Apple Safari en Mac OS X 10.6.8 usa cookies quieras o no

Delicado fallo referente a la privacidad de los usuarios que han publicado en Naked Security referente a la gestión de las cookies en Apple Safari en Mac OS X 10.6.8 con el uso de las cookies en el navegador.

Las cookies pueden ser utilizadas por sitios para vigilar las acciones de los usuarios, con lo que pueden atentar contra la privacidad de cualquier navegante. Es por eso que entre las opciones que tiene Apple Safari 5.0.5 (build 65333.21.1) está la de configurar el uso de cookies con un restrictivo Accept Cookies: Never.

Esto significa que si algún sitio intenta enviar una cookie al navegador para guardar información y posteriormente solicita que se le envíe, no se hará. Es decir, ni se almacena la cookie ni se envía. Y así funciona en Apple Safari 5.0.5 (build 65333.21.1) con Mac OS X 10.6.7.

Sin embargo en la misma versión, pero corriendo sobre la actualización a Mac OS X 10.6.8, sí que  se almacenan las cookies y se envían, tal y como ya han comentado varias personas en los foros oficiales de Apple, dejándoles expuestos a todos los riesgos de privacidad asociados. Esto mismo sucede si se utiliza la renovada opción de Block Cookies: Always en Apple Safari 5.1 corriendo sobre Mac OS X 10.6.8, es decir, ignora el bloqueo de las cookies y las utiliza tal y como diga el sitio web.

Figura 1: Ejemplo de apple.com guardando cookies tras haber sido bloqueado

Los usuarios de Mac OS X Lion no deberán preocuparse, ya que parece ser que el bug ha sido corregido en algún cambio realizado para el nuevo sistema operativo, con lo que la gestión de cookies se configura y funciona correctamente.

Parece que la versión 10.6.8 de Mac OS X Snow Leopard se levantó con el pie izquierdo. Primero los fallos de estabilidad, luego los parches de los usuarios que llevaron a sacar el Update 1.1 y ahora este bug con la privacidad en Safari.

Fallo Día Cero descubierto en la versión 5 de Skype para Mac

Gordon Maddern, de la empresa de seguridad PureHacking, ha avisado del descubrimiento de un Fallo Día Cero en la versión 5 de Skype para Mac. Según el investigador australiano, el fallo es extremadamente peligroso, ya que basta con enviar un mensaje a la víctima para hacerse con el control de su Mac.

Maddern ha asegurado que descubrió el fallo de manera accidental cuando estaba chateando a través del servicio de VoIP con un amigo y hablaban sobre un payload para uno de sus clientes. La vulnerabilidad no afecta a los usuarios de Windows ni a los de Linux, solo a los usuarios de Mac.
Aunque Skype no ha hecho pública esta vulnerabilidad, Adrian Asher, máximo responsable de seguridad de Skype, sí que ha asegurado que la compañía distribuirá el parche para resolverla esta misma semana. Estaremos al tanto para informaros.

Fuente: http://muyseguridad.net

Mac Defender: rogue en Mac

Como venimos comentando a lo largo de las publicaciones realizadas, las amenazas del tipo rogue han tenido un gran crecimiento en los últimos años. Tal como anunciáramos en el informe de tendencias 2011, los delincuentes digitales se encuentran enfocando sus esfuerzos para cubrir todas las plataformas utilizadas por los usuarios. En este caso, vamos a compartir una nueva amenaza del tipo rogue enfocada para usuarios del sistema operativo de Apple, Mac OS.
MAC Defender es un nuevo falso antivirus que se encuentra distribuido, esencialmente, a través de búsquedas de imágenes de Google, esto lo logra mediante técnicas de posicionamiento en los resultados de las búsquedas (Black Hat SEO), para que aparezcan los sitios maliciosos entre los primeros resultados en las búsquedas. Una vez que se accede a la web modificada por el atacante, se ejecuta código JavaScript ofuscado para la descarga automática del archivo malicioso.
Una vez que la amenaza es descargada se pone en marcha la instalación del malware:

Vale destacar que en el paso anterior se le pide a la victima el ingreso de la contraseña del administrador, con lo cual una vez más se observa cómo el usuario termina siendo un cómplice involuntario de la infección.
Una vez que termina la instalación del rogue, este comienza a realizar un falsa exploración de la maquina con resultados poco alentadores para las víctimas ya que se detectan múltiples alertas de varios tipos distintos de malware. Este rogue posee la capacidad de que cada vez que la victima inicia su sesión, se ejecuta automáticamente para realizar nuevamente este paso.

Como se puede ver en la imagen, los mensajes de alerta sugieren a la victima a la compra de la falsa licencia mediante tarjetas de crédito. El precio del falso antivirus es de 69.65 dólares con dos años de soporte (obviamente inexistente) y garantía de 30 días. La licencia “de por vida” tiene un costo de 79.95 dólares. Esta amenaza es detectado por ESET Cybersecurity para Mac como OSX/Adware.MacDefender.A
El crecimiento de las amenazas en las distintas plataformas es cada vez mayor, como así también los falsos antivirus o rogue que, según Google, son los códigos más utilizados en la propagación vía web por keywords. Es importante contar con una solución de seguridad antivirus, como así también que los usuarios sean cociente de este tipo de amenaza. La educación en materia de seguridad es primordial para evitar estas infecciones.

Fuente: http://blogs.eset-la.com

Apple agregará herramientas anti-rastreo a Safari, ¿y Chrome?

Apple se está uniendo a la tendencia de agregar herramientas anti-rastreo a su browser en la que ya habían entrado varios otros  —como Firefox, o incluso Internet Explorer—, esta versión de Safari se empezará a distribuir junto con su nuevo sistema operativo Mac OS X 10.7 Lion que está anunciado que salga este verano. Esta característica está siendo probada en la developer build de Lion. Con esto, Safari sería otro de los grandes navegadores que se suman a esta tendencia, dejando atrás a otro de los grandes: Chrome.
Las prácticas de rastreo son muy comunes entre las compañías que se dedican a publicidad por Internet, detectando las tendencias de navegación de los usuarios para así ofrecer anuncios personalizados. Hoy en día, algunos de estos servicios de publicidad tienen la opción de “no rastreo” si el cliente lo pide, pero esto se tiene que configurar con cada una de estas compañías.
Con estas nuevas opciones de privacidad que están siendo añadidas en distintos navegadores, la opción anti-rastreo sólo se tendrá que activarlo en su browser y no tendrá que preocuparse más de que sus hábitos de navegación sean usados por los anunciantes. Esto todavía necesita del apoyo y cooperación de los anunciantes, cosa que hace que algunas veces la privacidad esté fuera de las manos de los navegadores.

Hasta la fecha, el único navegador “grande” que se ha mantenido alejado de esta iniciativa es Chrome, esto porque según un portavoz de Google, siguen esperando para ver cómo se desarrolla la discusión acerca del no rastreo en la industria del Internet. Aunque esto puede ser cierto, hay que recordar que AdSense —una de las más grandes empresas de publicidad por Internet que usa anuncios personalizados— es propiedad de la gran G.
Pero aún así, en caso de que los usuarios de Chrome estén preocupados acerca de los anuncios personalizados, les sugieren que usen la extensión llamada Keep My Opt-Outs —desarrollada por el mismo Google—, que permite solicitar automáticamente que sus datos no sean usados para ofrecer publicidad.
Hay muchas iniciativas que apoyan estas medidas de privacidad —quizás la más famosa sea DoNotTrack.Us—, incluso algunos gobiernosimpulsan las iniciativas en contra del rastreo de los usuarios. Pero todo esto se puede quedar en meras ideas si no son los usuarios comunes los que se dan cuenta de la necesidad de estas medidas y ayudan a exigirlas. Es por eso que aunque yo no sea usuario Apple, aplaudo la iniciativa. Esperemos que más navegadores, sin importar su cuota de mercado, sigan la tendencia que Firefox impuso.