• Registrarse
  • Iniciar sesión


  • Página 4 de 4 PrimeroPrimero 1234
    Resultados 31 al 33 de 33

    Java 7 Update 25

    Originalmente publicado por Hardrive Claro, nada es 100% seguro, trabajo hace ya unos añitos en seguridad informática y eso se los puedo asegurar. Pero por eso no hay que dejar de considerar y debatir sobre ...

          
    1. #31
      FS-Admin
      Avatar de @MarceloRivero
      Registrado
      ene 2005
      Ubicación
      Miami
      Mensajes
      40.914

      Re: Java 7 Update 25 - Actualización Disponible

      Cita Originalmente publicado por Hardrive Ver Mensaje
      Claro, nada es 100% seguro, trabajo hace ya unos añitos en seguridad informática y eso se los puedo asegurar. Pero por eso no hay que dejar de considerar y debatir sobre cuales son las alternativas más seguras.
      jeje... creo que llevo trabajando más años de los vos tenes de vida, pero no importa eso no viene al caso... todas las opiniones son respetables y estamos para debatir...

      Pero vayamos por partes:

      1.- MBAE: Muy interesante el enlace que compartiste... pero acá esta la respuesta de Pedro Bustamante uno de los creadores de MBAE a quien tengo la suerte de conocer personalmente y llevar una amistad de varios años, por lo que le tengo que creer a el cuándo dice @InsanityBit es erróneo, que no es así como funciona el programa y que esta "tirando verde, para recoger maduro"

      En todo caso como digo, el programa en todas las pruebas que le estoy haciendo (sin conocer exactamente su tecnología funcionamiento) está parando todo con excelentes resultados y obviamente que como todo software tendrá sus puntos débiles, agujeros o maneras de poder engañar... nada es perfecto, pero solo porque alguien que no publica ni su verdadero nombre en un blog escribe algo sin absolutamente ninguna imagen, video o modo de probar lo que dice no significa que sea verdad. De todos modos, cada uno le cree a quien quiere, yo me baso en pruebas.


      2.- Sandbox: Tampoco estoy diciendo que la tecnología de Sandbox sea mala protección, puede resultar muy buena y como digo otra más de las medidas a implementar para mejorar nuestra seguridad.


      3.- MBAE vs Sandbox: Estos pueden trabajar en conjunto perfectamente... la tecnología de Sandbox ya se encuentra en algunos Antivirus como Avast! y en navegadores como Google Chrome como bien comentaste, pero igual así tenemos un gran porcentaje de usuarios que resultaron infectados por el "virus de la policía" utilizando avast! + Google Chrome (Sandbox x2) e igual su equipo resulto infectado por un 0day en JAVA, por lo que a deshabilitarlo, Desinstálalo o sumarle MBAE + NoScript como recomendación mínima.


      4.- La analogía del León es muy buena pero el leo ahora es mas inteligente y también se puede escapar de las jaulas.



      En conclusión:

      • En el foro hemos recibido cientos de miles de usuarios infectados por malware tipo del virus de la policía que se aprovechaban de Java y sus vulnerabilidades.

      • Como recomendación general fue que escribimos como poder protegernos de este ya que evidentemente ni los Antivirus, ni Firewall, ni los Sandbox en los navegadores eran suficientes en la: Guía de: Cómo deshabilitar Java en todos los navegadores?

      • Obviamente la principal es deshabilitar JAVA o hasta directamente destinarlo, aparte de tener todo actualizado y las herramientas básicas de protección, pero para quienes sí o sí lo necesitan, también les damos otras recomendaciones: (NoScript, MBAE)

      • Siguiendo esas recomendaciones es muy difícil (aunque no imposible) de que se puedan infectar por un malware de ese estilo.



      Lógicamente puede haber cientos de combinaciones u otras medidas que se puedan tomar para la prevención, aunque como decía hace poco en una nota, en líneas generales la seguridad informática para el usuario final es:

      60% - Comportamiento responsable del usuario + 30% - Herramientas de Seguridad + 10% - El Factor suerte




      Salu2
      Marcelo Rivero
      Microsoft MVP Enterprise Security.



      * Síguenos en nuestro Twitter y hazte nuestro amigo en Facebook.
      * Infórmate de las ultimas amenazas de la red desde: InfoSpyware Blog
      * No se resuelven dudas por Privados ni por E-mail, ya que para eso esta el foro.

    2. #32
      Ex-Colaborador Avatar de Hardrive
      Registrado
      abr 2006
      Ubicación
      Argentina
      Mensajes
      4.641

      Re: Java 7 Update 25 - Actualización Disponible

      Cita Originalmente publicado por ElPiedra Ver Mensaje
      Pero vayamos por partes:

      1.- MBAE: Muy interesante el enlace que compartiste... pero acá esta la respuesta de Pedro Bustamante uno de los creadores de MBAE a quien tengo la suerte de conocer personalmente y llevar una amistad de varios años, por lo que le tengo que creer a el cuándo dice @InsanityBit es erróneo, que no es así como funciona el programa y que esta "tirando verde, para recoger maduro"

      En todo caso como digo, el programa en todas las pruebas que le estoy haciendo (sin conocer exactamente su tecnología funcionamiento) está parando todo con excelentes resultados y obviamente que como todo software tendrá sus puntos débiles, agujeros o maneras de poder engañar... nada es perfecto, pero solo porque alguien que no publica ni su verdadero nombre en un blog escribe algo sin absolutamente ninguna imagen, video o modo de probar lo que dice no significa que sea verdad. De todos modos, cada uno le cree a quien quiere, yo me baso en pruebas.


      Me he tomado la molestia de leer el enlace al que va el link que pusiste, y lo único que da a entender el desarrollador es que el programa no solo utiliza hooks (que si vas a los ultimos comentarios, con el bug que encontro es evidente que son hooks), si no algunas cosas más. Luego viene una charla marketinera en el cual discuten sobre secretos de empresa y sobre como deberia llamarse o no el programa, que de eso importa poco. De todas maneras, si llegara a ser el caso que no se usaran hooks, se realiza algo similar.

      Y ahí volvemos otra vez al punto cero:
      Como bien dices tú, si da resultados, pues bienvenido sea. Pero en mi experiencia, es preferible utilizar sistemas de seguridad que conocemos mínimamente su funcionamiento interno y que aportan seguridad mediante una implementación que imposiblemente sea perfecta (más allá de que obviamente no va a ser 100% segura) antes de que utilizar un sistema que no solo no sabemos que hace si no que además nos lo venden de mágico. De todas maneras es mi experiencia, mi opinión y claramente todos vamos a diferir en eso.


      Cita Originalmente publicado por ElPiedra Ver Mensaje
      Pero vayamos por partes:
      3.- MBAE vs Sandbox: Estos pueden trabajar en conjunto perfectamente... la tecnología de Sandbox ya se encuentra en algunos Antivirus como Avast! y en navegadores como Google Chrome como bien comentaste, pero igual así tenemos un gran porcentaje de usuarios que resultaron infectados por el "virus de la policía" utilizando avast! + Google Chrome (Sandbox x2) e igual su equipo resulto infectado por un 0day en JAVA, por lo que a deshabilitarlo, Desinstálalo o sumarle MBAE + NoScript como recomendación mínima.
      Pues si pueden trabajar en conjunto me parece genial. Pero acá se está malinterpretando algo: el Google Sandbox de Google Chrome no protege a la ejecución de Java ejecutada como un applet, ya que directamente este mismo se ejecuta en un entorno diferente al del Sandbox de Google. Además, para que un plugin sea protegido correctamente por el sandbox de Google Chrome se requiere que este programado correctamente, cosa que Oracle no hace. Por lo cual si alguien se infecto teniendo Google Chrome con el plugin de Java no es culpa de Google y menos de su sandbox, si no de Oracle por hacer un software vulnerable o del usuario por haber ejecutado el applet. Y sinceramente del sandbox de Avast! conozco muy poco, pero no es necesaria alguna configuración especial para que trabaje con Java ejecutada como applet dentro de un navegador? Realmente desconozco la calidad de este ultimo asi que no me animo a opinar. De SandBoxie, sin embargo, tengo muy buena opinión.

      Cita Originalmente publicado por ElPiedra Ver Mensaje
      4.- La analogía del León es muy buena pero el leo ahora es mas inteligente y también se puede escapar de las jaulas.
      Cita Originalmente publicado por ElPiedra Ver Mensaje
      No es que ahora es más inteligente, siempre lo ha sido, y siempre lo será.
      Linux User Registered #451400

    3. #33
      FS-Admin
      Avatar de @MarceloRivero
      Registrado
      ene 2005
      Ubicación
      Miami
      Mensajes
      40.914

      Re: Java 7 Update 25 - Actualización Disponible

      Cita Originalmente publicado por Hardrive Ver Mensaje
      No por algo el gigante de Google inviertió millones de dólares en una tecnología como Google Sandbox para Google Chrome, y no por nada este mismo está considerado el navegador Web más seguro entre los expertos en seguridad.
      Cita Originalmente publicado por Hardrive Ver Mensaje
      Pues si pueden trabajar en conjunto me parece genial. Pero acá se está malinterpretando algo: el Google Sandbox de Google Chrome no protege a la ejecución de Java ejecutada como un applet, ya que directamente este mismo se ejecuta en un entorno diferente al del Sandbox de Google. Además, para que un plugin sea protegido correctamente por el sandbox de Google Chrome se requiere que este programado correctamente, cosa que Oracle no hace. Por lo cual si alguien se infecto teniendo Google Chrome con el plugin de Java no es culpa de Google y menos de su sandbox, si no de Oracle por hacer un software vulnerable o del usuario por haber ejecutado el applet.
      Justamente, estamos dentro de un tema de JAVA, nuestras recomendaciones son para protegerse de los malwares que se aprovechan de las vulnerabilidades en JAVA los cuales desde ya hace un par de años hasta la fecha son únicamente los ransomwares. Vos sacaste a colación el Sandbox de Google, el cual como bien luego comentas no sirve para protegernos de JAVA que es de lo que estamos hablando y de lo que brindamos las recomendaciones.

      La tecnología del Sandbox en si es genial y a futuro creo que hasta el mismo sistema operativo tendría que trabajar para cualquier aplicación o programa que se instale primero en la Sandbox hasta comprobar que todo sigue funcionado correctamente.



      Cita Originalmente publicado por Hardrive Ver Mensaje
      Me he tomado la molestia de leer el enlace al que va el link que pusiste, y lo único que da a entender el desarrollador es que el programa no solo utiliza hooks (que si vas a los ultimos comentarios, con el bug que encontro es evidente que son hooks), si no algunas cosas más. Luego viene una charla marketinera en el cual discuten sobre secretos de empresa y sobre como deberia llamarse o no el programa, que de eso importa poco. De todas maneras, si llegara a ser el caso que no se usaran hooks, se realiza algo similar.
      Cundo se inventa una nueva tecnología es conveniente antes de liberar su funcionamiento interno patentarla primeramente... es por eso que MBAE no hablan mucho de esa parte, algo que es lógicamente entendible y hace cualquier empresa seria de software con sus productos cuando "supuestamente" (y te lo pongo entre paréntesis para no alargar la discusión) inventan una tecnología nueva que no existe hasta el momento.

      Las patentes tienden a demorar, pero ten por seguro que una vez que esta patentada la tecnología, MBAE va a salir de BETA y comenzaran a revelar su funcionamiento.

      Después podemos debatir hasta el cansancio que si usa esto, que si usa aquello, pero ni vos ni yo podemos acceder en este momento a esa información, por lo que no tiene mucho sentido si no se pueden mostrar las cosas con hechos y no por lo que diga un supuesto experto en su blog.




      Desde @InfoSpyware las recomendaciones son claras, fáciles de aplicar y gratuitas para el usuario... después quien las quiera aplicar que lo haga y a quien no les guste que no lo haga y listo. Por suerte no vendemos software por lo que no tratamos de venderle la moto a nadie y nuestro trabajo, credibilidad y experiencia está ahí públicas en casi 9 años de @InfoSpyware.




      Salu2
      Marcelo Rivero
      Microsoft MVP Enterprise Security.



      * Síguenos en nuestro Twitter y hazte nuestro amigo en Facebook.
      * Infórmate de las ultimas amenazas de la red desde: InfoSpyware Blog
      * No se resuelven dudas por Privados ni por E-mail, ya que para eso esta el foro.

    Página 4 de 4 PrimeroPrimero 1234