¿Eres de los insensatos que paga con el móvil?
Si ese es tu caso, deberías saber que guardar tus tarjetas de débito y crédito en Google Pay para pagar con tu móvil es un riesgo importante. Kaspersky ha detectado que el malware Harly estaba detrás de 190 aplicaciones de Android. Se encargaba de suscribir a insensatos como tu a servicios de pago no deseados.
Bueno, no queremos que te sientas mal, pero todos y todas deberíais tener más cuidado. Los técnicos de la empresa de seguridad Kaspersky han informado de este truco tan aparentemente inocente que hasta se han efectuado 4,8 millones de descargas en Google Play Store. O sea 4,8 millones de víctimas, aunque la cifra podía ser bastante mayor.
Los ciberdelincuentes se encargaban de ofrecer servicios varios que se escondían detrás de aplicaciones legítimas inofensivas, como minijuegos o linternas. Este tipo de aplicaciones suelen ser las más descargadas del mundo, porque son gratuitas y los delincuentes saben perfectamente que la gente se pirra por descargarse cosas gratuitas. Es por eso que, en total, este malware consiguió casi 5 millones de descargas durante los dos años en los que ha estado en funcionamiento.
Hay que puntualizar que Harly ataca solo a los usuarios de Android.

Este troyano, como recuerda Kaspersky, imitan aplicaciones legítimas. Los estafadores descargan estas App de Google Play, insertan el código malicioso y las vuelven a subir con otro nombre. La conclusión es que al final el usuario adquiere una suscripción de pago sin darse cuenta. Además el troyano permite la suscripción cuando el proceso está protegido por un mensaje de texto. Pero también cuando lo está mediante una llamada telefónica: Harly llama a un número concreto y confirma la suscripción.
Una vez que el usuario descargaba y abría la aplicación infectada, el troyano empezaba a recopilar toda la información posible sobre su dispositivo electrónico. El teléfono cambiaba de red móvil y el troyano hacía el resto para configurar la lista de suscripciones a las que tenía que apuntarse.
Una vez el malware ya estaba instalado y abierto en un dispositivo, abría portales de suscripción en una ventana oculta. De esta manera, los estafadores, lograban llevar a cabo toda la operación sin levantar ni un solo tipo de sospechas.
Podéis leer toda la información sobre este troyano, como funciona o cómo protegerse en ESTE ARTÍCULO publicado en la web de Kaspersky.
También podéis consultar el soporte de Google, donde explican como introducir automáticamente la información de pagos en aplicaciones. Y también como minimizar los riesgos, ya que tienen unos apartados titulados “Desactivar las solicitudes para guardar los datos de pago” y “Cambiar dónde se guardan tus datos”. Lo podéis leer AQUÍ.
Como bien recomiendan los investigadores de Kaspersky, debemos ir con mucho ojo a la hora de navegar por internet y no descargar todas las aplicaciones que nos resulten interesantes. Antes de hacerlo es recomendable leer reseñas, verificar cualificaciónes en Google Play… Sí, sí, ya sabemos que nadie lo hace. Pero nuestra misión es pediros que lo hagáis, porque… ¡somos una empresa de ciberseguridad! Y también debemos deciros que aún así, puede ser que hasta las mismas reseñas no sean reales, así que os recomendamos instalar un antivirus fiable para curaros de espantos.
Imagen principal: Imagen de Gerd Altmann en Pixabay
- Published in Ataques / Incidencias, General, Noticias, Productos, Serveis, Sistemas operativos
J.M. Ortega: “Hay que tener formación reglada y luego complementarlo con asistencia a congresos.”
Nos acercamos a la figura de José Manuel Ortega, un autodidacta que se atreve con todo: artículos, docencia, charlas y conferencias, libros… Algunos son de temática bastante profesional, como los dedicados a Python, pero otros están pensados para el gran público. Este es el caso del libro “Ciberseguridad. Manual práctico”, editado por Paraninfo.
En este mundo ligado a la ciberseguridad encontramos todo tipo de profesionales. Los hay que desarrollan sus aptitudes desde una formación reglada, ya sea técnica o empresarial. Otros lo hacen desde el mundo laboral, a costa de los cambios naturales de sus empresas. Y finalmente hay otras personas que llegan a la ciberseguridad desde el interés por la tecnología, lo que les ha llevado a ser auténticos hackers (en la definición que reivindicamos siempre desde TECNOideas) o frikis.
José Manuel Ortega es ingeniero de software e investigador de seguridad apasionado por las nuevas tecnologías. Ha impartido formación a nivel universitario y ha colaborado con la escuela oficial de ingenieros informáticos. Algunos de sus libros están relacionados con el lenguaje de programación Python, seguridad, docker y devops.
Publicamos la entrevista en dos fases. La primera hoy y la segunda la próxima semana.
“Lo más importante es tener una mente abierta y despierta
para aprovechar al máximo los congresos.
Todo va muy rápido y la cantidad de información es abrumadora.”
Nunca has trabajado realmente en empresas de ciberseguridad. ¿Cómo llegaste a este mundo?
Bueno, llevo trabajando en una empresa de ciberseguridad solo desde hace aproximadamente un año. Si bien es cierto que mi perfil es más de desarrollador que auditor de seguridad, me han interesado los temas de ciberseguridad sobre todo a raíz de trabajar en diferentes proyectos relacionados con la seguridad en aplicaciones para móviles y al descubrimiento del lenguaje de programación Python como una de las plataformas más usadas para el desarrollo de herramientas orientadas al pentesting. Gracias al conocimiento adquirido dentro de la ciberseguridad, he podido aplicarlos al desarrollo de arquitecturas y desarrollo seguro de aplicaciones.
Algunos autodidactas empiezan a introducirse en este mundo a través de encuentros, jornadas y congresos del sector. ¿Es un buen sistema?
No sólo es un buen sistema, sino que creo que es la mejor opción para conocer qué empresas hay, realizar networking con otros asistentes y estar al tanto de todo lo que se mueve en este sector. La mayoría de los congresos ofrecen talleres para introducirse en nuevas tecnologías y las charlas son impartidas por profesionales del sector. Lo más importante es tener una mente abierta y despierta para aprovechar al máximo este tipo de congresos. Las veces que he podido asistir tengo la sensación que todo va muy rápido y en ocasiones la cantidad de información es abrumadora. Lo difícil y complicado es cuando llegas a casa con todo lo que has aprendido y todo lo que te falta por aprender y entonces te preguntas ¿por dónde empiezo?
Participaste en la segunda edición de una de las cons decanas de España, la Navaja Negra. ¿Qué tal resultó la experiencia de las ponencias en general?
Navaja Negra es hoy por hoy una de las conferencias más importantes a nivel de ciberseguridad y participar en ella me abrió un mundo de posibilidades hasta ese momento desconocido para mí. Fue una de las primeras conferencias a las que asistí para dar una charla sobre seguridad en aplicaciones móviles y la experiencia fue muy buena. En los sucesivos años he estado en alguna ocasión como asistente y el nivel de las ponencias es muy alto.
Queremos recordar a todos los seguidores de nuestro blog, que este año se celebra la décima edición de esta conferencia. Se espera que sea una de las ediciones más espectaculares, porque vuelve trans dos años de sequía. Apuntaros las fechas: del 10 al 12 de noviembre en Albacete. Tenéis aquí toda la información sobre Navaja Negra 2022 .

¿Cómo ves la formación de ciberseguridad en España? ¿Qué les recomendarías a los jóvenes frikis amantes de la tecnología?
La formación en ciberseguridad ha crecido mucho en los últimos años y cada año es más amplia y variada en diferentes formatos como cursos online, másteres reglados y bootcamps. Para tener el perfil más completo posible mi recomendación es tener tanto formación reglada ya sea a nivel universitario o formación profesional y luego complementarlo con la asistencia a congresos que tengan relación con alguna de sus motivaciones.
A los más jóvenes pues comentarles que al final la motivación, actitud y
ganas de superarse son la clave, más allá de los conocimientos que
uno puede adquirir en los cursos o conferencias donde aquellos que
les gustan más cacharrear se encontrarán como pez en el agua con las competiciones CTF (Capture The Flag) y los talleres que se imparten.
¿Para quién está pensado el libro “Ciberseguridad. Manual práctico”?
La ventaja de este libro es que no es excesivamente técnico y tiene un público bastante amplio. Los primeros capítulos son de introducción y tienen un objetivo más divulgativo. Luego a partir del capítulo 5 se tocan temas más específicos donde el público objetivo va variando
al tratar temas sobre desarrollo seguro, hacking ético, investigación en fuentes abiertas
y centros de operaciones de seguridad. Lo escribí pensando en una línea que va desde lo más generalista a lo más específico, dando una visión global de lo que se puede encontrar un usuario que se introduce en la ciberseguridad, sin dejar de lado usuarios con conocimientos más específicos.
Hasta aquí la primera parte de la entrevista mantenida con José Manuel Ortega. En la próxima entrega os seguiremos mostrando interesantes temas relacionados con su actividad y sobre la seguridad de la información.
- Published in Congresos, Entrevistas, Formació, General, Noticias, Seguridad, Sistemas operativos
¿Por qué celebrar el Día del Software Libre?
Estamos en un mundo global donde la tecnología reina sin rubor para mayor concentración de ganancias de las grandes plataformas que proporcionan servicios. En este contexto, la libertad, tantas veces gritada por la historia, se convierte en una especie de aldea gala que resiste al invasor. Por eso es necesario reivindicar el software libre y agradecer a sus impulsores un trabajo que beneficia a toda la sociedad.
Esta semana ha llegado la noticia de que el Tribunal General de la Unión Europea ratificó la sanción a Google que había sugerido la Comisión Europea en 2018: nada menos que ¡4.125 millones de euros! El motivo: el abuso de la posición dominante en el mercado. Es la multa más alta en la historia impuesta por una autoridad de la competencia y nos da una idea de las ganancias a nivel mundial que este gigante tecnológico obtiene. Y no solo Google. La Comisión también está batallando contra otras empresas globales como Microsoft, Amazon, Meta o Apple. Podéis leer la noticia que publicó El País AQUÍ.
Esta batalla de David contra Goliat es, seguramente, la respuesta más contundente a la pregunta ¿por qué celebrar el Día del Software Libre?
Desde 2006, el tercer sábado del mes de septiembre
se celebra el Día Mundial del Software Libre o de la Libertad del Software.
Hoy lo celebran más de 300 equipos de un centenar de países.
El Día Mundial del Software Libre o Día Mundial de la Libertad del Software, es un evento que se impulsó en el año 2004 y se celebró el 28 de agosto. Posteriormente se fijó la fecha del tercer sábado de septiembre. Este año, por lo tanto, se celebra mañana, 17 de septiembre.
El impulsor de este día y organizador principal del evento es la Software Freedom International, una entidad sin ánimo de lucro. En este enlace tenéis toda la información sobre la celebración del evento 2022, en el que participan más de 300 equipos de un centenar de países y cuenta entre sus patrocinadores Linode.com, Canonical Ltd, Free Software Foundation, Free Software Foundation Europe, FreeBSD, Joomla!, Creative Commons y Open Clip Art Library.3
¿Qué significa Software Libre?

Un software libre, no es más que un programa informático cuyo código fuente puede ser estudiado, copiado, modificado, mejorado y redistribuido sin costo alguno. Eso significa que se puede alterar y compartir, sin la necesidad de tener el permiso de su creador. Ya os podéis imaginar que gracias a ello no hay problemas legales con su uso, ni siquiera si se copia, distribuye o se altera (dentro de un orden; hay cláusulas de la comunidad de creadores que se deben respetar).
Entre las ventajas más destacadas hay que mencionar que el lenguaje lo puede entender cualquier programador y a partir de él ir escalando lo que precise su cliente. Muy distinto a lo que ocurre con programas de copyright, que solo sus técnicos pueden acceder a los códigos del lenguaje.
El Día Mundial es una oportunidad para reivindicar, realizar charlas y debates educativos y ampliar el acceso al software libre en todo el mundo. El objetivo final es facilitar el acceso a la tecnología para reducir la brecha digital y el analfabetismo tecnológico.
En este sentido es interesante recordar las críticas que recibió la Unesco por no haber sido capaz de crear herramientas libres para facilitar el acceso a la tecnología de los países en vías de desarrollo.
Para saber algo más de este tema, podéis leer este artículo del movimiento Somos Libres en el que traza un poco de historia.
Desde TECNOideas, y dentro de nuestra visión de la empresa y del mundo tecnológico, puesto en el hacking ético, el libre y compartido conocimiento, y todo lo que conlleva, hemos promovido el software libre, tanto en sistemas operativos, como en software alternativo (que hay para todos los gustos), y tanto para nosotros, como recomendado para ciertos clientes nuestros.
Cierto que no es del gusto de todos, y que va por delante la mala enseñanza que se da de la tecnología y la informática en general, con el software propietario como asignatura, en lugar de enseñar a usar cualquier tipo de software. De ahí que todo el mundo quiera comprar marcas, y no soluciones.
Por suerte no somos los únicos, y asociaciones de hacking, reciclaje, o comunidades de formación y divulgación, como nuestros amigos de HackMadrid%27 (y todos sus asociados en diferentes puntos de la geografía mundial), luchan arduamente en esta labor.
Precisamente esta organización está preparando la World.Party2K22 una conferencia con charlas y mesas redondas dedicada a compartir el conocimiento y la cultura hacker. Será del 10 al 16 de octubre. Tenéis más información y la opción de registaros AQUÍ.
Y como vuelve a salr en un artículo nuestrola palabra hacker, os recordamos que reivindicamos desde hace tiempo que no es sinónimo de ciberdelincuente. Por ello os invitamos a leer la historia de esta palabra en este artículo de junio de 2021.
Imagen principal: Génesis Gabriella en Pixabay.
- Published in Evento, General, Historia, Productos, Programacion, Sistemas operativos
¿Un sistema es más seguro que otro? Ninguno se libra: filtraciones en Safari.
En nuestro sector, como en muchos otros, existen algunas leyendas urbanas cuyo origen siempre es dudoso y su veracidad nunca está contrastada. Una de las más extendidas es que el sistema operativo de Mac OS de Apple es más seguro y en consecuencia, no hay virus en los ordenadores Mac. Pues no, lo sentimos, pero… ¡eso es falso!
Nosotros ya os lo hemos dicho en más de una ocasión. Quizá la más contundente llegó tras un informe de Kaspersky que publicamos hace ya un tiempo en este mismo blog. Lo podéis ver AQUÍ.
Pero como siguen habiendo escépticos, hoy os presentamos una nueva prueba que no deja lugar a dudas.
En esta ocasión es la empresa FingerprintJS la que ha indicado la causa de un error en la implementación de la versión 15 del navegador Safari en iOS e iPadOS. Este error posibilita la filtración de información confidencial de los usuarios, incluyendo datos de cuentas personales en Google.
Recordamos que Mac OS son los sistemas operativos desarrollados por Apple para toda su familia de ordenadores Mac. El error en cuestión se debe a que Apple requiere que los navegadores en iOS 15 e iPadOS 15 usen el motor Webkit en sus sistemas operativos. El software introducido para implementar la versión 15 de Safari posee la API IndexedDB y sería ésta la que permitiría que cualquier sitio web restree su actividad en Internet.
API es el acrónimo de Interfaz de Programación de Aplicaciones, del inglés Application Programming Interface. Se trata de una especie de traductores que posibilitan conectar sistemas, softwares y aplicaciones y ofrece un uso de la tacnología más comprensible para las personas.
Cuando una página web tiene interacción con una base de datos, la base se duplica con el mismo nombre en el resto de pestañas abiertas. Esa base de datos duplicada sería suficiente para extraer de ella información y documentos de un usuario de Google.
Para frenar la filtración de datos confidenciales, hay dos opciones: bloquear JavaScript o usar un bloqueador de anuncios, como AdBlock.
FingerprintJS es una empresa estadounidense, con sede en Chicago que se dedica a la detección de fraudes para diferentes negocios. En su web explican que esta fuga ya la habían detectado el 28 de noviembre y que los ingenieros de Apple trabajaron en el error y fusionaron posibles soluciones poco después.
Pero FingerprintJS insiste en que el error persiste e incluso ha creado una página de demostración simple que demuestra la forma en que una web puede llegar a conocer la identidad de la cuenta de Google de cualquier visitante. Esta demo está disponible en safarileaks.com donde además publican una lista de sitios web que interactuan con la API de IndexedDB y encontramos algunas tan usadas como Alibaba, Bloomberg, Dropbox, Netflix, Twitter, Web.whatsapp o Youtube.
Podéis leer el extenso artículo sobre esta filtración que la propia FingerprintJS ha publicado en su blog AQUÍ.
Como veis, una vez más, deciros que trabajar con un Mac no asegura la inviolabilidad de vuestro ordenador y de las fuentes que se usan. Estas filtraciones en Safari son una prueba más de que no, en absoluto. Y es que, como nos preguntábamos al principio, ¿un sistema es más seguro que otro? Filtraciones en Safari.
Según Apple, “Safari es el navegador más rápido del mundo gracias a la supervelocidad del motor JavaScript. Se ha desarrollado específicamente para funcionar en dispositivos Apple, por eso ofrece un consumo muy eficiente que logra que la batería de mucho más de sí. Y ahora, con el chip de Apple, se ha convertido en un verdadero cohete.”
- Published in Ataques / Incidencias, General, Noticias, Seguridad, Sistemas operativos, Tecnología
Pequeñas cosas que hacen la vida más fácil
Estamos en el mes de la ciberseguridad y algunas empresas lo han aprovechado para sacar novedades al mercado o anunciar importantes novedades. En este segundo caso se encuentra nuestro amigo Google, del que hablaremos a continuación. Por su parte, algunas Administraciones también han propuesto nuevas leyes o normas para luchar contra engaños. Es el caso de Estados Unidos y los fraudes de las tarjetas SIM o la UE con los cargadores. Son esas pequeñas cosas que hacen la vida más fácil.
Todos somos conscientes de la fuerza y poderío de Google. Nuestra relación con este gigante podría describirse con nuestra famosa frase “ni contigo ni sin ti”. Lo necesitamos (aunque no tanto como solemos creer) a pesar de que hay algunas cosas de su forma de proceder que detestamos.
Así que no paramos de criticar a Google, exigiéndole algunas cosas como en este artículo de nuestro blog titulado ¿Servicios de Google seguros?.
Recurriendo a otra de nuestras frases populares “una de cal y otra de arena”, también debemos decir que se preocupa bastante de ir mejorando sus servicios y seguridad. Hoy queremos explicaros que antes de que acabe este 2021 Google habrá implementado en todas sus cuentas la autenticación de doble factor. Eso significa que lo va a hacer en unas 150 millones de cuentas.
Las novedades que ha presentado Google hacen referencia a que ha introducido en su gestor de contraseñas una herramienta que lo va a posibilitar. Estará integrada en Chrome y Android.
En iOS se incorporará la función de generar una contraseña de forma automática.
Por su parte, en la app de Google se va a introducir una nueva función que permitirá acceder a todas las contraseñas guardadas, directamente desde el menú.
Podéis leer la información sobre el tema que explica Google en su blog oficial.
Y seguimos con un tema también relacionado con el doble factor de autenticación, y también relacionado con otros delitos tecnológicos: las tarjetas SIM de nuestros teléfonos móviles y smartphones.
En la administración de Estados Unidos, la Comisión Federal de Comunicaciones quiere terminar con dos de los fraudes más comunes y que afectan a millones de usuarios: el duplicado de las tarjetas SIM y el fraude de transferencia, que significa que cambian de operador.
Con estas dos maniobras relativamente sencillas, los delincuentes pueden hacerse con los teléfonos y los datos de los usuarios. Para evitar estas prácticas, la Comisión Federal quiere imponer nuevas normas para obligar a los operadores a incrementar la seguridad. Así, por ejemplo, creen que antes de redirigir un número de teléfono a un nuevo dispositivo o a un portador deberían comprobar la identidad del usuario.
También quieren obligar a los operadores a notificar a los usuarios de inmediato cuando se solicite un cambio o una copia de la tarjeta SIM. Podéis leer esta noticia AQUÍ.
A veces parece increíble que estas pequeñas cosas que harían más fácil la vida de millones de usuarios no estén ya implantadas. Si los operadores dedicaran un poco más de recursos a la ciberseguridad en lugar de volcarlos casi todos en la tecnología y nuevas prestaciones a menudo de dudosa necesidad, les estaríamos muy agradecidos.
También la Unión Europea acaba de dar un paso en este sentido. Está valorando la posibilidad de obligar por ley que exista un cargador único y universal para los teléfonos móviles. Después de solicitarlo varias veces a los fabricantes sin ningún éxito, la propuesta es que en el 2024 ya sea una realidad. Y no solo para los smartphones. La ley obligará también a los puertos de dispositivos como tabletas, auriculares, cámaras y altavoces.
En este caso, además de hacernos la vida más sencilla, hay otro importante motivo: reducir el impacto medioambiental y económico que implica tener tantos cargadores diferentes. Y es que la Unión Europea ha valorado en 2.400 millones de euros el gasto anual en cargadores individuales.
La Comisión quiere que los consumidores puedan decidir si quieren adquirir o no un nuevo cargador cada vez que se compren un nuevo dispositivo, para evitar acumular 11.000 toneladas al año de residuos electrónicos. También es una magnífica noticia para el planeta.
Podéis leer la nota de prensa en la web del Parlamento Europeo.
- Published in Ecológico, General, Noticias, Seguridad, Sistemas operativos
¿Virus solo en Windows? ¡Claro que no!
Una de las cosas que no nos cansamos de repetir es que no debemos caer en que el árbol no nos deje ver el bosque. Así que hay una tendencia a pensar que Windows es el sistema más vulnerado. Pero no se debe a que sea más fácilmente atacable, sino que se debe a que es el más extendido. Evidentemente hay opciones “malignas” para todos los demás sistemas operativos. O casi todos, porque hay sistemas minoritarios que no captan la atención de los delincuentes. Así que fuera leyendas urbanas y tened muy presente que entre los sistemas que se creen erroneamente invulnerables, dicho por usuarios, tenemos MacOs, o también Linux.
Del primero ya hemos hablado muchas veces, como en este artículo de hace ahora un año, pero de Linux poco, y eso que es el que más usamos, tanto en el día a día, como en trabajos técnicos. Últimamente hemos visto noticias y artículos explicando vulnerabilidades y malware, hecho exprofeso para estos sistemas. Pero debemos deciros que un documento del CCN-Cert nos ha llamado especialmente la atención.
Dicho articulo detalla un malware del tipo ransomware para entornos Linux (ELF64), de la familia RansomEXX, o EXX , también conocido como Defray777 o RansomX.
Lleva circulando y actuando desde el año 2018 y algunos de los casos más sonados han sido:
- Mayo de 2020: el sistema judicial y el Departamento de Transporte del estado de Texas.
- Julio de 2020: la multinacional japonesa Konica Minolta.
- Noviembre de 2020: el sistema judicial de Brasil.
- Finales de 2020: la empresa brasileña Embraer, conocida por ser uno de los mayores fabricantes de aviones civiles de la actualidad. Aparte del cifrado correspondiente, filtraron sus datos, ya que fue víctima de la doble extorsión, tan común últimamente.
Una de las vías de entrada ha sido aprovechar vulnerabilidades en el producto de virtualización VMware, que suele albergar una gran cantidad de máquinas Linux, e infecta los discos duros virtuales.
El modus operandi de los ciberdelincuentes es siempre el mismo: en cada directorio afectado se creará un fichero con el nombre “!NEWS_FOR_EIGSI!.txt” en donde se indican las instrucciones para recuperar los ficheros cifrados.
Si las víctimas pagan el rescate, recibirán una herramienta (decryptor64) con la clave privada correspondiente, con lo que podrán recuperar los ficheros cifrados.
Así pues, si tenéis máquinas Linux, tanto virtuales como físicas, no creáis que son invulnerables.
Y en consecuencia, hay que prepararse adecuadamente. Nuestras recomendaciones:
– Hay que tener siempre un inventario de todo el software, y ver y comparar las vulnerabilidades que vayan apareciendo, para aplicar los parches correspondientes si los necesitáis.
– Tener bien planificadas las copias de seguridad y los planes de impacto y de respuesta a incidentes. De esta forma un ransomware puede ser un problema, pero no EL PROBLEMA definitivo, y el negocio se vea afectado lo mínimo, y no tenga que cerrar.
Esperamos que con este artículo tengáis claro que ¿Virus solo en Windows? ¡Claro que no! Y si no tenéis un responsable que se ocupe, siempre podéis confiar en un profesional que os ayude con todos estos temas, como un servicio externo, pero como si trabajara dentro de vuestra organización. Nosotros estamos aquí para lo que necesitéis.
Imagen principal: Pete Linforth en Pixabay
- Published in General, Noticias, Seguridad, Sistemas operativos
Alternativas a sistemas operativos en smartphones – Parte II
Volvemos al tema de los teléfonos móviles seguros para seguir hablando de las alternativas libres en sistemas operativos para smartphones. Este tema lo empezamos hace unas semanas, concretamente el 10 de mayo, y hoy volvemos a él para acabar de explicaros cosas interesantes que esperamos que os resulten muy prácticas.
Tal y como os comentamos en nuestro primer artículo sobre este tema, nos hemos puesto manos a la obra para seguir probando alternativas a sistemas operativos en smartphone, que si, los hay.
En esta ocasión hemos preparado, instalado y usado, durante una semana LineageOS, un fork de Android, heredero de CyanogenMod, que promete mejor rendimiento, compatibilidad y actualización en terminales antiguos (por ejemplo Samsusng Galaxy S5 con Android 9), y que promete ser la panacea de la privacidad.
Vayamos por partes. Primero de todo: ¿qué es un fork? En informática se denomina así a un proyecto que en algún momento se separa de la base común del proyecto origen (en este caso se trataría de Android y de las zarpas de Google) y avanza en paralelo para crear un producto nuevo. También podría denominarse fork al sistema MacOs, ya que cogieron el sistema libre y de código libre FreeBSD, para no desarrollar uno desde cero.
Un poco de historia
Aclarado el primer punto pasamos al siguiente: ¿qué es, o qué era CyanogenMod? Era, sí. Hablamos en pasado porque cerró hace ya unos añitos, concretamente el 31 de Diciembre de 2016, después de 7 años de servicio.
Se resumía en una comunidad de desarrollo de una Rom para dispositivos Android, que sobre todo buscaba darle más vida a lo que comercialmente se conoce como renovación, y no quedarse con un “brick” (aunque se traduce como “ladrillo”, el símil más exacto seria “dispositivo que no vale para nada”, y lo puedes usar de pisapapeles).
Todo comenzó con el HTC Dream, y como esta comunidad logró acceso de root al dispositivo, se abrió la veda, aunque no a todo el mundo le hizo gracia. En las primeras versiones de esta Rom, se incluían las aplicaciones de Google, las Gaaps, de las que luego hablaremos, y que al tener código cerrado y propietario, no tenían derecho a usar. Después de alguna amenaza por los mandamases de la compañía, llegaron a un acuerdo, y pudieron seguir con la rom, sin dichas aplicaciones.
Se creó una empresa, Cyanogen Inc, para dar salida comercial a este mod, pero llegó en el momento en que los de Android espabilaron y actualizaban más los dispositivos. El resultado fue que el mod derivó a una capa de configuración y personalización, por lo que perdió el “alma”. No triunfó, y acabó cerrando en la fecha señalada anteriormente.
Damos un paso más. Es la hora de volver a LineageOs, ya que recogió el testigo. ¿Por qué nos encanta este software? Promete compatibilidad con modelos antiguos, esos a los que Android oficialmente ya no da soporte, con lo cual los usuarios se quedaron con un sistema antiguo, sin software… Y claro, si no es seguro, ya no te dejan usarlo, y además, lo más importante, sin Google…
Pero… ¿qué quiere decir esto de “sin Google”? Nos referimos a dos cosas, siendo la primera y la más importante, sin su yugo, su control, su análisis de tus datos, etc. Y la segunda, sin las aplicaciones preinstaladas, las famosas Gaaps (aunque veremos que esto no es importante si queréis instalarlas en LineageOS, aunque sea un sinsentido).
Para instalarlo, como con cualquier otro sistema operativo, necesitamos el teléfono rooteado (o sea, que lo hayamos desbloqueado), que hayamos instalado un bootloader (gestor de arranque) y luego instalar el sistema, desde este mismo bootloader.
Nosotros volvimos a usar Fastboot, porque siempre nos funciona bien, porque lo puedes conectar a un ordenador, vía drivers ADB, o desde el menú al que puedes acceder vía botón de encendido y aumentar volumen. Luego navegamos por dichas opciones. Dependiendo de la versión o del dispositivo pone una frase u otra, pero seguramente, instalación, actualización, o algo similar, dándonos la opción de ir a buscar el archivo.
“Et voilà”, después de unos minutos de instalación, iniciará nuestro nuevo sistema. Viene con ciertas apps ya instaladas, pero al ser un core Android, es compatible con cualquiera.
Y os preguntaréis ¿cómo se instalan las apps si no vienen con la Play Store? Pues hay varias opciones:
Una podría ser un gestor de repositorios alternativo, opensource, libre o similar, donde se vayan publicando (sí, esto existe, y sin que Google sepa que os descargáis, usáis, instaláis, cómo, cuándo, etc.). Por ejemplo F-droid.
La segunda opción seria, ¿cómo instalamos esta dichosa app, F-droid sin la tienda? Pues tendréis que bajar el archivo .apk, pasarlo al dispositivo, ya sea con cable o a través de la tarjeta, e instalarlo. Este paso seguramente tendrá una advertencia, de “instalar aplicaciones desde repositorios no seguros“, solo hay que cambiar dicha opción desde los ajustes, y problema resuelto.
Si en F-droid no tenéis la aplicación que buscáis, la podéis bajar con este segundo método alternativo. Aunque para algunos pueda resultar engorroso, lo cierto es que no tiene mayor complicación. En AQUEST enlace solo tendremos que poner el link de la Play Store de la app que queramos, y en AQUEST, podremos hacer una búsqueda de la app que queramos. Pero hay muchos más.
Ahora viene lo complicado, desengancharse de Google, de sus servicios y de lo que todo ello conlleva. Pero con un poco de paciencia, y pruebas, veréis que no es complicado. Como hemos dicho, podéis descargar las apps por distintos métodos, pero si lo que buscáis es hacerlo completo, hay que usar alternativas. Así, si queréis igualmente usar todas las apps de Google, podéis buscar distintos packs disponibles, como por ejemplo OpenGapps.
Nosotros estamos usando, a nivel corporativo y recomendando a nuestros clientes, el sistema Nextcloud, del que hicimos un primer artículo que podéis leer AQUÍ, donde explicamos todas sus bondades. Necesitaréis una aplicación de terceros, llamada DAVx, para poder conectar sin problemas, ya que realiza conexiones CalDAV/CardDAV para sincronizar contactos, calendarios o tareas, en plataformas compatibles con este protocolo.
Bien, ya tenemos las apps que necesitamos, y además contactos, calendario y ficheros (si tenéis imagen, y no la versión virtual, asegurar bien el teléfono, sino cualquiera podrá acceder), ahora nos falta el sustituto de Gmail.
Así que como servidor de correo, ProtonMail, como no, que ya llevamos un tiempo con ellos, y permiten usar tu dominio, después de una sencilla configuración. Y para finalizar Telegram y Signal, aunque no solemos enviar ni facturas, ni presupuestos ni ficheros sensibles, por mucho que nos lo pidan los clientes.
Y una semana de pruebas, contentos, más que con Ubuntu Touch, que aún le falta un poquito de desarrollo, y aprovechamiento de hardware, ya se sabe que las comunidades dependen de sí mismas para avanzar y eso cuesta.
Así que no tengáis miedo a desengancharos, ¡hay vida más allá de Google o de iPhone!, que luego nos quejamos del trato que dan a nuestros datos.
Y acabamos con el mismo consejo con el que terminábamos la primera parte de este artículo: al comprar un nuevo smartphone,
casi todos lo usuarios de fijan en la calidad de los materiales, el número de cámaras fotográficas, el diseño… pero no olvidéis la seguridad del dispositivo:
¡debería ser vuestra principal preocupación!
- Published in Consultoría, General, Hazlo tu mismo, Mobile, Sistemas operativos
Alternativas a sistemas operativos en smartphones
A veces insistimos mucho en los temas de seguridad en Internet y en nuestros dispositivos. Pero actualmente un smartphone es prácticamente una oficina completa y quizá no le prestamos la atención necesaria. Hoy queremos adentrarnos en este complicado mundo de los teléfonos móviles seguros y hablaros de las alternativas libres en sistemas operativos para smartphones.
Para empezar queremos ser muy sinceros y deciros que inicialmente este post se titulaba “Diferentes soluciones en teléfonos encriptados”, pero al final lo hemos cambiado, porque hemos preferido seguir el rumbo que ha cogido nuestra experiencia en esta área.
La idea era hacer un repaso a diferentes soluciones comerciales y opensource de encriptación. Pero nuestra experiencia ha visto que algunas son muy caras o muy complejas. Otras tienen una muy mala fama, ya que han salido a la luz como “distribución maligna hecha por delincuentes”. Y vale, de acuerdo en que no sea realmente así, pero ahí debemos luchar contra los medios generalistas, que cuando se refieren a este tipo de temas se nota que no son expertos. Sin embargo, su influencia en los consumidores es considerable y revertir este tipo de opiniones es muy difícil. Pasa lo mismo con la palabra Hacker, cuyo significado ha sido siempre tergiversado en los medios, haciéndola sinónimo de ciberdelincuente, cuando no es así, como hemos explicado mil veces en TECNOideas.
Pero volvamos al tema que nos ocupa. Os proponemos leer un artículo que tiene el llamativo título de “Siete teléfonos que la CIA no puede espiar. Cómo crear un celular cifrado desde cualquier teléfono inteligente”, publicado en noticiasdeseguridad.com y que aporta varias soluciones.
Sin embargo, para probar algo de verdad y no solo la instalación, hay que usarlo a diario, en un entorno real. Así que vamos a hablar de Ubuntu Touch instalado en un Xiami Redmi Note 7, que era uno de los 10 dispositivos con mayor compatibilidad para este sistema.
La instalación cuesta, no os vamos a engañar. Hay que rootear el teléfono (el proceso que permite obtener un control del aparato y modificar algunas funciones que vienen por defecto), y desprotegerlo. Pero los de Xiaomi se lo toman en serio. Necesitáis una cuenta con ellos, daros de alta con el dispositivo, bajar una aplicación de escritorio para Windows y realizar el proceso.
Luego es algo más fácil, ya que Ubports, que desarrolla Ubuntu Touch, tiene aplicación de escritorio para varios sistemas: Windows, Linux, Mac… A través de este programa identifica o le decís el dispositivo a cargar la imagen, y os dirá cual tenéis que descargaros.
A partir de aquí es más o menos un proceso sencillo, de aceptar/descarga/transferencia de archivos, etc. semi automático.
Todo hay que decirlo: a nosotros nos costó este proceso por el cable. No sabemos bien lo que ocurría, y después del tercer fallo lo tuvimos que cambiar por otro igual, misma marca y modelo, y finalmente nos funcionó.
Aquí es donde se prueba un elemento, usándolo día a día, y hay que ser sincero: si estáis acostumbrados a otro dispositivo, ya sea Android o iPhone, Ubuntu Touch de momento no es lo mismo. Si queréis desconectar y tener un aparato para ir consultando de vez en cuando, esa es vuestra solución.
Hay Apps nativas, pero no para todo lo que se usa a diario. Ejemplos: ProtonMail, Telegram y Gmail. Son todas aplicaciones web, que son funcionales, pero no son iguales, no dan avisos, no hay pop-ups (o a nosotros no nos han funcionado), son versión web, y difíciles de ver e interactuar, etc.
Se supone que hay conexión nativa con Google para calendario, contactos y demás, pero lo mismo, como el navegador de pop-ups, que no se puede cambiar, no lo acepta Google, no deja conectar.
Otra de las opciones, que usamos nosotros, es Nextcloud. Pues, venga, solo sincroniza el calendario, aunque viene como cuenta de opción básica.
Tuvimos que importar datos a la antigua usanza, con acciones export/import a ficheros, pero no es la solución del día a día, claro está.
Seguimos probando, y no nos desanimamos, ya que es un buen sistema, consume pocos recursos y poca batería, pero si estáis acostumbrados a alertas, avisos, a que lo haga todo y dicte vuestro ritmo de vida, no es para vosotros.
Tened muy en cuenta estas cuestiones. Al comprar un nuevo smartphone,
casi todos lo usuarios de fijan en la calidad de los materiales, el número de cámaras fotográficas, el diseño… pero no olvidéis la seguridad del dispositivo:
¡debería ser vuestra principal preocupación!
- Published in Consultoría, General, Hazlo tu mismo, Mobile, Sistemas operativos
- 1
- 2