--Originally published at Security

The Security Architecture and Tool Sets have 5 objectives, and I will define in my words each one of them and add some thoughts about them.

1. As we saw every project must have some security frameworks, policies, controls and procedures, but it is extremely important to also have  Quality Control measures to verify and check the precense and efectiveness of security controls. I think that this is the main objetive because it’s useless having frameworks or procedures if you’re not sure that they work properly.
2. Nowadays data is usefull for so many purposes, and even security is one of them. You can use data to recommend remedies of security issues. Which data? You can use location, frecuency and behavior.
3. The third objective is being able to review security architectures and have the knowledge to implement compensating controls.
4. The fourth one is use security best practices in the software development lifecycle, because as Ken said, you cannot left security to the end, and add it as a complement. You must be thinking about it since the beginning of the project.
5. The final objetive is being able to compare and contrast various cybersecurity tools and technologies. This doesn’t mean that you should know how to use and implement each one of them, but it is important to know their perks so you can decide which one implement in different escenarios.

--Originally published at Security

La autenticación es la forma en la que se demuestra que el usuario que utiliza el sistema es quien dice ser. Para lograr este mecanismo de seguridad se puede hacer por medio de 3 elementos.

1. Lo que se sabe.
2. Lo que se tiene.
3. Lo que tú eres.

El primero, lo que se sabe. La forma más sencilla de especificar esto es por medio de una contraseña. La contraseña es el método más simple y económico, pero es necesario asegurarse que la contraseña sea “fuerte”. ¿Cómo? Muy fácil, que la contraseña sea de mínimo 8 caracteres, que tenga minúsculas, mayúsculas, caracteres especiales, números y por supuesto que no sea parecida o igual a otra contraseña propia.

El segundo método son las smartcards y los tokens. Las tarjetas son muy conocidas, se usan en las oficinas, bibliotecas y hasta para entrar en el estacionamiento del Tec. Los tokens se ven más para entrar a los portales bancarios, sí, son esas tarjetitas con una mini pantalla en donde te da un código para ingresar. La desventaja de estos es que se deniega el acceso en caso de no traer alguno de ellos y puede mermar la experiencia de usuario.

El método de “lo que tú eres” es el biométrico. Apple lo hizo famoso con su Touch ID, sin embargo la huella no es la única forma, Samsung utiliza el reconocimiento de Iris y más reciente el iPhone X utiliza reconocimiento facial. Este método es el más caro y más seguro, sin embargo no es infalible, ya que como comenté en un blog pasado (https://softwaresecurity2017.wordpress.com/2017/08/20/do-you-lock-your-smartphone/) se han dado casos en los que se puede engañar a los sensores.

Personalmente no creo que uno sea la mejor opción, sino que combinarlos haría que el nivel de seguridad fuera mucho mejor.

--Originally published at Security

La administración de riesgos es compleja, pero por fortuna las organizaciones no deben diseñar uno desde cero, ni reinventar la rueda. Existen frameworks establecidos y el más usado fue desarrollado por el Instituto Nacional de Tecnología y Estándares, el cual es una agencia federal gubernamental de Estados Unidos. Este proceso es obligatorio para muchos sistemas computacionales del  gobierno, pero actualmente muchas instituciones privadas lo han adoptado porque lo han encontrado útil.

El proceso del framwork NIST cuenta con 6 pasos principales, sin embargo, antes de empezar el proceso es necesario tener información de dos categorías:
1.- Descripción de la arquitectura: modelos, limitantes del sistema
información del proceso de negocio, etc.
2.- Información específica de la organización como leyes, políticas,
objetivos, cadenas de suministros, etc.

Ya que se tiene esta información  ahora si se puede comenzar a realizar los otros pasos.

1.- Categorizar la información que se almacena, procesa y transmite en el sistema.
2.- Selecciona los controles de seguridad para la información previamente categorizada.
3.- Implementar los controles de seguridad que se seleccionaron.
4.- Revisar si los controles se implementaron correctamente, estánfuncionando y si cumplen los requerimientos de seguridad.
5.- Autorizar la información del sistema.
6.- Monitorear los controles de seguridad para cambiarlos de ser
necesario.

Personalmente este tema me llamó la atención porque jamás me había detenido a pensar en el proceso necesario para administrar, preveer y mitigar riesgos, entonces conocer que existen frameworks en donde basarme cuando sea necesario es de gran ayuda.

--Originally published at Security

¿Qué es la seguridad web? El nombre es bastante straightforward, pero no es tan fácil definirlo y mucho menos asegurarlo.

Entonces, la seguridad web es mantener al servidor web y sus aplicaciones protegidas y a salvo de cualquier daño. Para lograr esto, la seguridad, es necesario tener en mente dos conceptos indivisibles, que sin ellos sería imposible asegurarla: Awareness & protection. Esto tiene muchísimo sentido ya que como en cualquier aspecto de la vida que busques asegurar, primero es necesario tener conciencia de los riesgo y peligros para después poder protegerlo.

Algo que personalmente he aprendido durante la segunda parte de mi carrera es que en ocasiones se necesitan sacrificar algunas aspectos en aras de potenciar otros. En Bases de Datos Avanzadas vimos que el teorema CAP establece que es imposible para un sistema distribuido asegurar consistencia, disponibilidad y tolerancia a particiones en todo momento. En administración de proyectos hemos visto un triángulo compuesto por: calidad, tiempo y costo; en el cual si una de las 3 se modifica las otras también sufren repercusiones. En seguridad web es lo mismo, en ocasiones es necesario perder usabilidad o facilidad de uso para ganar seguridad, aunque esta última sea imposible de asegurar totalmente, por lo que se debe buscar  que cumpla con tus necesidades y metas y que lo que en realidad necesitas de seguridad se ejecute realmente bien.

--Originally published at Security

Para descifrar el título entrar a https://encipher.it con el password kenbauer

El cifrado data desde tiempos muy antiguos, desde A.C. con el emperador romano Julio César el cual usaba el método de cifrado en honor a su nombre. A pesar de que tiene mucho tiempo se popularizó durante la segunda guerra mundial con la máquina Enigma. Personalmente me interesaba este tema, tanto que tomé un tópico en Semana I del 2016 en donde conocimos parte de la historia y vimos varios métodos de cifrado y programamos en Java para descifrar.

Ahora, ¿qué son los servicios de seguridad? Son los servicios que hacen seguros nuestros sistemas y nuestras transferencias de datos. Son 5. El primero es la confidencialidad la cual se asegura por medio del cifrado. La integridad se asegura por medio de hash, la responsabilidad con una firma digital , el rechazo con un código de autenticación y la disponibilidad, que es el último de ellos, es el más difícil de asegurar.

Algo interesante y que personalmente yo no sabía es que hay dos tipos de ataques, pasivos y activos, pero cuáles son las diferencias. En un ataque pasivo el intruso escucha el mensaje estando escondido, pero no lo modifica, por lo que es más difícil detectarlos. Los ataques activos son en los que el intruso se posiciona en alguna parte de la comunicación como en el man in the middle.

 

--Originally published at Security

I have been thinking about which approach I will be doing this entry, and honestly I had no idea. Then I start reading some articles and I found one that caught my attention, and was about some simple rules given by Sheila Colclasure (Chief Global Privacy and Public Policy Executive at Axciom) to have an ethical use of data. After reading it I decided to give my opinion on each one of the five rules.

--Originally published at Security

For the rest of the blog I will call the CIA triad as the AIC triad because in the other way I can only think about conspiracy and is ironic the term “privacy” that the AIC assures.

This triad is a guide to satisfy information security inside an organization. First lets explain what I understand with the terms: confidentiality, integrity, and availability. Confidentiality can be translate into privacy (it’s a coincidence that I spoke about it on my essay), this means that it is important to ensure confidentiality to prevent that sensitive information can be reach by the wrong people. There are some methods used to protect it: data encryption, two-factor authentication, biometric verification (check my blog entry about it at: http://bit.ly/2itQSGq), security tokens and more.

Integrity stands for maintaining the trustworthiness of data over its entire life. One must be sure that data its not change in transit by unauthorized people. These measures include file permissions and user access controls. In addition, backups or redundancies must be available to restore the data. Availability depends more on the hardware, it’s important have system upgrades and maintain adequate bandwith.

As I read on a “Tech target article” the Internet of Things is a big challenge for this triad. Why? because as you may know the IoT consist on enabling many devices to be interconnected, so there are more “entry doors” for a possible attack. Furthermore, as I mention in the availability concept, the software updates are really important to ensure security, and the more devices we have connected, it is more difficult to have necessary updates on each one of them.