You are here

Noticias

Demostración práctica de colisión en SHA-1

Hispasec - 1 hour 45 min ago
Un grupo de investigadores ha anunciadoque han logrado desarrollar una técnica que hace práctico para elaborar dos archivos con la misma huella digital SHA-1. 
Por supuesto, como es habitual en los últimos años un descubrimiento de estas características necesitaba un nombre atractivo, una página web y un logo chulo: SHAttered http://shattered.io/
Hay que recordar que una función hash no cifra, sino que crea un resumen o "firma" de un conjunto de datos, que es pasado como parámetro a esta función. Así, nos es útil para verificar la integridad, por ejemplo, de un archivo. Tan solo tenemos que aplicar dicha función sobre el archivo recibido y verificar que el hash obtenido es el mismo que el anunciado por el emisor.
Un "hash" es una función criptográfica que produce una salida de longitud fija a partir de una entrada arbitrariamente larga. Un buen "hash" debe cumplir las siguientes propiedades:
a) El resultado final no debe dejar traslucir ninguna información sobre los datos originales.
b) Dado un resultado determinado, no hay otro sistema aparte de la fuerza bruta que genere datos de entrada capaces de producir dicho resultado.
c) Dados unos datos de entrada y su "hash", no debe haber un atajo (aparte de la fuerza bruta) para generar otros datos de entrada distintos y con el mismo "hash".
SHAttered
10 años después de la introducción del algoritmo SHA-1 como función hash, se ha anunciado la primera técnica práctica para generar una colisión. Esto es dado un "archivo A", generar otro "archivo B" que produzca el mismo hash que el del "archivo A".
Tras dos años de investigación y la colaboración del CWI Institute en Amsterdamy Google, este equipo de investigadores ha conseguido crear un método para generar colisiones. Como prueba del ataque, publican dos archivos PDF que tienen hash SHA-1 idénticos pero con contenido diferente (PDF 1 y PDF 2).
En la actualidad, muchas aplicaciones todavía dependen de SHA-1, a pesar de que fue oficialmente desaprobado por el NIST en 2011. Esperamos que esta demostración práctica aumentará la conciencia y convenza a la industria, de manera definitiva, a migrar a alternativas más seguras, como SHA-256 o superiores.

Por otra parte el propio SANS señalaque en la práctica poco han cambiado las cosas. El ataque sigue considerándose complicado y según el instituto, para muchas aplicaciones, SHA-1 seguirá siendo un nivel adecuado de protección. Sin embargo, presenta un riego alto en entornos y aplicaciones donde los niveles de confianza sean máximos, como: la banca, los contratos legales o las firmas digitales. Un uso muy común de SHA-1 es para la integridad de archives, incluso Git y muchos desarrolladores y compañías lo emplean con ese propósito.

La complejidad del ataque aún sigue siendo elevada, y requiere una gran potencia de cálculo. El ataque requirió más de 9,223,372,036,854,775,808 cálculos SHA1. Esto conlleva una potencia de procesamiento de unos 6.500 años para una sola CPU o 110 años de cálculos GPU. A pesar de ello, SHAttered es 100.000 veces más rápido que el ataque de fuerza bruta que se basa en la paradoja del cumpleaños y que requeriría 12 millones de años de cálculos GPU.
También desde VirusTotal confirman que ya han encontrado más ejemplos de colisiones SHA-1.more SHA1 collisions.https://t.co/qPegYnjLl6https://t.co/y33sExu610— Karl Hiramoto (@karlhiramoto) 24 de febrero de 2017
Como es habitual Google sigue su política de publicación de detalles sobre las vulnerabilidades, por lo que la información completa sobre el ataque no se publicará hasta dentro de 90 días. Esto da tiempo para que muchos empiecen a migrar a sistemas de hash más seguros como SHA-256.
Tras un muy superado MD5, Bruce Schneier ya nos avisaba 10 años atrás que la vida de SHA-1 no iba a ser muy larga. Incluso desde Hispasec, en una-al-día, mucho antes ya informábamosen varias ocasionesde los avances que se efectuaban al reducir la complejidad de romper este algoritmo. De hecho, desde hace unos pocos años se recomendaba no usarlo para la firma de certificados digitales hasta que, definitivamente, la industria optó por dar dejar de confiar en certificados SSL a partir del año pasado.
Más información:
SHAtteredhttp://shattered.io/
Announcing the first SHA1 collisionhttps://security.googleblog.com/2017/02/announcing-first-sha1-collision.html
Practical collision attack against SHA-1https://isc.sans.edu/forums/diary/Practical+collision+attack+against+SHA1/22109/
una-al-dia (04/09/2005) Colisiones en MD-5 y SHA-1http://unaaldia.hispasec.com/2005/09/colisiones-en-md-5-y-sha-1.html
una-al-dia (14/06/2009) Se reduce la complejidad para provocar colisiones en SHA1
http://unaaldia.hispasec.com/2009/06/se-reduce-la-complejidad-para-provocar.htmlCryptanalysis of SHA-1https://www.schneier.com/blog/archives/2005/02/cryptanalysis_o.html
Gradually sunsetting SHA-1 https://security.googleblog.com/2014/09/gradually-sunsetting-sha-1.html
Antonio Roperoantonior@hispasec.comTwitter: @aropero
Categories: Seguridad

Apple publica actualización para Logic Pro X

Hispasec - Fri, 24/02/2017 - 23:45
La semana pasada Apple publicó una actualización de seguridad para GarageBand (su popular programa de composición musical) para OS X, destinada a solucionar un fallo que podía permitir la ejecución remota de código. Acaba de ofrecer una actualización para resolver ese mismo problema en Logic Pro X.
Logic Pro X es un completo estudio de grabación profesional para Mac que ofrece todo lo necesario para generar todo tipo de producciones musicales. Permite edición de audio, edición MIDI, mezclas, edición de partituras, plug-ins, etc.
La actualización está destinada a corregir la vulnerabilidad con CVE-2017-2374, la misma reportada por Tyler Bohan del equipo Cisco Talos, que reside en una escritura fuera de límites al tratar archivos de proyecto de Garage Band específicamente creados. El formato de archivos afectado es .band.
Sin duda al tratarse de un producto de similares características, con tratamiento de los archivos afectados, para el que se encontró la vulnerabilidad inicialmente, el equipo de seguridad de Apple siguió investigando y comprobó que también afectaba a este producto.
Apple ha publicado la versión de Logic Pro X 10.3.1 disponible para OS X El Capitan v10.11 (y posteriores)
Más información:
Logic Pro Xhttp://www.apple.com/es/logic-pro/
Logic Pro X 10.3.1https://support.apple.com/es-es/HT207519
una-al-dia (15/02/2017) Apple publica una nueva actualización de seguridad para GarageBandhttp://unaaldia.hispasec.com/2017/02/apple-publica-una-nueva-actualizacion.html
About the security content of GarageBand 10.1.6https://support.apple.com/en-us/HT207518
TALOS-2017-0275 Apple GarageBand Out of Bounds Write Code Execution Vulnerabilityhttp://www.talosintelligence.com/reports/TALOS-2017-0275/
TALOS-2017-0262 Apple GarageBand Out of Bounds Write Code Execution Vulnerabilityhttp://www.talosintelligence.com/reports/TALOS-2016-0262/
Antonio Roperoantonior@hispasec.com
Twitter: @aropero
Categories: Seguridad

LG presenta X Power2, con 4.500 MAH de batería para los usuarios más exigentes

Canal PDA - Fri, 24/02/2017 - 12:27
LG presenta X power2 la semana que viene en Mobile World Congress, un terminal diseñado para aquellos usuarios que disfrutan de los contenidos multimedia y los videojuegos; por lo que, necesitan una batería de larga duración y una pantalla de mayor tamaño.Cada modelo de la serie X incluye unas funcionalidades exclusivas, normalmente reservadas para los […]
Categories: PDA / PPC

Després de les proves pilot a Plaça Catalunya i Getafe: de la Serna presenta el servei gratuït de WiFi, disponible a 20 estacions de Renfe Rodalies de 12 ciutats

Canal PDA - Fri, 24/02/2017 - 11:39
El ministre de Fomento, Íñigo de la Serna, ha presentat avui a l’estació de Nuevos Ministerios de Madrid, el servei gratuït de WiFi a estacions dels nuclis de rodalies de Renfe que arriba a 12 ciutats, després de les proves pilot de Plaça Catalunya i Getafe Centro (Madrid).Des d’avui mateix, els viatgers podran gaudir dels […]
Categories: PDA / PPC

Renfe informa dels trens accessibles de rodalia de Barcelona a través de l’app Renfe Cercanías i renfe.com

Canal PDA - Fri, 24/02/2017 - 11:39
Els viatgers de rodalia de Barcelona disposaran d’ informació de trens i estacions accessibles a través del web renfe.com i l’app de Renfe Cercanías, mitjantçant la icona . En una primera fase, aquesta infomació està basada en la programació real del servei i es recomana consultar-ho tres hores abans d’iniciar el viatge. Als dispositius Android […]
Categories: PDA / PPC

EntresD participará en el festival YoMo con sus impresoras 3D para educación

Canal PDA - Fri, 24/02/2017 - 11:10
EntresD, empresa distribuidora de impresoras 3D de sobremesa, participa en la primera edición del YoMo: The Youth Mobile Festival, que quiere inspirar a miles de jóvenes y ayudarles a conocer mejor las carreras profesionales de ciencia y tecnología en un mundo cada vez más móvil. Durante cuatro días, YoMo Barcelona recibirá a 20.000 escolares de […]
Categories: PDA / PPC

ZTE presenta NB-IoT, el sistema de aparcamiento inteligente

Canal PDA - Fri, 24/02/2017 - 11:09
ZTE Corporation (0763.HK / 000063.SZ), el proveedor internacional de soluciones de tecnología de telecomunicaciones, empresariales y de consumo para la internet móvil, ha presentado su sistema de aparcamiento inteligente de banda estrecha del Internet-de-cosas (NB-IoT). El sistema de estacionamiento inteligente ZTE NB-IoT incluye una unidad de datos del Internet-de-cosas (IDU), una plataforma de operación del […]
Categories: PDA / PPC

Apple prepara una amplia renovación del iPad

Canal PDA - Fri, 24/02/2017 - 10:19
Según parece, Apple anunciará el mes que viene una amplia renovación de su línea de productos iPad, a fin de reforzar su cartera de tabletas. Si bien el iPad todavía es líder en el sector, Apple informó hace unas semanas de que las ventas y la facturación de dicha línea disminuyeron durante el lucrativo período […]
Categories: PDA / PPC

Vulnerabilidad en el kernel de Linux desde hace más de 11 años

Hispasec - Thu, 23/02/2017 - 22:00
Se ha anunciado la existencia de una vulnerabilidad en el kernel de Linux que podría permitir a usuarios locales obtener privilegios de root y que todo indica que existíadesde hace más de 11 años. Las principales distribuciones ya disponen de actualizaciones.
El fallo, al que se le ha asignado el CVE-2017-6074, reside en una doble liberación de memoria, fue descubierto por Andrey Konovalov, ingeniero de software de Google, mediante syzkaller, un fuzzer (un tipo de analizador) Linux de código abierto desarrollado por la propia firma.
Concretamente, la vulnerabilidad se encuentra en la implementación del protocolo DCCP (Datagram Congestion Control Protocol) desde la primera versión en soportarlo, la 2.6.14 (que data de octubre de 2005). Y que según describe el propio investigador podría aprovecharse para conseguir la ejecución de código kernel desde un proceso sin privilegios.
Para que un sistema sea vulnerable, el kernel debe estar compilado con la opción CONFIG_IP_DCCP. Actualmente, muchas de las distribuciones incluyen esta opción activa por defecto.
El problema se reportó a los desarrolladores del kernel el pasado 15 de febrero, dos días después ya existía un parchey se notificó a las distribuciones, la mayoría de las cuales ya disponen de actualizaciones.
Red Hat Enterprise Linux 6http://rhn.redhat.com/errata/RHSA-2017-0293.htmlUbuntu Linux 12.04 LTShttps://www.ubuntu.com/usn/usn-3206-1/Red Hat Enterprise Linux 7http://rhn.redhat.com/errata/RHSA-2017-0294.htmlUbuntu Linux 16.10https://www.ubuntu.com/usn/usn-3209-1/Red Hat Enterprise Linux 7http://rhn.redhat.com/errata/RHSA-2017-0295.htmlUbuntu Linux 14.04 LTShttps://www.ubuntu.com/usn/usn-3207-1/Ubuntu Linux 16.04 LTShttps://www.ubuntu.com/usn/usn-3208-1/Oracle Linux 6https://linux.oracle.com/errata/ELSA-2017-0293.htmlOracle Linux 6 y 7.https://linux.oracle.com/errata/ELSA-2017-0294.html
Más información:
Linux kernel: CVE-2017-6074: DCCP double-free vulnerability (local root)http://seclists.org/oss-sec/2017/q1/471
syzkallerhttps://github.com/google/syzkaller
dccp: fix freeing skb too early for IPV6_RECVPKTINFO
https://git.kernel.org/cgit/linux/kernel/git/torvalds/linux.git/commit/?id=5edabca9d4cff7f1f2b68f0bac55ef99d9798ba4


Antonio Roperoantonior@hispasec.comTwitter: @aropero




Categories: Seguridad

Un smartphone sobre ruedas

Canal PDA - Thu, 23/02/2017 - 13:34
A las puertas del Mobile World Congress que arranca la próxima semana en Barcelona, conocemos las tendencias en movilidad de futuro de la mano de Fabian Simmer, responsable de digitalización de SEAT:- Conectividad total: Actualmente vivimos conectados a nuestro teléfono móvil. La tendencia es el desarrollo de nuevas tecnologías para que esa conexión no se […]
Categories: PDA / PPC

Huawei se posiciona entre los tres mayores fabricantes de smartphones a nivel mundial por cuota de mercado

Canal PDA - Thu, 23/02/2017 - 13:24
Según datos publicados por Strategy Analytics y Counterpoints Research, consultoras líder en el sector, Huawei Consumer Business Group se ha erigido como el tercer fabricante de smartphones más grande del mercado por cuota de mercado, con un 10% del total mundial. En 2016, el total de smartphones distribuidos a nivel mundial creció en un 2,3% […]
Categories: PDA / PPC

Orange España incrementa sus ingresos un 7,9% en el cuarto trimestre de 2016 y dispara su rentabilidad un 13% en el año

Canal PDA - Thu, 23/02/2017 - 12:28
Los ingresos de Orange España durante el último trimestre de 2016 alcanzaron los 1.307 millones de euros, un 7,9% más que en el mismo periodo del año anterior mejorando la tendencia positiva frente a los trimestres anteriores en los que los ingresos de la compañía aumentaron un 7,8% en el tercer trimestre, un 6,2% en […]
Categories: PDA / PPC

Adobe desvela la primera tecnología de firma digital de código abierto del mundo, basada en la nube.

Canal PDA - Thu, 23/02/2017 - 12:21
Con más de 7.000 millones de dispositivos móviles en el mundo y el aumento alarmante de las amenazas cibernéticas, ha surgido la demanda de una manera segura y sencilla de firmar y gestionar documentos desde Smartphones y tabletas. Al mismo tiempo, las nuevas regulaciones sobre firmas electrónicas, como el eIDAS en la Unión Europea, han […]
Categories: PDA / PPC

Vodafone presenta su nuevo servicio de televisión 4K con la mejor oferta de servicios de video integrados

Canal PDA - Thu, 23/02/2017 - 11:34
Vodafone España presenta una nueva versión de Vodafone TV que proporciona la más avanzada experiencia de usuario, a través de la completa integración de los mejores contenidos y funcionalidades disponibles en el mercado. La nueva Vodafone TV ha sido desarrollada sobre la plataforma de última generación de TiVo y ofrece acceso inmediato a todos los […]
Categories: PDA / PPC

Telefónica fortalece sus tasas de crecimiento en 2016 y alcanza un beneficio neto de 4.038 millones de euros (+4,8%), excluyendo factores no recurrentes

Canal PDA - Thu, 23/02/2017 - 07:42
Telefónica ha presentado hoy un beneficio neto subyacente de 4.038 millones de euros (+4,8% interanual). Considerando los impactos no recurrentes registrados en el ejercicio –fundamentalmente gastos de reestructuración, plusvalías y bajas de fondo de comercio-, el beneficio reportado anual se sitúa en 2.369 millones de euros.Con tasas de crecimiento orgánico que consolidan la tendencia positiva […]
Categories: PDA / PPC

Microsoft publica actualización, pero solo para Flash

Hispasec - Wed, 22/02/2017 - 21:30
Una semana después de informar que este mes no habría actualizaciones de seguridad, Microsoft ha publicado un boletín (el MS17-005) para solucionar únicamente las vulnerabilidades relativas a Flash Player.
Aunque Microsoft había anunciado que no publicaría más boletines en el formato habitual, una semana después de la fecha esperada ha sorprendido con el ya habitual boletín en el que se resuelven las vulnerabilidades solucionadas por Adobe en Flash Player en su también boletín periódico.
Se trata de un boletín "crítico" que en esta ocasión soluciona 13 vulnerabilidades en Adobe Flash Player instalado en Windows Server 2012, Windows Server 2016, Windows 8.1 y Windows 10; correspondientes al boletín APSB17-04de Adobe (y que se publicó y analizó hace una semana en una-al-día).
Resulta un poco extraño la publicación de este único boletín, aun más cuando existen dos vulnerabilidades públicamente conocidas y aun sin parchear. El fallo en el tratamiento de tráfico SMB que puede permitir provocar denegaciones de servicio y el reportado por Project Zero de Google, por una lectura fuera de límites en gdi32.dll (con CVE-2017-0038). Todo indica, que tendremos que seguir esperando hasta el próximo 14 de marzo (segundo martes del mes).
En cualquier caso, esta actualización puede descargarse a través de Windows Update o desde Microsoft Update Catalog donde se incluyen las direcciones de descarga directa de cada parche. También se instalará a través de las actualizaciones automáticas en caso de estar programadas.
Más información:
Microsoft Security Bulletin Summary for February 2017https://technet.microsoft.com/library/security/ms17-feb
Microsoft Security Bulletin MS17-005 - CriticalSecurity Update for Adobe Flash Player (4010250)https://technet.microsoft.com/library/security/ms17-005
una-al-dia (14/02/2017) Actualizaciones de seguridad para Adobe Flash Player, Digital Editions y Campaignhttp://unaaldia.hispasec.com/2017/02/actualizaciones-de-seguridad-para-adobe.html
una-al-dia (17/02/2017) Microsoft retrasa sus parches de febrero hasta el 14 de marzohttp://unaaldia.hispasec.com/2017/02/microsoft-retrasa-sus-parches-de.html

Antonio Roperoantonior@hispasec.com
Twitter: @aropero
Categories: Seguridad

Tecnocom obtiene cifras record: supera los 30 millones de euros de entidades y genera más de 25 millones de euros de caja libre

Canal PDA - Wed, 22/02/2017 - 18:50
Tecnocom ha presentado hoy sus resultados de cierre de 2016, que muestran un aumento de la eficiencia operativa con un crecimiento del Margen Bruto del 12,4%. Este crecimiento se traduce en un incremento del EBITDA del 39% hasta superar los 30 millones de Euros. El Margen EBITDA se sitúa en un 7,4% sobre ingresos, lo […]
Categories: PDA / PPC

Lenovo proporciona una nueva solución de cloud empresarial para usuarios de SAP HANA en China

Canal PDA - Wed, 22/02/2017 - 18:49
Lenovo anuncia hoy un acuerdo con SAP por el cual Lenovo proporcionará una nueva solución de cloud empresarial creada exclusivamente para consumidores con licencias en la plataforma SAP HANA en China. Bajo el nombre “Lenovo Enterprise Cloud diseñado para SAP HANA,” este nuevo servicio tiene la intención de abrir una sencilla y potente ruta de […]
Categories: PDA / PPC

El Apple Park abrirá sus puertas a los empleados en abril

Canal PDA - Wed, 22/02/2017 - 14:41
Apple ha anunciado hoy que el Apple Park, el nuevo campus de 70 hectáreas de Apple, empezará a acoger empleados en abril. El traslado de más de 12.000 personas se completará en un plazo seis meses y la construcción de los edificios y las zonas verdes está previsto que continúe durante el verano.El Apple Park, […]
Categories: PDA / PPC

Samsung se plantea resucitar el Galaxy Note 7

Canal PDA - Wed, 22/02/2017 - 13:49
Samsung se plantea ofrecer en algunos mercados una versión restaurada de su atribulado smartphone Galaxy Note 7, porque quiere deshacerse de las existencias que acumuló al retirar el producto en 2016. Según Engadget, que a su vez cita publicaciones surcoreanas, la firma tiene en su poder unos 2,5 millones de dispositivos Galaxy Note 7, que […]
Categories: PDA / PPC

Pages

Subscribe to Bytecoders aggregator