Universidad de Granada

Seguridad Informática - Recopilación de información relevante sobre ciberseguridad para el personal de la Universidad de Granada

Inicio >> Archivo de consejos

Guías prácticas de seguridad en dispositivos móviles: iPhone (iOS 11.x y iOS 12.x)

Publicado el:
miércoles, 07 noviembre 2018

  • Nuevas guías CCN-STIC-455C y CCN-STIC-455D, disponibles en la parte pública del portal del CCN-CERT
  • Las guías definen una lista de recomendaciones de seguridad para la configuración de dispositivos móviles basados en iPhone iOS 11.x y iPhone iOS 12.x cuyos objetivos son proteger el propio dispositivo, sus comunicaciones, y la información y datos que gestiona y almacena.
  • Asimismo, el documento revisa la actualización del sistema operativo, su modelo y arquitectura de seguridad, la gestión empresarial de estos dispositivos, su acceso físico, el cifrado de datos, la gestión de certificados digitales y credenciales, así como la localización geográfica.

El CCN-CERT ha publicado en su portal las Guías Prácticas CCN-STIC-455C, de seguridad en dispositivos móviles: iPhone (iOS 11.x) y CCN-STIC-455D, de seguridad en dispositivos móviles: iPhone (iOS 12.x). En adelante, las guías de seguridad de dispositivos móviles de la serie 400 (Android o iOS) se denominarán guías prácticas.

En ambas versiones se definen una serie de recomendaciones de seguridad para la configuración de dispositivos móviles, basados en el sistema operativo iOS de Apple (empleado en dispositivos iPhone, iPad, y iPod Touch, en sus diferentes variantes) y, en concreto, están centrados en las versiones 11.x y 12.x, con el objetivo de reducir su superficie de exposición frente a ataques de seguridad.

Los documentos analizan, de manera exhaustiva, el procedimiento de actualización del sistema operativo, su modelo y arquitectura de seguridad, la gestión empresarial de estos dispositivos, el cifrado de datos y la localización geográfica, entre otras cuestiones. Además, explican el modo seguro de empleo de los distintos tipos de comunicaciones a través de estos dispositivos: comunicaciones USB, NFC1, Bluetooth, Wi-Fi, mensajes de texto (SMS), voz y datos o TCP/IP2.

Del mismo modo, ambas Guías incluyen un Decálogo Básico de Seguridad de IOS 11 y 12 respectivamente.

CCN-CERT (07/11/2018)

Seguridad en Microsoft Windows 10 y Windows 10 Enterprise

Publicado por el CCN:
jueves, 18 octubre 2018

  • El CCN-CERT ha publicado en su portal web las Guías CCN-STIC 599A 18 y 599B 18.
  • Los documentos incluyen un paso a paso para implantar y establecer las configuraciones de seguridad en clientes Microsoft Windows 10 Enterprise LTSB cliente miembro de dominio y cliente independiente.
  • En ambos casos se ha incluido un cuerpo de guía común, junto con dos anexos; uno adaptable al Esquema Nacional de Seguridad (ENS) y otro a Redes Clasificadas.

El CCN-CERT ha publicado las Guías CCN-STIC 599A 18. Implementación de seguridad sobre Microsoft Windows 10 Enterprise LTSB (Cliente miembro de dominio) y CCN-STIC 599B 18. Implementación de seguridad sobre Microsoft Windows 10 Enterprise LTSB (Cliente independiente). En ambos casos se ha subido el cuerpo de la guía en la parte pública del portal, así como su anexo adaptable al Esquema Nacional de Seguridad (ENS) y otro apartado, en la sección privada del portal, destinado a las redes clasificadas.

El objetivo de ambas guías es proporcionar los procedimientos para implementar y garantizar la seguridad para una instalación del sistema “Microsoft Windows 10 en sus versiones “Enterprise” con sus opciones de mantenimiento “CB”, “CBB” o “LTSB” y “Professional”, actuando en la Guía 599A 18 como cliente miembro de un dominio y en el caso de la Guía 599B 18 como cliente independiente.

Ambos documentos incluyen operaciones básicas de administración para la aplicación de las versiones, así como una serie de recomendaciones para su uso y un paso a paso para implantar las configuraciones de seguridad en clientes Microsoft Windows 10 Enterprise LTSB miembros de un dominio y cliente independiente, respectivamente.

Las guías también contienen una sección con versiones y opciones de mantenimiento y licencias en MS Windows 10, nuevas funcionalidades y componentes en MS Windows 10, otro aparatado de funcionalidades adicionales de seguridad en la versión de MS Windows 10 Enterprise, novedades Windows 10 versión 1607, 1703 y 1709.

Acceso a la Guía CCN-STIC-599B18 Seguridad en Windows 10 Enterprise LTSB (cliente independiente)

Acceso a la Guía CCN-STIC-599A18 Seguridad en Windows 10 Enterprise LTSB (cliente miembro de dominio)

CCN-CERT (18/10/2018)

Como saber si mi cuenta de Facebook ha sido hackeada

Parte de artículo publicado por PCActual el 15 de octubre

A finales del mes de septiembre saltó la noticia: Facebook reconocía públicamente haber sufrido una brecha de seguridad que afectaba a 50 millones de cuentas. O, dicho de otro modo, 50 millones de usuarios de la famosa red social habían quedado al descubierto durante unas horas, comprometiendo la información privada (datos, contraseñas, fotografías) que allí almacenaran. «Nuestra investigación aún está en ciernes», decían desde la compañía, «pero está claro que los atacantes explotaron una vulnerabilidad en el código de Facebook». ¿Eres uno de los afectados? ¿Cómo puedes saber si tu cuenta fue hackeada?

Pincha aquí.

Consejos seguridad para evitar vulnerabilidades habituales – Desarrollo/servicios WEB

 

 

 

 

Hoy os dejo una serie de consejos a tener en cuenta en el desarrollo y en servicios web en general para evitar las vulnerabilidades mas habituales. Es un poco mas técnico que las publicaciones anteriores. Espero que sea de utilidad.

  • Asegurar que en la generación de cookies se activan las opciones HttpOnly y secure.

CVE-2012-0053

www.owasp.org/index.php/HttpOnly

https://www.owasp.org/index.php/SecureFlag

  • Devolver con el contenido de la página las opciones X-Frame en la cabecera HTTP. Esto previene que el contenido de la página sea mostrado por otro sitio utilizando las etiquetas HTML frame o iframe.

La mayoría de los navegadores modernos soportan las opciones X-Frame en la cabecera. Se debe asegurar que estén establecidas en todas las páginas que devuelva el sitio (si se espera que la página se enmarque desde páginas del mismo servidor se puede utilizar la opción SAMEORIGIN, o si nunca debe ser enmarcada desde ninguna página debería utilizarse DENY. La opción ALLOW-FROM permite especificar que sitios pueden poner la página en un frame)

CWE:693

https://es.wikipedia.org/wiki/Clickjacking

http://blogs.msdn.com/b/ieinternals/archive/2010/03/30/combating-clickjacking-with-x-frame-options.aspx

https://www.owasp.org/index.php/Clickjacking_Defense_Cheat_Sheet

https://blog.veracode.com/2014/03/guidelines-for-setting-security-headers/

  • Asegurarse de que el filtro XSS del navegador está activado, configurando la opción X-XSS-Protection a 1. Esta opción esta soportada actualmente en los navegadores Internet Explorer, Chrome y Safari.

https://www.owasp.org/index.php/XSS_(Cross_Site_Scripting)_Prevention_Cheat_Sheet

https://blog.veracode.com/2014/03/guidelines-for-setting-security-headers/

  • Utilizar explícitamente TLS y quitar el soporte de SSL v2 o v3

https://wiki.mozilla.org/Security/Server_Side_TLS

http://en.wikipedia.org/wiki/Transport_Layer_Security#SSL_3.0

http://en.wikipedia.org/wiki/HTTP_Secure

http://support.microsoft.com/kb/187498

  • Especificar un conjunto de caracteres bien definido, como UTF-8, en la cabecera o el cuerpo de la respuesta.

https://www.owasp.org/index.php/OWASP_Top_Ten_Cheat_Sheet