usando la nube con sentido común y aespipe

Con el reciente auge de los servicios de almacenamiento "gratuítos" en la nube, dropbox, skydrive, google drive... Aparecen unas posibilidades de uso interesantes. Una de ellas es la de usarlos para guardar pequeños backups o utilidades a las que poder acceder desde cualquier sitio con conexión a internet.

Llegados a este punto, deberíamos reflexionar sobre qué información almacenar en este tipo de servicios. Si la información es de carácter crítico, almacenarla en un servicio de este tipo, no es buena idea. En este caso sería más conveniente utilizar un servicio de almacenamiento de pago, o contratar los servicios de una empresa de backuping, con unos términos de uso claros y definidos que garanticen que nuestra información no será accedida por ninguna persona, OCR, bot...

Una vez decidida la información que queremos almacenar en la nube, no todo lo que subamos va a tener el mismo nivel de relevancia o privacidad. Deberíamos clasificar la información, y definir unas políticas de seguridad claras en base a cada tipo. Es decir, no es lo mismo subir unos ebooks, subir unos ficheros de configuración, subir algún proyecto personal o subir una lista de passwords. Por eso habrá que separar la información, básicamente en dos grupos, la que nos da igual que se vea o sea indexada, y la que queremos que permanezca totalmente privada.

Para evitar miradas ajenas sobre la información que queremos que se mantenga privada, tenemos varias alternativas. Entre ellas:

• Subir el contenido comprimido con contraseña (y confiar en que no se van a realizar ataques de fuerza bruta).
• Cifrar, cifrar y cifrar

Como la segunda es más segura que la primera, para este punto, tendremos varias posibilidades:

1. Truecrypt: Todo un clásico y un indispensable en nuestros ordenadores, está claro. La parte mala de usar truecrypt es que requiere crear volúmenes/contenedores de datos, y por pequeños que sean, suponen una gran descarga de datos adicional. Es decir, si el fichero que nos queremos bajar es de 500Kb, por pequeño que sea el contenedor de truecrypt (50Mb, 10Mb?),descargarse el contenedor entero, supone una descarga de datos inmensa en relación con el tamaño del fichero.
2. GPG: Otro clásico. Una buena elección para cifrar fichero por fichero, siempre que seas ordenado, y guardes y exportes correctamente tus claves gpg. (No es mi caso ;))
3. Aespipe: Aespipe es una utilidad para cifrar fichero a fichero. Crea ficheros .tar o .cpio cifrados. Lo mejor de usarlo, es que los ficheros mantienen su tamaño original. Aespipe puede trabajar usando claves gpg, aunque no voy a centrarme en este caso, por lo comentado en el punto anterior.

Si escogemos aespipe, éste trabaja, por defecto, en su modo recomendado multi-key-v3, que requiere una clave con una longitud mínima de 20 caractereres. Llegados a este punto, podemos optar por usar una clave del tipo "googlemecagontostusmuertosnomiresloqueguardo", o escoger una clave (segura) que usemos habitualmente, que no llegue a los 20 caracteres y cifrarla, por ejemplo con un SHA.

$ echo -n nuestrapass | sha512sum
c9087d475d0307f2e4130f0d919084366c4572eb2ef88df62d560ba01d40a3d8ddf1c9186662903d3d27e164b6cf4acf5e1400095d3814716ac5176a756f84fe -

Con esto conseguimos una clave que supera ampliamente los 20 caracteres, y que podremos generar en cualquier equipo que utilicemos, recordando, simplemente, nuestra clave y el algoritmo de cifrado.

Si vamos a cifrar un solo fichero, copiar y pegar la pass es suficiente. Pero si vamos a cifrar varios ficheros, podemos guardar la contraseña en un fichero que almacenaremos de forma temporal y que le pasárselo a aespipe como parámetro:

1. Exportar la clave al fichero:
   $ echo -n nuestrapass | sha512sum | cut -d " " -f1 >> passParaLaNube.txt
2. Pasarle el fichero con la clave a aespipe como parámetro:
   $ aespipe -e aes256 -P passParaLaNube.txt ficheroCifrado.tgz
3. Descifrar el fichero:
   $ aespipe -e aes256 -d -P passParaLaNube.txt fichero

Si vamos a cifrar una cantidad considerable de ficheros, podemos automatizar la tarea con un pequeño script en bash:

#!/bin/bash
for i in *;
do 
   if [ $i != script -a $i != passParaLaNube.txt ];
   then
      aespipe -e aes256 -P passParaLaNube.txt <$i >$i.tgz
   fi;
done;

*script es el nombre del script

*passParaLaNube.txt es el nombre del fichero con la contraseña para aespipe

*Si lo que queremos es comprimir con contraseña, el script se puede adaptar cambiando la línea de aespipe por el comando que queramos ejecutar. Por ejemplo, para comprimir con contraseña usando p7zip y header encryption (mhe=on):
7z a -r -mhe=on -pCONTRASEÑA $i.7z $i
(También habría que quitar -a $i != passParaLaNube.txt de la condición de evaluación del if ;) )

(Segunda parte) usando la nube con sentido común y p7zip

google mobile app tus mails en plano

Si estás leyendo esto, estoy seguro de que tú también eres un curioso y que te gusta investigar y saber cómo funcionan las aplicaciones que usas.

Todos sabemos que a estas alturas los teléfonos móviles son ordenadores de bolsillo, los cuales cuentan con su propio sistema operativo. En estos dispositivos almacenamos información de carácter personal, casi exclusivamente, por eso debemos tener cuidado a la hora de elegir las aplicaciones que usamos.

Uno de los mayores problemas que tenemos con los teléfonos móbiles, o smartphones, a día de hoy, son las aplicaciones, diseñadas bajo el mítico lema "malo será". El diseño de las aplicaciones está orientado al uso de un único usuario.

Al estar el dispositivo mínimamente protegido, parece que algunos desarrolladores se olvidan de los casos de pérdida, robo y/o aplicación de técnicas forenses sobre el dispositivo. Dejando así nuestros datos e información personal expuestos al control de casi cualquiera, y ya sabemos aquello de "Un usuario malintencionado podría..." >;)

Personalmente, que pase esto en una aplicación de terceros de dudosa confianza, no me extraña, ni me preocupa, cada cual las instala bajo su cuenta y riesgo, pero que pase en un software propiedad de una compañía como Google, sí me parece preocupante.

Totalmente de forma casual, hoy le toca un análisis forense a google mobile app para symbian. En mi caso en un Nokia N85, que no es precisamente de última generación, pero, supongo que, lo hallado se puede extrapolar a cualquier otro teléfono con symbian s60.
Si alguno lo comprueba y quiere dejar un comentario, siempre es de agradecer ;)

Análisis a google mobile app

Leer más

alternativa de google a twitterfeed

Hoy día las redes sociales son muy importantes, constituyen una gran plataforma dónde mantenernos en contacto con mucha gente, mantenernos informados sobre infinidad de temas, conocer gente que comparte con nosotros gustos, aficiones, profesión... Y también suponen un buen lugar dónde darnos a conocer y publicar toda la información que queramos.

Cada uno prefiere las suyas, y las gestiona como mejor le parece, pero todos estamos de acuerdo en que la integración entre nuestros servicios en la nube es fundamental, y muy cómoda -;)

Publicar en twitter los artículos de un blog, con un volumen de publicación alto, artículo por artículo, puede llegar a ser tan horrible como aburrido... Para evitarlo se pueden usar alternativas como twitterfeed, que permiten redireccionar automáticamente los artículos publicados en el blog a twitter. Con la desventaja de que con twitterfeed hay que usar una cuenta OpenID, y si no la tenemos eso supone abrir otra cuenta, otra contraseña, etc, etc.

Para los que usamos servicios de google, y más concretamente feedburner, éste nos brinda una alternativa a twitterfeed. Aunque algo escondida, basta con abrir feedburner en su modo de "Old interface", no en el modo de probar la nueva versión beta ("Try out the NEW (beta) version"), ir a la pestaña "Publicize", seleccionar "Socialize" -en la columna de la izquierda-, y pulsar el botón "Add a twitter account". Así de sencillo, todo en la misma ventana y en un puñado de clicks ;)