oct 14 2010
Sobre el FaceBook OTP (One Time Password). Usuarios y “usuarios”
Aclaro antes de nada que no soy usuario de FaceBook, los motivos los expuse en esta entrada e incluso dediqué un post íntegro al tema de FB exponiendo mi punto de vista sobre el uso que se le suele dar, en detrimento a veces de los blogs personales. Añado que del mismo modo que dejé de usar Twitter para volver pasado un tiempo, con FB no diré “de este agua no beberé” porque quizás “me ahogue” o se me atraganten las palabras. De ejemplos sobre estas cosas está lleno el archivo de DaboBlog -;).
Pero que no use este servicio, no quiere decir que dado el gran nivel de implantación que tiene, no siga de cerca sus evoluciones. Es casi imposible abstraerse o mantenerse totalmente al margen de un fenómeno de masas como el que nos ocupa.
Tal es la aceptación de FB, que si no fuese porque siendo linuxero uno ya sabe como es lo de pertenecer a una minoría, (a mucha honra y sin ningún complejo) seguro que pensaba que el “problema” o el “rarito” soy yo, porque las cifras marean y el negocio, en términos de rentabilidad, es como para que muchos gurús del business “se lo hagan ver”.
Lo cierto es que no está nada mal sobre el papel esta nueva funcionalidad (existente desde hace tiempo) que FaceBook va a habilitar muy pronto para todas sus cuentas. Se trata del concepto OTP, acrónimo de “One Time Password”. Como diría un castizo, “passwords de usar y tirar“. Necesitas conectarte a FB, mandas un SMS en plan sorteo de la TV con el texto “otp” al 32665 (no sé si se cobrará, menudo-otro-más-negocio) y te llega a tu móvil una clave para usarla sólo una vez y con una duración estimada de 20 minutos.
Tres problemas muy comunes en cierto tipo de usuarios, unos porque pasan y otros porque no saben…
Esto, sobre el papel, solucionaría de un plumazo ese “viejo” problema del usuario de dejar su sesión abierta en ordenadores públicos (y mira que es fácil darle a “logout”-”desconectar”-”cerrar-sesión”;). También, al ser una clave temporal, ese mismo usuario que “a veces” deja sin cerrar su sesión, puede que solucione otro problema conocido.
Sí, ese que se da cuando usas una red wifi abierta alegremente (y encima lo tuiteas) en la que puede que un sniffer esté capturando tráfico en plan industrial. Con el “OTP” de FaceBook, quizás tengas suerte y durante esos 20 minutos de uso te libres o, cuando acabe el esnifado de paquetes, antes del volcado-análisis posterior, la clave haya caducado.
Asimismo, el posible tercer problema de este tipo de usuarios (no exagero, ni es nada peyorativo, lo he visto) que no es otro que darle compulsivamente al recuadro de “recordar mi contraseña”, también quedaría resuelto ya que, pasados esos 20 minutos (teóricamente) con esa clave no se podría hacer nada (me gustaría saber el tiempo medio de sesión por usuario en FB, sinceramente no tengo ni idea).
Y los usuarios que pasan, seguirán pasando…
Y podría seguir pero el post sería demasiado largo para llegar a la misma conclusión por mi parte. En mi opinión, a ese tipo de usuario sinceramente no le veo enviado un SMS a FaceBook para iniciar una sesión “segura” en un ordenador público, lo entrecomillo ya que el término “ordenador público” es algo en contraposición a “seguro”.
Es más, esta medida (muy acertada, bien por FB en este caso, ojo, siempre que sea sin coste) la veo más bien para usuarios que normalmente no se conectan a lugares como FaceBook o Gmail en ordenadores públicos o redes sin cifrado de ningún tipo. La veo para gente que se preocupa por la seguridad mínimamente y que intentan hacer un uso responsable de los servicios donde se almacenan datos personales.
Oye, “me dejas un momento el móvil para ver una cosa”
A los usuarios que pasan de todo, usando esta Web 2.0 tan “amiga y sociable” que nos venden alocadamente y luego son los que más se quejan del servicio que reciben (sí, esto es curioso, los que más pasan son a veces los que más se quejan), les veo más bien intentando cogerle a su pareja-jefe-amigo-amiga de turno el móvil para enviar el SMS y pillar fuera de juego a sus “objetivos”.
Este es otro detalle también muy curioso, no utilizarían para ellos mismos jamás este servicio, pero en cambio, el otro uso (y más con la picaresca nacional siempre tan en alza) les viene a la mente en el minuto “0,5″.
Usuarios y “usuarios”…
Hay gente que pasa de todo, se queja mucho sin aportar nada y no pone ningún interés y en cambio, hay otros “usuarios” que por motivos de otra índole (darían para otro DaboBlog entero), no pueden adquirir unos mínimos conocimientos para usar hoy en día Internet con unas mínimas garantía de privacidad.
Esos intentan hacer las cosas bien (como vemos muchas veces en nuestros foros de ayuda en Daboweb) y les suceden continuamente casos como los tres que reseño arriba; sesiones que no se cierran, uso de redes sin cifrar, almacenar passwords, aunque podría ir un largo etc, pero no porque pasen de todo, sino porque no han cogido bien el concepto o porque les falta una base sólida en cuestiones informáticas.
Lo de siempre, eso tan comentado-olvidado de la educación...
Quizás algún día, alguien se empiece a tomar en serio la estrecha relación existente entre la vida real y electrónica, ese día, en las escuelas, los lugares de trabajo o el “hogar del jubilado”, igual se empieza la casa por los cimientos y se le explica a ese futuro usuario que, antes de conectarse a FaceBook, mandar un correo o contratar un viaje por Internet, lo importante es que por no proteger tu correo, te revienten la cuenta de FaceBook y contraten un viaje online pero con tu tarjeta de crédito y no a tu nombre desde luego…
Recomendada, para este tipo de usuarios la charla de Kids en el interqué (quedan plazas)
Algunos ya estaréis al tanto de que ESET, uno de los grandes hablando de seguridad, ha apostado tan fuerte por el 
Luego, cuando fui aprendiendo a base de prueba-error, pasé a meterle mano a servidores dedicados más potentes y a administrar otros de terceros. En estos 5 años, he ido pasando por diferentes fases hasta llegar a comprender más o menos como se mueve todo esto.
Quizás lo más complejo haya sido darle forma a todo o más bien resumir lo más importante. Esa fase ya está superada (más o menos-;) y ahora queda preparar cada uno nuestra parte. Dispondremos de 60 min y lo haremos en dos bloques, estamos controlando ahora mismo el tiempo para cada uno de ellos. En ambos casos, apoyaremos lo comentado con ejemplos realizados en riguroso (esperemos que no falle-;) directo.
También se verán ejemplos de cómo un buscador puede tumbarte un servidor, ataques XSS, vulnerabilidades en PHP y otros servicios, seguridad por oscuridad con varios ejemplos y sus correspondientes test de intrusión externos, ver un firewall en acción y algún consejo para usarlos, búsqueda de Rootkits, control de puertos y servicios a la escucha, etc.


Autoría de la imagen 







