Social Engineering is one of those topics that everybody know about it but not everybody is really aware of it. As part of a research project I conducted a survey on social engineering. The original idea was to test network users with an information assurance training program and  compare them to those without an information assurance program. Of course I found no organization that was willing to help, yep not even a college student. I even had a consultant tell me that many organizations know they have social engineering vulnerabilities and are not doing anything about it. I try to go even further and offered some of these organizations a customized creating full scope security awareness program and still no help.

Having time limitations I decided to change the target to general public. The point was to prove that in the year 2010, when almost everybody is a computer user with a high level of education, the majority of the network users cannot identify a link or the legitimacy of an email.  The   experiment   was   designed   based   on   an   on-line   survey   and  it   included   three   main   sections.

Read more: Social Engineering Survey

Social engineering  is a very overlooked topic that is becoming more and more common as times progresses. In a effort to better understand network user's knowledge of social engineering I am doing this survey:

http://bit.ly/SEencuesta

Please help me by re-sharing  this link and disseminating to computer and network users.

Survey is completely anonymous, for more details email me @ This e-mail address is being protected from spambots. You need JavaScript enabled to view it

Thank You Jose

Desde la época de Julio Cesar se utiliza el arte de la criptografía para esconder información importante que se transportaría de un sitio a otro. En el caso de Julio Cesar utilizaba un método de substitución bastante sencillo. Se corre el alfabeto un par de letras y se transpone para enviar un disparate. Cuando llegaba al destino se reconstruía para leer lo cifrado. Es gracioso decir que este método era muy efectivo solo por que en aquella época pocas personas podían leer.

Caesar Cipher

Hoy día las cosas han cambia bastante. La criptografía se ha convertido en el elemento clave para garantizar la integridad, confidencialidad, y disponibilidad de la informaron. Mucha gente piensa que esto es algo solo para gente como John Nash. Los algoritmos matemáticos que hacen que la criptografía funcione si son complejos, y no mucha gente podría entenderlos. Con la adaptación de la tecnología hoy dia no tenemos que entender como funcionan estos sistemas si no aprender a identificarlos y utilizarlos para nuestra ventaja.

La realidad es que encontramos criptografía en nuestro diario vivir.

En el Disco Duro

FDE = Full Disk Encryption

Un poco técnico (por encimita no profundo):

Los sistemas operativos corren bajo un sistema de archivo definido por cada sistema. El mismo es como los cimientos del sistema operativo. En el caso de Windows tenemos New Technology File System (NTFS) en el Caso de MAC tenemos Hierarchical File System (HFS) y Filesystem Hierarchy Standard (FHS) para Linux. Cada uno de estos sistemas de pueden leer aunque la maquina se encuentre apagada. Si alguien se roba la maquina, aunque tenga “password” es bien fácil robarse la información de la misma. Para evitar esto se utiliza una aplicación que cifraría el disco duro completo. La aplicación utilizaría algoritmos matemáticos para llevar acabo la función de cifrar el disco duro, el más famoso es Advance Encryption Standard (AES -256). Este método de proteger la data se puede utilizar también en todo tipo de almacenamiento portátil, discos USB, y discos duros externos. De tal forma que si te roban la laptop tendrían que romper un algoritmo matemático para poder descifrar el disco. Con la capacidad de computación que tenemos hoy día tomaría años romper estos códigos lo que hace no viable la capacidad de lograrlo.

Digerido:

Otro método de proteger la información que guardamos en nuestras maquinas portátiles. El robo de laptops se ha convertido en algo bien común. Escuchamos como la gente se molesta por que tenían en sus “laptops” mucha información confidencial. Esto se trata de adaptarle una aplicación al disco duro de la maquina portátil. Esta aplicación se encargara de cifrar toda la data del disco duro para que no se pueda interpretar de tal forma que si algien le roba su equipo su información este segura.

Esto es una explicación breve de las miles de adaptaciones que tiene la criptografía a nuestro diario vivir.

Ejemplos de FDE:

Microsoft BitLocker Drive Encryption
Apple's Mac OS X has FileVault
Linux kernel has dm-crypt

Vendors

CheckPoint

TrueCrypt

En el Navegador

Un poco técnico (por encimita no profundo):

Un ejemplo Clásico es el famoso “https://” que no mas nada que “http://” corriendo en SSL (secure socket layer). El protocolo de hipertexto corre en el puerto 80 pero cuando se establece una conexión segura corre por el puerto 443 y se le conoce como “Secure http”. La capa de “secure socket” requiere que se establezca una conexión de confianza desde el navegador de sitios hasta el servidor. Todo esto lo que significa es que la data que se genera desde el navegador viajara cifrada hasta el servidor donde nos estamos conectando. Hay varias versiones del SSL, actualmente se utiliza la versión 3 SSLv3, el mismo utiliza alguno de los algoritmos matemáticos mas utilizados. Entre ellos estan: SHA, MD5, 3DES, RSA y también la combinación de varios de ellos. Todo va a depender del tipo de certificado que tenga el servidor asignado por el CA (ejemplo= Verisign) y su negociación con el navegador (FireFox, IE, Opera).

Digerido:

El navegador de páginas en el Internet establece una conexión segura con el servidor. Esta conexión segura se llama una “sesión” y se establece por un tiempo acordado por el servidor donde se encuentra la página que estamos acenssando. El servidor definirá que tipo de algoritmo se va a utilizar para cifrar el mensaje que viajara desde el navegador, al WWW, al servidor donde se encuentra la página que navegamos. Lo identificamos en el navegador.

Ejemplos Proveedores de Certificados SSL

Comodo Group Enterprise SSL

• Enterprise SSL
  $139 for 1 years
  128-bit encryption
  99.3% broswer recognition
  $250,000 warranty
• Gold SSL
  $229 for 1 year
  128-bit encryption
  99.3% browser recognition
  $500,000 warranty
• Platinum SSL
  $399 for 1 year
  128-bit encryption
  99.3% browser recognition
  $1,000,000 warranty
• Wildcard SSL
  $999 for 1 year
  128-bit encryption
  99.3% browser recognition
  $1,000,000 warranty

Comodo Group Instant SSL

• Instant SSL
  $49 for 1 year
  128-bit encryption
  99.3% browser recognition
  $50 warranty
• Pro SSL
  $69 for 1 year
  128-bit encryption
  99.3% browser recognition
  $2,500 warranty
• Premium SSL
  $119 for 1 year
  128-bit encryption
  99.3% browser recognition
  $10,000 warranty
• Wildcard SSL
  $449 for 1 year
  128-bit encryption
  99.3% browser recognition
  $10,000 warranty

Entrust

• Standard Edition
  $149 for 1 year
  128-bit encryption
  99% browser recognition

GeoTrust

• Quick SSL
  $169 for 1 year
  128-bit encryption
  99% browser recognition
  $10,000 warranty
• Quick SSL Premium and
  Microsoft Small Business Server 2003 QuickSSL Premium
  $249 for 1 year
  128-bit encryption
  99% browser recognition
  $10,000 warranty
• True BusinessID
  $349 for 1 year
  128-bit encryption
  99% browser recognition
  $10,000 warranty
• Power Server ID
  $599 for 1 year
  128-bit encryption
  99% browser recognition
  $10,000 warranty
• True Business ID Wildcard
  $899 for 1 year
  128-bit encryption
  99% browser recognition
  $10,000 warranty
• Power Server ID Wildcard
  $1499 for 1 year
  128-bit encryption
  99% browser recognition
  $10,000 warranty

Godaddy

• Turbo SSL Secure
  $29.95 for 1 year
  128-bit encryption
  99% browser recognition
  $1,000 warranty
• High Assurance Secure
  $89.95 for 1 year
  128-bit encryption
  99% browser recognition
  $1,000 warranty
• Turbo Wildcard Secure
  $199.95 for 1 year
  128-bit encryption
  99% browser recognition
  $1,000 warranty
• High Assurance Wildcard Secure
  $299.95 for 1 year
  128-bit encryption
  99% browser recognition
  $1,000 warranty

ipsCA

• A1 SSL Server
  $38 for 1 year
  128-bit encryption
  93% browser recognition
• Wildcard SSL
  $276 for 1 year
  128-bit encryption
  93% browser recognition

RapidSSL

• RapidSSL
  $49 for 1 year
  128-bit encryption
  99% browser recognition
  $10,000 warranty
• RapidSSL Wildcard
  $199 for 1 year
  128-bit encryption
  99% browser recognition
  $10,000 warranty

Thawte

• SSL 123
  $149 for 1 year
  128-bit encryption
  99% browser recognition
• SSL Web Server
  $199 for 1 year
  128-bit encryption
  99% browser recognition
• SGC SuperCerts
  $349 for 1 year
  128-bit encryption
  99% browser recognition

Verisign

• Secure Site
  $349 for 1 year
  40-bit encryption
  99% browser recognition
  $100,000 warranty
• Secure Site Pro
  $995 for 1 year
  128-bit encryption
  99% browser recognition
  $250,000 warranty
• Commerce Site
  $949 for 1 year
  40-bit encryption
  99% browser recognition
  $100,000 warranty
• Commerce Site Pro
  $1,495 for 1 year
  128-bit encryption
  99% browser recognition
  $250,000 warranty

Mucha gente no comprende la gravedad del asunto. El 4 de Julio del 2009 los sistemas de información de nuestras agencias federales estaban en el piso. Los ataques de máquinas "zombies" hacia las diferentes agencias, causó que dichos sistemas dejaran de funcionar. Estilo “Transformers,” los mejores analistas de  los Estados Unidos en colaboración con el Departamento de la Defensa se unieron para buscar posibles causantes. Hasta el momento, no se ha podido fijar ningún tipo de culpabilidad. Claro está, uno de los países más anti-americanos en el mundo; Korea del Norte, no ha dicho nada, aun cuando se sospecha que el ataque proviene de ellos.

Read more: Dejara de ser libre el Internet?