lunes, 22 de septiembre de 2008

Estados Unidos exporta basura electrónica a otros países

Estados Unidos está enviando dispositivos electrónicos usados que contienen sustancias tóxicas a otros países con escasa regulación y pocos recursos para proteger a las personas y el medioambiente, según reconoce un informe de una agencia auditora del propio gobierno estadounidense.


Todo apunta a que varias organizaciones de reciclado deproductos electrónicos de Estados Unidos están enviando al extranjero equipamiento usado que contiene tubos de rayos catódicos (CRT). Este hecho constituye una violación de las reglas de la agencia estadounidense de protección medioambiental (EPA- Environmental Protection Agency) -cuya regulación sólo cubre las exportaciones de monitores CRT desechados- de acuerdo con el informe elaborado por la oficina de responsabilidad gubernamental de Estados Unidos (GAO- Government Accountability Office).

Existe un “floreciente” mercado de desechos de equipamiento electrónico en ultramar. La EPA parece haber “hecho poco” para garantizar el cumplimiento de su ley de enero de 2007 que exige a las empresas notificarle cualquier exportación de CRT antes de que esta sea llevada a cabo, según GAO. El equipamiento que contiene CRT puede llegar a transportar hasta casi dos kilos de plomo tóxico, como indica el estudio de GAO, publicado la semana pasada.

“Ha aumentado la preocupación respecto a la posibilidad de que algunas compañías estadounidenses estén exportando estos materiales a los países en desarrolllo, donde las inseguras prácticas de reciclaje pueden ocasionar problemas de salud y medioambientales”, explica GAO. “La electrónica utilizada e importada que no puede repararse es a menudo reciclada en estas zonas mediante sistemas rudimentarios e ineficientes, y sin prácticamente ninguna protección medioambiental ni de la salud humana”.

Del dicho al hecho, hay mucho trecho
Hace unos meses, 43 compañías de Estados Unidos informaron a algunos investigadores de GAO que se hicieron pasar por compradores de equipamiento CRT de varios países asiáticos, de su disposición a exportar monitores CRT rotos o deteriorados, violando así el período de 60 días de espera exigido por la regulación EPA. GAO además subraya que entre esas 43 compañías, se incluyen algunas que “hacen gala púglicamente de sus ejemplares prácticas de protección medioambiental”.
Para realizar su estudio, GAO ha contactado con 343 empresas de reciclado y vendedores de equipamiento electrónico de segunda mano estadounidenses vía correo electrónico.

Via http://www.idg.es

viernes, 19 de septiembre de 2008

Error 404 not found y htaccess

Si quieres que el mensaje de error de página no encontrada se una pagina personalizada usando un servidor web apache tienes la opción de usar un fichero .htaccess

En él debes introducir la siguiente linia:
ErrorDocument 404 /notfound.html

De este modo la página notfound.html se mostrará en caso de que no se encuentre la página web que solicitan.

martes, 9 de septiembre de 2008

Seguridad de las Base de Datos

Un tema recurrente para DBAs es el de análisis de trazas para auditorias y del archivado de cambio de datos o “archive logs”. Una de las soluciones más comunes es la de distribuir estos ficheros en más de un grupo.

¿Para qué queremos registros de log?

Uno de los casos es el de rendir cuentas según identificación de responsabilidades. Otro caso de uso es el de gestión de informes y optimizar análisis de datos. Otro caso muy habitual es el de vuelta atrás de transacciones en el archivado de cambios. Por último por requisito legal puede hacer falta registrar los accesos a datos confidenciales o datos de carácter personal según su nivel de seguridad.

¿Cómo lo haremos?

Con triggers podemos lanzar procedimientos en el caso de detectar eventos, o tambien podemos usar archivos de log o incluso modificar el código insertando procedimientos almacenados en el código fuente.

De forma pasiva podemos analizar los archivos de log y realizar las acciones pertinentes sin interferir en el flujo principal productivo.

Resumen

Para analizar que métodos de auditoria de trazas de bases de datos nos puede solicitar presupuesto y le atenderemos.

Via auditoriasistemas.com

¡Gmail es BETA!

En octubre del 2007 vimos ataques a las cookies de google. Que gmail Aún sea beta quiere decir que pueden volver a aparecer vulnerabilidades. Además hay el riesgo en la seguridad de la información. Podemos ver el proyecto ECHELON de la CIA o lo que hace google con su adsense. Nuestra conclusión es que no deberia haber información crítica en gmail.

Unas recomendaciones básicas son:

  • Utilizar la versión HTTPS en: https://mail.google.com/mail
  • Formar/formarse para evitar ser engañado con ataques de enginieria social.
  • Evitar la fuga de información en cláusulas contractuales, de igual forma que en USBs o CDs.
  • Usar PGP a nivel empresarial siempre que se envie información crítica.
  • Valorar el uso de correo dedicado con VPN para los accesos remotos.
  • Valorar oferecer internet en una red aislada para el uso personal y cerrarlo en la red corporativa o cómo alternativa a utilizar técnicas de DMZ (con doble firewall).

Via auditoriasistemas.com

Que no os envien la contraseña definitiva por email

Tenemos que afrontarlo; muchos reaprovechan la misma clave para diferentes cuentas por internet. Cómo mucho se van utilizando un conjunto de ellas.

El problema llega cuando los portales y empresas envían las claves por correo electrónico justo al crear la cuenta. Las claves están para que no se conozcan y no por qué estén “pululando” entre distintos servidores de correo.

Estas cosas son un desconocimiento de prácticas de seguridad. De hecho esto da mala imagen de cara a la seguridad de las empresas.

¿Cómo garantizar la seguridad de nuestras claves? Dándo una clave cualquiera para comprobar que no nos la manden por correo. La definitiva la pondremos después cambiando la contraseña.

Pero siempre utilizando las mejores prácticas.

  • Si eres un usuario, no repitas las mismas claves en todos los sitios.
  • Si eres una empresa, los recordatorios de contraseña deberían ser claves temporales aleatorias, validas por cierto tiempo sólo por una solicitud al contestar una pregunta secreta.

La responsabilidad mayor es por parte de las empresas y portales. Si no garantizan la seguridad en el software que desarrollan no pueden proteger nuestros datos. Las auditorias de seguridad sirven para esto, asegurar el cumplimiento de una política de seguridad adecuada.

Via auditoriasistemas.com