Líneas de Investigación

No es la primera vez que me preguntan sobre qué puede realizar alguien para dedicarse a seguridad, qué debe leer, qué debe estudiar o qué debe practicar. La verdad es que la pregunta no es difícil, pero la respuesta sí que lo es. Dedicarle 25 horas al día suele ser lo más apropiado, estudia todo lo que caiga en tu mano y ya puede ser tu hobby esto de la seguridad informática para que un fin de semana te lo pases haciendo pruebas a cualquier cosa.

Hoy os dejo tres presentaciones que me tienen un poco enganchado con algunas pruebas. Son tres presentaciones muy interesantes que, seguro, seguro, seguro, que si te dedicas a esto, o ya has oído hablar de ellas, o las has leído o estás probándolas.

Unicode Transformations And Security Vulnerabilities

Esta presentación está focalizada en el estudio de las implicaciones de seguridad en el uso de UNICODE en los navegadores hoy en día. Desde los visual spoofings mediante la simulación de URLs usando caracteres distintos en codificación UNICODE pero iguales en representación gráfica, hasta las más divertidas transformaciones de estos cuando su representación debe ser truncada a ASCII. La presentación está disponible en la siguiente URL: Unicode Transformations And Security Vulnerabilities. Hay un preview de un paper sobre Unicode Security publicado en la web de Blackhat, dónde el autor dio una charla anterior sobre este tema, que ayuda a comprender mejor la presentación: Preview of Paper about Unicode Security

Entreprise Open Source Intelligence Gathering

Esta presentación se hizo pública en Ohio, hace apenas una semana. Es una recopilación sobre fugas de datos en la empresa a través de twitts, posts en blogs, facebooks y por supuesto metadata. Me ha gustado mucho la recolección de ejemplos, y reconozco que se me ha escapado más de una sonrisilla con ellos.

Enterprise Open Source Intelligence Gathering

View more presentations from agent0x0.

Renegotiating TLS

Ésta es la presentación que más polémica está levantando en los últimos momentos. Este trabajo muestra cómo es posible, a través de un fallo en la implementación de la renegociación TLS, de inyectar datos en claro entre el cliente y el servidor en una conexión cifrada y autenticada con TLS. La polémica que está levantando la ha recogido, con su estilo pulcro y acertado, nuestro amigo “Pajarraco” de los Santos en Una-al-día, pero merece la pena leerse el documento publicado y analizar los gráficos para comprender mejor el fallo. Para hacerlo mucho más llevadero, además, se han publicado tramas de red de ejemplo. Todos en la Web de la publicación: Renegotiating TLS.

Tres temas curiosos, que seguro que te aportan nuevas ideas para hacer nuevas cosas. Así funciona esto.

Saludos Malignos!