Categoría: Seguridad - Página 4

Autenticación doble en Microsoft 365 y Outlook.com

junio 20, 2017mayo 17, 2022fernando

La autenticación de doble factor añade una seguridad adicional a nuestra cuentas siempre conectadas. No es infalible pero si necesaria para datos/operaciones críticas, el juego del gato y el ratón en seguridad es continuo, como Hesperbot.

Actualmente podemos:

La opción más ágil es a través de la aplicación Microsoft Authenticator, despues del baile de nombres que ha sufrido la app, esta disponible para Android, Windows y iPhone nos mostrará un código o un mensaje de aceptación según prefiramos.

En el caso de las cuentas de Microsoft, es necesario diferenciar las de Office 365 empresarial y las de Outlook/Live el proceso de configuración y creación de contraseñas para aplicaciones no compatibles es diferente a día de hoy:

Office 365 -> Configuración -> Seguridad y Privacidad -> «Actualice los número de teléfono que usa para la seguridad de la cuenta»

No es una opción muy destacada en la configuración, debería tener su propia sección o aparecer más claramente pero bueno…

En la parte superior aparecerá la opción «Contraseñas de aplicación» donde podemos dar un nombre para identificar donde hemos usado la contraseña. Una vez creada no es posible volver a verla, solo podremos eliminarla y volver a crear otra:

NOTA: En el caso de realizar la configuración de la app por primera vez, deberemos seguir el asistente inicial desde el botón «Configurar»

Con Office 365 nos permite dar nombre a las contraseñas:

NOTA: Si el dominio esta gestionado por un administrador, debes comprobar que la configuración global permita crear contraseñas de aplicación: Administración Microsoft 365 > Configuración > Configuración de la organización > Configurar multi-factor Authentication además de habilitar al usuario (si no todavía no estaba)

Captura de pantalla de la versión web de 2022

URL para Office 365: https://account.activedirectory.windowsazure.com/AppPasswords.aspx

URL para Outlook/live: https://account.live.com/proofs/AppPassword

Configuración MFA para usuarios: https://aka.ms/MFASetup

Exportar certificados SSL con CA intermedias incluidas

octubre 24, 2016julio 28, 2020fernando

Los certificados SSL emitidos que requieran de entidades intermedias, a la hora de exportar es posible añadirlos en un único PFX (Personal Information Exchange). En cualquier equipo con el certificado que queremos exportar y el certificado intermedio de confianza instalado (en este caso RapidSSL)

Seleccionamos exportar con la clave privada para tener el archivo PFX con contraseña correspondiente:

Debemos seleccionar «Export all extended properties» para incluir toda la información en un único archivo:

Si exportamos, con y sin, esta opción veremos que el archivo generado difiere en tamaño igualmente. Ya podremos importar sin problemas en cualquier dispositivo, servicio cloud o similar.

Certificados SSL

octubre 22, 2016julio 28, 2020fernando

Cuando visitamos un sitio web y nos aparece en el navegador el prefijo https:// nos indica que:

Existe un certificado no caducado: los certificados caducan cada cierto tiempo o son revocados/cancelados en la lista de comprobación de sus emisores.
Existe un certificado digital emitido para este sitio: la dirección URL de la web coincide la del certificado.
Existe un certificado emitido por una entidad de confianza: confiamos en un emisor y sus listas.

¿Quiere decir que el sitio web es seguro? No. La lista de entidades emisoras de certificados de confianza es diferente para Microsoft, Firefox, Apple… con sus correspondientes almacenes. Es perfectamente posible que recibamos con Chrome un aviso de seguridad y con Firefox no, teniendo instalados ambos en el mismo equipo.

Las entidades de certificación a su vez puedes emitir certificados intermedios a otras entidades, y esta emitir los suyos. Algo así como diría Groucho Marx: «la parte contratante de la primera parte será considerada como la parte contratante de la primera parte»

Dado que se emiten y cancelan millones de certificados cada día, tanto Microsoft como Apple van introduciendo las actualizaciones de entidades automáticamente en sus sistemas operativos, y las entidades, con sus certificados de sitios e intermedios.

En la mayoría de casos este funcionamiento predeterminado facilita el uso general y acceso a sitios web, aunque podemos hacerlo de forma manual y desactivar esta opción en Windows:

Si pese a ello seguimos pensando que todo esta bien, tenemos la falsa idea de seguridad con el candado de nuestro navegador, pongamos otro ejemplo; hemos visto que la lista de entidades de certificación es difícil de gestionar tanto para empresas como usuarios finales, sería posible con un ataque main-in-the-middle con un certificado válido interceptar el tráfico SSL: sí.

Lecturas recomendadas:

HTTP error 451

diciembre 22, 2015julio 29, 2020fernando

Hasta ahora estábamos acostumbrados de vez en cuando a recibir errores de archivos no encontrados (404), acceso no permitido (401), errores internos (500) de esta larga lista ahora añadimos otro:

No disponible por razones legales / Unavailable For Legal Reasons (451)

Lo que puede incluir: infracción de derechos de autor, seguridad nacional o cualquier otra ley. Veremos hasta que punto se hace «buen» uso de esta opción.