Tierra de humos, Cibeles y Gallardones, tierra de metros a millón y atascos de kilómetros, tierra de maletas perdidas en la T4 y gente qué más que corre vuela camino del trabajo, tierra de Renfes bibliotecas donde la gente apura las últimas novelas, tierra de mi suela y de mi bronxtolex. ¡Por fin en casa!
Regresé tras pasar enecientos controles de pasaporte y múltiples vicisitudes que me llevaron a tomar bicicleta-minibús-barco-minibús-avioneta-taxi-avión-avión-coche para poder pisar, como dice Sabina, el cielo de Madrid con mis pies, cansados y picados por los mosquitos.
En medio de este viaje di buena cuenta del famoso Criptonomicón que me dejo cosas y frases muy curiosas que os pondré aquí, en el próximo post en un par de días porque son divertidas.
Pero a lo que vamos, hemos regresado al paraíso, al lugar dónde poder pegarnos a gusto, que ya estaba harto de pegarme con cocos. Y lo primero que me encuentro es la justificación de lo que sucedió con el hackeo del servidor de Debian:
http://lists.debian.org/debian-project/2006/07/msg00056.html
En él se dice que sólo sucedió porque no habían actualizado a kernels más modernos que no eran vulnerables y porque se hackeo una cuenta.
Textualmente:
How did this happen?
--------------------
gluck was running Linux 2.6.16.18. Unfortunately it had not yet been
updated to 2.6.16.24 or 2.6.17.4 both of which were released on
2006-07-06.
Traducido al bronxtolita:
[Start]
Bueno, la verdad es que se jodio la puta máquina pq hemos estado de fiesta desde el último parche que fue el 22 de Mayo
http://www.kernel.org/pub/linux/kernel/v2.6/ChangeLog-2.6.16.18
desde entonces es que teníamos pocas ganas de currar y además, actualizar un kernel es poco divertido, así que nos hemos saltado algunas actualizaciones como:
la del 30 de Mayo: http://www.kernel.org/pub/linux/kernel/v2.6/ChangeLog-2.6.16.19
la del 5 Junio: http://www.kernel.org/pub/linux/kernel/v2.6/ChangeLog-2.6.16.20
la del 20 de Junio: http://www.kernel.org/pub/linux/kernel/v2.6/ChangeLog-2.6.16.21
la del 22 de Junio: http://www.kernel.org/pub/linux/kernel/v2.6/ChangeLog-2.6.16.22
(tu crees que puedo montar la fiesta cada dos días????)
La del 30 de Junio: http://www.kernel.org/pub/linux/kernel/v2.6/ChangeLog-2.6.16.23
y la del 6 de Julio: http://www.kernel.org/pub/linux/kernel/v2.6/ChangeLog-2.6.16.24
Es decir, 1 mes y medio sin aplicar ningún parche, total, quien va a atacar a los buenos??
[End]
A lo que les contestan en el thread:
“Excelent Job”
http://lists.debian.org/debian-project/2006/07/msg00057.html
Como mola no tener jefes! Os imaginais diciendole a vuestro jefe, verás, es que nos han roto el servidor pq no he actualizado los servidores desde el 22 de Mayo hasta el 10 de Julio.
Seguramente os diría: “Excelent Job” y luego os daría una buena…..
Entre las listas de mensajes que se han producido, uno de los presentes pide, con sentido común que se fortifiquen las contraseñas, se le responde que se han bloqueado todas las cuentas con contraseñas débiles y uno pregunta: ¿ pq no se usan sistemas de identificación por firma digital o pq no se configura una política de contraseñas segura?.
http://lists.debian.org/debian-project/2006/07/msg00058.html
Mira que lo que pregunta…..
En fin, ¡mola volver al paraíso!
Crasso error, sí señor.
ResponderEliminarY nada más que añadir.
No creas que voy a meter una puya final como que la (in)seguridad de Microsoft es un asunto de estado en los Estados Juntitos
No soy tan cabrón tronco ;-)
PD: ¿es verdad eso que dicen por ahí de que ese parche puede causarte problemas si usas Internet Explorer con HTTP 1.1 comprimido?
Ya estamos todos de vuelta!!
ResponderEliminarEl problema con ese parche es que arregla algo crítico y que ya está habíendo mogollón de malware para explotar los sistemas no parcheados.
Ayer, desde Microsoft y desde Hispasec he recibido notificaciones de que se han hecho bots para explotar esa vulnerabilidades. Creo que en Metasploit está ya metido un exploit y hay un scanner en la web de elhacker.net.
Respecto a lo de los problemas con HTPP 1.1 comprimido, yo lo tengo puesto el parche y navego con normalidad por servidores web http 1.1 comprimido, pero a lo mejor sabes algo que no sepo yo!
Vas a venir a verme a alguna sesión Benigno? Pa invitarte a algo!!
Si me pilla alguna cerca sí, llevaré una máscara tipo Dark Vather y te dire "yo soy Benigno" (versión 2.0 de "yo soy tu padre").
ResponderEliminarEn serio, ya fui a una y me eché unas risas, volvería a ir con mucho gusto.
Aunque... ¡¡ya me conoces!! ¡¡Uh!!
Benigno, pon un logo de Microsoft en tu Web que según esta reportera se pasa a tu lado!!
ResponderEliminarhttp://www.mobuzz.com/shows/3066.html
Nota1: Recuerda que los que llevan el cotarro son v-o-l-u-n-t-a-r-i-o-s y no cobran un duro.
ResponderEliminarNota2: Debian no suele actualizar los paquetes a la última versión normalmente ya que estos en las otras cosas que añaden pueden haber errores. Suelen normalmente corregir los errores y listo, dejando las novedades para siguientes versiones. Casos a parte son por ejemplo el kernel que hay veces que suben la versión pero no es lo normal que lo hagan a cada nueva versión que sale. Por lo que lo de no subir versión no es totalmente correcto, pero tienes toda la razón al no decir que no se aplicaron los parches y que tampoco había una seguridad mínima de claves.
Hola Net!
ResponderEliminarNota 1: Administrar servidores para una organización como Debian es un trabajo que requiere varias personas a full-time. ¿No cobran? ¿Lo hacen a ratitos? ¿Para quien son las donaciones de la pagina web principal? ¿Y las que dan las compañías? Cobran hombre, cobran, recuerda que son servicios no código.
Nora 2: Está clarisismo, pero eso que dices se debe hacer a la hora de elegir si vas por Current o Por Stable, una vez que eligas, tienes que implantar un plan de gestión de actualizaciones de seguridad, con fase de pruebas e implantación. Si no quieres novedades, ponte la Stable y luego ves parcheando. Pueden implantar la 2.2 o la 2.4 que están muuuy depuraditas, pero la que elijas, mantenla correctamente.
Bies!