Ocho claves de la bronca Chema Alonso-Rubén Sánchez por el agujero de seguridad

El responsable de datos de Telefónica, Chema Alonso, y el portavoz de Facua, Rubén Sánchez, se han enzarzado en Twitter en lo referente a la gestión del agujero de seguridad que Movistar tapaba el lunes pasado tras recibir un aviso por parte de la organización de consumidores. ¿Cómo empieza la guerra? Comienza con un post de Chema Alonso en su blog, El Lado del Mal, en el que, primero, explica muy bien el origen del problema. Después achaca a Facua un comportamiento incorrecto: “Es decir, lo último que le preocuparon fueron los clientes..."

[#9 Gaiden]

Hace unos meses estuvo como ponente en un congreso en el que yo estaba currando..curioso personaje...iba con el gorro, por supuesto...
Primero nos dijo que el no se ponía micros de diadema y que lo ponía en su contrato..así que le dijimos que podía hablar desde el micro del atril...entonces nos dijo que era posible que se moviera y se separara del atril..así que le ofrecimos un micro de mano inalámbrico...a lo que nos dijo que tb usaba las manos con el ordenador y que vaya engorro... ya nos vio la cara de WTF y entonces pidió que le pusieramos el micro de diadema.. a ver, todo así distendido no en plan capullo integral, pero curioso el asunto...

Luego el portatil..el traía su mac, en el que llevaba la presentación que iba a dar...bueno el mac teníais que verlo, daba grima de lo reventao que estaba...la batería además no le iba y la fuente de alimentación iba "si se queda con el cable en esta postura" y rollos de esos...vamos yo estaba flipando... Total que se le colocamos todo y sale a dar su ponencia y me encuentro un tipo hablando de que estamos vigilados, que si te conectas al wifi gratis de un aeropuerto te pueden pillar todas tus cosas y...y ... poco más por no decir nada...2 chistes de estos de congreso, y 4 obviedades simples no, lo siguiente...ni una desmotración de nada, ni algo más técnico sobre seguridad...nada, 0. Bastante decepcionante (para mi)

[#10 ralph]

#9 Es que me da que es más "showman" que otra cosa...

[#31 Trigonometrico]

#10 El tío llegó a currar en Microsoft, y ese es un logro que le gustaría alcanzar a muchos.

Aunque en alguna de sus conferencias habló en alguna ocasión de otra gente en España que, aunque no trabajaron en MS, montaron sus propias empresas y luego fueron compradas por multinacionales, y se podría decir que han llegado realmente lejos, aunque no impresionen tanto a los admiradores pardillos de B. Gates.

[#40 derivada]

#31 miles de españoles trabajan en Microsoft, en sí mismo no sé en qué consiste el logro.

En cualquier caso Chema Alonso no trabajó en Microsoft, era MVP, que es otra cosa, simplemente un reconocimiento por parte de MS de que controla de cosas relativas a Microsoft. En el mundo de la seguridad informática ser MVP de Microsoft es como ir a la guía michelín diciendo que has ganado el concurso de tortilla de patata de tu pueblo.

Que no te digo yo que si la guardia civil tiene servidores Windows pues igual le ponen un medalla, igual que se la ponen a la virgen. Pero con esas credenciales en el mundo de la seguridad se reirían de él si no fuera por que no saben quién es.

[#45 Trigonometrico]

#40 Creí que tenía algo más importante con MS. Es más interesante que sea el director del máster de seguridad informática de la Universidad Europea de Madrid.

[#99 driver0]

#9 #10 #15 #18 #20 Supongo que dependerá del ámbito del congreso, yo le he visto en la Black Hat y en la Def Con y tiene ponencias bastante interesantes con casos prácticos, sí que es cierto que tiene pinta de ser un poco notas showman el tío, pero eso no quita para que tenga conocimientos

[#15 Dangi]

#9 Es un showman que se gana la vida con esos congresos chorras donde parece que va gente no muy preparada.

Ahora no me acuerdo del nombre, pero hay uno que viene de Guru de la bolsa, y su cartera privada se habia descalabrado y se ganaba realmente la vida con charlas tipicas usanas, de tu puedes coger el control de tu vida y bla bla bla

[#22 elgranmago]

#15 Josef Ajram... Y su empresa Ajram Capital. Y como todos los inversores de bolsa, un tirador de dados del copón.

[#34 Desactivado]

#15 #20 lo conozco desde hace más de 15 años cuando estaba en Informatica64 , y no tienes razón. Es cojonudo de verdad, pero se ha inventado un personaje. No puedo decirte lo que sabe hacer y de qué es capaz pero te aseguro de que no es un lammer de mierda no un hablador y punto.
Hace cosas chungas y no diría esto con la panda de frikachus que me junto si no fuera capaz de cosas serias

[#98 TonyStark]

#34 "hace cosas chungas"

jajajajajajaja perdona que me ria... Pero es que ha sonado tan a patio de colegio

[#104 Desactivado]

#98 lo sé, eso pretendía, pero los buenos no va predicando qué saben hacer y vacilando del tema. Se juegan sobre todo su prestigio y la publicidad no les mola nada en general (de forma abierta y loca)
Cosas chungas son por ejemplo hacerte un clon gsm y desviarte las llamadas haciendo que el destination id que eres tú llame a cierto sitio haciendo cosas malas...y eso si, sin tocarte el móvil...para que no sepas por donde te viene... Patio de colegio también es utilizar un programa “amoroso” para hacer una escalada de privilegios en menos de un minuto en un active directory de x empresa, con lo que las Vpn de sus empleados y toda la infraestructura ahora pertnece al que hace las cosas chungas... empezar a instalar apps de las de “a ver qué has tecleado” con lo que las password pasan a una base de datos y terminar cifrando la Sam del active directory para que tengan que montar todo, previa corrupción de los backups (porque quién se los lleva fuera de verdad una vez pasada la auditoría de la iso 27000

[#106 Desactivado]

#98 hay gente muy chunga y otra que tiene que estar al loro constantemente para que no pasen estas cositas tan “graciosas”. Auditar es lo que tiene, ir lo más por delante posible.
Es un tío que ha estudiado en la upm, no en la URJC ;-). Se caga vinagre para ello y la base es sólida de cojones para hacer cosas serias. No una bromita de aficionados. Pero el papel es lo que le ha dado la fama.

[#55 enrii.bc]

#15 josef ajram

[#18 Desactivado]

#9 este sólo vale pars ir a Pablo motos, correr wifislax y aircrack y decir que es hacker

[#20 Desactivado]

#9 un tío que es "una eminencia" en seguridad informática y vende su software (la FOCA) SOLO para Windows (y no para Linux. De hecho, parece que odia bastante Linux), ya te digo yo lo que sabe de informática y seguridad... NADA

[#107 Desactivado]

#20 yo llevo en contacto con fsf y con el mundo Microsoft toda la vida y te digo que quien dice que Windows es una mierda es porque no tiene ni puta idea (y contribuyo en Debian, Red Hat, Ubuntu y otras menos conocidas). Lo que pasa es que es muy guay decir “tío Windows es una mierda” (yo también lo hice y entiendo el por qué). Pero si tantos ejércitos usan las versiones militares de Windows será por algo. Un sistema operativo es lo bueno o malo que sean sus admin.
Es bueno conocer profundamente ambos mundos para tener amplitud de miras y no solo decir “es un lammer porque usa windows”

Se pueden hacer maravillas en debian, maravillas en Windows y maravillas en as400, pero no todos pueden hacerlas.

Y lo mejor es mezclarlo para conseguir sacar lo mejor dentro de cada necesidad. Para un cluster de supercomputación beowulf windows no mola: para interfaces de usuario y programar cosas complejas sí. Depende todo... por cierto, cuando te montes tu propio microkernel, crees tu propio sistema de archivos y tu propio lenguaje de programación, hablamos de que Windows es peor que Linux o viceversa (todo ello desde Windows y Linux )

[#78 mcfgdbbn3]

#9: Pues yo aplaudo que no sucumba a la obsolescencia planificada con el portátil.

[#110 Shotokax]

#78 entonces lo suyo sería que utilizara algo como LXDE, en mi opinión.

[#109 Shotokax]

#9 "Estamos vigilados..., por eso utilizo un sistema operativo propietario de una empresa con acusaciones de meter spyware, al menos en iOS".

[#2 Libertual]

Llevar gorro en verano...

[#3 gnomolesten]

#2 Cuando empieza a asomar el cartón, está claro que lo mejor para que el pelo crezca con fuerza es que no vuelva a darle el sol. Lo saben todos los calvos.

[#11 Desactivado]

#2 calvus detected

[#13 chivachula]

#2 No es un gorro, realmente es un pasamontañas que se encasqueta cada vez que pasa al Lado del Mal y se pone a hackear

[#29 Desactivado]

#13 Pues lo tendría que llevar siempre bajado.
Siempre ha estado en el Lado del Mal. Entre Telefónica y Microsoft.

[#16 mstk]

#2 Asi no se quema el cartón.

[#17 Desactivado]

#2 El cartón.

[#28 SpanishPrime]

#2 Porque si se pone turbante ya sería demasiado evidente su parecido con Gaspar Llamazares.

[#12 Gaiden]

Ya enterandome de qué va la movida...una manipulación de URLs..jo
Eso después de aquel ataque de ramsonware que afectó a telefónica aprovechando una vulnerabilidad de SAMBA que llevaba PUBLICADA Y CORREGIDA por Microsoft varios meses...vamos no me jodas, eso tiene pinta de ser el coño de la bernarda...lo siguiente que será, instalar el emule y compartir C:?

[#33 Desactivado]

#12 Lo siguiente será: ';drop database;--

[#1 chorche77]

Hostia... comparar meltdownd y spectre con un bug error de seguridad (por falta de QA presumiblemente) que permitía acceder a facturas sin ninguna credencial, eso si que es Kafkiano...

[#4 Marx]

#1 No los compara en ningún sitio, tan solo dice que los bugs existen y que pueden ser de muchas formas.

No me voy a detener en citar los más de 1.000 bugs publicados este mes en productos de Microsoft, Oracle, Apple y demás compañías tecnológicas, porque creo que los que trabajamos en seguridad sabemos que este es nuestro día a día. Los bugs aparecen inducidos por muchas causas.

A veces simplemente por error humano. A veces por error en el proceso. A veces por cambios en el software base. A veces por cambios en la configuración. A veces por que simplemente no se pensaban posibles. Estos últimos son los que más me gustan, y denotan una maravilla tecnológica, como BEAST o CRIME contra HTTPs o Spectre & Meltdown contra los micros. Auténticas obras de arte.

[#148 dphi0pn]

#4 No me voy a detener en citar los más de 1.000 bugs publicados este mes en productos de Microsoft, Oracle, Apple y demás compañías tecnológicas,
Puntualización sobre productos de código cerrado. Pueden y sufren en mucha más medida la ingeniería inversa para descubrir esos fallos. Pero claro estamos confiando nuestra seguridad a una panda de compañias tecnológicas que son mierda, visto lo visto y sobre todos esos bugs que publican mes a mes. Puede que no ayude al resolver el problema, pero puede que a esclarecer las causas y las fallas.

[#32 Desactivado]

#1 "Comienza con un post de Chema Alonso en su blog, El Lado del Mal, en el que, primero, explica muy bien el origen del problema".

No leáis más. Si los de FACUA hicieron un denuncia pública para no pillarse los dedos, se puede juzgar mejor o peor, en este caso lograron el objetivo de sensibilizar sobre un fallo importante, que también es necesario.

Pero lo de Chema Alonso es sencillamente un intento impresentable de desviar la responsabilidad, ya sea culpando a Malvados hackers con la "URL Manipulation", que es una ridiculez inventada, ya sea FACUA, por darle publicidad, que me parece correcto si pensamos en evitar esas chapuzas en el futuro.

[#39 yeslibertarian]

#32 En seguridad informática informar de los detalles de un bug 60 minutos antes de una rueda de prensa es muy poco ético.

Aunque en la rueda de prensa no digan los detalles, podría haber una jauría de informáticos sin escrúpulos buscando el error y a lo mejor el error tarda en resolverse más de una horita ¿no te parece?

[#51 Desactivado]

#39 No. Lo que es un error es ocultarlo, sobre todo algo así de grave y que lleva meses expuesto.
Se corre el riesgo de que traten de ocultarlo y que, más pronto que tarde, encuentren otro coladero y terminen explotandolo volcando toda la base de datos en Tor, que es donde estaba el problema.

Esto no es una vulnerabilidad de contar a escondidas, es algo crítico y que afecta a los clientes, que deben conocer el riesgo y que se denuncie esa falta de control en la protección de sus datos.

El problema no es el "Bug" por si mismo. Es la falta de controles y procedimientos para proteger la información de los clientes. Es mucho más grave que tapar un agujero con el dedo y disimular.

[#56 skgsergio]

#51 ese bug tenía que estar reportado a Movistar el mismo viernes cuando lo detectaron (

y una vez solucionado por Movistar ya haces el anuncio que te de la gana.

[#58 Desactivado]

#56 Aquí no prima el interés de Movistar y Telefónica. Aquí se trata de que los clientes sean los primeros en conocer esa falta de protección y seguridad de sus datos.

[#60 skgsergio]

#58 ¿y entonces la forma de proteger al usuario es no dar detalles a Movistar para que no lo parchee y que al anuncio, siendo un fallo tan básico, tengas a 100 personas explotandolo ya que es ultra fácil de encontrar? Movistar me la pela, me preocupa la protección de los usuarios.

[#62 Desactivado]

#60 El bug no es importante. Se desconecta el servicio y se pone en mantenimiento hasta que se arregla. No se parchean los errores de ese tipo en producción, porque eso es una mala práctica y un error en sí mismo.

El problema es ocultar la mala praxis parcheando malamente un acceso aislado y dejando el problema de fondo fuera del conocimiento del público.

Una cosa es el manual del hacker, que no le interesa a nadie, y otra los procedimientos de auditoría y seguridad.

[#82 skgsergio]

#62 de nuevo, si no avisas que y donde antes de publicar que COJONES vas a poner en mantenimiento o desconectar... ¿Me lo puedes explicar?

Insisto en que el viernes tendrían que haber avisado a Movistar para que o parchease si fuese simple (como era el caso, la cuestión era saber donde estaba el problema) o hacer lo que tu dices. Pero desde luego por ciencia infusa no funcionan, si no se les avisa y se les dice donde no pueden hacer nada. No se como te cuesta tanto entenderlo.

El viernes ya Facua lo sabia, hasta el domingo por la tarde no se les da ni un aviso, y el aviso que se les da es a través del cabeza de O2 y no siendo claros con el problema, simplemente diciendo que más información el lunes 1 hora antes de la rueda de prensa. ¿En serio defiendes esta PÉSIMA actuación? Lo único que se dijo es que se podía acceder a facturas de todos los clientes sin más y se me ocurren bastantes sitios o formas de que eso ocurra.

Repito, por ciencia infusa los informáticos no funcionamos. Si me dicen que tengo un fallo que expone daros de mis clientes me voy a tirar hasta la hora que sea y no voy a parar para descubrirlo, pero si me dices donde pues antes podré arreglarlo. Lo que no puedo hacer es tirar el 100% de un servicio a ciegas ya que el fallo puede estar en mil sitios del portal y chapar el 100% no sólo es un problema para mi negocio si no que puedo estar jodiendo a empresas que necesiten operar, y lo mismo con deshabilitar una cosa en concreto (facturas en este caso) podía parar el problema hasta tener más información.

[#84 KarmaBajoCero]

#82 60 minutos es tiempo suficiente para eso.

[#92 Desactivado]

#84 No. No se si tendras experiencia en estos temas pero un bug medio no se suele arreglar tan rapido, los hay que tardan semanas o meses. No puedes decir que 60 minutos son suficientes para solucionar algo por que no sabes que puede implicar.

Aun en el caso de que sea facil de resolver no sabes si esa parte del sistema comparte codigo con otras y el bug realmente pueda ser mucho mayor.

[#113 KarmaBajoCero]

#92 suficiente para deshabilitar el servicio problemático.

[#108 skgsergio]

#93 #84 el problema es que no es verdad que les dieran una hora. Ya el domingo a la tarde abrieron la bocaza en RRSS para denunciarlo

Repito no, no, no, no, no y no. No han actuado correctamente, primero se contacta con ellos en privado con tus pruebas y si Movistar es conocida por actuar mal o no hacer caso pues que usen un notario o lo que sea como hicieron. Si luego se niegan tu tienes tus pruebas y haces tu rueda de prensa y es responsabilidad de Movistar todo lo que ocurra.

Pero lo primero de todo es avisarles hablar con ellos con detalles con buena fe y luego ya después con un tiempo prudencial o habiendo visto solucionado o bloqueado el problema haces la rueda de prensa. O si no hacen nada y niegan todo pues haces la rueda de prensa igual, tu tienes tus pruebas ante notario, ¿no? Puedes llevar una denuncia en AGPD, y todo lo que quieras.

[#122 Jose_Juan_Lopez]

#84 no creas, en grandes compañías, 60 minutos no es nada, es un tiempo bastante justo para ser honesto

[#93 shaola]

#82 Ya les dijeron una hora antes de la rueda de prensa que el fallo era de acceso a las facturas. Una hora es más que suficiente para detener el servicio y evitar la explotación del bug. ¿Has leido el artículo? porque explica muy bien las motivaciones de por qué hacerlo así. Por desconfianza (merecida) y falta de comunicación.


Fijate que hasta levantaron acta notarial del error porque sospechaban que telefónica lo iba a negar (parece ser que no es la primera vez que actúan así).
cc #83

[#87 buscoinfo]

#58 Yo creo, teniendo en cuenta que el usuario no puede hacer nada por evitar el robo de sus datos, que lo primero debería ser arreglar el error.

[#91 Desactivado]

#58 Vaya tonteria acabas de decir. Los primeros en conocerlo deben ser los que deben repararlo, y acto seguido los clientes (mientras se repara) de nada me sirve que me digan que alguien puede ver mis facturas si no puedo evitarlo y los que pueden hacerlo no lo saben.

[#61 yeslibertarian]

#51 El problema es la falta de ética al no dar un mínimo tiempo para arreglar el error. Google Project Zero encuentra bugs en todo tipo de plataformas y da un tiempo de 90 días para arreglarlos. Y sí, pasados esos 90 días los revelan. Facua dio 1 HORA. Son unos impresentables.

[#64 Desactivado]

#61 Legalmente tienen 72 horas para hacer público el fallo. Si Telefónica tarda más, es sancionada por la AEPD.

[#65 yeslibertarian]

#64 Yo no he hablado de legalidad, he hablado de ética.

[#66 Desactivado]

#65 Yo hablo de seguridad, no de hackers de barrio sésamo. Eso no es ética.

[#67 yeslibertarian]

#66 Hackers de Barrio sésamo son entonces la gente de Google Project Zero ¿no?

"Los errores encontrados por el equipo del Proyecto Cero son reportados al fabricante y sólo se hacen públicamente visibles una vez que un parche ha sido liberado. O si han pasado 90 días sin que un parche haya sido liberado. La fecha límite de 90 días es la forma en que Google implementa la revelación responsable, dando a las empresas de software 90 días para solucionar un problema antes de informar al público para que los propios usuarios puedan tomar las medidas necesarias para evitar ataques."
https://es.wikipedia.org/wiki/Proyecto_Cero#Descubrimientos_notables

[#69 Desactivado]

#67 ¿Vale si te doy un positivo por uso avanzado de la wikipedia?

[#95 shaola]

#67 El problema no es comparable en absoluto. Nadie duda de Project Zero, si dicen que ha habido tal fallo de seguridad aunque la empresa ya lo haya arreglado y luego lo niegue nadie va a dudar de que existiera el fallo.

En este caso, había precedentes de malas prácticas de Telefónica. Facua sospechaba que telefónica iba a negar la mayor, y lo importante en este caso era reportar las malas prácticas. El procedimiento ha sido el siguiente:

- Levanto acta notarial del error para poder denunciar a la LOPD
- Les digo que en unos días voy a reportar un error que les atañe pero no les digo detalles para que esten en modo alerta.
- Una hora antes de publicar el error les digo que servicio deben detener para que no se explote.
- Lo publico y les denuncio.

Y ahora Movistar ya no puede librarse del marrón y he mantenido los datos de los clientes a salvo (Si ellos detienen el servicio).

Ninguno de los dos son santo de mi devoción, pero Movistar es de lejos mucho peor que FACUA.

[#116 arllutoquintumi]

#65 En cualquier caso es responsabilidad de Telefonica. Intentan desviar la atención.

[#83 skgsergio]

#64 como ya dije antes, les das 72h y sin darles la información de que, donde y como, juguemos a las adivinanzas.

[#94 Desactivado]

#64 72 Horas son 72 veces el plazo dado por facua.

Y en cuanto a la AEPD, me parece una cagada que va a acabar dando mas de un problema, me explico: si encuentro un bug muy dificil de arreglar, de los que tardan 90 dias en arreglarse y solo 72 horas para notifica, los delincuentes tendran 87 dias para explotarlo.

Esta ley la han hecho los mismos que los del aviso de cookies, quieren algo bueno pero no tienen ni idea de las implicaciones de lo que legislan, y si no ahi esta el tema de whois...

[#102 Molari]

#94 si es un fallo dificil de arreglar, suspende el servicio.

[#71 redscare]

#39 En una hora te da tiempo a chapar la parte afectada y poner una página de mantenimiento en su lugar. Y luego ya lo arreglas tranquilo. Es cierto que 1h a primera vista no suena muy ético, pero cuando ves la historia de mala sangre entre movistar y facua, ya se entiende mejor.

[#72 yeslibertarian]

#71 No, una hora no es muy ético. Claro que puedes parar el servicio en una hora. ¿Estás diciendo que obligar a parar cualquier servicio a millones de clientes es una política de seguridad ética por parte de Facua? En fin. Facua, gran defensora de los consumidores.

[#74 redscare]

#72 No es ni culpa ni problema de facua, no son ellos quienes tenían el bug. Y no exageres, nadie se muere por estar 24h sin poder acceder a sus facturas de movistar.

Yo aquí veo una mala relación y falta de confianza entre ambas partes. Y mala leche por ambos lados tb. Si movistar no se hubiera comportado como un niño de 5 años prohibiendo a facua usar su logo, igual otro gallo habría cantado. Yo creo que facua no se fiaba que movistar corrigiese el bug y luego negase haberlo tenido, si les daban más tiempo.

[#97 TonyStark]

#39 ¿tu sabes que le cuesta al área de TI de una empresa sacar de producción una sección de una web? o incluso poner toda la web en mantenimiento? nada o menos, ahí ya tienes todo tu tiempo del mundo para arreglar tu fallo.

O esperas que el bug se solucione directamente en producción?

[#117 yeslibertarian]

#97 Perfecto, entonces que Telefónica deje inaccesible una web frente a millones de clientes porque a Facua, que se supone que defiende a los consumidores, avisa con 1 hora de antelación de un bug en vez de por ejemplo 90 días como hace Google Project Zero. Una gran defensa del consumidor sin duda. La de Facua es una política de revelación de fallos de seguridad magnífica, deberían de darles premios de ética hacker.

[#5 Shotokax]

Pataleta del gorritos de Telefónica.

[#6 wondering]

Facuo como siempre buscando protagonismo.

[#7 manson2000]

#6 En realidad es pelea de divas...

[#8 wondering]

#7 Pues te voy a dar la razón. Lucha de egos.

[#103 Molari]

#6 Lo que no se comunica no existe. FACUA hace muy bien en dar publicidad a sus acciones para poder sobrevivir como organización y continuar con su función social: proteger los derechos de los consumidores.

[#25 Desactivado]

hombre si hay un bug severo es normal dar un mes de margen en cual es bug report es privado y trae el mes se hace publico .... si google da a las empresas 90 dias... rueda de prensa para anunciar un bug es ser muy hijo de puta que va a joder, facua esta enviado las señales equivocadas y solo recibirá mas odio por actuar como hijos de puta

[#27 Desactivado]

Será impresión mía, pero me da la sensación de que el Chema Alonso este no está pasando por su mejor momento en la empresa.

Entró como fichaje estrella, y desde que está en Telefónica ha habido ya dos “sustos”: el del ransomware (que provocó bastante revuelo y pérdida de productividad) y ahora este.

Y los de Facua parece que lo tuvieran apuntado y no quisieran dejarle pasar una. Porque para ser sinceros, en temas de seguridad, si descubres algo, primero avisas sin crear revuelos, y una vez que ha pasado un tiempo prudencial y ha habido tiempo para tapar el agujero, lo anuncias.

Y Facua, aunque no fuese a dar detalles, salió directo a dar una rueda de prensa. Y eso es más una “vendetta” que una forma de proceder responsable...

En fin, está claro que Facua y Chema Alonso tienen una relación bastante chunga.

#25 Exactamente.

[#49 Desactivado]

#27 el no es responsable de seguridad. Aunque al ser un personaje mediático, siempre acaba dando la cara por esos temas. Pero detectar esos problemas es responsabilidad de otros departamentos que son ajenos al suyo.

[#101 Desactivado]

#49 Si no me equivoco, es el CDO. Está por encima del jefe de seguridad. No sale a dar la cara porque sea mediático, sale a dar la cara porque es su obligación. Esto viene en su perfil oficial de Telefónica:

"Es asimismo responsable de los productos y servicios de ciberseguridad global de la unidad ElevenPaths"

Quiero decir, que queda un poco mal que intentes vender ciberseguridad, cuando estás teniendo problemas de seguridad tan básicos.
Aún así, estoy de acuerdo con él en que Facua no se comportó de manera correcta al salir inmediatamente a comunicar de la existencia de un bug sin antes darles tiempo a parchear el problema.
No le conozco, ni tengo una opinión particular sobre él, así que no intento atacarle. Solo digo que desde que ha entrado, ha habido un par de problemas relacionado con seguridad que han sido muy sonados. Quizás es casualidad, pero definitivamente, le debe estar afectando de alguna manera, dado su perfil.

[#30 Desactivado]

#25 Lo habitual es que se hace eso y la empresa no toca una coma a no ser que se haga público.
Si avisas una vez no hacen nada.
Si avisas dos van a por ti con sus abogados exactamente igual que si lo liberas después de haberles dado un mes y no hacer nada.
Funciona así con practicante todas las empresas. Para ellas la seguridad es solo un problema en tanto en cuanto los clientes se enteren y puedan perder dinero. Así que desde su retorcido punto de vista la inseguridad no es problema, el problema lo crea quien lo hace público. Pase una semana o un año desde el aviso.

[#36 chavi]

#30 Por eso lo mejor es no decir nada y vender el 0-day

[#37 hey_jou]

#30 exacto, el problema para ellos no es que exista el fallo, el problema es que se sepa, porque eso supone dar explicaciones y asumir consecuencias, y en corporaciones gordas no suelen ser habituales los jefes de departamentos y directivos honestos o íntegros, al igual que en las estructuras de gobierno.

[#136 Jose_Juan_Lopez]

#30 De eso nada, puede que para las empresas pequeñas o las poco competentes sea así, pero no para las grandes, el coste reputacional ya saben todas que es muy grande

[#41 Yomisma123]

Los de facua, muy mal,los bugs se reportan,sobre todo si quieres proteger a los usuarios.

El bug...un error del becario subcontratado...que se escapó a los deQA.
Pasa en las mejores familias

[#14 mac31416]

Joder, el tío este es bastante showman, está claro. Ha vivido y vive (muy bien, parece) de su imagen, que hay que reconocer que se ha ganado con cierta competencia técnica bien explotada. No es precisamente santo de mi devoción, pero en este caso tengo que darle la razón. Los de Facua han ido directamente a darse publicidad a costa de una empresa que saben que no es precisamente la mejor valorada en España, y se han comportado de una manera muy poco profesional y bastante desleal.

[#21 PasaPollo]

#14 ¿Has leído el artículo? Alonso ha quedado como un mentiroso. Facua no se negó a informarles del fallo. Se aportan capturas de whatsapp con Serrahima.

[#42 yeslibertarian]

#21 ¿lo has leído tú? los de Facua acordaron, seguramente después de que los de Telefónica intentasen hacer entrar a los de Facua en razón, en que les darían la información del bug 60 minutos antes de la conferencia. 60 minutos.

Estos se creen que programar es como sale en las películas, que en 10 minutos tienes todo hecho, probado, con sus test unitarios y revisada la seguridad de la ñapa que acabas de hacer para que no hackeen las cuentas de varios millones de clientes en 50 minutos.

[#44 chu]

#42 Y vosotros os debéis de creer que el departamento de informática es designado por los dioses y no está sometido a las políticas previas de la empresa, que tu empresa puede jugársela a alguien las veces que quiera y luego este debe ayudarla como si no hubiese pasado nada.

Acotaron mucho la búsqueda diciendo que era de facturación, pero porque había buena relación personal con uno, que de Movistar no se fiaban un pelo de que se la volvieran a jugar. Me parece lógico.

[#63 yeslibertarian]

#44 Facua perdió una gran oportunidad de demostrar su fortaleza moral revelando de forma responsable el fallo de seguridad.

Ojo por ojo y diente por diente es la política de Facua, aunque exponga a los consumidores que les importa un pito. Gran política la de Facua sí señor. Facua no es que deba ayudar, es que por muy mal que te lleves con Telefónica ¿qué culpa tienen sus clientes? ¿tienes que exponerlos a un bug de seguridad? La política de revelación de fallos de seguridad no debería variar según si te cae bien o no la empresa afectada. Eso sólo desvela la baja calidad moral de Facua.

[#68 chu]

#63 Y Movistar estaría dando ahora otra versión, que era mentira por ejemplo. Y ahora la discusión sería si es cierto que facua mentía o no, y gente como tú poniendo verde a facua.

[#70 yeslibertarian]

#68 No hace falta ser muy hacker para saber publicar la información hasheada en twitter, y luego revelar los datos que equivalen a ese hash para demostrar que es cierto, como ha hecho Julian Assange y otros varias veces. Eso es una excusa de alguien que no es ético o no tiene ni idea de qué significa una política de revelación responsable de fallos de seguridad.

[#76 chu]

#70 Partiendo de que tu teoría se sustenta en que el portavoz de facua actúa solo y por motivaciones personales no puedo tomarte en serio.

Ps: le va genial a Assange, sí.

[#77 yeslibertarian]

#76 Esa será tu teoría, yo no he dicho nunca que actúa solo. Falacia del hombre de paja. Y Assange que yo sepa no le va mal por usar el hashing como prueba de datos. En todo caso le irá mal por usar esa técnica para revelar según qué datos. Otra falacia como una casa.

[#80 chu]

#77 En el anterior comentario hacías referencia al individuo. Además has supuesto que no tiene informáticos y abogados detrás.

Assange está jodido y lo que sacó no ha hecho casi nada. Su método no ha funcionado.

Parece que tu objetivo es desacreditar a facua y/o lamerle los huevos a Movistar.

[#47 inar]

#42 Y mientras te la chupan, como en operación swordfish

#21 Lo que comenta el artículo es acerca del mal rollo existente entre Facua y Telefónica, y cómo eso lo anteponen al problema en sí de seguridad, y que al final el tema se "resolviÓ" gracias a dos empleados que hicieron por entenderse (Serrahima y Sánchez).
Pero la actitud de Facua fue totalmente irresponsable en cuanto a ciberseguridad se refiere. Pero no, aquí la panda discutiendo si el Chemita mea entrecortado y que ellos la tienen más gorda.
cc. #14

[#79 mcfgdbbn3]

#47: Nada como teclear a toda velocidad, incluso para ganar aún más velocidad se pueden ponerdos personas a la vez en un mismo teclado, como parodió Ncis:

#MundoViejuno

[#133 inar]

#79

[#121 almeriensis2016]

#42 Pués está claro que telefónica lo hizo en 10 minutos. De ahí el fallo.

[#88 konde1313]

#21 Yo tengo respeto por FACUA pero en esto me parece que se han comportado como unos capullos. Si quieres ayudar a solucionar el problema de seguridad lo haces desde el minuto cero para intentar evitar que nadie se aproveche y no una hora antes de la rueda de prensa tras haber puesto a todo el mundo sobreaviso.

[#124 mariocc18]

#21 Entregar los detalles del error una hora de la rueda de prensa es no pensar en los usuarios y sólo pensar en darte publi.

[#23 cocainomano]

Lo unico que envidio de este showman o personajillo de peli mala de informaticos de los 90s es el sueldazo que le tienen que estar cascando por hacer bulto en la pajareria de telefonica.

[#26 HyperFurious]

Chemita usando su táctica de siempre de echar mierda a los demás, en este caso a Facua. Construyó su carrera así, aunque no se le puede negar su buen ojo poniéndose siempre al lado del mal que representaba la mierda de Microsoft antaño para meterse en un nicho que casi no tenía defensores, y ahora con Telefónica.

[#59 Tumbadito]

Leyendo el WhatsApp no hay más que darle la razón a Chema Alonso.

Puedo hacer que nuestro departamento jurídico te envíe una hora antes...

1) A primera hora presentamos la denuncia...

2) A las 11 rueda de prensa

3) Contamos que tienen un fallo pero no decimos donde.


Suena a que FACUA antes que soluciones quería publicidad, y que iba a hacer todo lo posible para que nadie le arruine el titular.

¿El resto? cada uno sabrá de qué pierna cojea, si quiere creer que telefónica tiene un títere en seguridad o alguien que sabe es, en el fondo, querer meter opinión donde no se debe ya que se habla de una persona y no del fallo.

[#48 Desactivado]

Responsible Disclosure
(Revelación Responsable)

Cuando se descubre una vulnerabilidad el investigador informa al proveedor del sistema. [...]. Es conveniente esforzarse en que la información sea sólo accesible al menor número de personas posible y de la máxima confianza. Toda la comunicación debería ser por un canal seguro para evitar una filtración.
Si el proveedor es receptivo y coopera adecuadamente en la resolución del problema el investigador espera a que se publique el arreglo para revelar toda la información sobre la misma salvo el exploit. Se suele considerar que el proveedor actúa adecuadamente si rápidamente reproduce y reconoce el problema, da méritos a los descubridores, soluciona el problema de forma probada en un periodo apropiado (suele ser 30 días a partir del contacto inicial aunque puede haber factores que reduzcan o extiendan este periodo de tiempo).


Sacad vuestras propias conclusiones.

[#24 Desactivado]

Me sorprende mucho que no sea delito penal encontrar un agujero de seguridad en la web de una empresa que permite acceder a datos de clientes y no comunicarlo a la empresa o hacerlo tarde y en rueda de prensa.

Siempre va a haber errores humanos, algunos de manual, y más en empresas tan enormes pero es más importante evitar la mala fe al explotar esos errores. No digo que sea el caso. Pero no me gusta que alguien se ponga medallitas a costa del mal ajeno. Lo más ético habría sido comunicar ese error a la empresa.

[#46 baronluigi]

#24 https://www.elotrolado.net/hilo_hilo-oficial-caso-prueba-y-veras-adan-gecko_1571331

Ahí tienes el caso PRUEBA Y VERÁS de Nintendo. Un usuario de ELOTROLADO se da cuenta que se puede acceder a la base de datos del evento de Nintendo de dicho nombre, donde constan los datos de toda la gente que se apuntó.

En vez de avisar a Nintendo de forma normal, da la impresión de que quería conseguir algún tipo de compensación, escribiendo el aviso de un modo que a todas luces parece un chantaje. Total, que Nintendo le denunció.

[#73 redscare]

#24 Mientras no lo explotes, no tienes obligación de ayudar a una empresa. Solo faltaría! Te puede parecer poco ético no informar o hacerlo público a saco, pero no te pueden obligar a hacerle el trabajo a una empresa.

[#81 Desactivado]

#73 Es más, yo al menos no recomendaría denunciar ni comunicar nada. En cierta ocasión en la universidad los usuarios propagaron un virus y ningún antivirus lo detectaba. Después de estudiar una copia del virus, escribí un antivirus y lo publiqué en una lista de correo de la universidad para que cualquiera que lo tuviera pudiera detectarlo y librarse de él. Al día siguiente me cita el administrador de sistemas de la universidad acusándome de ser el creador del virus porque ningún antivirus lo limpiaba. Tuve que demostrar que el virus no era cosa mía porque su procedencia según las bases de datos de virus nuevos decían que era de origen holandés.
Un par de años más tarde descubrí un fallo que permitía leer los correos electrónicos nuevos de un usuario sin necesidad de saber su contraseña porque el cliente de correo estaba mal configurado. No dije nada: ya tuve bastante con el tema del virus cómo para volver a joderme la vida de nuevo. Me gusta ayudar y que las cosas mejoren pero para salir perjudicado...no gracias.

[#90 Desactivado]

#73 montar una rueda de prensa para hacerte publicidad con el tema en vez de comunicárselo a la empresa, para mí es una forma de explotar la vulnerabilidad.

[#43 mmm_]

Yo solo digo que leí la discusión esta mañana en directo y ha sido lamentable, me los podía imaginar dando leches en una barra de bar. Sin entrar en el tema más a fondo.

[#19 Desactivado]

Batalla de egos entre victimas de bullying.

[#85 yeslibertarian]

Yo he dicho que Rubén a todas luces no tiene ni idea de revelación responsable de fallos de seguridad, no que no haya informáticos ni abogados en el equipo de Facua. También hace referencia al individuo la noticia ¿y qué? No puedes ser más tendencioso en tus interpretaciones. Yo solo digo lo que digo, no lo que tú interpretes que pienso o digo.

Assange estará jodido, lo cual no tiene absolutamente nada que ver con que el uso de hashes para demostrar que con anterioridad habia afirmado algo es una técnica que funciona. A menos que hayas encontrado tú un fallo general de los algoritmos de hashes que los invalida, en cuyo caso serías el puto amo. Otra cosa es que lo que funciona técnicamente no funcione legal o políticamente.

Parece que tu objetivo es defender todo lo que haga Facua sea correcto o no, y atacar con falacias y ataques ad-hominem a quien la critique, independientemente de todo lo demás. Eso denota una falta de espíritu crítico por tu parte.

[#50 jalepo]

El enchufado de facua pidiendo casito otra vez?

[#52 juanlinux]

Que trabajo para microsoft? pues muy bien, sabrá mucho pero hoy por hoy es mas seguro linux, y no porque no sepan hacer un windows seguro, si no que tendrían que hacerlo de 0 y en realidad windows ha cambiado mucho y mejorado mucho pero va mejorando desde algo inseguro desde el windows 95, que nació ya inseguro, y no pueden hacerlo de 0 porque crearían muchos programas incompatibles de millones de clientes, ese es el problema que tendrá windows toda la vida. Linux nació de por sí basado en la seguridad

[#100 TonyStark]

yo mismo soy MVP, y te puedo asegurar que no lo pongo en el curriculum hay que ser pardillo y friki para hacerlo. Es como decir que tienes un master de la juan carlos I

[#54 Opojetivo]

Yo es que al ruben de Facua no lo trago. Cada vez que lo veo en la tv parece que le encanta salir en medios y ser protagonista de cualquier cosa que sale

Una cosa es ser portavoz y otra ser tertuliano

[#38 MDman]

Sólo hay un Chema Alonso, el verdadero y es de elbinario.

Bromas aparte, este tío es el Steve Jobs de los hackers, niño de papa que le monto la empresa (donde otros trabajaban para el), poco después que casualidad, le compró la empresa Timofonica y allí está de jefe (es decir sigue mancharse las manos).
Claro ejemplo de startup española.

[#53 inar]

#38 Por curiosidad, ¿cuál es esa empresa que dices le montó su papá?

[#75 MDman]

#53 Informática 64

[#132 inar]

#75 Pero ... Informatica64 fue la empresa en la que empezó a trabajar como consultor, posteriormente asumió la dirección y luego fue comprada por Telefónica para fundar ElevenPaths.
¿Estás diciendo que Informática64 la creó/financió el padre de Chema Alonso?

[#35 darkdead4]

#9Para eso están las def con si esperas algo de nivel o entretenerte pero de todas no pretendas que de un conferencia sobre fallos en el ACPI de un placa base y sus vulnerabilidades.
Ser un comunicador también tiene su merito y hay audiencia que no tiene puta idea pero que quieren entender algo.

[#57 socialista_comunista]

Chemita haciendo las veces de operadora que te echa las culpas de todo, menos mal que el inteligente es el hermano y este se quedo en listillo vendemotos

[#86 analphabet]

Ya lo dije en el primer meneo y ahora solo puedo reafirmarme, así no se hacen las cosas.

Un consejo para Pedro Serrahima, para la proxima, das un email del contacto de seguridad y ahí se acaba la conversación sobre ese tema.

[#89 txintxarri]

Quizás no será que a Chema le molesta que el de Facua tenga ya más atención mediática....

Xq CA se está cubriendo de gloria últimamente con sus explicaciones...

Por otro lado... Un poco de recogimiento bonito!n

[#96 hormiga_cartonera]

Si yo tuviera info. sobre cualquier vulnerabilidad de timofónica también iría a hacer sangre. Igual si fuera una empresa menos HP tendría más simpatizantes. Se pasa los derechos del consumidor constantemente por el arco del triunfo, ¿qué indolencia espera de la gente a la hora de joderles?