El algoritmo de hash del DNI electrónico

7 respuestas

Estos días he leido muchas tonterías (a mí me lo parecen) sobre si el SHA-1 es malo y lo único bueno es el SHA-256 y sobre lo que esto implica en el nuevo DNI electrónico.

Lo cierto es que desde hace unos pocos años, algunas personas afirman de oidas que se ha roto el MD-5 o el SHA-1.

Lo que ha sucedido es que se ha demostrado que la probabilidad de encontrar dos documentos distintos con el mismo hash, siendo muy pequeña, es menos pequeña de lo que se sospechaba cuando se diseñó el algoritmo.

Con esto en mente, podemos afirmar que no es cierto que unos algoritmos de hash sean buenos y otros malos, así sin más.

En todo caso, no hay algoritmos buenos, sino más o menos vulnerables a determinados tipos de ataque.

Y, desde luego, la mejor opción es utilizar 2 algoritmos de hash simultáneamente.

Lo que esto quiere decir es que si, sumando casualidades, somos capaces de generar un documento que tiene una información que nos interesa y con el que queremos sustituir a otro para el que se ha calculado el Hash, habremos conseguido que el hash firmado para el documento sustituido ampare al documento con el que lo sustituimos.

En general, en documentos estructurados esto es imposible incluso con mecanismos de hash "·malos" porque es importante preservar la legibilidad y consistencia del documento. No es lo mismo con ficheros gráficos o con ficheros que tengan áras de "pad" (de manipulación) porque es posible manipular esas áreas o los bits menos significativos del gráfico hasta que el fichero entre por el aro (lo que tampoco es nada fácil).

De todas formas, cuando existen dos algoritmos de hash simultáneos, lo que podamos hacer para "arreglar" el fichero de cara a un Hash, nos lo "descojona" de cara al otro.

En definitiva, el certificado incluido en el DNI electrónico es lo suficientemente seguro ya que el hash generado con SHA-1 implica que no es posible generar otro certificado con el mismo aspecto y cambiando algunos datos según nos interese. Pero ya es la releche al volver a firmar por la CA el SHA-256 del mismo contenido. Aunque no podamos utilizarlo ni con Internet Explorer, ni con Opera, ni con Firefox. Es, desde luego, INFALSIFICABLE.

Otro aspecto distinto es la manera en la que firmemos nosotros nuestros documentos con el DNI electrónico. Ahí sí que podemos hacer lo que queramos. Por ejemplo, desarrollar por nuestra cuenta un programa de software que utilice formatos no estándar al cifrar y al descifrar (firmar y comprobar la firma), y que emplee MD-4, MD-5, SHA-1 y SHA-256 simultánemaente.

A ver si vamos a ser muy paranóicos con las gilipoyeces y luego no comprobamos si el certificado está revocado o no.

Más sobre el nuevo tipo de fraude en comercio electrónico

2 respuestas

Como e introducido en el post anterior,  asistimos a una nueva modalidad de ataque a tiendas virtuales,que usa las mismas técnicas que el crimen organizado ha creado para el phishing: la contratación de "mulas".

Hasta hace poco tiempo los mails que ofrecían trabajo desde casa se concentraban en ofrecer compensaciones "laborales" por llevar a cabo unas cuantas transacciones económicas: transferencias a determinadas cuentas por empresas remesadoras, y recepción de pagos "de clientes" en cuentas bancarias propias.

Aunque parece increible que haya gente que se crea la historia (sobre todo en aquellos primeros e-mails tan cutres, últimamente el aspecto ha mejorado mucho), lo cierto es que personas de cierto nivel cultural (y usuarios frecuentes de internet) han sido detenidas por su participación "involuntaria " en las redes de fraude "phishing" y en el posterior "blanqueo" de dinero.

Esta técnica se extiende ahora, y las ofertas para "trabajar desde casa" incluyen la gestión de "paquetes enviados por los clientes" de la "empresa" que ofrece el trabajo (no olvidemos que lo normal es enviar paquetes a los clientes, no al revés).

Estos "paquetes" son los que contienen los productos que las empresas de comercio electrónico envían engañadas a destinatarios aparentemente fiables. A las tiendas debería hacerles sospechar la adquisición de pedidos tan grandes y el hecho de que en ellos pidan incluir teléfonos móviles y otros objetos de alto valor y fácil reventa.

En definitiva, el crimen organizado en guerra contra el comercio electrónico, que tiene menos medios para reaccionar que las entidades financieras.

Como muestra, mirad el tipo de e-mail que envían para captar "mulas":

You might have noticed how the recent changes of all kinds influence your life. Constant growth of prices, low wages, employment problems. If you aren't satisfied with your present income or it doesn't comply with your capabilities; If you constantly lack money; If you want to better your financial status or you are just looking for a part-time job, then this job is what you need. Consider the advantages of the work we offer: Extra incomeYou might have noticed how the recent changes of all kinds influence your life. Constant growth of prices, low wages, employment problems. If you aren't satisfied with your present income or it doesn't comply with your capabilities; If you constantly lack money; If you want to better your financial status or you are just looking for a part-time job, then this job is what you need. Consider the advantages of the work we offer: Extra income
Minimal expenses and no expenditures at all (only I-net and e-mail)
The easiness of work. – Possibility to combine this work with your occupations (you just need to check your e-mail several times a day) For this work you don't need a special education possessing some special skills or knowledge possessing storehouse, office, special equipment.
The job we offer is related to mail. It is an easy job which doesn't require leaving your main occupation. You will have to receive to your home address parcels from our clients and ship them out further following our manager's instructions ($30 for each shipped out box). Contact us by e-mail and you will be sent a list of vacancies available at the present time. You work will be paid for without any delays.
You may work with several orders at a time as well as work with each one separately

Nuevo tipo de fraude contra las tiendas virtuales

1 respuesta

Un nuevo tipo de fraude de las mafias del phishing se empieza a ver por España (y, con toda probabilidad, por todo el mundo), esta vez dirigido contra las tiendas virtuales.

Los defraudadores se dirigen por e-mail a la tienda ofreciendo hacer un pedido grande, y, al mismo tiempo pidiendo lotes de otros productos que la tienda no vende, como teléfonos móviles.

La credibilidad que tiene para una tienda el hecho de que se dirijan a ella juega a favor del defraudador.

Lo que nos debe hacer pensar es la petición de objetos que no sean típicos de nuestro negocio.

Este tema lo ampliaré próximamente porque me están llegando detalles de algunos amigos sobre el "modus operandi" de los delincuentes y detalles para reaccionar de la forma correcta. 

Conclusiones del III Foro de las Evidencias Electrónicas

4 respuestas

El Foro de las Evidencias Electrónicas surgió hace más de dos años con el objetivo de generar seguridad jurídica en el ámbito de las transacciones electrónicas, el intercambio de documentos y la creación y comercialización de contenidos que se generan diariamente en la Sociedad de la Información. Desde entonces, sus miembros han mantenido una comunicación permanente y numerosos debates a través de un foro electrónico, así como reuniones presenciales que han contado con la participación de expertos de reconocido prestigio en nuevas tecnologías y seguridad jurídica.

Conclusiones1- Es necesario seguir trabajando en la implementación del DNI electrónico, ya que se ha revelado como una herramienta fundamental y eficaz para generar seguridad en la red.

“Actualmente no existe seguridad jurídica en Internet y esta situación afecta cada vez a más personas. El DNI electrónico es una herramienta muy eficaz para garantizarla. En nuestro país, está cobrando una mayor relevancia (actualmente existe 5.000 documentos electrónicos en circulación), pero todavía es necesario un fuerte impulso por parte de todos”.

2- Es importante que todos apoyemos la lucha contra la vulneración de los Derechos de Propiedad Intelectual. Mañana nos puede afectar a nosotros.

“La ciberdelincuencia es un fenómeno cada vez más inquietante. El grado de tolerancia que existe hoy en día en la sociedad sobre algunas formas de ciberdelincuencia, como la descarga de música y vídeo por Internet, es prácticamente absoluto. Es necesario que la sociedad asuma nuevas responsabilidades y ofrezca una respuesta moral y ética a este problema”

3- A pesar de lo mucho que hay que hacer es indiscutible el avance tecnológico, legal y cultural que ha experimentado nuestro país. 

“Es incuestionable que en los últimos años, España ha realizado importantes avances tecnológicos. Sin embargo, si nos comparamos con otros países de la Unión Europea y, sobre todo, con EE.UU. todavía queda mucho por hacer.  Existe un déficit tecnológico que necesita de un esfuerzo titánico por parte de todos. Si no, corremos el riesgo de que España se quede en un país de segunda y tercera fila”

4- Publicaciones como la ‘Guía para tu seguridad en Internet’, elaborada por el Foro de las Evidencias Electrónicas, contribuyen a paliar los riesgos presentes en la red. 

"Esta guía está editada en forma de díptico y tiene un carácter muy divulgativo, siendo una iniciativa novedosa su publicación en España. Incluye recomendaciones y consejos de fácil aplicación y gran utilidad para garantizar la seguridad de los usuarios en Internet que hoy en día superan en nuestro país casi los catorce millones de personas".

El proceso monitorio en el cobro de facturas

10 respuestas

El proceso monitorio, introducido en España con la publicación de la Ley de Enjuiciamiento Civil del año 2000, convierte casi instantáneamente las facturas impagadas en sentencias que obligan al pago de la deuda, sin requerir los servicios de un abogado, y siempre que las cantidades adeudadas no superen los 30.050 euros.

  • El monitorio comienza con la presentación de una solicitud –que se puede formular rellenando un impreso y sin la intervención de abogado ni de procurador- en la que se reclama, con un apoyo documental, una cantidad concreta y exigible de dinero (a diferencia de otros países, como Alemania o Austria, en los que basta con la simple afirmación del peticionario, sin necesidad de acompañar documento alguno)
  • Presentada dicha petición, se sitúa al deudor en la necesidad de optar: o paga o se opone a la reclamación.
  • Si decide no pagar y no se opone en el plazo señalado por la ley (veinte días), se tiene por cierta la petición realizada por el acreedor y se inicia la fase de cobro forzoso de la deuda.
  • Si, por el contrario, se opone a la reclamación efectuada, finaliza el proceso monitorio y se reconduce al juicio verbal que corresponda.

Por la amplitud de documentos que permiten el acceso al proceso monitorio, de los que casi siempre dispondrá el acreedor, es indudable que un gran número de reclamaciones encontrarán en él un vehículo adecuado.

Estos documentos no tienen por qué ser públicos o auténticos: vale todo documento, cualquiera que sea su forma y clase o el soporte físico en que se encuentren, que aparezcan firmados por el deudor o con su sello, impronta o marca o con cualquier otra señal, física o electrónica, proveniente del deudor, así como las facturas, albaranes de entrega, certificaciones, telegramas, telefax o cualesquiera otros documentos que, aun unilateralmente creados por el acreedor, sean de los que habitualmente documentan los créditos y deudas en relaciones de la clase que aparezca existente entre acreedor y deudor.

(Fuente: Ministerio de Justicia)

Facturas Rectificativas (no Notas de Abono)

2 respuestas

La emisión de Facturas Rectificativas, regulada por el RD 1496/2003, ha sido modificada por el Real Decreto 87/2005, de 31 de enero (BOE 1 de febrero de 2005)

El Art.13 del RD 1496/2003, de 29 de noviembre, por el que se aprobó el Reglamento de Facturación, regula la emisión de las facturas rectificativas. Debido a la dificultad que supuso el régimen impuesto por la citada norma, se ha dictado un nuevo texto reglamentario, el RD 87/2005, con la finalidad, entre otras, de simplificar el tratamiento de este tipo de facturas, antiguamente denominadas “Notas de Abono”.

Tras la reforma, que entró en vigor a los 20 días de su publicación en el BOE, es decir, el 21 de febrero de 2005, se recupera la flexibilidad y agilidad del sistema convencional de emisión de “Notas de Abono” para la emisión de las que ahora se denominan “Facturas Rectificativas”.

Aunque se siguen exigiendo los requisitos ya establecidos para las facturas y documentos sustitutivos (tales como tickets) y la mayor parte de los elementos específicos de las facturas rectificativas y de los documentos sustitutivos rectificativos, se introducen novedades significativas:

  • Las facturas rectificativas tendrán que reflejar directamente la rectificación efectuada, incluso aunque se elaboren con todos los datos de una factura que ya tuviera en cuenta la rectificación, lo cual ya no es obligatorio (este aspecto es contrario a lo especificado hasta ahora por el RD 1496/2003) .

  • Se permite que las devoluciones de mercancías y de envases y embalajes se introduzcan en una factura (no rectificativa) con signo negativo, por lo que las facturas normales pueden ser negativas.

  • Cuando se trate de devoluciones o diferencias de la base imponible en cualquier sentido respecto a la factura original, las facturas rectificativas especificarán la diferencia de la base imponible, con importes negativos o positivos según corresponda.

  • Se permite la rectificación de varias facturas en una única factura rectificativa, en tanto se indiquen los números de factura de las facturas rectificadas.

  • Asimismo, la reforma afecta al Art.70 del Reglamento del Impuesto sobre el Valor Añadido, a efectos de aclarar la forma de recoger las facturas rectificativas en los libros registro de facturas y de  IVA.

La Disposición Transitoria segunda del RD 87/2005, bajo el título “Expedición de facturas y documentos sustitutivos rectificativos y rectificación de anotaciones registrales” señala que la reforma en cuestión es aplicable a los documentos expedidos a partir del 1 de enero de 2004, y por lo tanto también a su correspondiente anotación registral.

Peritajes electrónicos (Computer Forensics)

5 respuestas

Aunque el proceso que describe el periodista no es ortogonal y está muy simplificado, es una primera aproximación para no expertos.
Se describe en http://www.elpais.es/articulo.html?d_date=&xref=20060119elpcibpor_4&type=Tes&anchor=elpcibpor

Estos son los pasos que se indican

  1. Toma de contacto. Conversación con los relacionados en el caso, con el objetivo de tener una idea clara de lo que ha ocurrido y planear la investigación. En este caso se sospechaba de un empleado que había accedido a una máquina de otro empleado para sustraer un documento.
  2. Copia del disco duro. Acompañado del representante de los trabajadores y de los directores, se requisa el ordenador del sospechoso para, delante de todos, realizar una copia íntegra, bit a bit, del disco duro. Esta copia servirá para la investigación, y el ordenador requisado será guardado para su custodia en la caja fuerte de la empresa. Si se dispone de otros medios de almacenamiento externo, como CD o discos USB, se requisan también para su posterior análisis.
  3. Análisis del disco duro. Se buscan indicios de virus, troyanos o gusanos, así como herramientas de ataque, con la idea de realizar una foto del ordenador y saber para qué se usa realmente, así como el nivel del usuario. A continuación se localiza y analiza la información que ha sido borrada. Seguidamente, se realiza una escala temporal lo más exacta y detallada posible. Es decir, conociendo aproximadamente la fecha del suceso, se reconstruye el escenario segundo a segundo: acceso a ficheros, creación o borrado de ficheros, ejecución de comandos, accesos a páginas de Internet, etcétera. Como se trata de un robo de información confidencial, se busca en todo el disco, tanto en archivos existentes, como en archivos borrados y espacio no utilizado.
  4. Análisis de logs. Revisión y análisis de todos los logs o huellas de actividad, de la máquina y de todos los elementos relacionados, tales como cortafuegos, IDS, impresoras y servidores.
  5. Cadena de custodia. Una vez que hemos obtenido las pruebas, es fundamental documentarlas y mantener lo que se denomina cadena de custodia, que garantiza el origen de las pruebas, imprescindible si hay juicio.
  6. Presentación de resultados.
  7. Acciones legales si fuera necesario.

En mi opinión, hay 2 grandes pasos:

  1. Incautación Confiable de la Prueba y Preservación de la Cadena de Custodia.
  2. Análisis de la información disponible con arreglo al incidente investigado y Redacción del informe pericial

Con la información disponible se puede valorar la conveniencia o no de pleitear o de negociar.

Supuesto que se decide pleitear, el perito de parte colabora con la parte y su abogado informando sobre la especialidad tecnológica y los problemas probatorios.

El rol de perito de la demanda es el más deseable, ya que se dispone de tiempo suficiente para preparar el análisis. Sin embargo, el perito de la contestación, normalmente tiene la restricción de los plazos procesales, a la que se añade el tiempo de respuesta de la parte demandada y de su abogado en concluir que necesitan un perito.

Fraudes en premios de lotería


Un porcentaje alto del spam que recibimos corresponde a falsos anuncios de premios de lotería.

Yo pensaba que eran mensajes tan obviamente falsos que nadie caería en la trampa, pero no es así.

Hasta en la página web de Loterías y Apuestas del Estado han tenido que avisar sobre el asunto.

Transcribo el aviso:

Loterías y Apuestas del Estado (LAE) pone en conocimiento del público en general que unas bandas de delincuentes, de nacionalidades diversas, están utilizando fraudulentamente el prestigio y los nombres comerciales de la Lotería española en varios países, especialmente en los de la zona del sudeste de Asia y el Pacífico y los del continente americano. Se mueven con facilidad por toda la geografía mundial y emplean teléfonos móviles, apartados de correos, direcciones provisionales o falsas (con inclusión de las direcciones reales de Organismos oficiales españoles), así como nombres que evocan instituciones prestigiosas («el Gordo», «la Primitiva», «European Lottery Commission», etc.). También falsifican los papeles impresos y las firmas de diversas entidades bancarias.

Para cometer la estafa, el procedimiento generalmente seguido consiste en anunciar a la víctima potencial que ha sido agraciada con un premio cuantioso (aunque no haya participado en sorteo alguno), si bien no podrá cobrar dicho premio hasta que haya pagado por anticipado una suma destinada a los impuestos, gastos bancarios, gastos de envío o tramitación de seguro, etc. Habitualmente, el estafador advierte a su víctima potencial que el plazo para abonar esas cargas es muy breve y que está a punto de caducar su derecho al cobro del premio.

Los premios de la Lotería española siempre están libres de impuestos y gravámenes, y la Policía española ya ha detenido y puesto a disposición judicial a algunos miembros de bandas que actuaban desde el territorio nacional.

Por consiguiente, cuando le ofrezcan «premios» que guarden relación aparente con la Lotería española, NO PAGUE cantidad alguna. Asimismo, agradeceríamos que estos hechos delictivos se pongan en conocimiento de las autoridades locales.

Adecuación a los requisitos que impone la LOPD

8 respuestas

La Ley Orgánica de Protección de Datos de Carácter Personal está «comenzando» a ser tenida en cuenta.

No quiero decir que todos estos años se haya ignorado. Lo cierto es que algunas de las actuaciones de la Agencia Estatal de Protección de Datos y la magnitud de las sanciones que ha impuesto, han significado importantes titulares y algo de alarma social.

También el extremado rigor que se aprecia en los sucesivos borradores del futuro Reglamento de Protección de Datos, que tiene que sustituir al actualmente vigente, referenciado en el Real Decreto 994/1999, de 11 de junio, por el que se aprueba el Reglamento de medidas de seguridad de los ficheros automatizados que contengan datos de carácter personal, ha hecho saltar algunas alarmas.

Si ya era complicado cumplir las exigencias del actual Reglamento (creado para resolver las dudas planteadas por la derogada LORTAD – LEY ORGANICA 5/1992, de 29 de octubre, de regulación del tratamiento automatizado de los datos de carácter personal), el próximo hará todo más difícil y ampliará las posibilidades que ya tiene la LOPD para ser utilizada como «arma arrojadiza» y fuente de amenazas y coacciones.

Además, en el año 2007 se acaba el plazo de adaptación de los sistemas de gestión en papel de datos personales, algo de lo que mucha gente no es consciente.

Pero a lo que iba, la percepción de que algo está cambiando en la concienciación de las PYMES. Cada vez es mayor el número de PYMES que nos consulta sobre la forma menos dolorosa de Cumplir la LOPD. Hasta hace poco casi todos nuestros clientes de consultoría y auditoría de LOPD eran grandes empresas. En la actualidad el porcentaje de PYMES supera al de grandes empresas.

Para facilitar a las PYMES un resumen básico sobre las implicaciones de la LOPD hemos preparado en Albalia Interactiva un «mini site» que se titula precisamente así: «Cumplir la LOPD» (aviso: contiene información publicitaria de Albalia Interactiva en relación con estos temas)