Categoría: Tendencias Digitales

¿Alguna vez tuvo información confidencial, como contraseñas o información de inicio de sesión del servidor, que necesitaba para enviar a alguien por correo electrónico, pero no sabía cómo enviarla de forma segura para evitar que la información cayera en las manos equivocadas?

Aquí aprenderá cómo transmitir de forma segura mensajes y archivos cifrados con PGP a través de la popular herramienta gnupg. ¡Vamos a sumergirnos y aprender a proteger nuestras comunicaciones!

Instalar gnupg

Si nunca antes ha oído hablar de PGP, consulte una excelente introducción y explicación de PGP , que contiene varios detalles que no abordaremos aquí por brevedad. Primero verifique si gnupg ya está instalado. Dentro de la terminal, ejecute el comando:

 gnupg --version

Si muestra la versión de gnupg que está ejecutando actualmente (debería ser v2 +), entonces está todo listo y puede pasar a la siguiente sección. De lo contrario, puede instalar gnupg ejecutando:

 sudo apt-get install gnupg2

Una vez terminado, verifique que esté instalado:

 gnupg -- version

Suponiendo que gnupg se haya instalado correctamente, se mostrará el número de versión.

Generar una clave PGP

Con el cifrado asimétrico , primero generará un par de claves PGP que consta de una clave pública y una privada. La clave pública se puede distribuir libremente a cualquier persona de la que desee recibir mensajes cifrados, mientras que la clave privada se guarda para usted en un lugar seguro.

Luego, las personas pueden cifrar los mensajes en la clave pública y enviar un mensaje cifrado, que luego se puede descifrar utilizando la clave privada. Para generar una ejecución de par de claves:

 gpg --generate-key

Esto comenzará preguntando su nombre y dirección de correo electrónico, que no necesariamente tiene que ser su nombre real y correo electrónico. Sin embargo, es lo que otros verán al seleccionar a quién cifrar los mensajes, así que asegúrese de que sea algo por lo que otros puedan identificarlo fácilmente.

Luego ingrese la letra O para confirmar el nombre y la dirección de correo electrónico, y se le pedirá que ingrese la contraseña deseada, que puede ser la que desee. Deberá ingresar esta contraseña cada vez que desee descifrar un mensaje que se le envió.

Una vez que haya confirmado la contraseña, comenzará a generar su nuevo par de claves PGP, lo que puede tardar unos minutos en recopilar suficientes datos de entropía / aleatorios de su computadora. Siéntase libre de navegar fuera de la terminal durante un par de minutos y hacer otra cosa hasta que vea un mensaje que dice que su clave se ha generado correctamente.

Exporta tu clave pública

Ahora que su par de claves está generado, necesita exportar la clave pública para distribuirla a otros. Dentro de la terminal, ejecute el comando:

 gpg -a --export -e '[email protected]` > mykey.asc

Asegúrese de cambiar '[email protected]' con la dirección de correo electrónico que proporcionó al generar su clave PGP. Ahora verá un nuevo archivo en el directorio actual llamado mykey.asc . Envíe este archivo a cualquier persona que desee para poder enviarle mensajes cifrados.

Importar claves públicas

Al igual que ahora puede compartir su clave pública con otros, las personas también compartirán sus claves públicas con usted. Cuando reciba la clave PGP pública de alguien, guarde el archivo en un directorio y acceda al terminal desde el mismo directorio, ejecute:

 gpg --import key.asc

Esto importará la clave PGP pública de la persona a gnupg, lo que le permitirá comenzar a enviarle mensajes cifrados. En cualquier momento puede ver una lista de todas las claves PGP actualmente disponibles dentro de gnupg:

 gpg --list-keys

Verá un montón de entradas similares a las siguientes, una para cada clave disponible dentro de gnupg:

 pub rsa3072 2020-01-30 [SC] [expires: 2022-01-29]

 8978168C4E79A08553E5789CD42A4A4EC1468CFE

 uid [ unknown] Matt Dizak <[email protected]>

La única información que debe tener en cuenta allí es el nombre y la dirección de correo electrónico de la entrada, que indica el propietario de esa clave. Al cifrar mensajes, solo necesitará la dirección de correo electrónico del destinatario.

Cifrar mensajes a través de PGP

Por ejemplo, es posible que deba enviar información confidencial a su diseñador web, cuya clave PGP ya ha importado con la dirección de correo electrónico [email protected]. Escriba el mensaje deseado y guárdelo en un archivo de texto, por ejemplo, message.txt . Dentro de la terminal y dentro del directorio donde reside message.txt, ejecute el comando:

 gpg -e -a -r '[email protected]' message.txt

Analicemos rápidamente el comando anterior:

• -e especifica que estamos encriptando datos
• -a indica que queremos la salida en ASCII o en formato de texto sin formato
• -r significa destinatario, de ahí que le siga la dirección de correo electrónico de nuestro diseñador
• Finalmente viene el archivo de mensaje que deseamos cifrar.

Lo más probable es que esto le pida que confirme que realmente desea cifrar con esta clave pública, y puede presionar la tecla Y para aceptar. Se creará un nuevo archivo message.txt.asc y, si abre el archivo en un editor de texto, verá algo similar a:

 -----BEGIN PGP MESSAGE-----

 hQGMAzCBDnMltq9zAQv/ZHQ3tJq+feazdLa3thzQE2bhPx+7WaPZcX7SdkoyuKvw

 9faS7h9OwBjQ4vUyDKespSq3ZNf1pRgNoXijjs3MGEi5IsYxDgNWo1ZJv2qQqp36

 .....

 -----END PGP MESSAGE-----

Esta es la forma cifrada recién generada de nuestro mensaje. Puede adjuntar este archivo en un correo electrónico o simplemente copiar y pegar el contenido de este archivo en el contenido del cuerpo de un mensaje de correo electrónico.

El destinatario podrá entonces descifrar el mensaje en su extremo utilizando su clave privada, asegurando que cualquiera que vea este mensaje durante el tránsito no podrá ver la versión de texto sin formato.

Cifrar archivos binarios

La sección anterior explica cómo cifrar mensajes de texto, pero ¿qué pasa con los archivos binarios? Funciona prácticamente igual y, por ejemplo, para cifrar un archivo llamado images.zip , dentro de la terminal ejecute el comando:

 gpg -e -r '[email protected]' images.zip

La única diferencia es que se elimina la opción -a, junto con el nombre del archivo de salida. Luego, como antes, si se le solicita que confirme el uso de la clave pública, simplemente presione la tecla Y para aceptar.

Se creará un nuevo archivo llamado images.zip.gpg , que es la versión encriptada de nuestro archivo zip que podemos enviar por correo electrónico a nuestro diseñador como archivo adjunto. Luego pueden descifrar el archivo ZIP usando su clave privada.

Descifrar mensajes

También necesita una forma de descifrar los mensajes que se le envían. Recuerde, para que alguien le envíe un mensaje encriptado, primero debe compartir su clave PGP pública con ellos. Obtendrá un bloque de texto cifrado, que se parece a cifrar un mensaje, como por ejemplo:

 -----BEGIN PGP MESSAGE-----

 hQGMAzCBDnMltq9zAQv/ZHQ3tJq+feazdLa3thzQE2bhPx+7WaPZcX7SdkoyuKvw

 9faS7h9OwBjQ4vUyDKespSq3ZNf1pRgNoXijjs3MGEi5IsYxDgNWo1ZJv2qQqp36

 .....

 -----END PGP MESSAGE-----

Guarde este bloque de texto en un archivo como message.asc , y dentro de la terminal ejecute el comando:

 gpg -d message.asc > message.txt

Se le pedirá que ingrese su contraseña, que es la misma contraseña que proporcionó cuando generó inicialmente su par de claves PGP. Tras ingresar correctamente su contraseña, se creará un archivo message.txt que contiene la versión descifrada del mensaje en texto sin formato. ¡Eso es todo al respecto!

¡Felicitaciones, sus comunicaciones ahora son seguras!

A través de esta guía, ha aprendido todo lo necesario para proteger adecuadamente sus comunicaciones a través del cifrado PGP. Ha aprendido cómo generar un par de claves PGP, exportar su clave pública para compartirla con otros, importar las claves públicas de otros, además de cómo cifrar y descifrar mensajes.

La próxima vez que necesite enviar información confidencial por correo electrónico, ahora puede estar seguro de que solo el destinatario previsto podrá ver el contenido del mensaje, manteniéndolo alejado de invitados no deseados. ¡Feliz cifrado!

Apple perdió la oportunidad de comprar al fabricante de automóviles eléctricos Tesla por solo una décima parte de su valor actual, afirmó el CEO de Tesla, Elon Musk, en un tweet.

Según Musk, se puso en contacto con Apple durante los "días más oscuros del programa [Tesla] Model 3" para preguntar sobre una posible compra. Sin embargo, el director ejecutivo de Apple, Tim Cook, supuestamente "se negó a participar en la reunión".

Apple está construyendo Apple Car

Actualmente se informa que Apple está trabajando en su propio Apple Car. Este proyecto ha estado en marcha desde al menos 2014. Un informe reciente sugirió que el vehículo de la marca Apple podría entrar en producción para 2024 o 2025 .

Si bien los detalles sobre la forma que tomará Apple Car eventualmente son incompletos, incluido si Apple fabricará un vehículo físico o simplemente creará una plataforma de software de conducción autónoma que podría ser utilizada por otros fabricantes, tal iniciativa podría tener un gran impacto en Tesla.

En Twitter, Elon Musk también cuestionó los detalles de la tecnología de batería en la que se dice que Apple está trabajando. En respuesta a los rumores de que Apple utilizará un diseño innovador de "monocelda" para sus baterías automotrices, Musk escribió : "Una monocelda es electroquímicamente imposible, ya que el voltaje máximo es ~ 100X demasiado bajo. Tal vez [los informes] significaron celdas unidas, como [ ¿El paquete de baterías estructural actual de Tesla? "

Apple es el "cementerio de Tesla"

A pesar de que Musk se dirigió a Apple sobre una posible compra, las relaciones entre las dos compañías no siempre han sido buenas. En el pasado, como ha señalado The Guardian , Musk se ha referido a Apple como un "cementerio de Tesla" debido a su supuesto hábito de contratar a todas las personas que Tesla ha despedido. "Si no lo logras en Tesla, vas a trabajar en Apple. No estoy bromeando", dijo Musk.

No está claro en el último hilo de Twitter exactamente por qué Tim Cook habría rechazado una reunión para discutir una adquisición de Tesla, si eso es realmente lo que sucedió. Apple adquiere con frecuencia empresas con tecnología o, a veces, empleados que desea y luego las integra en productos o equipos de Apple. Así es como Steve Jobs regresó a Apple a fines de la década de 1990, luego de que Apple comprara la compañía de Jobs, NeXT.

¿Una ganga para Apple?

Al momento de escribir este artículo, Tesla tiene una capitalización de mercado de alrededor de $ 607 mil millones, en comparación con los $ 2,24 billones de Apple. Si Musk es exacto cuando dice que Apple podría haber comprado Tesla por una décima parte de su precio de mercado actual, eso aún habría ascendido a $ 60 mil millones.

Hasta la fecha, la adquisición más grande de Apple fue la compra de Beats Electronics en 2014 por "solo" $ 3 mil millones. La mayoría de las empresas que compra Apple están muy por debajo de esa cifra. Esto habría hecho que una compra de Tesla por $ 60 mil millones fuera un movimiento extremadamente inusual para Apple.

Por otra parte, dada la valoración actual de Tesla, tal vez Apple podría haber ganado una ganga en su búsqueda para construir el Apple Car.

Crédito de la imagen: David von Diemar / Unsplash CC

Te traemos un Podcast realmente útil más corto esta semana, echando un vistazo a la tecnología que más nos gustaría encontrar en nuestras medias para la Navidad de 2020.

El podcast realmente útil de esta semana está presentado por Christian Cawley, con apariciones de Gavin Philips, James Frew y Ben Stegner.

Esté atento a nuestros otros programas — suscríbase al Podcast Really Useful en iTunes y YouTube (asegúrese de presionar el ícono de la campana para recibir notificaciones de nuevos episodios) para obtener más consejos.

La Fundación Raspberry Pi ha anunciado su apoyo a los clientes industriales que utilizan Raspberry Pi en entornos de producción.

Los nuevos materiales incluyen tutoriales, hojas de datos y documentos específicos de la industria sobre los requisitos de cumplimiento y regulación para equipos electrónicos.

Los usuarios industriales de Raspberry Pi obtienen soporte oficial

Durante algún tiempo se ha estado preparando más apoyo para los socios industriales, dado que el 44% de todas las Raspberry Pis se venden a clientes industriales. Hasta 15 millones de las potentes computadoras de placa única se utilizan en diversas formas de fabricación y control de calidad automatizado.

Junto con las placas Raspberry Pi de factor de forma tradicional, muchos tipos de control industrial utilizan módulos informáticos Raspberry Pi como placa base para maquinaria personalizada.

La información para usuarios profesionales ahora se puede encontrar en las páginas Para la industria del sitio web de la fundación Raspberry Pi.

El ingeniero principal de Raspberry Pi, Roger Thornton, explica el nuevo soporte en una publicación en el blog de Raspberry Pi :

Para apoyar a los clientes industriales de Raspberry Pi, hemos desarrollado una nueva área dedicada en nuestro sitio web. Nuestras páginas para la industria son el mejor lugar para las aplicaciones industriales de Raspberry Pi. Proporcionan acceso a la información y el apoyo que necesita cuando utiliza nuestros productos en un entorno industrial, con enlaces a hojas de datos, documentos de cumplimiento y más.

La publicación continúa confirmando el soporte a largo plazo para todos los productos Raspberry Pi hasta al menos 2026, e introduce el Programa Integrador Raspberry Pi, diseñado para ayudar a las empresas a llevar los productos Raspberry Pi al mercado.

Asociaciones oficiales de diseño de Raspberry Pi

Junto con las nuevas pautas, la Fundación Raspberry Pi está iniciando una iniciativa que conecta a empresas y personas con ideas de diseño con diseñadores especializados aprobados.

El programa de socios de diseño aprobados de Raspberry Pi cuenta actualmente con una pequeña selección de empresas, cada una de las cuales se especializa en el diseño de equipos y herramientas que utilizan productos Raspberry Pi. La fundación espera expandir esta lista, y si su empresa proporciona hardware o software basado en Pi, puede postularse para convertirse en un socio de diseño aprobado a través de Raspberry Pi Foundation .

Automatizando Industry One Pi a la vez

Una de las cosas que hizo que la Raspberry Pi fuera tan popular es la capacidad de colocarla en tantos entornos y permitirle automatizar tareas que anteriormente requerían interacción humana o circuitos y microprocesadores complicados para llevar a cabo.

Las miniordenadores reprogramables con pines de entrada / salida de propósito general (GPIO) para detección y control son increíblemente extensibles, y la Raspberry Pi fue adoptada legítimamente por casi todos los sectores. Incluso hay uno en uso en la Estación Espacial Internacional.

Empresas como Comfile crean carcasas industriales especialmente diseñadas para los productos Raspberry Pi , lo suficientemente resistentes para sobrevivir en una fábrica, pero lo suficientemente accesibles para usar guantes. Un lugar central para acceder a toda la información de cumplimiento de los productos Raspberry Pi será algo bienvenido para muchos fabricantes similares.

Quizás más emocionante sea la perspectiva de estandarización en todo el ecosistema Raspberry Pi. Más empresas que crean dispositivos compatibles significan un gran conjunto de herramientas para la fabricación de código abierto en su conjunto.

Ese sueño imposible de un automóvil autónomo de Linux de código abierto se acercó un poco más a ser una realidad.

Cuando piensa en un ataque de ciberseguridad, le viene a la mente la imagen de un pirata informático que investiga una red en busca de vulnerabilidades. O un ataque de phishing que roba las credenciales de inicio de sesión de un empleado o el malware instalado en una computadora.

Todos estos son métodos de ataque válidos y comunes. Pero, ¿y si hubiera otra forma de infiltrarse en una red que no implicara atacar directamente al objetivo?

Un ataque a la cadena de suministro hace exactamente esto, explota las organizaciones vinculadas al objetivo y ataca la cadena de suministro del objetivo. Entonces, ¿qué son los ataques a la cadena de suministro y cómo funcionan?

¿Qué es un truco de la cadena de suministro?

Un ataque a la cadena de suministro busca dañar o infiltrarse en una organización al identificar las partes vulnerables de su red de suministro. Atacar una cadena de suministro presenta múltiples oportunidades para una infiltración exitosa, más aún cuando se ataca a una organización con una red de cadena de suministro complicada o intrincada.

En casi todos los ataques a la cadena de suministro, la víctima inicial no es el único objetivo del atacante. Más bien, el elemento de la cadena de suministro es un trampolín hacia un pez más grande. El atacante explota las vulnerabilidades en el objetivo más fácil y las aprovecha para avanzar hacia el objetivo final.

Aunque los ataques a la cadena de suministro parecen raros, un estudio de junio de 2020 de Opinion Matters para BlueVoyant [PDF, registro requerido] encontró que el 80 por ciento de las organizaciones "han sufrido una infracción relacionada con terceros en los últimos 12 meses". Además, el 77 por ciento de los encuestados tiene "visibilidad limitada alrededor de sus proveedores externos".

Con cifras como esta, verá por qué los ataques a la cadena de suministro no solo son populares, sino también cómo logran pasar del objetivo inicial a la organización principal.

Es extremadamente difícil para una empresa detectar un ataque a la cadena de suministro de software de terceros. La propia naturaleza del ataque significa que los archivos maliciosos están ocultos no solo del objetivo principal, sino también del eslabón vulnerable en la cadena de suministro. La computadora ni siquiera tiene que estar en línea para que el ataque funcione .

La organización objetivo solo puede darse cuenta de que hay un problema cuando sus datos comienzan a aparecer a la venta en otro lugar o algo similar activa una alarma. Con un acceso tan profundo a la red interna, es posible moverse libremente dentro de la organización, incluso eliminando los signos reveladores de un intruso.

Tipos de ataques a la cadena de suministro

Los ataques a la cadena de suministro no son iguales para todos. La cadena de suministro de una organización importante puede comprender múltiples partes móviles diferentes. Un atacante debe pensar en qué tipo de ataque a la cadena de suministro utilizar contra un objetivo.

Aquí hay tres ataques notables a la cadena de suministro que debe considerar.

1. Objetivo

En 2013, el minorista estadounidense Target fue objeto de un gran ataque que resultó en la pérdida de información sobre 110 millones de tarjetas de crédito y débito utilizadas en sus tiendas. La cantidad total de datos robados fue de solo 11 GB, pero el tipo de datos robados fue particularmente valioso.

Los atacantes identificaron varios proveedores externos en la red corporativa de Target. Si bien se desconoce el número final de intentos de explotación, el negocio vulnerable era Fazio Mechanical, un contratista de refrigeración.

Una vez que el contratista se vio comprometido, los atacantes esperaron dentro de la red de la empresa hasta que fue posible escalar a un sistema Target utilizando credenciales robadas. Finalmente, los atacantes obtuvieron acceso a los servidores de Target, buscando otros sistemas vulnerables dentro de la red de la empresa.

Desde aquí, los atacantes explotaron el sistema de punto de venta (POS) de Target, robando información de tarjetas para millones de clientes.

2. SolarWinds

Un ejemplo principal de un ataque a la cadena de suministro de software de terceros es SolarWinds , cuyo software de administración remota Orion se vio comprometido en 2020. Los atacantes insertaron una puerta trasera maliciosa en el proceso de actualización del software.

Cuando la actualización se envió a los cientos de miles de clientes de SolarWinds, el malware del atacante se fue con ella. Como la actualización se firmó digitalmente como de costumbre, todo apareció como de costumbre.

Relacionado: ¿Qué es el malware con código firmado?

Después de activar el software como parte del proceso de actualización normal, los atacantes obtuvieron acceso a una gran cantidad de objetivos críticos, incluido el Tesoro de los Estados Unidos, los Departamentos de Seguridad Nacional, Comercio, Estado, Defensa y Energía, y la Administración Nacional de Seguridad Nuclear. .

El ataque SolarWinds es uno de los ataques a la cadena de suministro más grandes y exitosos jamás realizados.

3. Stuxnet

¿Sabías que uno de los hacks más infames de todos los tiempos fue un ataque a la cadena de suministro?

Stuxnet es un gusano informático con un objetivo extremadamente específico: sistemas que ejecutan un tipo de software particular, de un fabricante específico, que se encuentra en las plantas de energía nuclear iraníes. El malware Stuxnet hace que las centrífugas aumenten drásticamente la velocidad, destruyendo el material en la centrífuga y la propia infraestructura en el proceso.

Relacionado: ¿Puede un ciberataque causar daño físico?

Se cree que el gusano altamente dirigido e increíblemente sofisticado es el trabajo de los gobiernos de Estados Unidos e Israel, que trabajan juntos para eliminar una aparente amenaza nuclear iraní.

Stuxnet se introdujo en la cadena de suministro de la planta de energía nuclear iraní utilizando una unidad flash USB infectada. Una vez instalado en una computadora, Stuxnet se movió lateralmente a través de la red, buscando el sistema de control correcto antes de ejecutarse.

Debido a que Stuxnet tiene un objetivo preciso, no llama la atención sobre sí mismo, solo se activa cuando llega a una computadora que cumple con las especificaciones.

Cómo mantenerse seguro en la era de los ataques a la cadena de suministro

Las cadenas de suministro son difíciles de gestionar en el mejor de los casos. Muchas empresas utilizan soluciones de software de terceros para gestionar aspectos de su negocio. Estos incluyen herramientas de administración remota o software de contabilidad, o incluso plataformas como Microsoft Office 365.

Las empresas simplemente no pueden reunir todos los aspectos de su negocio bajo un mismo techo. Tampoco deberían tener que hacerlo. Confiar en un desarrollador de software o proveedor de servicios en la nube no debería aumentar drásticamente las posibilidades de que usted o su empresa sean víctimas de un ataque.

El aumento de la seguridad para las empresas y los consumidores también impulsa los ataques a la cadena de suministro. Si los atacantes no pueden encontrar una forma de entrar en la organización, atacar al siguiente nivel es la forma más económica y pragmática de obtener acceso. También es menos probable que los sistemas de seguridad empresarial lo detecten.

En muchos casos, los ataques a la cadena de suministro son operaciones extensas, bien investigadas y bien financiadas.

Por ejemplo, SolarWinds es el trabajo de un equipo de piratería de un estado-nación que ha tenido meses para trabajar y entregar el truco de la cadena de suministro. Del mismo modo, Stuxnet combinó varios ataques de día cero en un solo paquete para atacar las plantas de energía nuclear iraníes, y el hack de la cadena de suministro de Target tardó en llevarse a cabo.

Estos no son aficionados a los scripts aleatorios de los que estamos hablando aquí, que han tropezado con una vulnerabilidad. Son equipos de piratas informáticos que trabajan juntos para atacar un objetivo específico. La cadena de suministro resulta ser el camino de menor resistencia.