Tecnología: Ya es imposible ganar a las damas

Bueno lo reconozco: el título es un poco sensacionalista. Ciertamente en una partida siempre es posible ganar o al menos quedar en tablas; pero ya no contra un ordenador.

Según leo en La Flecha, un grupo de informáticos de la universidad de Alberta (EEUU) liderado por Jonathan Schaeffer acaban de terminar un proyecto iniciado en 1989 y basado en los trabajos que Arthur Samuel comenzó casi 40 años antes. Su nombre "chinook".

El objetivo inicial de dicho proyecto era desarrollar un programa capaz de derrotar a los campeones humanos en el milenario juego de las damas. Tras ser aceptado en 1990 como "participante" en el campeonato del mundo de esta especialidad, perdió en su participación de 1992, resultando ganador 2 años después.

A partir de este momento se demostró que se había convertido en un contrincante imposible de derrotar para un ser humano, pero esto ya no era suficiente. El objetivo entonces pasó a ser desarrollar la máquina perfecta para jugar a las damas.

Desde entonces ha estado trabajando hasta jugar todas las combinaciones de jugadas posibles hasta conseguir a día de hoy y una vez terminado el trabajo, poseer un árbol de decisiones tal que le permiten ser capaz de ganar siempre que empiece como negras (mueven primero), o al menos llegar a tablas si por el contrario sus fichas son las blancas.

Según Schaeffer lo conseguido aquí no es sólo una máquina que gana a las damas, sino que "reemplaza los métodos empíricos del aprendizaje por un sistema de conocimiento perfecto, lo que supone una sorprendente demostración de las posibilidades que el 'software' y el 'hardware' son ya capaces de conseguir".

En cualquier caso y pese a que ésto dicen que supone un gran avance en materia de inteligencia artificial, yo en mi opinión no lo veo así ya que a fin de cuentas es una máquina con una base de datos brutal de posibilidades y elige en función de un resultado: ganar. De todas formas y pese a que muchas veces se podría argumentar que la inteligencia se basa en la experiencia, aún les falta el instinto. Quién sabe si con una pizca de piscina de entropía...

Por cierto, para los más escépticos que aún se crean superiores y capacitados para ganar, pueden frustrarse una y otra vez en la demo disponible en la web del proyecto: aquí.

Luego más.

Continúa...

Privacidad: Cambios en Ask.com y Anonymizer.com

En esta ocasión voy a comentar dos noticias breves que afectan a cambios en las políticas de privacidad de dos compañías conocidas por todos: Ask.com y Anonymizer.


Para empezar gracias a Slashdot nos enteramos que Anonymizer ha decidido dejar de ofrecer el servicio online gratuito de navegación anónima, haciéndose este hecho efectivo desde el pasado 20 de Junio. Recordemos que esta empresa ofrecía tanto directamente a través de su portal a través de una barra de navegación, como a través de una barra de herramientas instalable en local, de un servicio básico de navegación anónima, ésto es, sin javascripts ni otras tecnologías web.

Por tanto la empresa ahora sólo dispone de productos de navegación anónima de pago y de instalación en local. El problema es que dichos servicios sólo están disponibles para Windows e incluso la versión para Windows Vista está en actual desarrollo, lo que pone a la empresa en clara desventaja frente otras alternativas de navegación anónima y gratuita como la red Tor.

Por otro lado y en lo referente al buscador Ask.com, gracias a 901am.com descubrimos que ha tomado claro ejemplo de los problemas que ha tenido Google por su política de privacidad e intentan sacar provecho. Para ello prevén lanzar un nuevo servicio denominado "AskEraser" que una vez activo nos permitirá navegar sin que nuestra sesión quede reflejada ni almacenada en el historial de Ask.com.

Si no se demoran mucho con el lanzamiento de este nuevo servicio, esta decisión puede suponer un incremento en su número de usuarios y por tanto arañarle un poco de terreno a sus grandes rivales como Google y Yahoo!.

Y por mi parte, luego más.

Continúa...

(In)Seguridad: El problema de las puertas traseras institucionales

Una puerta trasera en una aplicación es un mecanismo alternativo de acceso o salida por el cual, todo aquel que sepa los "pasos" necesarios para abrir dicha puerta puede acceder a o salir de la aplicación independientemente de los pasos estándar que se haya establecido para ello.

Ésto que bien usado es una potente ayuda en caso de contingencia, puede ser una peligrosa amenaza si cae o es descubierto por las manos equivocadas, tal y como ha quedado de manifiesto en el pasado caso que ha alarmado a la sociedad griega y que pone en entredicho la seguridad del binomio Vodafone-Ericsson.

"La Tejedora" se ha hecho eco de una noticia que ya apareciera en importantes medios como el "Wall Street Journal" o la publicación que posee el organismo IEEE y que hace referencia a las escuchas ilegales que se registraron en este país durante más de medio año a lo largo del 2004 y principios del 2005.

El escándalo saltó cuando a mediados de Marzo del 2005, un responsable de la compañía de telefonía móvil Vodafone, contactaba con el primer ministro griego para alertarle sobre una brecha crítica de seguridad. Según parecía, se habían detectado mecanismos en la red de Vodafone que permitían realizar escuchas ilegales y rastreando las líneas afectadas y uno de los primeros números en aparecer como afectados había sido el suyo. Finalmente más de 100 líneas de teléfono se detectaron intervenidas, incluyendo las de los políticos más importantes, altos cargos policiales, embajadores de otros países, etc.

Las investigaciones revelaron que al menos 14 teléfonos de prepago recibían una copia de las llamadas intervenidas además de recibir un mensaje de texto con información relativa a la llamada como duración, localización o participantes. Dichos teléfonos fueron encontrados abandonados tras parchear y sanear las arquitecturas afectadas, lo qué alertó a los delincuentes dándoles tiempo a huir y desaparecer.

Por su parte las empresas implicadas culpan a la otra del percance. Vodafone se excusa en que pese a conocer que los aparatos de Ericsson incluyen la posibilidad de comprar un set para permitir las escuchas legales, desconocía que dicho mecanismo se encontraba instalado por defecto en todos los equipos permaneciendo en estado latente hasta la aplicación de dicho set de herramientas. Ericsson indica por el contrario que por su parte si había notificado dicho asunto a Vodafone. Además asegura que los equipos instalados en el resto de operadoras de telefonía móvil del país están libres de riesgo y que para poder intervenir las lineas, tuvo que hacerse desde el interior, desde las oficinas de Vodafone.

Según parece, los atacantes estudiaron el código que permitía la intervención legal de llamadas desarrollado por Ericsson para encontrar vulnerabilidades del mismo. Una vez detectadas, bastaron 6500 líneas de código para conseguir el efecto deseado de manera casi invisible para la operadora, y lo hubiera sido de no ser porque estos "pinchazos" provocaron fallos en los terminales de las personas afectadas. Fué cuando la compañía investigaba estas incidencias y gracias a la colaboración de Ericsson que llegaron a la conclusión de que había algo que no cuadraba en el problema, lo que finalmente llevó a la detección del incidente comentado aquí.

Aparentemente y a día de hoy dicho problema está resuelto, pero ésto debería mantenernos alerta de los problemas que pueden traer las medidas antiterroristas que las instituciones muchas veces obligan a instalar en las grandes compañías, por lo que habría que examinar con lupa y hacer un balance lo más objetivo posible acerca de los pros y contras de la implantación de estas medidas.

Y por mi parte, luego más.

Continúa...

Mundo Empresarial: Lego en la formación de directivos

El otro día publiqué a modo de offtopic una noticia acerca de lo que era posible realizar con piezas de Lego, paciencia e imaginación. Pues bien parece que últimamente las piezas de colores vuelven a estar de moda, pero no como juguete, sino como herramienta empresarial.

Según publica "The Economist", los bloques están causando furor en las grandes empresas y ya empiezan a utilizarse tanto como en procesos de selección como en formación de altos directivos.

Empresas como PwC (PricewaterhouseCoopers) y Google instan a sus candidatos a superar pruebas de construcción para ver sus capacidades. En el primer caso el objetivo es construir una torre lo más alta y sólida posible con el menor numero de piezas, mientras que en el segundo se trata de construir un puente lo más sólido y resistente.

Adicionalmente también se está utilizando en formación de directivos e incluso los coachers o facilitadores empiezan a recibir formación concreta en esta materia. De hecho ya existe hasta una certificación oficial sobre ésto denominada "Lego Serious Play".

Según los seguidores de esta nueva rama de la psicología (si se me permite llamarlo así) este método es efectivo ya que permite que, al igual que ocurre en los niños, utilicemos nuestra parte más instintiva en lugar de lo racional, lo que nos permite darnos cuenta de lo absurdos que pueden ser a veces nuestros "razonamientos". Además, permite la resolución de conflictos al permitirnos expresar problemas con otras personas, modelando los "sentimientos" que dichas personas nos producen sin tener que nombrarlas.

Así que ya sabéis, dentro de poco en las reuniones con directivos y clientes en lugar de tediosas presentaciones, ¡todos al suelo a jugar con los Lego!

Y por mi parte, luego más

Continúa...

Artículo: Evolución de los cortafuegos

Después de hablar en una de las últimas entradas acerca de los firewalls o cortafuegos de capa de aplicación, he recibido algún correo en el que me solicitan que explique ésto un poco más, en vista de lo cuál he recuperado y desempolvado un fragmento de un artículo que publiqué hace tiempo en el que se explica un poco la evolución y tipos de cortafuegos.

Comencemos.

Paso 1: Los comienzos.
··············································
Los primeros cortafuegos se desarrollaron a finales de los 80, principios de los 90. Éstos sistemas inicialmente estaban basados en el filtrado estático de paquetes. Dicho filtrado básicamente comprueba la red/puerto de origen y la red/puerto de destino, por lo que rápidamente se observó que no cubría todas las necesidades requeridas.

La primera ventaja de estos cortafuegos es su velocidad de proceso ya qué sólo se analizan las capas bajas de la pila OSI. Más exactamente las capas inspeccionadas en este caso son la 3 o capa de red (ip origen e ip destino) y la 4 o capa de transporte (puerto origen y puerto destino).

Más ventajas a comentar es que son transparentes para el cliente, no requieren de grandes prestaciones de las máquinas en las que se ejecutan y al ser un filtrado básico, la mayoría de los enrutadores y otros dispositivos de red lo implementan per se.

Sin embargo la implantación de reglas es larga y costosa ya que al ser un filtrado básico y no disponer de un mecanismo para realizar un seguimiento de las conexiones, es necesario un mayor número de reglas para cubrir la política deseada. Esto es así porque se hace necesario tener una regla para permitir un sentido de la comunicación y otra para permitir la respuesta de dicha comunicación, es decir, es necesario permitir implícitamente el sentido contrario.


Paso 2: "Ligeros" cambios.
······················································
Viendo el problema que se planteaba con el filtrado estático de paquetes, la siguiente evolución la introdujo el cortafuegos basado en el filtrado dinámico de paquetes o "Stateful Inspection" (Inspección de Estados).

Esta tecnología permite filtrar los paquetes por cualquier elemento existente en la cabecera ip. Además, incorpora una tabla de estados de conexión por lo que se añade potencia al poder usar estos estados como regla de filtrado. También modifica automáticamente la política de filtrado según dicha tabla de conexiones, con lo que se reducen la complejidad y el número de reglas necesarias para realizar el filtrado, puesto que ya no es necesario el uso de reglas adicionales para permitir la respuesta de las conexiones permitidas.

Pese a que hay fabricantes que se refieren a estos cortafuegos como de tercera generación, la tecnología usada en ellos se podría definir como una extensión de la tecnología anteriormente descrita. Como ya hemos visto mejora considerablemente los cortafuegos de filtrado estático de paquetes, pero carece todavía de la posibilidad de filtrar la parte de datos de los paquetes.


Paso 3: Una vuelta a la tortilla.
·······························································
La siguiente evolución se implementó en los llamados proxies. Estos elementos hacen de intermediarios entre el cliente y el servidor final haciendo las veces de pasarela. Básicamente lo que hacen es analizar los paquetes que conforman la sesión, reensamblarlos únicamente con datos validados y crear una nueva conexión al servidor por dónde se enviarán los nuevos paquetes creados.

Esto supone un cambio con respecto a los cortafuegos de filtrado de paquetes ya que recordemos que éstos no modificaban el paquete original y además creaban una conexión "directa" entre el cliente y el servidor, no hacían de intermediarios como ocurre en este caso.

Existen 2 tipos de estos elementos de seguridad: proxies de circuito y proxies de aplicación. Los primeros trabajan en la capas OSI 4 o capa de transporte y/o 5 o capa de sesión creando un circuito virtual entre el cliente y el servidor, sin analizar el contenido de dicho circuito.

Los proxies de aplicación trabajan en la capa OSI 7 o capa de aplicación. Éstos analizan la parte de datos del paquete, no su cabecera como en casos anteriormente analizados, tomando luego la decisión de aceptarlo o rechazarlo en función de ciertos parámetros previamente establecidos.

La ventaja de estas tecnologías es que se incrementa notablemente el nivel de seguridad. Por otro lado son dependientes de la aplicación, por lo que suele ser necesario utilizar varios proxies para proteger todos los servicios que un posible cliente pueda tener, mientras que generalmente con un cortafuegos de filtrado de paquetes se protege una red entera. Esto provoca que sea más costoso en términos de requerimientos su implantación. Además no suelen ser transparentes para el cliente y al tener que desensamblar el paquete en su totalidad, analizarlo y volver a ensamblarlo, tienen un rendimiento bastante inferior.


Paso 4: Estado actual.
·············································
La realidad es que a día de hoy hay pocos avances más en materia de cortafuegos y podemos encontrarnos elementos de red de todos los tipos enumerados anteriormente. De este modo es posible encontrarnos cortafuegos de filtrado estático en la mayoría de los elementos de electrónica de red (routers, switches, etc), llegando incluso al mercado residencial. Hoy en día la mayoría de los routers que las compañías de xDSL y cable instalan utilizan ésto para su módulo de filtrado.

A nivel comercial, los productos que actualmente se comercializan ofrecen todas las tecnologías anteriormente descritas, llegando incluso a permitirnos realizar tareas de proxy en múltiples protocolos al mismo tiempo sin utilizar varios cortafuegos para ello. Las diferencias entre unos productos y otros se refieren al rendimiento, las capacidades de gestión y tamaño de la base de datos de los patrones o firmas de los ataques reconocidos.

Y hasta aquí esta pequeña introducción al mundo de los cortafuegos. Por mi parte espero haber resuelto las dudas que había y como siempre,

Luego más.

Continúa...

Google: Cookies y Cross Site Scripting (XSS) (II)

Los que hayan leido el post anterior, habrán visto que me he centrado en la segunda parte y he hablado acerca de la política que Google está llevando a cabo para proteger y asegurar sus aplicativos web de cara a ataques como XSS, dejando apartado el primer asunto del título.

En este post por tanto voy a continuar con la noticia y hacerme eco de las novedades en materia de privacidad que está acometiendo Google, que como os imaginareis hacen referencia al manejo de las cookies.

Por todos es sabido el revuelo que se produjo recientemente en Internet en general y en el mundo de las TI en particular acerca de que según su nueva política Google mantenía la información relativa al uso de sus productos, incluyendo IP y otro tipo de datos "personales" entre 18 y 24 meses.

Este hecho fue investigado por un grupo de expertos en la Unión Europea y tras una serie de conversaciones entre las partes, finalmente Google decidió fijar en 18 meses el tiempo máximo de retención de datos personales de sus usuarios.

Pues bien, según parece estos hechos han dado que pensar a la empresa acerca de dónde está el equilibrio entre privacidad y compromiso y ha rectificado en aras de recuperar algunos puntos perdidos con el gran público.

Según su blog oficial, trás estudiar las distintas impresiones al respecto, finalmente Google ha decidido reducir el tiempo de vida de las cookies que se almacenan en nuestros equipos. Ésto, que podría parecer prometedor parece más bien una acción de auto propaganda. Me explico: según ellos mismos dicen, inicialmente las cookies tenian el 2038 como fecha límite de validez (aquí hay una posible explicación para dicha fecha) mientras que ahora trás la nueva política, la validez de dichas cookies es de dos años máximo, lo cual, sigue siendo bastante.

En cualquier caso, que hayan dado este pequeño paso aún a pesar de que aparentemente es sólo promocional, debería ser significativo para el usuario, ya que actualmente la inmensa mayoría de las páginas y servicios web que visitamos nos dejan su huella y su pequeño espía en forma de cookie, que permanece ahí en muchos casos hasta que un problema de fuerza mayor nos obliga a formatear el disco...

Prefiero no seguir con el tema, que me da por pensar que cada vez nos parecemos más a un mundo orwelliano, en el que seguridad y privacidad son más metáforas que realidades.

Y por mi parte luego más.

Continúa...

Google: Cookies y Cross Site Scripting (XSS) (I)

Tranquilos, no es que esté molesto con la gente de Google por no dejarme jugar a "The Ultimate Search For Bourne With Google" desde linux y por tanto vaya a revelar información sensible acerca de como usar las cookies de sesión para realizar un ataque de Cross Site Scripting (XSS).

Más bien al contrario, en esta ocasión voy a comentar dos noticias aparecidas en sendos blogs del gigante de Internet acerca de innovaciones y/o cambios en sus políticas de seguridad.

Por un lado, en el blog oficial de seguridad nos indican, tras una breve introducción de qué es un ataque de Cross Site Scripting y algunos consejos prácticos sobre como mitigarlos, las medidas que Google está tomando para securizar sus aplicativos web.

Según Srinath Anantharaju, autor de la noticia y miembro del equipo de seguridad, su equipo ha desarrollado un sistema de pruebas llamado "Lemon", el cual utilizan para inyectar peticiones a sus aplicativos web y ver las debilidades de éstos ante este tipo de ataques. Además según comenta, estas pruebas les han ayudado a encontrar otros fallos de seguridad.

En mi opinión, hay que aplaudir este tipo de medidas por parte de empresas de tan gran envergadura, si bien es cierto que considero que este tipo de medidas deberían ser de obligado cumplimiento para todas las empresas que ofrezcan desarrollos o servicios web. Ahora a ver si el resto de empresas se va concienciando poco a poco (o mucho a mucho) de la situación y problemática actual y empieza a poner medidas.

Además seria conveniente que se empezara a popularizar el uso de los denominados firewalls de [capa de] aplicación. Estos elementos también llamados firewalls de capa 7, realizan su labor en la capa 7 del modelo de referencia OSI. Para ello interceptan las peticiones de un protocolo determinado (en nuestro caso HTTP) a modo de proxy; examinan y filtran el contenido de dicha petición; en caso de no ser rechazada la re-encapsulan y reenvían al servidor que corresponda; una vez que éste responde, se analiza la página web resultante que se va a devolver para comprobar que no hay patrones sospechosos; se elimina todo el contenido "anómalo" de la respuesta y el resultado se le envía al usuario final.

Por supuesto esta medida no excluye la securización de código. Recordemos por ejemplo el caso de los ataques de Blind SQL, que resultan exitosos pese a no obtener información a través del aplicativo web, por lo que ambas soluciones deberían ser siempre complementarias la una de la otra.

Como este post se me está alargando un poco más de lo debido, lo continúo en el siguiente y así facilito la lectura.

En seguida más.

Continúa...

Google y Universal Pictures: "El ultimátum de Bourne": decepción

Buenos días a todos. Sí en la última entrada hablaba acerca del lanzamiento hoy lunes del juego promocional online de "El ultimátum de Bourne", hoy tengo que daros malas noticias al respecto.

La cuestión es que esta mañana he ido a probar el juego, más por curiosidad que por enfrentarme realmente a él. Mi sorpresa ha sido mayúscula cuando al acceder a la página www.searchforbourne.com me he encontrado con el siguiente mensaje:

Sorry, but
THE ULTIMATE SEARCH FOR BOURNE
cannot be undertaken in Linux.

Vamos, que no puedes participar en el juego si accedes desde linux. Y yo me pregunto: Si según las bases del concurso el objetivo del juego era encontrar al agente Bourne, sirviéndonos de aplicaciones de Google para ello y por tanto era un juego online, ¿qué necesidad hay de utilizar un sistema operativo u otro? ¿No se requiere únicamente un navegador web?

Doy por hecho que esta medida restrictiva viene de la mano de Universal Pictures, ya que Google siempre ha defendido al software libre y desarrolla sus productos tanto para plataformas Microsoft como Linux. En cualquier caso creo que Google debería tomar alguna carta en el asunto, pues este hecho también le salpica indirectamente.

En fin, habrá que esperar a que alguien se haga eco de este problema. Mientras tanto cambiaré a una máquina virtual para probar el jueguecito y ver por qué no puedo jugar en linux.

Por mi parte luego más.

Continúa...

Google y Universal Pictures: "El ultimátum de Bourne": juego online

Tranquilos, pese a lo que pueda parecernos en principio Google no se ha decidido por el desarrollo de videojuegos (al menos por el momento).

Según leí el otro día en 9:01am, coincidiendo con el lanzamiento mundial de "El ultimátum de Bourne", tercera entrega de la saga iniciada en el año 2002 con "El caso Bourne" y posteriormente con "El mito de Bourne" en 2004, Universal Pictures y Google se alían para sacar a la luz un juego online basado en dicha secuela.

En dicho juego, mezcla de campaña promocional y juego como tal, asumiremos la identidad de un agente secreto. Si queremos superar este reto, nuestra misión será seguir y encontrar al agente Bourne a lo largo y ancho de tres continentes. Para ello tendremos que demostrar nuestras habilidades con las herramientas que todo buen agente secreto debe conocer...

Para los que no lo hayáis adivinado, estas herramientas son Google y su extensa selección de aplicaciones, las cuales nos permitirán ir respondiendo preguntas y superando por tanto las distintas fases del juego.

Este juego que estará disponible a partir del próximo lunes 16 y permanecerá accesible hasta el día 3 de Agosto, fecha del lanzamiento en USA, es el segundo de estas características en el que Google colabora, siendo el anterior el juego realizado con motivo de la película "El código da Vinci". En esta ocasión podéis acceder bien por aquí o por aquí.

Creo que el lunes le echaré un vistazo, ¿os animáis?

Por mi parte, luego más.

Continúa...

Microsoft: Cambia su modelo de negocio hacia "software más servicios"

Perdón por el retraso ya que hoy además vengo con una noticia de hace un par de días (que curiosamente no me parece que haya tenido demasiada repercusión, al menos todavía). La cuestión es que en estos días Microsoft ha celebrado en Denver su "Conferencia Anual para Socios de todo el mundo". En dicho evento confluyen las más altas esferas de la compañía para exponer a los socios más importantes a nivel mundial los logros que la empresa ha desarrollado a lo largo del año y las expectativas y proyectos venideros.

Esto que a priori no es realmente significativo puesto que reuniones anuales son celebradas con frecuencia en las empresas, lo ha sido gracias a las declaraciones con las que Kevin Turner y Steve Ballmer han inaugurado sus participaciones en la conferencia de este año.

En sendas ponencias los directivos de Microsoft han constatado los rumores acerca del nuevo rumbo que la compañía con sede en Redmond tomará a partir del año que viene. Dichos rumores apuntaban a que el nuevo modelo de negocio dejará atrás el enfoque "software como servicio" y se adentrará en las nuevas ideas de "software más servicios".

Según las declaraciones, esta idea surge a raíz de las nuevas necesidades que Internet y la comunicación global han ido desarrollando en las empresas. Antes bastaba con un software que resolviera una necesidad. Ahora además es necesario dar una serie de servicios adicionales en función de la demanda, que pueden ir desde el alojamiento de dicho software, acceso online desde cualquier parte del mundo o la integración con aplicaciones de terceros.

Además, pese a la corriente existente contraria a la idea, Microsoft, por boca de sus directivos ha sido tajante: este es el camino elegido y no hay vuelta atrás. En cualquier caso asegura que esto abre un mundo de oportunidades a todos los socios que quieran tomar parte del cambio y que por supuesto no imposibilita a los socios seguir trabajando en el anterior modelo de negocio, puesto que el software siempre estará ahí.

Esto es un resumen muy por encima de la noticia más relevante. En cualquier caso si no habéis podido asistir a las conferencias, podéis acceder tanto a los webcasts como a las transcripciones en esta dirección (en inglés)

Por cierto, también nos informan que el 27 de Febrero de 2008 va a ser un día para apuntar en las agendas, puesto que dicho día Microsoft realizará la presentación y lanzamiento oficial más importante de sus productos que se haya hecho hasta entonces.

Habrá que estar expectantes, tanto de esta fecha como de las novedades que este cambio en el modelo de negocio traiga consigo.

Por mi parte luego más.

Continúa...