Incidentes de Seguridad

Transcripción

1 Chema Alonso

2 Incidentes de Seguridad

3 Dumps de identidades

4 DeepWeb, Pastes, BlackMarkets, Botnets, etc

5 BYOM (Bring Your Own Malware)

6 El enemigo a las puertas

7 Superficie de exposición Los servicios están activos 24 x 7 x 365 Solo usamos nuestras identidades un breve espacio de tiempo Las cuentas deberían poder apagarse

8 Passwords+OTP SMS TOKEN

9 OTP Usuario necesita introducir un código Despliege de SMS Matriz de coordenadas es estática Hardware tokens son caros Usuario necesita introducir un código Usuario no le gusta introducir un código

10 A la gente le gusta dormir la siesta (con el mando de la tele)

11 Patentes

12 Cosas sencillas son útiles

13 At the airport Anna has just started a new job and she is on a business trip. As usual, she checks the weather, prepares her suitcase and defines her online security levels using Latch.

14 Taking a cab To make her trip easier she decides to pay everything using a service, on her way to the office at the destination point she switches service on, so she can pay the taxi fare. Once done she switches her account off, minimizing the exposure to improper usage.

15 An alert of the service used! Fortunately her account was blocked by Latch, as Anna easily requested using the app. Alas, in the stopover someone tried to hack her service account. The attack was under control and no misuse was ever fulfilled.

16 Cómo proteger una identidad?

17 Latch de una cuenta 1.- Generate pairing code Latch Server 6.-ID 2.- Latch Temporary appears Pariring in app token 4.-AppID+Temp pairing Token 5.- OK+Unique Latch My Site User Settings: Login: XXXX Pass: YYYY Latch: U L a t c h

18 Latch de una cuenta

19 Latch de una cuenta

20 Login en una Web Latch Server 3.- asks about Latch1 status 4.- Latch 1 is OFF 6.- Someone try to get Access to Latch 1 id. 1.- Client sends Login/password My Bank Users DB: Login: XXXX Pass: YYYY Latch: Latch1 2.- Web checks Credentials with Its users DB 2.- Check user/pass 5.- Login Error Latch app Latch1: OFF Latch2:ON Latch3:OTP Latch4:OFF. Login Page: Login:AAAA Pass:BBBB

21 Login en una web

22 Vamos a Latchear

23 Hacer login con OTP 4.- Latch Server Generates OTP Latch Server 3.- asks about Latch1 status 7.- Use this (OTP). 5.- Latch 1 is ON(OTP) 1.- Client sends Login/password My Bank Users DB: Login: XXXX Pass: YYYY Latch: Latch1 2.- Web checks Credentials with Its users DB 2.- Check user/pass 6.- OTP? Latch app Latch1: OFF Latch2:ON Latch3:OTP Latch4:OFF. Login Page: Login:AAAA Pass:BBBB

24 Hacer login con OTP

25 Operaciones latcheadas Latch Server 3.- asks Latch1:Op1 status 4.- Latch 1:Op1 is OFF My Bank Login: XXXX Pass: YYYY Latch: Latch1 Int_Trnas: Op1 Latch app Latch1: ON Op1:OFF Op2:ON OP3:OTP Latch 2: OFF. 6.- Someone try to do a Latch 1:Op1 Operation 1.- Client orders International Transactions Online Banking Send Money: Denied

26 Jugando con Latchs

27 Sobre Latch Privacidad: AppIDs conoce los UniqueLatches pero no los UserLatches. Latch Server conoce Latchets y AppID, pero no los usuarios/passwords Robustez: Si el servidor de Latch es comprometido la seguridad del sitio protegido sigue intacta. No se guarda ningún dato sensible en Latch Server.

28 Usuarios pueden Opt in para poner latchs Seleccionar ON/OFF/OTP por Latch o por Operación Seleccionar el Night mode Detectar cuándo un id ha sido usado Manejar todas las identidades desde una sola app

29 Sitios protegidos Reducir el Fraude Detectar cuándo un id ha sido comprometido Gestionar todos los Latchs Definir las operaciones que deseen Pagar solo por usuarios activos

30 Developer Area

31 Plugins WordPress Joomla! PrestaShop Drupal DotNetNuke RedMine.NET Membership

32 SDKs PHP Java Ruby Python C.NET Web service API

33 Implementación require_once("../latch.php"); $api = new Latch(APP_ID, APP_SECRET); $pairresponse = $api->pair($_get[ token ]); print_r ($pairresponse). "\n<br>\n"; $accountid = $pairresponse->getdata()->{"accountid"}; $statusresponse = $api->status($accountid);

34 Latencia y rendimiento Arquitectura redundante y escalable Distribuida globalmente Tiempo de proceso ~2ms Latencia Europa con HTTPS: 0.3s Entorno de Stage para partners

35 En desarrollo: Firefox OS Blackberry Apps disponibles

36 Más información en la Web: