¿No hay reproductor de audio debajo? Escuchar directamente en Soundcloud.

DOUG.  Un parche de emergencia de Apple, equipos de gaslighting y ¿POR QUÉ NO PUEDO SEGUIR UTILIZANDO WINDOWS 7?

Todo eso, y más, en el podcast de Naked Security.

[MÓDEM MUSICAL]

Bienvenidos al podcast, todos.

Soy Doug Aamoth; él es Paul Ducklin.

Pablo, ¿cómo estás?

PATO.  Bueno, estoy un poco sorprendido, Doug.

¡Fuiste muy dramático sobre la necesidad de seguir usando Windows 7!

DOUG.  Bueno, como mucha gente, estoy enojado por eso (¡broma!), y hablaremos de eso en un momento.

Pero primero, una muy importante Esta semana en la historia de la tecnología segmento.

El 11 de julio de 1976 marcó el último suspiro de una herramienta de cálculo matemático que alguna vez fue común.

Me refiero, por supuesto, a la regla de cálculo.

El modelo estadounidense final producido, un Keuffel & Esser 4081-3, fue presentado a la Institución Smithsonian, marcando el final de una era matemática...

…una era que quedó obsoleta debido a las computadoras y calculadoras como la favorita de Paul, la HP-35.

Entonces, Paul, creo que tiene sangre en sus manos, señor.

PATO.  Nunca tuve un HP-35.

En primer lugar, era demasiado joven y, en segundo lugar, costaban $ 395 cada uno cuando llegaron.

DOUG.  [RISAS] ¡Guau!

PATO.  Así que tomó otro par de años para que los precios se desplomaran, cuando la Ley de Moore entró en acción.

Y entonces la gente ya no quería usar reglas de cálculo.

Mi papá me dio uno viejo y lo atesoré porque era genial...

…y te diré lo que te enseña una regla de cálculo, porque cuando la usas para multiplicar, básicamente conviertes los dos números que quieres multiplicar en números entre 1 y 10, y luego los multiplicas.

Y luego necesitas averiguar dónde va el punto decimal.

Si dividió un número por 100 y multiplicó el otro por 1000 para ponerlos dentro del rango, entonces, en general, debe agregar un cero, para multiplicar por 10, al final.

Así que fue una forma fantástica de aprender por sí mismo si las respuestas que obtuvo de su calculadora electrónica, donde escribió números largos como 7,000,000,000...

…si realmente obtuviste el orden de magnitud, el exponente, correcto.

Las reglas de cálculo y su equivalente impreso, las tablas de registro, le enseñaron mucho sobre cómo administrar órdenes de magnitud en su cabeza y no aceptar resultados falsos con demasiada facilidad.

DOUG.  Nunca he usado uno, pero suena muy emocionante por lo que acabas de describir.

Sigamos con la emoción.

La semana pasada, Firefox liberado 115 versión:

Sale Firefox 115, se despide de los usuarios de versiones anteriores de Windows y Mac

Incluían una nota que me gustaría leer, y cito:

En enero de 2023, Microsoft finalizó el soporte para Windows 7 y Windows 8.

Como consecuencia, esta es la última versión de Firefox que recibirán los usuarios de esos sistemas operativos.

Y siento que cada vez que se agrega una de estas notas a una versión final, la gente sale y dice: "¿Por qué no puedo seguir usando Windows 7?"

Incluso tuvimos un comentarista que decía que Windows XP está bien.

Entonces, ¿qué le dirías a estas personas, Paul, que no quieren dejar las versiones del sistema operativo que aman?

PATO.  Doug, la mejor manera de decirlo es leer lo que considero que dijeron los comentaristas mejor informados de nuestro artículo.

Alex Feria escribe:

No se trata solo de lo que *tú* quieres, sino de cómo podrías ser usado y explotado y, a su vez, dañar a otros.

Y Paul Roux dijo satíricamente:

¿Por qué la gente sigue usando Windows 7 o XP?

Si el motivo es que los sistemas operativos más nuevos son malos, ¿por qué no usar Windows 2000?

¡Diablos, NT 4 fue tan increíble que recibió SEIS paquetes de servicios!

DOUG.  [RISAS] Sin embargo, 2000 *fue* asombroso.

PATO.  No se trata solo de ti.

Se trata del hecho de que su sistema incluye errores, que los delincuentes ya saben cómo explotar, que nunca, nunca serán reparados.

Así que la respuesta es que a veces simplemente tienes que dejarlo ir, Doug.

DOUG.  “Es mejor haber amado y perdido que no haber amado nunca”, como dicen.

Quedémonos en el tema de Microsoft.

Martes de Parches, Pablo, da generosamente.

Microsoft parchea cuatro días cero y finalmente toma medidas contra los controladores del kernel de crimeware

PATO.  Sí, la gran cantidad habitual de errores corregidos.

La gran noticia de esto, las cosas que necesita recordar (y hay dos artículos que puede go y consulte en news.sophos.com si desea conocer los detalles sangrientos)….

Un problema es que cuatro de estos errores están en agujeros salvajes, de día cero, que ya están siendo explotados.

Dos de ellos son omisiones de seguridad y, por trivial que parezca, aparentemente se relacionan con hacer clic en URL o abrir cosas en correos electrónicos donde normalmente recibiría una advertencia que dice: "¿Está realmente seguro de que desea hacer esto?"

Lo que de otro modo podría evitar que algunas personas cometan un error no deseado.

Y hay dos agujeros de elevación de privilegios (EoP) arreglados.

Y aunque la Elevación de privilegios por lo general se menosprecia como algo menor que la Ejecución remota de código, donde los delincuentes usan el error para entrar en primer lugar, el problema con EoP tiene que ver con los delincuentes que ya están "merodeando con intención" en su red. .

Es como si pudieran pasar de ser un huésped en el lobby de un hotel a un ladrón silencioso y súper reservado que de repente y mágicamente tiene acceso a todas las habitaciones del hotel.

Así que definitivamente vale la pena tener cuidado con esos.

Y hay un aviso especial de seguridad de Microsoft...

…bueno, hay varios de ellos; sobre el que quiero llamar su atención es ADV23001, que básicamente es Microsoft diciendo: "Oye, recuerda cuando los investigadores de Sophos nos informaron que habían encontrado una gran cantidad de rootkitters en los controladores de kernel firmados que incluso Windows contemporáneo simplemente carga porque fueron aprobados para su uso?

Creo que al final hubo más de 100 de esos controladores firmados.

La buena noticia en este aviso es que todos estos meses después, Microsoft finalmente dijo: "Está bien, vamos a evitar que se carguen esos controladores y comenzaremos a bloquearlos automáticamente".

[IRÓNICO] Lo que supongo que es bastante grande de ellos, en realidad, cuando al menos algunos de esos controladores fueron firmados por Microsoft mismo, como parte de su programa de calidad de hardware. [RISAS]

Si desea encontrar la historia detrás de la historia, como dije, solo diríjase a news.sophos.com y busque "conductores".

Microsoft revoca los controladores maliciosos en la eliminación del martes de parches

DOUG.  Excelente.

Muy bien, la próxima historia... Estoy intrigado por este titular por muchas razones: Rowhammer vuelve a iluminar tu computadora.

Serious Security: Rowhammer vuelve a iluminar tu computadora

Pablo, cuéntame sobre...

[CON LA TONO DE “SLEDGEHAMMER” DE PETER GABRIEL] Cuéntame sobre…

AMBAS COSAS.  [CANTANDO] ¡Rowhammer!

DOUG.  [RISAS] ¡Clavado!

PATO.  Vamos, ahora tienes que hacer el riff.

DOUG.  [SINTETIZANDO UN SINTETIZADOR] Doodly-doo da doo, doo do doo.

PATO.  [IMPRIMIDO] ¡Muy bien, Doug!

DOUG.  Gracias por su atención.

PATO.  Aquellos que no recuerden esto del pasado: "Rowhammer" es el nombre de la jerga que nos recuerda que los capacitores, donde los bits de memoria (unos y ceros) se almacenan en DRAM modernos, o chips de memoria de acceso aleatorio dinámico, están tan cerca juntos…

Cuando escribe en uno de ellos (en realidad tiene que leer y escribir los condensadores en filas a la vez, por lo tanto, "martillo de fila"), cuando hace eso, porque ha leído la fila, ha descargado los condensadores.

Incluso si todo lo que ha hecho es mirar la memoria, tiene que volver a escribir los contenidos antiguos o se perderán para siempre.

Cuando haces eso, debido a que esos capacitores son tan pequeños y están tan juntos, existe una pequeña posibilidad de que los capacitores en una o ambas filas vecinas cambien su valor.

Ahora, se llama DRAM porque no mantiene su carga indefinidamente, como la memoria RAM estática o la memoria flash (con la memoria flash incluso puedes apagarla y recordará lo que había allí).

Pero con DRAM, después de aproximadamente una décima de segundo, básicamente, las cargas en todos esos pequeños capacitores se habrán disipado.

Así que necesitan reescribir todo el tiempo.

Y si reescribe súper rápido, puede hacer que los bits de la memoria cercana se inviertan.

Históricamente, la razón por la que esto ha sido un problema es que si puede jugar con la alineación de la memoria, incluso si no puede predecir qué bits cambiarán, *podría* jugar con cosas como índices de memoria, tablas de páginas, o datos dentro del kernel.

Incluso si todo lo que está haciendo es leer de la memoria porque tiene acceso sin privilegios a esa memoria fuera del núcleo.

Y eso es en lo que han tendido a centrarse los ataques de Rowhammer hasta la fecha.

Ahora, lo que hicieron estos investigadores de la Universidad de California en Davis es que pensaron: "Bueno, me pregunto si los patrones de cambio de bits, por muy pseudoaleatorios que sean, son consistentes para diferentes proveedores de chips".

¿Qué suena como una especie de "supergalleta", no es así?

Algo que identifique su computadora la próxima vez.

Y, de hecho, los investigadores fueron aún más lejos y descubrieron que los chips individuales... o módulos de memoria (generalmente tienen varios chips DRAM), DIMM, módulos de memoria en línea dobles que puede colocar en las ranuras de su computadora de escritorio, por ejemplo, y en algunas computadoras portátiles.

Descubrieron que, en realidad, los patrones de cambio de bits se podían convertir en una especie de escaneo de iris, o algo así, para que pudieran reconocer los DIMM más tarde al realizar el ataque de martillazos nuevamente.

En otras palabras, puede borrar las cookies de su navegador, puede cambiar la lista de aplicaciones que tiene instaladas, puede cambiar su nombre de usuario, puede reinstalar un nuevo sistema operativo, pero los chips de memoria, en teoría, le darán lejos.

Y en este caso, la idea es: supergalletas.

Muy interesante y vale la pena leerlo.

DOUG.  ¡Es genial!

Otra cosa sobre escribir noticias, Paul: eres un buen escritor de noticias, y la idea es enganchar al lector de inmediato.

Entonces, en la primera oración de este próximo artículo, dice: "Incluso si no ha oído hablar del venerable proyecto Ghostscript, es muy posible que lo haya usado sin saberlo".

Estoy intrigado, porque el titular es: El error de Ghostscript podría permitir que los documentos no autorizados ejecuten comandos del sistema.

El error de Ghostscript podría permitir que los documentos no autorizados ejecuten comandos del sistema

¡Dime más!

PATO.  Bueno, Ghostscript es una implementación gratuita y de código abierto de los lenguajes PostScript y PDF de Adobe.

(Si no ha oído hablar de PostScript, bueno, PDF es una especie de "PostScript Next Generation").

Es una forma de describir cómo crear una página impresa, o una página en la pantalla de una computadora, sin decirle al dispositivo qué píxeles encender.

Así que dices: “Dibuja un cuadrado aquí; dibuja un triángulo aquí; usa esta hermosa fuente”.

Es un lenguaje de programación por derecho propio que le brinda control independiente del dispositivo de cosas como impresoras y pantallas.

Y Ghostscript es, como dije, una herramienta gratuita y de código abierto para hacer precisamente eso.

Y hay muchos otros productos de código abierto que utilizan exactamente esta herramienta como una forma de importar cosas como archivos EPS (PostScript encapsulado), como los que podría obtener de una empresa de diseño.

Entonces, es posible que tenga Ghostscript sin darse cuenta; ese es el problema clave.

Y este fue un error pequeño pero realmente molesto.

Resulta que un documento no autorizado puede decir cosas como "Quiero crear una salida y quiero ponerla en un nombre de archivo XYZ".

Pero si pones, al principio del nombre del archivo, %pipe%, y *luego* el nombre del archivo...

… ese nombre de archivo se convierte en el nombre de un comando para ejecutar que procesará la salida de Ghostscript en lo que se llama una “canalización”.

Eso puede sonar como una larga historia para un solo error, pero la parte importante de esta historia es que después de solucionar ese problema: “¡Oh, no! Debemos tener cuidado si el nombre del archivo comienza con los caracteres %pipe%, porque eso en realidad significa que es un comando, no un nombre de archivo”.

Eso podría ser peligroso, porque podría provocar la ejecución remota de código.

Así que repararon ese error y luego alguien se dio cuenta: "Sabes qué, los errores a menudo van en parejas o en grupos".

O errores de codificación similares en otras partes del mismo fragmento de código, o más de una forma de desencadenar el error original.

Y fue entonces cuando alguien en el equipo de Ghostscript Script se dio cuenta: "¿Sabes qué? También les permitimos escribir | [barra vertical, es decir, el carácter de "tubería"] nombre del comando de espacio también, por lo que también debemos verificar eso ".

Entonces hubo un parche, seguido de un parche a otro.

Y eso no es necesariamente una señal de maldad por parte del equipo de programación.

En realidad, es una señal de que no solo hicieron la cantidad mínima de trabajo, lo aprobaron y lo dejaron sufrir con el otro error y esperar hasta que lo encontraron en la naturaleza.

DOUG.  Y para que no creas que hemos terminado de hablar de errores, ¡tenemos algo para ti!

Un parche de emergencia de Apple surgido, y entonces no emergido, y luego Apple hizo un comentario al respecto, lo que significa que arriba es abajo y la izquierda es derecha, Paul.

¡Urgente! Apple corrige un agujero crítico de día cero en iPhones, iPads y Macs

PATO.  Sí, es un poco una comedia de errores.

Casi, pero no del todo, siento pena por Apple en este caso...

…pero debido a su insistencia en decir lo menos posible (cuando no dicen nada en absoluto), todavía no está claro de quién es la culpa.

Pero la historia es así: “¡Oh, no! Hay un día 0 en Safari, en WebKit (el motor del navegador que se usa en todos los navegadores de tu iPhone y en Safari en tu Mac), y los ladrones/proveedores de spyware/al parecer alguien está usando esto para hacer un gran mal”.

En otras palabras, "look-and-be-pwned", o "drive-by install", o "zero-click infection", o como quieras llamarlo.

Entonces Apple, como saben, ahora tiene este sistema de respuesta de seguridad rápida (al menos para los últimos iOS, iPadOS y macOS) donde no tienen que crear una actualización completa del sistema, con un número de versión completamente nuevo que nunca puede cambiar a una versión anterior. desde, cada vez que hay un día 0.

Por lo tanto, Respuestas Rápidas de Seguridad.

Estas son las cosas que, si no funcionan, puedes quitarlas después.

La otra cosa es que generalmente son muy pequeños.

¡Excelente!

El problema es… parece que debido a que estas actualizaciones no obtienen un nuevo número de versión, Apple tuvo que encontrar una forma de indicar que ya había instalado Rapid Security Response.

Entonces, lo que hacen es tomar su número de versión, como iOS 16.5.1, y luego agregan un carácter de espacio y luego (a).

Y se dice en la calle que algunos sitios web (no los nombraré porque todo son rumores)...

…cuando estaban examinando el User-Agent cadena en Safari, que incluye el (a) solo para completar, dijo: “¡Whoooooa! Qué (a) haciendo en un número de versión?

Entonces, algunos usuarios estaban reportando algunos problemas, y Apple aparentemente tirado la actualización.

Apple saca silenciosamente su última actualización de día cero: ¿y ahora qué?

Y luego, después de un montón de confusión, y otro artículo sobre Naked Security, y nadie sabía muy bien qué estaba pasando... [RISAS]

…Apple finalmente publicó HT21387, un boletín de seguridad que produjeron antes de tener el parche listo, lo que normalmente no hacen.

Pero fue casi peor que no decir nada, porque dijeron: “Debido a este problema, Rapid Security Response (b) estará disponible pronto para abordar este problema”.

Y eso es. [RISA]

No dicen exactamente cuál es el problema.

No dicen si se debe a User-Agent cadenas porque, si es así, ¿quizás el problema es más con el sitio web en el otro extremo que con los mismos Apple?

Pero Apple no lo dice.

Así que no sabemos si es culpa de ellos, del servidor web o de ambos.

Y solo dicen "pronto", Doug.

DOUG.  Este es un buen momento para plantear la pregunta de nuestro lector.

Sobre esta historia de Apple, el lector JP pregunta:

¿Por qué los sitios web necesitan inspeccionar tanto su navegador?

Es demasiado snoopy y se basa en viejas formas de hacer las cosas.

¿Qué dices a eso, Pablo?

PATO.  Yo mismo me hice esa misma pregunta, y busqué: "¿Qué se supone que debes hacer con User-Agent ¿instrumentos de cuerda?"

Parece ser un problema perenne para los sitios web en los que intentan ser súper inteligentes.

Así que fui a MDN (lo que solía ser, creo, Mozilla Developer Network, pero ahora es un sitio comunitario), que es uno de los mejores recursos si se pregunta: “¿Qué pasa con los encabezados HTTP? ¿Qué pasa con HTML? ¿Qué pasa con JavaScript? ¿Qué pasa con CSS? ¿Cómo encaja todo esto?”.

Y su consejo, muy simple, es: "Por favor, todos, dejen de mirar al User-Agent cadena. Solo estás haciendo una vara para tu propia espalda y un montón de complejidad para todos los demás”.

Entonces, ¿por qué los sitios buscan User-Agent?

[WRY] Supongo que porque pueden. [RISA]

Cuando esté creando un sitio web, pregúntese: "¿Por qué voy a caer en esta madriguera de conejo de tener una forma diferente de responder basada en una cadena extraña en algún lugar de User-Agent? "

Trate de pensar más allá de eso, y la vida será más simple para todos nosotros.

DOUG.  Muy bien, muy filosófico!

Gracias, JP, por enviar eso.

Si tiene una historia interesante, un comentario o una pregunta que le gustaría enviar, nos encantaría leerlo en el podcast.

Puede enviar un correo electrónico a tips@sophos.com, comentar cualquiera de nuestros artículos o contactarnos en las redes sociales: @nakedsecurity.

Ese es nuestro programa de hoy; muchas gracias por escuchar

Para Paul Ducklin, soy Doug Aamoth, recordándoles: Hasta la próxima...

AMBAS COSAS.  ¡Mantente seguro!

[MÓDEM MUSICAL]