martes, 27 de octubre de 2015

Reflexionando sobre #MoocHackingEtico

Habría que comenzar valorando el curso por eso de que si me enrollo por lo menos se lea la valoración.


En realidad lo mejor del curso ha sido que se ha abierto una nueva puerta que desconocía, eso sí, una puerta que da acceso a otras muchas puertas que no he sabido abrir.

Realice las primeras actividades sin mucha dificultad, vamos y hasta el enigma no me resulto complicado, lo que subió mi autoestima en varios puntos.

Claro que todo lo que sube...baja, y eso fue lo que pasó, creamos el grupo utilizando facebook, que aunque es una plataforma que no suelo usar, reconozco que ha sido muy útil para comunicarnos, ya que teníamos problemas con el tema de la hora y no coincidíamos mucho..

Y llego el reto y yo con mi autoestima por las nubes, pues desde las nubes me caí, me manejaba bien en MS-DOS y en algún momento llegué a utilizar estaciones de trabajo basadas en UNIX, pero vaya tela, no era capaz ni de saber en que directorio estaba de mi servidor, y menos buscar un archivo.


Pero sin desanimo a leer y leer.

Me centré en intentar atacar los servidores con MySQL inyection peor aunque llegue a encontrar alguna vulnerabilidad de cacti no fui capaz de llevarla a cabo, necesitaba más conocimientos sobre MySQL.

Tengo que agradecer a los miembros de mi grupo MiniPadawan su colaboración en especial a Navela y a Omar que en todo momento han estado junto a mi en esta aventura.

Prometo seguir investigando y apuntarme a nuevas oportunidades de aprender, espero participar en otras ediciones.

Agradecer a los compañeros que han publicado sus post con las estrategias que han realizado ya que me están sirviendo de mucha ayuda.

Hasta otra y que "¡QUÉ LA FUERZA OS ACOMPAÑE!"


domingo, 25 de octubre de 2015

2.3 Plantea e-portafolio del estudiante. #eportfolio_INTEF,

Con esta actividad se propone crear un  portafolio del alumno  como herramienta para evaluar el aprendizaje de los alumno durante un trimestre.
¿Qué plataforma vas a utilizar? 
Ya que la característica del portafolio en este caso es temporal, mostrará lo aprendiddo durante un trimestre, debemos buscar una herramienta que nos permita recopilar esta información para luego organizarla y publicarla.
Resultado de imagen de alumno escribiendoSe propone en un principio, ir creando en la parte posterior de la libreta un esquema-diario de lo que vamos aprendiendo en clase, para luego utilizar una herramienta de presentación para publicar el trabajo, se propone prezzi que permita un trabajo colaborativo con el profesor para y corrigiendo y proponiendo.¿Qué secciones obligatorias debe tener el e-portafolio?
Nuestro porfolio estará dividido en dos secciones, datos personales, curso y asignatura por un lado  y evidencias y un ejemplo a modo de imagen, comentario o muestra de cada sección o tema que se haya desarrollado durante el trimestre. 
Es importante la reflexión personal del alumno en cada una de las evidencias.¿Es un portafolio individual o de grupo?
Sera un portafolio individual, aunque se mostrará al grupo en una exposición final.
¿Con qué periodicidad se debe actualizar?
Dedicaremos una media sesión (30') cada 2 semanas para actualizarlo.
¿Qué producto debe incluirse en cada una de las fases?
En la fase de recopilación utilizaremos la libreta de clase, mientras que en la fase de creación utilizaremos los equipos del aula multimedia.
¿Qué guías de ayuda a la realización del e-portafolio necesitarías? 
Se presentará la herramienta prezzi y una estrategia para su utilización.
Una vez diseñada la primera evidencia se corregirá para de este modo diseñar las restantes.

2.2 Valoración y propuesta de un e-portafolio docente. #eportfolio_INTEF,

En esta actividad analizaremos un portafolio para detectar:
  • 3 aspectos positivos a destacar
  • 2 aspectos que podrían mejorarse
  • 1 sugerencia que le harías al autor del e-portfolio para completarlo
Aspectos positivo.
Creo que el diseño del portafolio es muy interesante, ya que es sencillo y ágil a la vista, la foto utilizada es neutra, no transmite información personal aplicándole seriedad a la página.
Muy de agradecer la barra de navegación lateral, sin la cual sería casi imposible desplazarse conscientemente por el documento.
Resultado de imagen de alumno escribiendoA mejorar
El color de la letra de fondo del título que al ser blanca se confunde con la imagen de fondo.
Todo el portafolio esta diseñado en una única página por lo que cuando se baja o se utiliza la barra de navegación se pierde la referencia de donde se está.
La estructura es bastante monótona, repitiéndose mucho los iconos de una forma demasiado lineal.
 Una sugerencia.
Utilizaría tablas para organizar la documentación, en vez de una lista y separarí la información personal de la evidencia.

sábado, 10 de octubre de 2015

Tarea 1.4 Ventajas e Inconvenientes de los Porfolios en el aula #eportfolio_INTEF,

¿Por qué debemos utilizar un porfolio con nuestros alumnos?:

Cuantas veces nos hemos encontrado con esa situación en la que le preguntamos a los alumnos por lo que le hemos explicado hace un tiempo, y aunque lo practicasen, no se acuerdan.

Resultado de imagen de flechas
El porfolio puede ayudar a los alumnos a recapacitar sobre lo aprendido, y a crear una selección de las cosas mas importantes / relevantes en su aprendizaje.

Un porfolio requiere orden y si lo queremos llenar de contenido es necesario trabajar, es por ello que puede ser un indicador para el alumno del grado de implicación que tiene con la asignatura, y en definitiva con su aprendizaje.



¿Por qué no debemos usar el porfolio en las aulas?.

El mayor problema que puede presentar el porfolio lo encontramos en su implantación, todas las novedades tienen un lento proceso de aceptación y no se ven los resultados a corto plazo.

Resultado de imagen de flechas

Por otro lado, creo que no es fácil conseguir que los alumnos no confundan el portafolio con un "libro de cromos" donde guardo todos los trabajos que realizo en el curso, y que si luego me los pide el profesor se los doy y como están todos ¡perfecto!.
Hace falta formación del profesorado para implantarlo, no debe ser un proyecto de aula sino de Centro.

Seguiremos reflexionando sobre el tema.

miércoles, 7 de octubre de 2015

U2.T3. Debate sobre la ética del Haker. #MoocHackingMU

Resultado de imagen de Hacker dibujosVaya con el foro, 66 aportes...deben faltar muchos por opinar, pero vamos a ello. Leyendo alguno de los post de los compañeros creo que todos pensamos casi lo mismo, no esta bien robar información y publicarla, como comentaba Josu Orbe en su blog y en uno de las entradas de este foro, ¿vale eso de "quien roba al ladrón..." personalmente creo que no, hay que buscar los medios legales, administrativos o políticos para informar de estas situaciones. Cualquier acción que implique tomarnos la justicia por nuestra mano no creo que sea la apropiada. Recomiendo la entreda de Josu Orbe sobre el tema y este video de Keren Elazari hablando sobre los importante que pueden ser los Hackers.


¿Qué opinas sobre la acción realizada contra Hacking Team? ¿Consideras que los hackers se han excedido en sus ‘funciones’?, Si creo que no debería haber publicado la información, que deberían haber intentado buscar una solución que no los convirtiera en lo mismo que los de Hacking Team.
¿Cuáles crees que deberían ser los límites del hacker? Los limites del hacker deben se los éticos, y los legales, siempre hay que pensar que detrás de todo hay personas, siempre hay que analizar los posibles daños antes de que se causen.¿Piensas que la ciudadanía es consciente del rol que los hackers pueden jugar en favor de su propia seguridad en la red detectando aquellos sitios que no son seguros ya sea porque ponen en riesgo los datos de los usuarios o bien porque hacen un uso ilegítimos de los mismos? Para nada la ciudadanía no conoce lo que son los Hacker, yo mismo no conocía nada hasta que he comenzado este curso. Aprovecho para felicitar a los organzadores y a los compañeros por sus aportaciones que me están siendo imprescindibles para ir avanzando. GRACIAS

T1,3 Diseña un prototipo de profolio. #eportfolio_INTEF


Prototipo de porfolio docente, mucho por cambiar y más aún por aprender, seguramente habrá que modificar el diseño, este parece un poco aburrido ( le falta color)

martes, 6 de octubre de 2015

T1,2 Ejemplos Porfolio. #eportfolio_INTEF

En esta tarea buscaremos ejemplos de portafolios,
Porfolios de profesores.

  • Porfolio Docente de María Ortega Delgado.





  • Porfoliio Docente de Inma Miñana Canet.




Porfolio de Alumnos.

Divertido porfolio de María Ortaga Delgado con sus alumnos de 3º de Primaria.

.

Portafolios de un estudiante de  Bachillerato (esta en inglés pero es muy ilustrativo)

.



T1,1 Debate Inical. #eportfolio_INTEF

En esta tarea nos plantean las siguientes cuestiones:

"Estás estudiando un curso de inglés avanzado después de un tiempo de no estar en contacto con esta lengua. ¿Cómo convencerías a tus compañeros de centro de que estás aprovechando el mismo? Indica tres maneras distintas de hacerlo. ¿Crees que hay alguna más válida que otra?

Y si tuvieras que convencer al equipo directivo de tu centro de que estás capacitado para dar tu materia en inglés, ¿qué evidencias les aportarías?, ¿las mismas que a tus compañeros?".
Como ya han comentado algunos compañeros en sus aportes al foro, la primera forma sería la comunicación informal, en foros como desayunos, cafés mencionaría lo contento que estoy de volver a practicar mi destreza con la lengua inglesa, comentaría los resultados de los exámenes y alguna situación en la que hubiese necesitado expresarme en lengua inglesa y lo que me habría ayudado hacer el curso y reciclarme.

Para convencer al equipo directivo, le presentaría la titulación y mi experiencia en la lengua inglesa, en situaciones como la lectura de información en ese idioma, o mi intención de viajar al extranjero con los alumnos, ya que al dominar esta lengua sería posible ampliar el radio de los viajes y poder salir con los alumnos al extranjero, así como la posibilidad de solicitar intercambios y proyectos de tipo Erasmus+.


Claramente no se podrían presentar las mismas evidencias a los compañeros que al equipo directivo, ya que para unos sería una información formal y para los los otros sería una información reglada (oficial).

domingo, 4 de octubre de 2015

ENIGMA. #MoocHackingMU

Enigma resuelto.



¡Esperando instrucciones!

Publicaremos la información al terminar el Mooc...mientras tanto solo ofrecerme para ayudar.


U2.T2. SQL injection. #MoocHackingMU

En esta tarea usaremos la técnica SQL injection para obtener información de una base de datos.

Podemos comentar conociendo que es eso de SQL y que es SQL Injecciton.

El lenguaje de consulta estructurado o SQL (por sus siglas en inglés Structured Query Language) es un lenguaje declarativo de acceso a bases de datos relacionales que permite especificar diversos tipos de operaciones en ellas. Una de sus características es el manejo del álgebra y el cálculo relacional que permiten efectuar consultas con el fin de recuperar, de forma sencilla, información de bases de datos, así como hacer cambios en ellas.Fuente wikipedia.

La inyección directa de comandos SQL es una técnica donde un atacante crea o altera comandos SQL existentes para exponer datos ocultos, sobrescribir los valiosos, o peor aún, ejecutar comandos peligrosos a nivel de sistema en el equipo que hospeda la base de datos. Esto se logra a través de la práctica de tomar la entrada del usuario y combinarla con parámetros estáticos para elaborar una consulta SQL. Fuente www.php.net

Ahora vamos con la tarea.
En esta tarea montaremos una maquina virtual con dvwa (Danm Vulnerable web App), que no es mas que una aplicación web basada en php y MySQL altametne vulnerable, que quiere decir esto, que como se no ocurra montarla en un servidor real y con acceso desde internet estamos exponiendo todos nuestros datos.
Esta applicación esta diseñada para profesionales y estudiantes.

La tarea no es muy complicada ya que una vez montada la máquina virtual, solo hay que seguir los pasos de este tutorial ( en concreto desde la sección 6 a la 9) siendo esta última la más interesante ya que introduciendo comandos en el cuadro de texto del usuario y se  accede a los datos de usuario y a sus contraseñas.

El nivel de la máquina virtual esta bajo para hacerla más vulnerable.

Voy a intentar realizar una interpretación de lo que ocurre.

En el primer paso nos piden que escribamos 1 en el cuadro de texto, y la pantalla nos devuelve en color rojo lo que sería una impresión de la respuesta del programa.
En realidad cuando ejecutamos el boton summit lo que esta escribiendo el recuadro es 
SELECT first_name, last_name FROM users WHERE user_id = '$id'
Selecciona nombre, apellido de usuarios cuyo id sea igual a " nosotros hemos puesto un 1.


En la siguiente instrucción ponemos %' or '0'='0 algo así como falso o verdadero. En definitiva TODO.
La orden que se ejecuta es:
mysql> SELECT first_name, last_name FROM users WHERE user_id = '%' or '0'='0'
selecciona nombre y apellido de los usuario que sean verdaderos o falsol.

Total todos los usuarios. 

En las siguientes añadimos a esta secuencia versión (), que nos indicará la versión del motor Mysql; user() que nos indicará el usuario que ejecuta el código(vamos el root del sistema creo). database() que nos devuelve el nombre de la base de datos, 

%' and 1=0 union select null, table_name from information_schema.tables where table_name like 'user%'#.
Nos devuelve los nombres de las bases de datos que tenga user.

 Con esto encontramos la base donde estánlos usuario y su claves.
y por último con la orden 
%' and 1=0 union select null, concat(table_name,0x0a,column_name) from information_schema.columns where table_name = 'users' le indicamos que nos detalle las columnas de la base de datos (campos) para descubrir el que posee las claves de acceso.

Para finalizar la orden estrella.
  • %' and 1=0 union select null, concat(first_name,0x0a,last_name,0x0a,user,0x0a,password) from users #
  • Donde indicamos que nos escriba nombre, apellido, usuario y contraseña.

 

U2.T1b Analizado SSH #moocHackingMU



En la primera parte de este ejercicio hemos visto un protocolo no seguro, como Telnet. Una alternativa a usar Telnet a la hora de conectarnos a máquinas remotas es SSH, que realiza una negociación previa al intercambio de datos de usuario. A partir de esta negociación, el tráfico viaja cifrado. Descarga esta traza con tráfico SSH y abrela con Wireshark. las preguntas. ¿Puedes ver a partir de qué paquete comienza el tráfico cifrado?¿Qué protocolos viajan cifrados, todos (IP, TCP...) o alguno en particular?¿Es posible ver alguna información de usuario como contraseñas de acceso?.

Lo primero que es eso de SSH: Secure SHell, (en español: intérprete de órdenes seguro) es el nombre de un protocolo y del programa que lo implementa, y sirve para acceder a máquinas remotas a través de una red. Permite manejar por completo la computadora mediante un intérprete de comandos, y también puede redirigir el tráfico de X para poder ejecutar programas gráficos si tenemos ejecutando un Servidor X (en sistemas Unix y Windows. Fuente Wikipedia

Un poco de lo mismo a leer y a interpretar, 

¿Puedes ver a partir de qué paquete comienza el tráfico cifrado? si analizamos la linea de SSH Protocol y vamos pasando las trazas vemos que a partir de la linea 20 aparece:

Encrypted Packet: 14ae7223d150965cbe08d620e8404d9be38ea15d5626ce75...

ademas en la info de la traza aparece encryted Packet.

que imagino que es el paquete cifrado que se envía, y a partir de esta linea aparece en todos los paquetes enviados.

¿Qué protocolos viajan cifrados, todos (IP, TCP...) o alguno en particular? todos los protocolos se cifran .


¿Es posible ver alguna información de usuario como contraseñas de acceso?.Difícil ya que todos los datos van cifrados.

U2.T1b Analizando SSL. #moocHackingMU

Para la realización de este ejercicio, descarga esta traza con tráfico SSL y ábrela con Wireshark. SSL es un protocolo seguro que utilizan otros protocolos de aplicación como HTTP. Usa certificados digitales X.509 para asegurar la conexión. y estas son las preguntillas: ¿Puedes identificar en qué paquete de la trama el servidor envía el certificado?¿El certificado va en claro o está cifrado? ¿Puedes ver, por ejemplo, qué autoridad ha emitido el certificado?¿Qué asegura el certificado, la identidad del servidor o del cliente?.
En primer lugar tendremos que saber que es eso de SSL y buscando por la web encuentro esta definición: "Secure Sockets Layer y su sucesor Transport Layer Security son protocolos criptográficos que proporcionan comunicaciones seguras por una red, comúnmente Internet"

Si recordamos de la Unidad 1 los certificados X.509 son los que otorgan autoridades homologadas.

Como siempre, creo que lo mejor es imaginarnos la situación. Un señor en su ordenador, solicitando acceso a otro ordenador en este supuesto 65.54.179.198 y este le proporciona un certificado para que la comunicación sea segura.


Una vez en esto vamos a por la tarea.

¿Puedes identificar en qué paquete de la trama el servidor envía el certificado?


Abrimos la traza con wireshark y a leer, adelanto que ya conozco la respuesta pues la he leído de otros compañeros (gracias alberto), pero mi intento esta en analizar esa respuesta.

Total, viendo la traza se ve claramente que el tamaño de la 2 es mucho mayor que el resto, y ademas en la Info aparece el termino Cerfificate....con lo cual a buscar por hay, si hacemos un Folow de la traza podremos extraer la información.


¿El certificado va en claro o está cifrado? ¿Puedes ver, por ejemplo, qué autoridad ha emitido el certificado? 


Esta cifrado y en el folow anterior se puede leer la entidad.

¿Qué asegura el certificado, la identidad del servidor o del cliente?.

Según lecturas de compañeros la respuesta correcta es el servidor pero no lo tengo nada claro, ya que en realidad los que se esta cifrando el la comunicación entre ambos por lo cual pienso que se están protegiendo los datos de los dos. Buscaremos y pondremos otro post

Solución:Paquete 2,: esta cifrado por RSA y emitido por www.verising.com;¿?

U2.T1a Capturando Tráfico.con Wireshark. #MoocHackingMU

Para realizar esta tarea he instalado  el programa Wireshark y por supuesto me he vuelto loco....loco, loco, loco.

Recomiendo este vídeo de Rodolfo Ceceña que describe muy bien el programa.
Para comenzar con la primera actividad necesitamos abrir una traza ya creada de un telnet y resolver unas preguntas, esta es la traza. y estas las preguntas.
¿Qué usuario y contraseña se ha utilizado para acceder al servidor de Telnet?¿Qué sistema operativo corre en la máquina?¿Qué comandos se ejecutan en esta sesión?.
Vamos con ello.
Lo primero que he hecho es crear un filtro para que solamente aparezcan las trazas relacionadas con telnet .
Luego analizando las trazas se ve claramente que hay dos equipos 192.168.1.1 y el punto 2.
Desplegamos el árbol de la parte inferior correspondiente al telnet y ahora lo que toca es buscar, lo hacemos seleccionando cada una de las filas y viendo lo que aparece.
Es importante que te imagines la situación: un señor sentado en el terminal 2 pidiendo desde su ordenador y en una pantalla de comando acceso al terminal 1.
Vamos con las preguntas: ( las soluciones están al final, ahora solo los procedimientos)
1.a) ¿Qué usuario y contraseña se ha utilizado para acceder al servidor de Telnet? Pasando las trazas llegas a la linea 28 donde el ordenador 1 pide el login al 2 y si continuas este le contesta y en la linea 36 comienza a escribir el usuario luego marca unos saltos de carro (/r) y si continuamos buscando el ordenador 1 vuelve a pedir el password en la linea 56 y a continuación el equipo 2 lo introduce .
¿Qué sistema operativo corre en la máquina?.
Un poco antes también aparece pero el la linea 74 cuando el ordenador 1 resuelve el acceso del telnet, da la bienvenida y se puede ver el sistema operativo.
¿Qué comandos se ejecutan en esta sesión?.
Ahora si continuamos bajando por las trazas estaríamos "cotilleando" en la conversación entre los dos equipo, en la linea 76 aparece el promt ($) que es el símbolo de la ventana de comandos, algo parecido al C:/ que nos aparecía en el antiguo ms-Dos o que nos aparece en la ventana de comandos de Windows.
Si vamos leyendo vemos en la linea 92 las teclas que va pulsando 2 y como 1 las lee y en la linea 116 como le responde 1.
Si continuamos vemos el siguiente comando que teclea 2 y como le responde 1
y así hasta el final donde 2  escribe "exit" comando con el que abandona el telnet.

Buscando entre los compañeros del curso una opcción muy cómoda es pulsar con el botón izquierdo del ratón sobre el primer telnet y marcar Follow TCP y nos aparece una ventana con todos los comandos mucho más fácil de leer, y además podemos filtrar por ordenador de forma, que podemos ver los que escribe uno u otro.
 Mis Soluciones 
1.a usuario: fake, password user. Sistema operativo Open BSD 2.6 Beta. comando: ls- a, y luego sbin/ping www.yahoo.com.

sábado, 3 de octubre de 2015

Tarea 3. Cifrando mensajes. #MoocHackingMU

¡¡¡Vaya, vaya, vaya con el cifrado¡¡¡

Una vez instalado gpgEX y siguiendo las instrucciones y algún que otro tutorial he conseguido terminar la tarea.

La creación del certificado no ha sido laboriosa, pero si la importación de un certificado público de una compañera, ya que no aparecía como importado, después de realizar varios intentos y de generar nuevos certificados para probar, ella si podía importar mi clave pública pero yo no la suya....

Después de mucho trastear y de inutilizar antivirus y de cambiar de USB y de .......se queda colgado Kleopatra, lo cierro finalizando la tarea y oppps! Sorpresa, aparece el certificado, parece que simplemente era un refresco de pantalla, o quizás no....ya que al importar el certificado ponía en archivos importados 0.....

¡ Nunca lo sabremossss!.

En fin, ya tengo certificado, ya tengo clave pública y hemos conseguido enviar y leer un mensaje cifrado.

Vamos a por la 2 Unidad.