Operaciones bancarias por internet

[reygecko]

Vale, creo que es un tema que merece ser tenido en cuenta por todos, así que le dedicaré unas letritas aquí.

Entrados ya en el siglo XXI, realizar operaciones bancarias a través de internet es algo bastante usual. Tan usual que, normalmente, no reparamos en los riesgos que ello conlleva. Me explico...

Cuando accedemos a nuestro banco desde el ordenador, podemos dejar restos en nuestro disco duro que le sirvan a un posible "visitante" no deseado, alguien que entre en nuestro sistema a través de internet o bien alguien que recoja nuestro disco duro de la basura cuando lo tiremos por ser muy viejo (o incluso por estar estropeado, que también se pueden recuperar muuuchos datos así) Aunque también podemos tener un "hacker" ya instalado en nuestro sistema de forma permanente, sin saberlo nosotros.

Imaginemos que tenemos nuestro sistema operativo "hackeado" de forma silente. Eso es algo que se puede hacer de forma bastante sencilla (por ejemplo, instalando un keylogger -programita que captura tus pulsaciones de teclado-, un troyano -programita que está escondido dentro de otro y ejecuta "vayaustéasaberquéoperaciones"- etc, etc.) y que, si tenemos la desgracia de padecer, nos puede dar un susto más que desagradable en nuestra cuenta bancaria.

Además, aunque hay unos sistemas muuuucho más seguros que otros (ejem, ejem, me estoy sujetando para no hablar de lo que ya suponéisssss...), es algo de lo que no se libra nadie al 100%. A todos nos pueden "hackear" nuestro sistema, acceder a nuestros datos y pegarnos un palo del bueno en nuestra cuenta bancaria.

Afortunadamente hay una solución muy sencilla. No, no es usar Linux (aunque ayuda bastante ) sino acceder a nuestros datos bancarios SIN TOCAR NUESTRO DISCO DURO. Así, si tenemos "visitantes no deseados" o programas espía, keyloggers o lo que sea, no les daremos la oportunidad de que se inicien y estaremos siempre con un sistema limpio de sorpresas que, además, no dejará rastros en el disco duro puesto que NO TOCA el disco duro, no necesita hacerlo.

Hay live-cd's tanto para Windows como para Linux. Si mi opinión os sirve, yo recomendaría acceder a vuestros datos bancarios ÚNICAMENTE utilizando estos medios.

En este post, para variar, no he pretendido "difundir" linux. He pretendido difundir la cultura de la seguridad telemática, que la tenemos bastante descuidada (para alegría de algunos hackers malvados, sniffers o cabronazos en general).

Bueno, ahí queda eso. El que quiera, que lo haga y el que no... que no se queje luego

Saludetes, que me voy a cenar

[piolín]

a mi me llega un poco tarde esos consejos,hace tres años ya lo sufrimos, nos dejaron desplumados,y hacía poco que habíamos vendido el piso que teníamos antes, gracias a que nos dimos cuenta en el mismo día y lo pudimos recuperar pronto,pero el susto que nos dimos os lo podeis imaginar, lo que si os digo a los que utiliceis internet para estas cosas es que mireis vuestras cuentas día sí y día tambien por si acaso que aunque la seguridad es cada vez mayor tambien la gentuza esta saben más cada día

[reygecko]

Vaya, piolín, siento que hayas tenido que sufrirlo

Lo cierto es que (normalmente por desconocimiento) a veces vamos dejando esas enormes puertas abiertas para que nos tele-asalten. Y evitarlo sería tan sencillo como utilizar un live-cd.

Yo utilizo varios bancos por internet y estoy razonablemente (nunca al 100%, pero casi) tranquilo porque sé que es realmente difícil hackear un sistema live-cd cableado.

Y todos podríamos tener la misma tranquilidad. Sólo hay que querer y, si no sabemos cómo, preguntar. Es sencillo, ¿no?

[hefistion]

Hombre, ya uso bancos online desde hace muchos años, que te pueden piratear, pues si, que es mas fácil que lo hagan con un sitema operativo que otro pues también.

Hay que diferenciar hasta que invel de seguridad y responsabilidad tenemos los que usamos este tipo de banca, evidentemente si al pc desde el que nos conectamos aparte de uno mismo también tiene acceso otras personas no de confianza (por ejemplo un cibercafe) evidentemente no te conectaras o pondrás claves personales dede ese pc no?

Lo mas normal es hacerlo desde casa tranquilamente, nada como un buen antivirus y un cortafuegos para los amigos de window$ unos cuantos consejos de sentido común (no responder a los correos que te solicitan tu clave, pinchar enlaces desde otras paginas que dicen llevarte al banco en cuestión, borrar cookies, cerrar la sesión, no utilizar las opciones de recordar contraseñas de los navegadores,etc).

En mi caso uso un programa llamado keepass (sirve para windows y linux)
sirve para guardar o generar contraseñas y sus respectivos enlaces a paginas web, no hace falta que te acuerdes de ninguna contraseña (bueno solo de una, la de la base de datos en la que guardas toda esta información), es mas, no hace falta que teclees nada, desde este programa le dices que te abra la pagina web en cuestión y simplemente con control+v te introduce de forma automática el usuario y la contraseña. La información que se guarda en el porta papeles también va encriptada, así que no hay peligro de keylogers , por cierto para los desconfiados la base de datos va encriptada a 256 bits en formato AES

Una ultima cosa, siempre que he regalado o vendido algún disco duro siempre le he pasado algún programa de borrado seguro( escritura de ceros en el disco duro) esto te da cierta seguridad, pero como me dijeron en unas charlas que me dieron de seguridad informatica, que normalemente ellos recuperaban los datos de un disco duro encriptado mediante ingieneria inversa ya que de otra forma era muyyyyyyyy dificil conseguirlo (mas que nada por el tiempo) y otra cosa a modo anecdotico, aunque formatees un disco duro o borres las particiones , es facilemnte recuperable (lo dice la voz de la expriencia y programas como testdisk) y se necesita un minimo de 11 escrituras (borrado seguro) en el disco duro para estar mas o menos tranquilos de que no te sacaran información de el. El fbi usa o usaba i-look para estos menesteres

salu2

[Ew]

Entonces, si por ej. uso VMWare y me cargo la copia nada más salir de mi banco, ¿no vale de nada?.
¿Y que pasa con los bancos cuya clave de entrada se teclea pulsando sobre los numeros que aparecen en pantalla?. Por mucho que te capturen cada pulsacion del teclado, no les sirve de nada, ¿no?

[reygecko]

Ew, si hicieses eso se lo estarías poniendo bastante difícil al ciber-ladrón de turno, pero no tanto como si no dejases ABSOLUTAMENTE NINGÚN RASTRO en tu disco duro, que es lo que ocurre cuando utilizas un live-cd para conectarte a tu banco.

Los bancos en los que tienes que pulsar con el ratón sobre un teclado virtual en pantalla que, en algunos casos, va cambiando su configuración tras cada pulsación son un buen método para protegerte, pero imagina esto: en vez de un keylogger (que sólo registraría qué números has pulsado desde el teclado) supón que tienes instalado un videologger (que grabaría lo que te sale por tu monitor). En ese caso, el "hacker-malvado" (ojo, normalmente un "hacker" no tiene por qué ser alguien malvado, pero eso es otro tema...) se haría igualmente con tu contraseña.

Para hefistion: yo sólo me conecto desde mi casa y con live-cd, pero hay muchos compañeros que lo hacen desde el trabajo (grandísimo error) o desde su bonito Windows, sin preocuparse de los ENORMES rastros que van dejando al hacer eso. Respecto de las contraseñas, alguna vez he visto en acción a keepass ("salvaculos", buen nombre ) pero personalmente veo mucho más seguro no dejar ningún rastro en mi disco duro. Y es tan sencillo usando un live-cd, que no veo por qué no utilizar un sistema que es IMPOSIBLE que te infecten y que puede resultar PRÁCTICAMENTE IMPOSIBLE que te "hackeen" porque deberían hacerlo en tiempo real mientras estás conectado, lo que resulta técnicamente imposible si utilizas el live-cd sin demoras: inicias el pc, visitas tu banco, haces lo que sea, cierras pc. No le da tiempo ni a Kevin Mitnick jejeje...

Venga, saludos. Espero que este hilo sea útil para más de un incauto que vive demasiado confiado...

[mafestu]

Pero tampoco por este tipo de informaciones entréis en pánico y dejéis de usar la banca online.

No se de memoria las estadísticas, pero el fraude de este tipo es tanto o menos como los robos a mano armada de toda la vida, al menos para el cuidadano de a pie.

[reygecko]

Es cierto maf, no quería alarmar a nadie. Tan sólo pretendo que la gente conozca algún método sencillo que evitaría ese riesgo

[hefistion]

Hombre se me ha adelantado mafestu, mi comentario iba a ir por la misma linea, de todas formas yo en mi casa tengo ventanas y no pasa nada, no se si se me entiende

[THOR]

Hola a todos,

Quería hacer una pregunta a los que más controlais de Linux en lo referente a seguridad..

Me gustaría encontrar algún Firewall para Linux que fuera capaz de firmar digitalmente las aplicaciones que corren en el sistema y que quieran acceder a internet. Me explico, en Guindows hay multitud de Firewalls que para cada programa ejecutable aplican un algoritmo que genera una clave que es función del contenido y lo guarda en una tabla, de esta manera cuando el programa quiere acceder a internet lo primero que hace el Firewall es volver a calcular esa clave, si no coincide con el valor anterior de suelta un warning avisando de que la aplicación a cambiado (p.ej, te han metido un troyanito en el programa) y que ya es cosa tuya si la dejas salir o no..

Pues bien, en Linux no conozco ningún software similar, las funcionalidades con Iptables y cosas parecidas solo te dejan filtrar por IP origen/destino y puerto destino. Esto me parece que da poca seguridad si se te ha colado un troyano, porque si lo más normal es que en tu PC tengas abierto el puerto 80 hacia ANY (internet) con lo cual el troyanito solo tiene que usar ese puerto 80 para llamar a casa...

De todas maneras Linux es más seguro no solo porque es más robusto, sino porque hay menos gente programando maldades para Linux que para Guindows..

¿Conceis algún Firewall no comercial para linux que firme aplicaciones?

Gracias a todos los Linuxeros.

[owhwo]

Suscribo lo que dice reygecko. Ademas yo soy un usuario de la banca on-line y siempre uso un live-cd de Ubuntu que me pasó reygecko, el cual por cierto, funciona de maravilla, rapido y sin problemas.
Despues de ver todas las "guarreridas" que circulan por la red, no sere yo el que me arriesgue a que me quiten dinero de la cuenta del banco, que para eso ya se las bastan solitos los propios banqueros.

[reygecko]

Para THOR:

Nunca se me ha ocurrido utilizar firmas digitales de los programas que tengo instalados en mi ordenador, no soy tan fanático de la seguridad jejeje... bueno, corrijo: sí que lo soy, pero resulta infinitamente más seguro el acceso a tus datos bancarios mediante live-cd (o live-dvd, como dice owhwo ) basado en red cableada (la wifi es otra historia) que cualquier sistema de firmas digitales, puesto que siempre se puede "atacar" al firewall y... tachán!! tendremos el mismo problema. Por lo tanto, para los datos que tengo en mi ordenador, no me preocupo tanto; pero visitar el banco por internet es otra historia. Eso ya he dicho cómo lo hago y, si alguien me sugiere otra forma más segura, soy todo oídos

Es cierto que Linux tiene muchos menos usuarios que Windows, lo cual limita el número de atacantes que recibe. Pero también es cierto que los huesos en los que se monta el sistema son muchísimo más robustos que los que soportan a Windows, por lo que ya estructuralmente te ofrece muchas más garantías. Lo mismito que Mac (salvando las enormes y monetarias distancias)

Aún así, la mayor seguridad viene siempre de parte del usuario: si el usuario "facilita la vida" al atacante, entonces estamos perdidos...

Respecto de las firmas digitales, sólo he encontrado esto:
http://oasis.dit.upm.es/~jantonio/firmadigital/

No obstante, me has picado la curiosidad (gracias por hacerlo ) y trataré de enterarme de eso y te volveré a contestar cuando lo sepa ¿ok? Saludetes.

P.D.- Hefistion quizá sepa cómo responder a esta cuestión, él sabe de linux mucho más que yo

[KURRO]

Sobre la utilizacion de las operaciones bancarias on line (internet); debo indicarte que según mi humilde opinión, y tu lo sabes muy bien; que con 27 alcaldes y 240 concejales etarras introducidos en los Ayuntamientos del Pais Vasco, además del engorde economico que ello les supone no creo conveniente que encima les facilitemos todos nuestros datos personales a traves de la red. Me explico: esta gentuza puede meter en los Ayuntamientos, como cargos de confianza a un sin fin de jacker que pueden acceder con toda tranquilidad, seguridad e impunidad, tanto en nuestros equipos, como en nuestras cuentas: Dicho lo cual, reitero mi reserva de realizar cualquier tipo de operacion on line que requiera la introduccion de datos personales reales. Un saludete

[angazu]

Hola a todos,



Me gustaría encontrar algún Firewall para Linux que fuera capaz de firmar digitalmente las aplicaciones que corren en el sistema y que quieran acceder a internet. Me explico, en Guindows hay multitud de Firewalls que para cada programa ejecutable aplican un algoritmo que genera una clave que es función del contenido y lo guarda en una tabla, de esta manera cuando el programa quiere acceder a internet lo primero que hace el Firewall es volver a calcular esa clave, si no coincide con el valor anterior de suelta un warning avisando de que la aplicación a cambiado (p.ej, te han metido un troyanito en el programa) y que ya es cosa tuya si la dejas salir o no..

.

No lo he probado, pero un colega me hablo del TuxGuardian que creo que usa hash md5 como firma digital de la aplicacion para saber si esta ha sido modificada. De hecho, me aseguro que si se actualiza la version de una aplicacion, pregunta por permiso para acceder a la red como si fuese algo nuevo.

Si funciona y se puede instalar en ubuntu,( me conto que iba en Red Hat) te agradeceria informases para proceder a instalarla.


saludos
Angazu

[reygecko]

Para Kurro:

No sé quién eres, pero bueno, un saludete.

Coincido contigo en que es una vergüenza que haya etarras en los ayuntamientos pero eso... ¿qué tiene que ver con que usemos live-cd´s para aumentar nuestra privacidad en el acceso a nuestro banco? Creo que no he entendido muy bien lo que quieres decir...

Para angazu: un aporte muy acertado creo que responde exactamente a lo que buscaba THOR. Muchas gracias. No obstante, a mí me ha picado la curiosidad y buscaré alguna otra cosilla, que seguro que la hay.

Saludetes a todos

[angazu]

Lo que pasa es que no esta en .deb ni aparece en los repositorios de ubuntu. Seria conveniente que si alguien lo consigue instalar y funciona bien, ponga aqui el proceso para los que somos torpones en esto de la informatica.

saludos
Angazu

[hefistion]

Hola THOR pues yo no conozco en linux ningún cortafuegos que use una firma o algoritmo para autentificar su funcionamiento, todos los que conozco basan su funcionamiento en iptables como bien dices. De todas formas si estas muy interesado me puedo enterar si existe algo asi , de todas formas supongo que cada vez que cambies o actualices el sistema tendrás que actualizar también el cortafuegos y por cierto si te han colado un troyano teniendo cortafuegos casi seguro que tambien tendrá una salida

Conozco varias herramientas (como Chkrootkit, Tripwire y Rkhunter) que comprueban la integridad del sistema, asi como herramientas de detección de intrusos (nessus),escaneo de redes (nmap) etc, etc, pero tampoco hay que ser muy paranoico en este sentido por que una cosa es segura, si alguien se empeña en entrar en tu pc estate seguro de que entra

Por ciedrto leyendo en el site de tuxguardian a lo mejor es lo que preguntabas (yo no sabia ni que existia )

TuxGuardian was developed after the observation that Linux security applications were not tailored for lay users. With TuxGuardian you'll be able to implement access control policies to the network resources in order to identify and control every application that tries to access the network.

salu2

[MR.Tux]

Hola a todos,

Bueno, antes que nada presentarme porque soy nuevo en el foro y un poco "garrulillo" me temo en temas linuxeros e informáticos en general (por eso creo que me viene "al pelo" el avatar de Mr.T jeje), pero tengo muchas ganas de ir aprendiendo cositas (aunque sea poco a poco y haciéndoos preguntas chorras a veces). Estos días que he estado entrando en el foro me han parecido muy interesantes los temas que comentáis y en concreto éste, aunque sea un poco antigüo.

Yo soy uno de esos reacios a las operaciones bancarias por internet más allá de la mera consulta ocasional de operaciones pero, aunque tengo Linux, no está de más hacer acopio de las mayores herramientas de seguridad posibles para no ponerle las cosas fáciles a nadie

Había oído hablar de los live-cd's y aunque nunca los he visto funcionando parece la mar de sencilla su utilización por lo que comentáis. ¿Sabéis dónde o cómo puedo adquirir uno?

Ya os advertí que haría preguntas chorras

Gracias y saludos.

[hefistion]

Hola y bienvenido, otro linuxero mas , aqui encontraras casi todas los livecds que existen

http://www.livecdlist.com/


De todas formas en el sitio web de cada distro tienen enlaces para descargar el livecd si existe

salu2

[reygecko]

Había oído hablar de los live-cd's y aunque nunca los he visto funcionando parece la mar de sencilla su utilización por lo que comentáis. ¿Sabéis dónde o cómo puedo adquirir uno?

Los live-cd o live-dvd son gratis (¡¡esto no es Microsoft!!), sólo hay que bajarlos y grabarlos.

Ya os advertí que haría preguntas chorras

La única chorrada es no intentar aprender lo que uno no sabe. Bienvenido

P.D.- Practicamente todas las revistas de linux que hay a la venta incluyen algún cd/dvd que suele ser un live. Lo digo por si te da pereza bajar una ISO y quemarla.

[MR.Tux]

Había oído hablar de los live-cd's y aunque nunca los he visto funcionando parece la mar de sencilla su utilización por lo que comentáis. ¿Sabéis dónde o cómo puedo adquirir uno?

Los live-cd o live-dvd son gratis (¡¡esto no es Microsoft!!), sólo hay que bajarlos y grabarlos.

Jajaja reygecko... creo que me expresé un poco mal (por "adquirir" no me refería a comprar sino más bien a un sitio web donde poder bajarlos). Voy a ver donde me comenta hefistion a ver qué tal y os cuento. Thanks.

[maren]

una pequeña cuestión, yo ,que uso dos bancos por internet...

A parte de lo del teclado "virtual" que comentaba Ew (creo) una medida bastante extendida es:

a) no solicitar la contraseña completa en cada conexión sino hacerlo con cifras aleatorias (no sé si algún videologger de estos será capaz de crear un algoritmo para completar la contraseña... supongo que todo es ponerse)
b) pedir cifras aleatorias de una tarjeta de coordenadas cuando quieres "mover dinero" a parte de la contraseña con teclado virtual para entrar...
Y si le añades un sistema de avisos por sms para cantidades que superen un cierto límite (unos 150 euros) pues me parece bastante seguro.

De todas maneras, y teniendo en cuenta las recomendaciones generales que habéis hecho, me gustaría recordar una que te hacen en el propio banco: cambiar la contraseña cada cierto tiempo.

Por supuesto, otro tema a parte es cómo crearte una contraseña que sea segura... Pero de eso mejor que hablen los expertos...

[reygecko]

Y una cosa muy importante que ya dije antes, Maren: conectarse desde un live-cd (o un live-dvd). Desde ahí te aseguras que no tienes programas "espía" instalados y te quitas el 99% del riesgo. Símplemente con eso. ¿Para qué arriesgarse?

[hefistion]

Pero usar un livecd cada vez que me conecto a los bancos me parece un poco paranoico, teniendo un poco de sentido común (antivirus y firewall para los windowseros) creo que es mas que suficiente.



salu2

[reygecko]

Pero usar un livecd cada vez que me conecto a los bancos me parece un poco paranoico, teniendo un poco de sentido común (antivirus y firewall para los windowseros) creo que es mas que suficiente.

Puede ser un poco paranoico, quizá tengas razón... pero yo lo hago Y si piolín (en el segundo mensaje de este hilo) lo hubiera hecho, no le habrían desplumado. A propósito piolín ¿usabas cortafuegos y antivirus?