Microsoft Windows permite carga las DLLs en forma insegura

La alerta de seguridad TA10-238A publicada la semana pasada por US-CERT http://bit.ly/cC2n99 confirma la información que comenzó a circular hace 15 días; existe una vulnerabilidad en una de las forma en que Windows permite carga las DLLs.

Esto nada tendría de diferente a las cientos (probablemente miles) de alertas publicadas desde que se empezó a hacer un seguimiento riguroso de los bugs encontrados en los sistemas operativos y aplicativos más difundidos si no fuera por la vaguedad de su definición y la complejidad de la resolución propuesta.

No se trata de aplicar un parche al sistema operativo o a una o dos aplicaciones en particular, ya que la definición de las aplicaciones afectadas dice:

"Any application running on the Microsoft Windows platform that uses dynamically linked libraries (DLLs) may be affected."

Es decir, puede ser vulnerable cualquier aplicación que corra sobre Windows y cargue DLLs, lo que es prácticamente lo mismo que decir "todas las aplicación de Windows" ya que el modelo de DLLs es intrínseco a este sistema operativo.

Y continua explicando que la forma de resolver el problema es:

"Individual applications that run on the Windows platform may require patches or updates." 

Especificando que la solución deberá ser provista por cada una de las aplicaciones afectadas en forma individual ya que no  existe (aparentemente) un mecanismo dentro del propio sistema operativo que permita limitar la explotación del bug sin afectar el funcionamiento normal de las aplicaciones.

Lo que es curioso de esta alerta es que nos pone sobre aviso de la posibilidad de que nuestras herramientas informáticas habituales contengan un error de codificación y eso permita que un delincuente cibernético la explote para simplemente hacer daño y/o ganar notoriedad (ya no tan común) o conseguir un beneficio (la norma desde hace unos años) vía hurto y/o robo (si es uno u otro da para varios post) de información valiosa.

Es decir, nos avisa sobre algo que todo usuario de equipamiento informático debería saber, no existe pieza de software exenta de vulnerabilidades, pero nos deja la duda de cual de las decenas o cientos de aplicaciones instaladas están afectadas, nada nos dice de como detectar cuales son ni de como mitigar el problema.

En resumen, esta alerta resulta, en la práctica, poco útil ya que no aporta información nueva, lo mismo hubiera dado que dijera "Todo software tiene vulnerabilidades y en caso de ser detectados el fabricante deberá proveer una actualización para corregirlo".

En este sentido, el mayor aporte que hace es obligarnos a reflexionar cómo nuestros negocios y nuestras vidas en general pueden penden de hilos delgados susceptibles de ser cortados abruptamente, evitándonos la penuria de sufrir el evento sin previo aviso. Se aproxima al trabajo del filósofo que nos quiere llevar a la reflexión sobre la vida y la muerte y la aleatoria posibilidad de ocurrencia de cualquiera de ellas, pero nada nos puede decir de como prepararnos y mucho menos protegernos.

Seguridad de archivos PDF

Los archivos PDF maliciosos no necesitan una vulnerabilidad para ejecutarse

Un investigador de seguridad ha descubierto la manera de ejecutar código malicioso en una máquina sin necesidad de que exista una vulnerabilidad de software.

Adobe Reader muestra una advertencia antes de que se ejecute un código de ataque, pero ese mensaje se puede manipular para evitar la sospecha. Un investigador de seguridad ha descubierto la manera de ejecutar código arbitrario en ordenadores Windows incorporando en ellos un archivo PDF malicioso. El código se ejecutará cuando el archivo sea visto en dos de los lectores PDF más populares, pero el autor afirma que no se explota ninguna vulnerabilidad.

Los lectores de PDF de Adobe Systems y Foxit no permiten que ejecutables integrados funcionen directamente, pero el investigador Didier Stevens ha encontrado la manera de que un ejecutable se active a través de un comando de lanzamiento diferente.

Al abrir el documento amañado, Adobe Reader mostrará un mensaje de advertencia diciendo que el código de lanzamiento podría dañar el ordenador, de forma que el usuario tendría que aprobar el lanzamiento de una aplicación. Stevens ha encontrado la manera de cambiar parte del mensaje, que podría modificarse para persuadir a los usuarios de que abran un ejecutable.

Didier Stevens ha ofrecido información sobre sus investigaciones a Adobe y a Foxi, que estudiarán el problema para evitar que se aprovechen.

Fuente: It Espresso

Windows 7

¿Qué me gustaría que haga Windows?

Cada tanto uno se pregunta ¿por qué Windows no hará “esto” que sería mucho más cómodo?

Como Socios de Negocio de Microsoft ya estamos evaluando la versión de Windows 7 final, que estará disponible en el mercado desde octubre.

Acá contamos nuestra experiencia con esta nueva versión de sistema operativo y si ha colmado las expectativas que teníamos o no.

Cada tanto uno se pregunta ¿por qué Windows no hará “esto” que sería mucho más cómodo?

  • Me gustaría que la barra de tareas sea dinámica, que me deje acomodar los iconos de los programas para tenerlos siempre en el mismo lugar.
  • Me gustaría que los programas abran y cierren rápidamente.
  • Me gustaría que NO me pregunte una y otra vez si quiero permitir o no que se haga un cambio en el sistema.
  • Me gustaría tener que hacer menos clicks para conectarme a una red inalámbrica
  • Me gustaría que el SO no me pregunte cada vez que me conecto a una de las cientos de redes inalámbrica a las que me conecto si es mi casa, mi oficina o un lugar público. Después de la primer semana de usar la notebook ya me he conectado a todas las redes conocidas, las próximas serán todas públicas.
  • Me gustaría no tener que esperar 3 minutos para ir a o volver desde la hibernación.
  • Me gustaría que antes de empezar la actualizar del SO me avise si todo el hardware y software que tengo va a funcionar
  • Me gustaría poder sacarme de encima la pila de Bluetooth de Toshiba que siempre me generó problemas para usar el celular como modem sin tener que conectarlo con el cable o para sincronizar los contactos y el calendario
  • A mí me gusta Windows 7, porque no solo cubrió la lista de arriba, sino que la superó ampliamente.

La interface gráfica que había comenzado a cambiar en Windows Vista terminó de madurar en Windows 7.

Las aplicaciones no solo se pueden acomodar en la barra de tareas, se las puede pinchar en su lugar y quedan allí estén abiertas o cerradas.

El listado de “Elementos recientes” dejó de ser una gran mezcla, ahora está asociado a cada aplicación tanto desde la lista rápida de programas en “Inicio” o como desde el icono en la barra de tareas.

Más, en esa lista se pueden pinchar los documentos recurrentes (como ya se podía hacer en las versiones recientes de Office) para que estén siempre a mano.

Los programas cargan en un tercio (estimación) del tiempo y el cambio entre ventanas es mucho más ágil.

A poco más de una semana de usar la versión final de Windows 7 puedo asegurar que Millenium no estará solo en la caja de fracasos de Microsoft (en cuanto a sistemas operativos) ya que Vista lo acompañará.

Windows 7 es lo que todos esperábamos como evolución de XP, innovador en la interface gráfica, muy performante, más intuitivo.

Google Chrome OS

Chrome OS, ¿nuevo OS o navegador por hardware?

Google anunció el nuevo proyecto sobre el que trabajará durante los próximos meses.

Se trata de un nuevo sistema operativo que promete conjugar lo mejor de los sistemas operativos existentes ya que destacan que prestarán especial atención a:

Velocidad
Simplicidad
Seguridad

En el blog donde Google hizo el anuncio del proyecto destacan que:

"El Sistema Operativo Google Chrome es nuestro intento de volver a pensar lo que deben ser los sistemas operativos."

"La interfaz de usuario será mínima, y la mayor parte de la experiencia del usuario tiene lugar en la web."

"Para los desarrolladores de aplicaciones, la web es la plataforma."

"Hemos escuchado mucho a nuestros usuarios y su mensaje es claro, las computadoras necesitan mejorar."

"La gente quiere llegar a su correo electrónico al instante, sin perder el tiempo esperando a que los sistemas operativos de las computadoras y sus navegadores se pongan en marcha."

"Ellos desean que sus computadoras funcionen tan rápidas como cuando las compraron."

" Ellos quieren acceder a sus datos dondequiera que estén y no tener que preocuparse de perder u olvidar su computadora, o realizar copias de seguridad de los archivos."

Pero el dato más revelador es que

"La arquitectura del software será simple, Google Chrome (el navegador) ejecutándose dentro de un nuevo administrador de ventanas corriendo sobre un Linux."

Queda claro que Google Chrome OS no será nada nuevo, ni siquiera para Google que ya cuenta con un sistema operativo (Android) para smart phones y que ellos mismos admiten se solapará en algunos puntos con esta plataforma.

También está claro que no reinventará los sistemas operativos ya que, al igual que Android, Chrome OS correrá sobre Linux (verdadero sistema operativo que sustentará al desarrollo).

Con la información disponible parece que hubiera sido más adecuado decir "Google customiza un Linux para correr Chrome", o lo que sería lo mismo "Nuevo dispositivo que solo sirve para navegar por internet", lo que nos lleva a preguntarnos si realmente queremos "solo vivir conectados" y tener que acarrear un gadget para cada cosa que queremos hacer.

Estas preguntas junto con ¿qué haremos el día que Google no esté en línea? sobran para desarrollar varias notas más.

Tiempo en baja

Recarga de baterías en segundos

Investigadores del MIT desarrollan una tecnología que podrá reducir en más de un 99% el tiempo de carga de las baterías.

Los investigadores Byoungwoo Kang y Gerbrand Ceder del Massachusetts Institute of Technology han encontrado la forma de lograr que un compuesto de litio standard tome y libere los iones en segundos. Una batería de notebook de este compuesto podría llegar a cargarse en aproximadamente un minuto.

El avance fue publicado esta semana en la revista Nature

El índice de precios de la Tecnología

¿Alguien saldrá bien parado de este tornado?

Hace unos días Nortel, marcas líderes de las que somos partners, nos envió la notificación que está al final del artículo.

Reflexionar sobre las opciones disponibles nos puede ayudar a encontrar el vaso medio lleno en esta situación donde es fácil ver el vaso totalmente vacío.

Es evidente que el mundo está cambiando rápidamente. Alguien apretó el botón de eyección de los precios de los commodities y nadie sabe hasta dónde va a llegar la onda expansiva.

Un análisis realizado a principio de 2007 sobre la evolución de los precios de los commodities y la inflación de los últimos 100 años termina preguntándose ¿Cuánto falta para que se acelere la inflación?.

El incremento planteado por Norte, que sin lugar a dudas también se verá en breve en el resto de las marcas, es más del doble de la inflación entre Mayo 07 y Mayo 08 informado por el "Indec" Canadiense.

Yo diría, no falta nada, la aceleración de la inflación ya está aquí.

Los grandes interrogantes son:

¿Hasta dónde va a llegar la bola de nieve?
¿Cómo va a jugar en Argentina la experiencia con este tipo de cambios?
¿Qué hacer con esa inversión que está planeada?
Evidentemente las dos primeras preguntas son extremadamente difíciles de contestar, pero creemos que es fundamentar intentar armar algunos escenarios sobre ellas.

Respecto a la última, no pretendemos tener una conclusión definitiva, más bien invitamos a pensar la situación particular de cada negocio.

Mucho tendrá que ver el atraso que se tenga post 2001, quienes recién el año pasado comenzaron a incorporar mejoras en su plataforma deberían analizar seriamente acelerar las inversiones para adecuar su infraestructura.

No hacerlo ahora podría implicar no hacerlo hasta dentro de 4 o 5 años. Piense, con lo que hoy tiene ¿existirá su negocio para esa altura?

Quienes tengan hoy disponibles los recursos podrán tomar una ventaja concretando en los próximos 45 días las inversiones planeadas para el segundo semestre.

Esto podrá colocarlos en una posición ventajosa frente a quienes lo hagan tarde y deban gastar mayor porción de su presupuesto y definitivamente se diferenciarán de quienes directamente no puedan afrontar los nuevos costos y caigan en la casilla “retrocede 5 posiciones”.

Una opción a explorar es el leasing ofrecido por algunos vendors que por lo menos hasta hace unos días se animan a ofrecer tasas fijas.

Esta opción resulta extremadamente interesante, ya que no compromete capital propio y sin lugar a dudas la espiral inflacionaria producirá una licuación de la deuda.

Las crisis son siempre buenos momentos para hacer buenos negocios, solo hay que lograr superar el pánico que produce mirar al abismo, mantener la sangre fría y buscar las oportunidades que se esconden en el caos.

Dear Valued Partner:

On July 1, Nortel will issue a communication to our customers informing them of a price increase across most of the Enterprise portfolio. This has been a difficult decision to make but an altogether necessary action in an environment of rising cost pressures across the industry.

As you know, Nortel has been recognized for our relentless drive to eliminate cost and deliver value to our customers, and our products represent some of the best value-buys in the sector. We are continuing to hammer down internal costs, but at the same time, Nortel is not immune to these pressures. While we continue to drive down the costs we can control through product redesign and strategic outsourcing, we are impacted along with the rest of our industry by the global rise in fundamental business costs.

Here are just a few examples of the pressures faced across the entire technology industry, and in fact across broad swathes of the manufacturing sector generally:

Transportation costs are now the equivalent of a 9% tariff on goods coming into U.S. ports vs. 2000.
Fuel prices now represent 50% of a shipping line’s costs
Copper is at it’s highest price in 25 years
Copper prices will this year average 15 percent higher than in 2007
General Freight costs increased 8.4% in the last year
Rail freight costs increased by 11.3% in the last year
Plastics prices will rise more than 20% this year
Beginning near the end of Q3 2008 we will ask our customers to bear a portion of these increases through a modest price increase of around 4.5% across much of our Enterprise product line. In addition, some products will receive an increase above 4.5%, determined either by competition, product valuation, or better alignment with related products. The increases will take effect on September 1.

Because the fundamental changes in cost are global, Nortel will apply the increases to list prices in all currencies, and we will continue to monitor the impact of fluctuations in currencies and make necessary adjustment should it make commercial sense.

Note that where existing “fixed price” agreements exist, there will be no effect from the price change. For other business, the standard procedures will apply, for example products being ordered at standard “VIVID” discounted pricing will increase on September 1st. Discounts approved in Special Business Approvals (“SBAs”) and not yet expired will be honored up to the effective date of this change. Orders received on or after the effective date, based on prior SBAs, must be resubmitted for SBA approval with new pricing and discounts. Enterprise Configurator (“EC”) quotes in ”ready to order” status will be honored for the 60-day guarantee period. However, if an SBA has been granted against the EC Quote, the Price Guarantee portion will be considered null and void. Please refer to the EC Configuration and Quotation Guarantee (Distribution Notice March 19, 2008) for more details. I encourage you to place your orders for products that may have been discounted using Special Business Approvals (“SBAs”) before September 1st. The bottom line about this pricing news is that it will make Nortel a stronger company and enable us to better partner with you to serve our customers. These goals are part of a larger business model that provides the resources we need to continue to be an innovation leader and bring new products to market – products that in turn drive incremental productivity gains for our customers.

We will work closely with you to make these price increases work as smoothly as possible with our shared customers. I hope you will contact us immediately if you have any questions.

Regards,

Corrigen una aberración en los dominios .ar

Finalmente tendremos goBierno y no goVierno.

La Cancillería aprobó una resolución para reemplazará el gov.ar por gob.ar; además se incluirá la letra emblemática del castellano (ñ) y todos los acentos en los dominios registrados en el país.

La medida, fue dispuesta "con el objetivo de fortalecer el uso de nuestro idioma, defender nuestra identidad iberoamericana y fortalecer al Mercosur", indicó la Cancillería mediante un comunicado.

La resolución fue firmada el 9 de abril y establece diferentes plazos para su aplicación. Durante 120 días desde la firma de la resolución se preparará el sistema para aceptar los caracteres nuevos y una vez pasado ese lapso, habrá 30 días en los que se promocionarán los cambios.

Para registrar sitios de Internet con caracteres multilingües tendrán prioridad durante 100 días quienes ya tengan dominios en Nic.ar . Recién después se abrirá esta posibilidad al público en general.