10 noviembre 2011

Conferencia de seguridad Source CON 2011


La semana que viene tendrá lugar en Barcelona una de las conferencias de seguridad más interesantes del año, la Source CON, comprometiéndose una vez más con la divulgación de la información desde un ambiente dinámico y divertido.

Esta edición, se celebrará en el Museo Nacional D'art de Catalunya y nos ofrecerá por un lado un par de trainings de formación, que tendrán lugar los días 14 y 15 de noviembre, y las ponencias, que contarán con un track en inglés y otro en español los días 16 y 17 del mismo mes. Participando ponentes como Jose Selvi, Daniel Pelaez, Manu Quintans, Frank Ruiz, Sebastián Guerrero, Jonathan Cran, Matt Bartoldus, Ofer Shezaf, entre otros.

Los trainings serán los siguientes:
  • Training de pentest en plataformas móviles con Zach Lanier y Jon Oberheide.
  • "Grepping for Gold": detección e investigación de incidentes de seguridad, con Wim Remes y Mertins Xavier.
Así mismo en las charlas podremos encontrar temas de seguridad vitales en el panorama actual, seguridad móvil, gestión del riesgo, prácticas de seguridad en la nube, análisis de registros, la convergencia de la seguridad en la era del anonimato, penetration tests, seguridad de aplicaciones web, malware y mucho más.

El calendario de ponencias así como una información más detallada de cada una puede ser encontrada en la página del congreso: SourceCon Schedule.

Nosotros en Security By Default no queremos ser menos, y como sabemos que os gusta mucho un sarao de seguridad, vamos a sortear un FREE PASS!, con acceso al track completo en inglés y español, excluyendo las dietas y los gastos de viaje y alojamiento, que correrán a cargo de cada uno.

Para participar hemos decidido que la mejor forma de hacerlo es responder de forma personal en los comentarios a una pregunta relacionada con la seguridad Android.

¿Cómo mejorarías la seguridad en Android? (véase comentar qué medidas de seguridad aplicarías, qué aplicaciones utilizarías, qué plan de protección utilizarías, etc...).

Tenéis hasta mañana por la noche, después de eso todos los comentarios serán supervisados y la respuesta que más interesante nos parezca, será la premiada con la entrada. Buena suerte y sed justos, si sabéis que no vais a poder ir, no quitéis la posibilidad a alguien que esté interesado realmente.

9 comments :

Swear La Kotel dijo...

Mejoraría la seguridad en Android subcontratando el sistema de autorización de la Apple Stores XD

AMS dijo...

- Restringiendo la publicación de aplicaciones de terceros en Android Market, a una previa revisión y análisis.

- Restringiendo ciertos privilegios críticos a aplicaciones debidamente firmadas, o a ninguna.

- ASLR+DEP, aunque parece que van a incluirlo en las próximas versiones.

Saludos :)

Newlog dijo...

Tal y como han dicho, sería bueno implementar un sistema de autorización de aplicaciones tal y como el de Apple (aunque muchas veces en Apple ni las miren).
Por otro lado, hacer que tanto el heap como la pila no sean regiones de memoria ejecutables e implementar ASLR en los sistemas antiguos (ya que en la versión 4.0 ya lo han implementado).

A nivel de aplicación no está de más instalarte algún antivirus como Norton y por último, esta aplicación que es la leche: http://www.androidlost.com/ Aunque claro, te has de fiar de ellos y de su seguridad, no sea que alguien los pete... y ZAS!

Saludos!

Madrikeka dijo...

Yo no participo por que no podría ir, pero apoyo a AMS en sus opiniones, que la subida de apps no sea instantánea, que sea de 24-48 horas y pase por algún filtro que identifique elementos sospechosos.

Por supuesto, en la restricción de permisos, a los juegos u otras aplicaciones que realmente no lo necesiten, no permitiría la ubicación GPS y el acceso a los datos del móvil (para que angry birds necesita saber mi ubicación? y no, no me vale la respuesta de....pues desactiva Tu ubicación), o el control del móvil.

Estos permisos, se empiezan a instalar en todas las aplicaciones por que sí y no debería ser así.

Newlog dijo...

Madrikeka ,
Pero eso no es problema de Android, es problema de los desarrolladores!
No veo cómo "Android" lo podría solucionar.

Joan dijo...

Podría ser más simple que todo eso... solo con poder autorizar privilegios en las aplicaciones "bajo demanda" (cada vez que necesiten de ellos) en lugar de "para siempre" (en el momento de la instalación) sería mucho más fácil identificar cuándo una app intenta hacer cosas que no debería.

Jaume dijo...

En mi opinión
para empezar se necesitaría en la fase de desarrollo, desde un buen principio
una buena política SDLC, reforzando la parte del testing con más ahínco.

No hay que olvidar también una buena aplicación de los permisos sobre la
estructura de ficheros del sistema y aplicaciones sin dudarlo lo dotaría de una
seguridad notable.

Saludos

ehooo dijo...

Mejorar la politica de acceso a Internet.
Un permiso muy usado y que bajo mi punto de vista podría mejorarse es la definición de acceso a internet. Debería poder indicar un dominio al que la app se conecte y que el sistema solo permita acceder a ese dominio. Muchas aplicaciones tiene "Acceso integro a internet" cuando solo necesitan conectar con el servidor de publicidad, por ej.
Añadir una politica de solo conexión a un host puede facilitar evitar o detectarlas infecciones más facilmente.

J Luis Pellicer dijo...

Estaría bien un control de permisos nativo al estilo de LBE Privacy Guard en el que tengas que autorizar explícitamente cada permiso que solicita la aplicación.