requerir un equipo muy preparado con diferentes perfiles (jefes de proyecto, programadores para las diferentes tecnologías, expertos en vulnerabilidades, equipo de testeo, etc.). Vamos, unas capacidades ofensivas que actualmente no existen en este país y sobre todo que no son baratas. (Ejemplo estimación del equipo desarrollo de Stuxnet)
  5. Aparte del troyano con soporte para diferentes plataformas hay que contar con una infraestructura de comunicaciones, soporte y almacenamiento de datos. ¿Cómo y dónde se almacena la información recolectada? ¿Podrían los criminales atacar la infraestructura o subvertir el troyano?
  6. Si este troyano existiera, ¿cómo se haría llegar e instalaría en los equipos de los sospechosos? La seguridad en los entornos desktops (Windows, Linux, MacOS) no tiene el mismo nivel de seguridad que en móviles (Android, iPhone/iOS, BlackBerry, Windows Phone, Firefox OS, etc.). Hoy en día existen varias compañías que ofrecen troyanos profesionales y que aún no han resuelto este problema.
  7. Respecto a la colaboración de hackers, tendremos que ver en que consiste exactamente la colaboración. La cuestión es si será por la fuerza y gratis o remunerada. ¿Qué tipo de hackers: buenos/éticos o detenidos anteriormente? ¿Tendrían acceso al troyano? ¿A qué tipo de información tendrían acceso? ¿Podrían sabotear la operación?, etc.
  8. Los antivirus no serían un impedimento como se dice en algún medio, ya que esta tecnología presenta diversos problemas (por mucho que lo nieguen y les pese a las casas antivirus). Si son tan fiables que se lo digan a Google, RSA, Lockheed-Martin entre otros muchos que han sido atacados y comprometidos y que por supuesto contaban con antivirus, así como otros mecanismos de seguridad (ojo, estoy a favor del uso de los antivirus, pero como una medida más dentro de una estrategia de Defensa en Profundidad).
  9. El desarrollo y uso de tecnologías ofensivas y defensivas por parte de agentes del gobierno deberían estar enmarcados dentro de un plan nacional (Estrategia de CiberSeguridad), que tanto reclama el sector privado. Tema que la EU está trabajando.
  10. Nos quejamos del uso de troyanos por parte de los gobiernos, que lo que buscan es capturar criminales, argumentando que se vulneran nuestros derechos cuando nosotros mismos no paramos de subir información y fotos tanto propias como de nuestro entorno totalmente gratis a todo tipo redes sociales, que son empresas privadas que ganan mucho dinero ofreciendo esta información a terceros y que saben demasiado.

En España hemos sufrido y seguimos sufriendo el azote del terrorismo y demás lacras, todo lo que sea acabar con ello me parece fantástico siempre que se respete la libertad y el derecho de los ciudadanos.

¿Y cuál es tu opinión al respecto sobre esta cuestión: a favor o en contra?

— Simon Roses Femerling

Publicado en Hacking, Hacking Etico, Malware, Privacidad, Seguridad, Tecnologia | Etiquetado , , , , , , , | 5 comentarios