Public Server Version

Siempre se me olvida. Cada vez que tengo que configurar un servidor Apache no recuerdo las directivas para evitar que cuando aparezca un mensaje de error devuelva cosas como:



Por defecto, en cualquier servidor, decir su versión y sus plugins es un problema de seguridad pues le das los datos a quién esté al otro lado para que busque vulnerabilidades específicas para tu sistema. Por eso lo primero que debemos hacer es deshabilitar en la configuración.

En Apache 2.0 y posteriores es tan simple como añadir estas dos directivas (o asignarles este valos en caso de tener otro) en /etc/apache2/apache2.conf:
ServerTokens Prod
ServerSignature Off

Al hacer esto lo que veremos será:



En postfix ocurre algo parecido.Si hacemos telnet al puerto 25 de una máquina con el postfix sin configurar aparece algo del estilo:
xir@naranjito:~$ telnet localhost 25
Trying 127.0.0.1...
Connected to localhost.
Escape character is '^]'.
220 naranjito.uax.es ESMTP Postfix (Ubuntu)


Para que no aparezca el servidor (Postfix) ni el sistema operativo (Ubuntu), es tan simple como modificar la línea del /etc/postfix/main.cf con la directiva smtpd_banner y modificar lo que aparece después del =. Por ejemplo:
smtpd_banner = ESMTP server
que mostraría:
xir@naranjito:~$ !telnet
telnet localhost 25
Trying 127.0.0.1...
Connected to localhost.
Escape character is '^]'.
220 ESMTP server


De manera que sólo veríamos una respuesta "inocua".

Buscando trabajo (Recopilando datos I)

Una empresa con una buena política de seguridad (aún no conozco ninguna) controla y filtra los datos que salen al exterior respecto a la arquitectura interna de su red. Tiene una buena política de incentivación del personal para evitar en todo lo posible la "fuga de cerebros" y así que no salga información respecto al funcionamiento interno de esa empresa.

La propia incentivación motiva que la empresa crezca, aumente la cantidad de clientes y, por consiguiente, que necesiten más personal. En ese momento ponen un anuncio del tipo:

Se necesita administrador senior con conocimientos avanzados de Apache, Postfix, PIX de Cisco y Ironport.


Después de tanta política, de tanto esfuerzo y dinero en mantener al personal motivado y que no se marchen a otra empresa, ¿qué servidor de correo crees que utilizan en esta empresa? ¿Qué servidor web? ¿Qué firewall? ¿Qué antispam?

¿Cómo se puede utilizar esto? Imaginemos que aparece un bug en apache. Utilizamos el buscador que tienen las propias páginas de búsqueda de trabajo online para buscar eso precisamente: la palabra apache. Por ejemplo buscar "apache" en infojobs.es nos devuelve 295 entradas. mysql 555 entradas, etc.

También la búsqueda la podemos hacer a la inversa. Ya tenemos objetivo, así que pinchamos en el enlace "Buscar empresas" y si en ese momento están buscando a gente...

Salidos

Ha sido curioso irme a dar de alta en un foro y en el registro "sexo" dejarlo sin especificar. El mensaje de error da que pensar qué panda de salid@s administran ese foro.

Seguro que no (III)

¿Quieres saber qué hay dentro? ¿Quieres saber qué direccionamiento interno tenemos? Puedes Podías hacerlo únicamente bajándote del DNS la zona completa. En el DNS de la DMZ e Internet estaban TODAS las entradas, tanto públicas como internas.

Y yo me pregunto: ¿para qué?

Y tú te preguntas: "¿para qué?"

No sabemos qué SO usa Dios

Me ha llamado la atención una entrevista que se publicó el 19 de febrero de 2007 en la que la monja apodada "the geeky sister" quien lleva la web del vaticano decía:

"no sabemos qué sistema operativo usa Dios, pero que en el Vaticano usan Linux."

Seguro que no (I)

Aunque siempre me ha gustado llamado la atención la seguridad. Donde trabajo ahora la seguridad es algo que se sabe que existe... igual que sabemos que existen otras galaxias, vamos, de muuuuuy lejos.

Estoy de acuerdo con quien piensa que soy demasiado paranoico cuando, por ejemplo, les digo a los de redes que las vlanes no es como separar las redes físicamente. Su respuesta fué que nunca había oido que hubiese fallos de seguridad en 802.1q. Seguidamente ha hecho una búsqueda en google
y resulta que hay dos formas de saltarse las vlans.

Quizás sea demasiado paranoico cuando, a pesar de estar acostumbrado a bloquear mi ordenador siempre que me levanto de mi sitio, cierro la puerta del despacho con llave a pesar de que conozco a todos los que trabajan allí... por si me he dejado la consola sin bloquear (todos somos humanos).

Quizás sea demasiado paranoico cuando me niego a meter las claves de root de mis máquinas en una aplicación para que evalúe la carga que tienen para poder virtualizarlas. Para que dicha aplicación se pueda conectar tengo que reconfigurar el sshd para que pueda conectarse con contraseña y sin clave pública/privada, así como modificar las iptables de esas máquinas para que la aplicación pueda conectarse. Pero me hace gracia indigna cuando me dicen que "es que la seguridad es un impedimento".

Tras un kitkat

Hablando hoy con un compañero que se iba a otra empresa me he dado cuenta de que tengo un montón de cosas que decir todavía en este sitio.