--Originally published at Security

The Security Architecture and Tool Sets have 5 objectives, and I will define in my words each one of them and add some thoughts about them.

1. As we saw every project must have some security frameworks, policies, controls and procedures, but it is extremely important to also have  Quality Control measures to verify and check the precense and efectiveness of security controls. I think that this is the main objetive because it’s useless having frameworks or procedures if you’re not sure that they work properly.
2. Nowadays data is usefull for so many purposes, and even security is one of them. You can use data to recommend remedies of security issues. Which data? You can use location, frecuency and behavior.
3. The third objective is being able to review security architectures and have the knowledge to implement compensating controls.
4. The fourth one is use security best practices in the software development lifecycle, because as Ken said, you cannot left security to the end, and add it as a complement. You must be thinking about it since the beginning of the project.
5. The final objetive is being able to compare and contrast various cybersecurity tools and technologies. This doesn’t mean that you should know how to use and implement each one of them, but it is important to know their perks so you can decide which one implement in different escenarios.

--Originally published at Security

La autenticación es la forma en la que se demuestra que el usuario que utiliza el sistema es quien dice ser. Para lograr este mecanismo de seguridad se puede hacer por medio de 3 elementos.

1. Lo que se sabe.
2. Lo que se tiene.
3. Lo que tú eres.

El primero, lo que se sabe. La forma más sencilla de especificar esto es por medio de una contraseña. La contraseña es el método más simple y económico, pero es necesario asegurarse que la contraseña sea “fuerte”. ¿Cómo? Muy fácil, que la contraseña sea de mínimo 8 caracteres, que tenga minúsculas, mayúsculas, caracteres especiales, números y por supuesto que no sea parecida o igual a otra contraseña propia.

El segundo método son las smartcards y los tokens. Las tarjetas son muy conocidas, se usan en las oficinas, bibliotecas y hasta para entrar en el estacionamiento del Tec. Los tokens se ven más para entrar a los portales bancarios, sí, son esas tarjetitas con una mini pantalla en donde te da un código para ingresar. La desventaja de estos es que se deniega el acceso en caso de no traer alguno de ellos y puede mermar la experiencia de usuario.

El método de “lo que tú eres” es el biométrico. Apple lo hizo famoso con su Touch ID, sin embargo la huella no es la única forma, Samsung utiliza el reconocimiento de Iris y más reciente el iPhone X utiliza reconocimiento facial. Este método es el más caro y más seguro, sin embargo no es infalible, ya que como comenté en un blog pasado (https://softwaresecurity2017.wordpress.com/2017/08/20/do-you-lock-your-smartphone/) se han dado casos en los que se puede engañar a los sensores.

Personalmente no creo que uno sea la mejor opción, sino que combinarlos haría que el nivel de seguridad fuera mucho mejor.

--Originally published at Security

La administración de riesgos es compleja, pero por fortuna las organizaciones no deben diseñar uno desde cero, ni reinventar la rueda. Existen frameworks establecidos y el más usado fue desarrollado por el Instituto Nacional de Tecnología y Estándares, el cual es una agencia federal gubernamental de Estados Unidos. Este proceso es obligatorio para muchos sistemas computacionales del  gobierno, pero actualmente muchas instituciones privadas lo han adoptado porque lo han encontrado útil.

El proceso del framwork NIST cuenta con 6 pasos principales, sin embargo, antes de empezar el proceso es necesario tener información de dos categorías:
1.- Descripción de la arquitectura: modelos, limitantes del sistema
información del proceso de negocio, etc.
2.- Información específica de la organización como leyes, políticas,
objetivos, cadenas de suministros, etc.

Ya que se tiene esta información  ahora si se puede comenzar a realizar los otros pasos.

1.- Categorizar la información que se almacena, procesa y transmite en el sistema.
2.- Selecciona los controles de seguridad para la información previamente categorizada.
3.- Implementar los controles de seguridad que se seleccionaron.
4.- Revisar si los controles se implementaron correctamente, estánfuncionando y si cumplen los requerimientos de seguridad.
5.- Autorizar la información del sistema.
6.- Monitorear los controles de seguridad para cambiarlos de ser
necesario.

Personalmente este tema me llamó la atención porque jamás me había detenido a pensar en el proceso necesario para administrar, preveer y mitigar riesgos, entonces conocer que existen frameworks en donde basarme cuando sea necesario es de gran ayuda.

--Originally published at Security

¿Qué es la seguridad web? El nombre es bastante straightforward, pero no es tan fácil definirlo y mucho menos asegurarlo.

Entonces, la seguridad web es mantener al servidor web y sus aplicaciones protegidas y a salvo de cualquier daño. Para lograr esto, la seguridad, es necesario tener en mente dos conceptos indivisibles, que sin ellos sería imposible asegurarla: Awareness & protection. Esto tiene muchísimo sentido ya que como en cualquier aspecto de la vida que busques asegurar, primero es necesario tener conciencia de los riesgo y peligros para después poder protegerlo.

Algo que personalmente he aprendido durante la segunda parte de mi carrera es que en ocasiones se necesitan sacrificar algunas aspectos en aras de potenciar otros. En Bases de Datos Avanzadas vimos que el teorema CAP establece que es imposible para un sistema distribuido asegurar consistencia, disponibilidad y tolerancia a particiones en todo momento. En administración de proyectos hemos visto un triángulo compuesto por: calidad, tiempo y costo; en el cual si una de las 3 se modifica las otras también sufren repercusiones. En seguridad web es lo mismo, en ocasiones es necesario perder usabilidad o facilidad de uso para ganar seguridad, aunque esta última sea imposible de asegurar totalmente, por lo que se debe buscar  que cumpla con tus necesidades y metas y que lo que en realidad necesitas de seguridad se ejecute realmente bien.

--Originally published at Security

Para descifrar el título entrar a https://encipher.it con el password kenbauer

El cifrado data desde tiempos muy antiguos, desde A.C. con el emperador romano Julio César el cual usaba el método de cifrado en honor a su nombre. A pesar de que tiene mucho tiempo se popularizó durante la segunda guerra mundial con la máquina Enigma. Personalmente me interesaba este tema, tanto que tomé un tópico en Semana I del 2016 en donde conocimos parte de la historia y vimos varios métodos de cifrado y programamos en Java para descifrar.

Ahora, ¿qué son los servicios de seguridad? Son los servicios que hacen seguros nuestros sistemas y nuestras transferencias de datos. Son 5. El primero es la confidencialidad la cual se asegura por medio del cifrado. La integridad se asegura por medio de hash, la responsabilidad con una firma digital , el rechazo con un código de autenticación y la disponibilidad, que es el último de ellos, es el más difícil de asegurar.

Algo interesante y que personalmente yo no sabía es que hay dos tipos de ataques, pasivos y activos, pero cuáles son las diferencias. En un ataque pasivo el intruso escucha el mensaje estando escondido, pero no lo modifica, por lo que es más difícil detectarlos. Los ataques activos son en los que el intruso se posiciona en alguna parte de la comunicación como en el man in the middle.

--Originally published at How to HACK

Reading the documents for this subject I liked the term all of they were using, code of ethics, sounds great for a document as for the title – also we will discuss about the ethics in programming (code) – that’s why my chose for this post title.

A code of ethics is a document with some rules that an specific person has to follow or it is supposed to follow, just like the rules that are stablished by any institution like the university, etc. Well, this document in particular has some variations, but a few authors agree that it should exist just one global code of ethics for everyone. I think the same, I mean, I can consider myself an ethical person if I follow my code but a different person thinks that’s bullshit if they have a better or more complete code of ethics which to follow.

USENIX has its code of ethics which I liked it because I think it has the necessary and it’s short…(here) The first code that it mentions is the professionalism which in my belief is the most important in any job and the reason is this: […] will not allow personal feelings or beliefs to cause me to treat people unfairly. Follow this rule is difficult but if it is possible, the other rules are easy to complete. This is based on my opinion and anyone can think different.

Talking about computing security, the most popular rule would be privacy which was mentioned in my last post basics of computing security and is part of the code of ethics by USENIX. They declare it as follows

• I will access private information on computer systems only when it is necessary in the course of my technical duties. I will
  
  
  
  
  Continue reading "Code of Ethics" →

--Originally published at Security

I have been thinking about which approach I will be doing this entry, and honestly I had no idea. Then I start reading some articles and I found one that caught my attention, and was about some simple rules given by Sheila Colclasure (Chief Global Privacy and Public Policy Executive at Axciom) to have an ethical use of data. After reading it I decided to give my opinion on each one of the five rules.