Blog de Hacking ®

It's te Hack Generation!

  • Mensaje de Bienvenida

    Estimado Visitante. Le damos la más cordial bienvenida a nuestra Blog de Hacking. Esperamos que encuentre con nosotros la información que usted busca, y que como resultado de ello, nos veamos favorecidos con su elección y preferencia hacia nosotros. En este blog usted podra encontrar muchas cosas de su utilidad, desde herramientas, manuales, tutoriales hazta consejos los cuales ayudaran a seguir ampliando su conocimiento & siga aumentando su pasiòn por la informàtica. Le deceamos mucha suerte & que se divierta en nuestro Blog, esperemos este lugar sea de su agrado, un cordial saludo & bienvenido. Atte: SiriusBl@ck

Titulo del libro: Como conocer a las personas por su lenguaje corporal

Mas allá de las palabras, el cuerpo no miente. ¿No sería fantástico leer los pensamientos de los demás e influir en ellos? El lenguaje corporal delata completamente tus sentimientos o percepción acerca de la persona con la que está interactuando. Ahora puedes conocer los secretos de este lenguaje silencioso y que nunca miente.
Este libro en muchos lados lo encontré incompleto, es un libro muy interesante, no recuerdo donde lo encontré completo así que lo subí y se los comparto.

Es increíble pensar que llevo bastante tiempo utilizando la FOCA y nunca le había dedicado un articulo a este animal, a pesar de haber publicado varias charlas de chema alonso donde daba a conocer su mascota.





¿Que es la FOCA?


   FOCA (Llamado así en honor a Francisco OCA, aunque luego buscaran las siglas “FingerprintingOrganizations with Collected Archives”) es una herramienta para encontrar Metadatos e información oculta endocumentos de Microsoft Office, Open Office y documentos PDF/PS/EPS, extraer  todos los datos de ellos exprimiendo los ficheros al máximo y una vez extraídos cruzar toda esta información para obtener datos relevantes de una empresa.

   ¿Que funciones tiene la FOCA?


La foca hace Google y Bing Hacking para descubrir los archivos ofimáticos que tiene un dominio, los descarga masivamente, les extrae los metadatos, organiza los datos y nos muestra la siguiente información:
Nombres de usuarios del sistema
Rutas de archivos
Versión del Software utilizado
Correos electrónicos encontrados
Fechas de Creación, Modificación e Impresión de los documentos.
Sistema operativo desde donde crearon el documento
Nombre de las impresoras utilizadas
Permite descubrir subdominios y mapear la red de la organización
Nombres e IPs descubiertos en Metadatos
Búsqueda de nombres de dominio en Web: Google o Bing [Interfaz web o API]
Búsqueda de registros Well-Known en servidor DNS
Búsqueda de nombres comunes en servidor DNS
Búsqueda de IPs con resolución DNS
Búsqueda de nombres de dominio con BingSearch ip
Búsqueda de nombres con PTR Scanning del segmento de red con DNS interno
Transferencia de Zonas
Detección automática de DNS Cache
Vista de Roles
Filtro de criticidad en el log
Entre otras muchas cosas…




La foca es especialmente útil, en la tarea previa a un pen-test, donde debemos recolectar toda la información posible sobre el objetivo para que nuestra tarea se realice de la mejor forma.
Aqui podemos ver a Chema mostrando su FOCA, durante su charla en el VI Congreso Latinoamericano de Respuesta a Incidentes de Seguridad (Colaris), realizado en Perú.


http://www.youtube.com/watch?v=Xx8ESYfbpRU


O este pequeño manual basico de instalación y uso creado por cruz4d3r para la comunidad


http://www.youtube.com/watch?v=aNucTrEWfSM

Descargar la FOCA

Mas Información:
Pagina Oficial de la FOCA

Apple no ha tenido más remedio que reconocer que sus equipos son vulnerables tras la aparición de MAC Defender, pero los problemas podrían no haber hecho más que empezar ya que circula por la red una variante de este falso antivirus.

Se trata de un programa denominado Mac Guard, que según la firma de seguridad Intego, es potencialmente más peligroso que el anterior ya que no precisa la contraseña del administrador para su instalación sino que una vez que el usuario visita ciertas páginas infectadas es capaz de colarse en su equipo.

Por lo demás el modus operandi de Mac Guard es prácticamente el mismo que el de MAC Defender.

El programa logra posicionarse mediante técnicas fraudulentas entre los resultados más destacados de los buscadores, después despliega un falso análisis de seguridad e informa al usuario de que su equipo está infectado proponiéndole instalar el supuesto antivirus.

Si el usuario accede se instala en su equipo este software que simula bastante bien la apariencia de un antivirus, aunque en realidad se dedica a abrir páginas web con contenidos pornográficos en el navegador cada pocos minutos y a robar datos personales.

Esta amenaza se considera un riesgo medio, pero el mayor temor de los expertos es que se abra la puerta para la creación de malware sofisticado para Mac.

Mientras, Apple ha anunciado el próximo lanzamiento de una actualización de seguridad para Mac OS que resuelva los problemas causados por MAC Defender.


Un experto en seguridad informática ha localizado una vulnerabilidad presente en todas las versiones de Internet Explorer, mediante la cual los hackers podrían acceder a las credenciales de los usuarios en servicios como Facebook o Twitter.

Según ha explicado Rosario Valotta, el profesional que detecto él problema, bastaría con que los cibercriminales lograran llegar hasta las cookies almacenadas en Internet Explorer, para que puedan robar los datos y contraseñas de los perfiles de las víctimas.

Valotta ha asegurado que es relativamente fácil para los hackers conseguir el acceso a nuestras cookies, ya que sólo necesitan que las víctimas arrastren un objeto a través de la pantalla del ordenador.

El experto confirmó que había hecho una prueba en Facebook a través de un puzzle que  consistía en desnudar la foto de una mujer, y en menos de 3 días recibió más de 80 cookies en su servidor.

Este nuevo método de sustracción de contraseñas en Internet Explorer se conoce ya con el sobrenombre de “cookiejacking”, y sus efectos serían devastadores para el usuario atacado de tener éxito, ya que se podría llegar a suplantar su identidad.

De todas formas, la visión de Microsoft es opuesta, ya que desde la empresa de Redmond consideran que los usuarios no tienen razones para preocuparse, debido a que las posibilidades de que el método pueda ser empleado con éxito son mínimas.

Al ver direcciones web acortadas, el usuario no sabe realmente a qué web va a ser dirigido. Desde hace algún tiempo, las soluciones de seguridad emplean sus propias técnicas para detectar posibles malware en estas direcciones acortadas. Por eso, ahora los spammers han decidido crear su propio sistema, con el fin de intentar engañar también a los filtros de spam, que pueden considerar que es una dirección URL real y no una sospechosa.

En el último informe de MessageLabs [PDF] han observado que surge una nueva técnica de evasión, que funciona mediante la incorporación de una dirección URL legítima corta, que a su vez señala un sistema de dirección corto creado por los spammers. Esto redirige finalmente a la web de destino, añadiendo una capa extra para vencer los filtros.

Para asegurarse, los spammers han comenzado incluso a crear cadenas de estos sitios para hacer que los enlaces sean más y más difíciles de analizar. Incluso inician el registro de dominios meses antes de su utilización para obtener el análisis de todo el dominio (dado que los dominios falsos suelen ser de muy reciente creación, mientras que los legítimos llevan más tiempo activos). Actualmente, la mayoría de estas páginas spammer crean propios acortadores urltienen la terminación .ru.

David Litchfield ha publicado los detalles técnicos de un nuevo tipo de ataque que puede proporcionar a un hacker acceso a la base de datos de Oracle. Denominado inyección lateral de SQL, este ataque podría utilizarse para ganar los privilegios de administrador de una base de datos en un servidor de Oracle para cambiar o borrar datos, e incluso instalar software. 

Aunque este investigador ya había hablado de este tipo de ataques en la conferencia Black Hat Washington que tuvo lugar el pasado mes de febrero, no ha sido hasta ahora cuando ha publicado un artículo con los detalles técnicos. Según estos, en una inyección de SQL, los atacantes crean términos de búsqueda que trucan la base de datos con comandos SQL. Antes, expertos de seguridad pensaban que las inyecciones de SQL sólo podrían funcionar si el atacante imputaba caracteres introducidos en la base de datos, no obstante, Litchfield ha mostrado que el ataque puede funcionar utilizando nuevos tipos de datos, conocido como fechas y tipos de datos de números. Sin embargo, este experto apunta no saber con seguridad el alcance de estas vulnerabilidades, si bien sí puede causar un gran daño en algunos escenarios. 

Tal y como apunta este investigador, “si utilizas Oracle y escribes tus propias aplicaciones, podrías estar escribiendo código vulnerable y eso es algo sobre lo que la gente debería preocuparse”. 

Para protegerse contra estas vulnerabilidades, Litchfield aconseja que los programadores de bases de datos comprueben que todos los datos que procesan son legítimos y no han sido inyectados con comandos SQL. 

Por su parte, desde Oracle han declinado hacer comentarios al respecto.

Continuando con la entrada de la semana pasada hoy vamos a publicar algunas preguntas frecuentes que nos han llegado a nuestro buzón o que hemos oido y leido foros, blogs o conferencias.

Todas ellas han sido remitidas al Grupo de Delitos Telemáticos y respondidas por Juan Salom.

Esperamos os sean de ayuda.

He detectado un cargo en mi cuenta corriente que no es mío y sospecho que hayan utilizado mi tarjeta de crédito por Internet. ¿Qué debería aportar en la denuncia?

Como bien dices, lo primero es denunciar en el centro policial o judicial más cercano y presentar la reclamación en el banco para que te devuelvan el dinero. En este caso, cuando utilizan nuestra tarjeta, poco podemos aportar más que nuestra denuncia. La investigación ha de centrarse en el comercio electrónico, para determinar las conexiones a través de las que se realizó la compra, y la empresa de transporte que realizó la entrega.

Desde hace unos días no puedo acceder a mi correo electrónico y creo que me alguien ha cambiado la contraseña, ¿Debería denunciarlo?

Por supuesto. Han accedido a nuestro correo, han vulnerado nuestra intimidad, somos víctimas de un delito de descubrimiento y revelación de secreto. Pero además, están en disposición de hacer más daño. Conocen nuestros contactos y pueden utilizar nuestra cuenta, suplantar nuestra identidad para que nuestros amigos confíen en lo que les mandamos por el email, bien sea un engaño o contenga malware. Por ello, además de denunciar, debemos avisar a todos nuestros contactos. Y por descontado, debemos intentar recuperarla. La mayoría de los Prestadores de Servicio de correo electrónico, de una forma más o menos clara o fácil, ofrecen un protocolo de recuperación de la cuenta de correo.

Alguien ha creado un perfil con algunos de mis datos en una red social. ¿Es denunciable? Y si lo hago yo para gastarle una broma a un amigo, ¿qué me puede pasar?

Todo depende con la intencionalidad que lo hagamos. Decimos muchas veces que han cometido un delito de suplantación de identidad. Pero ese delito no existe. El código penal habla de usurpación de estado civil, conducta que requiere algo más que suplantar una identidad por el Facebook.

Ahora bien, si esa suplantación conlleva el uso de mi imagen, que se considera dato reservado de carácter personal, en mi perjuicio, estaríamos nuevamente ante un delito de descubrimiento y revelación de secreto. Por ello, nosotros siempre recomendamos la denuncia.

Y respecto a lo de la broma, pues que te voy a decir, que siempre ha habido bromas de mal y buen gusto, y siempre han existido los que no aguantan ni una y los que se las tragan todas. Como se te vaya de las manos y te enfrenes al impasible que no perdona ni una, te puedes encontrar con la desagradable sorpresa que un juez te cite a declarar. De todas formas, este delito de descubrimiento y revelación de secreto, es un delito privado que precisa querella del ofendido, es decir, que ha de denunciarse ante el Juez acompañado de procurador. Y cuando el denunciante vea lo que le cuesta el procurador, probablemente termine pensando que era una broma, de mal gusto, pero al fin y al cabo, una simple broma.

Tengo una página web y recibo muchos insultos y amenazas agresivas de algún usuario. ¿Tiene sentido denunciarlos?

Cada uno hemos de saber nuestro límite, hasta donde estamos dispuestos a soportar. Hay gente que disfruta haciendo el “troll” en la red, provocando. Otros se cabrean y se sienten autorizados a insultar y amenazar. A mí me gusta compararlo con la carretera. Si haces alguna barrabasada, hay conductores que ni se inmutan, otros se acuerdan de tu familia y con eso se desahogan, otros son capaces de seguirte, poniendo en riesgo su vida y la de los otros conductores y hasta que no cruzan una mirada asesina contigo y te dicen de todo, no son felices, y finalmente, unos pocos son capaces de pararse en el semáforo y liarse a mamporros contigo. Gracias a Dios, estos últimos son los menos. Estas reacciones también se dan en la red, aunque no hayamos hecho nada. Solo por decir algo en la web nos podemos encontrar con alguien que no lo comparta y esté dispuesto a “bajarse en el semáforo”. Yo frene a los radicales, creo que lo mejor es denunciarlo.

He publicado fotos y/o comentarios en una web pero ahora no puedo eliminarlos, ¿puedo hacer algo?

Depende. Si los acuerdos de la web lo permiten y si la web está en España, es decir, bajo jurisdicción española. En ese caso sí, pues la LOPD establece el derecho a la cancelación de datos. Pero en el extranjero, si no está expresamente contemplado en el acuerdo de uso, nos podemos encontrar que no se permita la retirada de contenidos, una vez publicados.

Descargándome cosas de Internet, al abrir el archivo me di cuenta que contenía pedofilia, ¿me puede pasar algo? ¿Lo borro y me olvido?

No, no te puede pasar nada. Yo antes de borrarla, pediría que se contacte con el GDT a través de la web y se informe de dónde se ha encontrado o descargado la pornografía. Y después, borrarla. Hacer de la red segura es una tarea común. Lo de “apatrullar”, que decía Torrente, no es posible en la red. Debemos convertirnos todos en vigilantes de la red, y denunciar todo lo que consideremos negativo o peligroso.

Últimamente descargo música, películas y algún juego de foros con enlaces a Megaupload o Rapidshare, son para uso personal ¿podría tener problemas?

Nunca se ha perseguido al usuario que descarga cosas de forma moderada. Se persiguen a los facilitadores de las descargas y los que proveen de contenidos. A esos que utilizan el falso discurso de que hay que cambiar el modelo de negocio de la música y el cine, para proteger su negocio, el de importantes ingresos por la publicidad de sus páginas visitadas masivamente por los que no queremos gastarnos el dinero en comprar cosas que podemos copiar.

Mi hijo tiene 13 años y se conecta a Internet, ¿puedo instalar herramientas para monitorizar lo que hace (ver su correo, leer sus mensajes de msn, etc? y ¿si tiene 18 años y aún vive conmigo?

Yo creo que eso es una cuestión muy personal y entra dentro de la esfera del derecho a la educación de los padres. Igual que el cachete. Personalmente te diré que a mí, mi padre, cuando era pequeño, me soltó más de un guantazo. Hoy, te aseguro que no tengo ningún trauma y les agradezco que me educaran como lo hicieron, porque me han permitido ser lo que soy. Seguramente me cotillearon alguna carta escrita por la chica del momento, o las chorradas que me ponían las amigas en la libreta. Y no sé hasta cuando fue ni si fueron ellos los que dejaron de hacerlo o fui yo que marcó las distancias. El caso es que hoy no tengo nada que reprochar y entonces, ni se me ocurría la posibilidad de denunciar a mis padres.

Mi novia me ha facilitado el usuario y contraseña de su correo electrónico, ¿puedo leerlo? ¿y si un día se enfada conmigo y dice que se lo he robado?

Mientras seáis novios y la cosa vaya bien, no creo que haya problema, pero tampoco será necesario que la espiemos, porque hay confianza, amor, y todas esas cosas.

Cuando las cosas empiezan a ir mal, ni se nos ocurra mirar ni cotillear nada. Si no nos fiamos de ella, se habla, y si no se arregla, adiós y a por otra u otro. Este tipo de acciones es el pan nuestro de cada día. Cada vez recibimos más denuncias de parejas despechadas que cuando la cosa iba bien, no había problemas, pero luego lo primero que hacen es denunciar al otro por vulneración de la intimidad.

Y no digamos lo de las fotos, esas que se toman en la intimidad, y que cuando nos enfadamos se convierten en portada de cualquier web.

He descubierto una vulnerabilidad en una página web alojada en España, ¿puedo publicarla en mi blog?

Si la has descubierto es que la has probado, y con la última modificación del código penal, yo no lo aconsejaría. Nos podemos encontrar con un administrador de sistemas que no le gusta que le saquen lo colores y que convenza a la empresa para que denuncie.

Yo aconsejaría que nos utilicen, que nos informen del fallo par que nosotros se lo comuniquemos a los afectados. Con nosotros aún nadie se ha puesto gallito, además nuestros avisos van con la coletilla de que si la vulnerabilidad permite acceder a datos reservados, si en un plazo razonable no se subsana, se dará cuenta a la Agencia Española de Protección de Datos.

El publicarla en la web solo te va a reportar prestigio para ti, y vas a incitar a que los muchos curiosos que te leen, se dediquen a probar el fallo, y eso entiendo que “moleste” un poco.

Si cambio un número de una URL accedo a contenido al que no debería tener acceso, ¿estoy cometiendo un delito?

Una cosa es que te denuncien y otra es que un juez aprecie indicios de delito o que tras una investigación, considere que no hay delito. Veo muy difícil que un Juez, con unos pocos intentos y una voluntad clara de informar, aprecie delito.

No obstante, es de aplicación lo que decía en la pregunta anterior, podemos encontrarnos con algún administrador rarito.

Los creadores de IncognitoRAT (una botnet que se ha puesto relativamente de moda en estos últimos días) han programado una herramienta muy completa para controlar una botnet multiplataforma. Pero parece que han dado muestras de no saber asegurar sus servidores... de forma que se pueden obtener los datos de los supuestos compradores.

Advierto que todos estos datos pueden no ser exactos o tan precisos como nos gustaría, puesto que no hemos hecho (todavía) una estricta ingeniería inversa sobre las muestras. En cualquier caso, teniendo en cuenta todo el ruido generado en torno a IncognitoRAT, intentaremos aportar algo nuevo.

IncognitoRAT ha generado muchas noticias en medios generalistas en los últimos días. Sobre todo porque se ha anunciado que es multiplataforma (creado en Java) e infecta a Mac OS X. En realidad esto no es noticia, porque existen ya varias herramientas RAT o malware en general para Mac y para cualquier otro sistema operativo (a ver si desterramos estos mitos cuanto antes). Y en realidad, tampoco es un dato exacto. Todo está programado en Java, eso es cierto, pero el agente que infecta se ha visto solamente en forma de ejecutable para Windows... Lo que a nosotros nos llama la atención no es que IncognitoRAT permita con su código Java activar la cámara de la víctima, hacer que suene un MP3... sino sobre todo, su curioso recelo comercial... que parece que no han cuidado demasiado.

Curiosidad

Veréis; soy profesor de informática y tecnología en Baleares, España, y casi podría asegurar que la pregunta que más me han hecho el primer o segundo día, en el aula de informática ha sido: “Profe, ¿tú eres un hacker?” Si la curiosidad aprieta, no se cortan y tal y como están las cosas, la verdad es que no me extraña. 
Si tuvieseis 13 años o algo parecido, ¿no os produciría curiosidad el mundo del hacking? Pues eso hay que aprovecharlo. La curiosidad es una de las claves en el aprendizaje.
Veamos cómo, pero antes, otro enfoque...

Madres y padres

Como tutor que he sido, al presentar el curso a los padres y sobretodo a las madres, que vienen en proporción mayor, al hablar de informática, me han pedido que les hable de los peligros de internet.

Supongo que antes, lo que preocupaba era más algo de privacidad e instinto de protección, ahora creo que es más directamente la pederastia y los posibles maltratos lo que hace que pregunten “¿les vais a hablar de no poner fotos o dar sus datos a desconocidos?”.

Nos piden que hablemos de los peligros de internet, los ciberpeligros. Y es natural, lo que les preocupa sale a las noticias de los periódicos y en la tele con frecuencia y además tienen una percepción de la inseguridad muy en primera persona por el malestar en carne propia debido a virus, gusanos troyanos, phishing...

Por eso lo añado a este material, para dar un poco de guía en este asunto. Pero antes de ver cómo integro esa faceta, un último detalle que es clave para entenderlo todo.

La privacidad

Hoy en día todo el mundo asume que se esta perdiendo la privacidad, que se nos está escurriendo entre las manos e incluso, algunos más modernos, defienden que aun debe perderse más puesto que es lo que va a pasar tarde o temprano y es torpe oponerse.

No es que las comunicaciones electrónicas no sean seguras, es que hemos llegado a puntos en los que la violación de este derecho fundamental ha llegado a absurdos. Ningún juez español que yo sepa ha puesto ninguna pega a que, en los sistemas operativos de Microsoft y Apple, el Windows Media Player y RealPlayer han informado de lo que los usuarios ven o escuchan por internet a alguien en EEUU. Ningún juez ni ningún fiscal español ha movido un puñetero dedo.

Y como éste muchos casos y mucha falta de sensibilidad. Y la impresión es que va a ir a peor.

Bien, pues manos a la obra, ayudémosles desde las clases a avanzar en los valores, los hábitos, los conocimientos y las destrezas que exige esta realidad.

¿Cómo?

Por interés en el tema, me he preparado material para una unidad didáctica sobre Hacking-ciberpeligros-privacidad. Hacking que es lo que despierta la curiosidad de los alumnos, ciberpeligros que es lo que preocupa a los padres y privacidad que es el ingrediente clave si se enfoca desde un punto de vista más técnico.
Con esos objetivos en mente he preparado un hipermapa conceptual usable a modo de presentación, que permite en unas pocas clases abordar el tema sin causar una gran desviación de la programación del curso:



Pulsar sobre la imagen superior para ir al mapa conceptual funcional

Funcionalidad

El mapa que he querido presentar en mi apreciada Kriptópolis, que ha sido para mí una referencia en el tema desde siempre, está hecho con Inkscape en forma de imagen vectorial que al clicar va pasando por las diferentes etapas de la presentación.

Uno puede clicar en zonas no señaladas y seguir digamos las transparencias o puede pulsar el botón central (de un ratón que no lo tenga asociado a otra funcionalidad) y elegir en el menú desplegable que aparece, a que momento quiere ir.

Si se sigue el orden en que aparecen las zonas del mapa, primero se verá un vistazo general para poder introducir el tema y que los alumnos lo relacionen con el mismo mapa impreso en papel que tienen.
Después, se da por iniciada la clase y pasamos a un mapa mucho menos denso pero también con una panorámica general para explicar las zonas que se van a comentar. Y luego en detalle y en grande cada una de las zonas.

Hacking

Al explicar el Hacking el mapa facilita que se mencionen las diferentes formas de entenderlo. 

Ya sea como lo ven las películas que ya no tienen el personaje de la dinamita que entra en el equipo que roba el banco sino que lo han cambiado por otro que suele estar fuera en una furgoneta y que abre todo y sabe lo que pasa por todo el edificio y por donde salir cuando pasa algo.
O ya sea dividiendo el mundo entre los buenos, hackers y los malos, crackers. Que es un punto de vista bastante extendido.

O ya sea como un tercer punto de vista más incluyente y detallado defiende: que el hacking es disfrutar encontrando soluciones sorprendentes a temas complejos y eso incluye los hacklabs de Debian o los de KDE; que los crackers son hackers pero especializados en temas de seguridad y cosas como romper protecciones por cifrado y que los que realmente cometen delitos, por mucho que sepan no son hackers sino delincuentes; Ciberdelincuentes. Cada uno con unas características.
Así el profesor muestra la información plural y dice: “los medios y las películas juntan estas zonas, algún periódico y otra gente lo ve de esta otra forma, y algunas comunidades ponen especial interés en que no se confundan los detalles y que no se les clasifique mezclándoles con la delincuencia”.

En internet podemos encontrar todo tipo de hacks, exploits o técnicas, en foros, youtube, revistas, blogs especializados... Así que toda la información ya se encuentra al alcance de las manos de cualquiera que un día tenga curiosidad o incluso antes con las redes sociales actuales. La diferencia es que un profesor puede intentar adaptar el nivel de profundidad, puede fijarse unos criterios didácticos, puede mostrar los valores propios del tema y así, realizar su labor, ayudar al alumno a aprender a vivir en libertad. No es lo mismo ver simplemente una charla de un hacker en youtube, lo que es mucho más frecuente de lo que muchos quieren darse cuenta, que recibir una clase de un profesor de una forma más integral.

Valores

Una de las claves del hacking son sus valores. Privacidad, Ética hacker, transparencia, libertad, habilidades técnicas y naturalmente todo lo relacionado con seguridad. La sección de los valores de los hackers es clave a la hora de contagiar precaución en privacidad y por eso toca asuntos como el sexting o la precaución con las contraseñas.
Si se trata de aprender a vivir en una realidad que tiene las tentaciones de las que luego se habla, creo que es necesario comentarles las experiencias de la gente en la red y la valoración de riesgos que ayuden a desarrollar una actuación responsable.

Por ejemplo, yo suelo comentar que los equipos de seguridad no se han quedado parados en sus posiciones de partida. Tanto las medidas de seguridad como la complejidad de los ataques han ido incrementándose en una carrera como la de los cañones y las murallas: más alto dispara el cañón, pues más fuerte y alta la muralla y viceversa.

Alumnos de secundaria o incluso bachiller, no pueden esperar meterse en la CIA y que entren a la primera sin que pase nada. Lo que ocurrirá es que estarán en un honeypot, en un ordenador trampa en el que pensarán que hacen algo pero lo único que lograrán serán las risotadas de los vigilantes que estén viendo lo que hacen en sus monitores. Y luego las consecuencias.

Hay que enseñar que experimentar es interesante pero que no es lo mismo probar cosas en tu casa con tu pc que probarlas con el pc de una agencia de seguridad o una empresa cualquiera. Tienen que saber que las penas son muy duras y eso sin encontrarse con un sicópata al otro lado que casualmente tenga conocimientos técnicos, detecte el ataque y les coja manía.

Ciberpeligros

Nada más empezar la clase y con el mapa en su primera vista, abro el navegador y les demuestro lo sencillo que es enviar un email haciéndose pasar por otra persona. No dura más de tres minutos y me ayuda a enseñar en detalle como confirmar que un email es falso. Esto les abre los ojos. 

No necesito ir luego más allá de decirles que si yo hago eso en 3 minutos, no se pueden imaginar lo que puede hacer la mafia contratando a gente técnicamente muy hábil, trabajando en equipo y 12 horas al día durante meses.

El mapa nombra y enlaza términos como el grooming y así puedo seguir explicando y solo tengo que ir ajustándome al tiempo que me he marcado inicialmente con la flexibilidad que decida.

Eventos y tipología

Por supuesto no puedo explicar el mundo del hacking sin nombrar al menos algunos de los eventos que se realizan y dar algunos detalles. Y lo mismo pasa con los tipos de hackers. Les resulta bastante interesante que explique que si el hacktivista es más activo en intentar conseguir efectos sociales, que el hacker artista le gusta el comunicar y la estética y ya no digo lo interesante que es explicar diferentes tipos de hacking a software o hardware.

Se hace un poco más difícil, por lo complejo técnicamente, explicar o más bien introducir algunos términos, sobretodo a edades tempranas; pero al alumno, que su curiosidad le tiene excitado, no se lo parece, es todo atención.

Para que se vea el grado de aceptación de estas sesiones, he de decir que suelen los alumnos mostrar su sorpresa y agrado hasta tal punto que llegan a aplaudir. Y no solo cuando otros profesores me invitan a hablar este tema en sus clases, incluso en mis propias clases a alumnos que les enseño otras cosas y están acostumbrados a mí, me lo han agradecido con aplausos y otras formas como pedir que continúe así el curso. Es algo extraordinario, no suele pasar. Y resulta gratificante. 

Mi experiencia

No hay formación para los profesores sobre el mundo del hacking, muchísimos simplemente lo desconocen del todo y la reacción es no querer entrar por miedo, por no querer meterse en líos. 

Un ejemplo de mi propia experiencia con el email falso: el primer año que empecé a hablarlo en clase cometí un par de errores, intenté dar un poco de mi experiencia a chicos que no eran exactamente mis alumnos y no coordiné el tema con otros profesores del departamento. Y de entre los cinco grupos míos y uno que no lo era, hubo un alumno que decidió, unos meses después, buscar la forma de hacer algo que yo había mostrado que se podía hacer para que viesen el peligro. Les demostré que era fácil hacerlo y les enseñé a detectarlo; quería que supiesen cómo actuar. 
Mis compañeros se sintieron mal y muy decepcionados conmigo. El director del centro tuvo que intermediar con el padre que también se sentía enfadado por la respuesta del niño: "me lo ha enseñado un profe" sin entender la situación. Se podría resumir en que todos mis jefes y mis compañeros de departamento pensaban que eso no se debía enseñar.
Yo me disculpé y dije que si lo hubiésemos hablado y coordinado antes, esto no hubiese pasado y les dije que prepararía material didáctico y lo coordinaría con el siguiente departamento que me tocase. Fueron comprensivos y la tensión se relajó.

Y es cierto. Al año siguiente, sin tener aún el material, lo comenté con mi nuevo departamento y recibieron la idea con muchísimo interés y acabé dando clases sobre este tema a grupos de otros profesores. 

Libre

Uno de mis objetivos es parar la idea extendida de que el hacking es un mal para la sociedad, lo que es consecuencia de la falta de comprensión del término. Miro siempre de comentar que si quitamos al hacker del mapa los que se aprovechan de que haya agujeros de seguridad para hacer daño a la gente van a estar más tranquilos. 

Que los hackers en la práctica, con sus valores, con su full disclosure, con su activismo, no solo o no son el peligro, sino que son muchas veces los que detectan los fallos de seguridad y avisan y ayudan a ser conscientes de los peligros y a que sean corregidos.

Cuando alguna vez me preguntan compañeros "¿Qué tal el día?" de vez en cuando respondo excitado: "hoy les he dado una clase de hacking". Algunos abren los ojos en un gesto de sorpresa y preocupación. Lo que no saben es lo que disfrutamos y lo fácil que es hacerlo bien, mejorando su educación. 

Me gustaría que otros profesores supiesen que pueden usar este material y compartir conmigo sus dudas si quieren, que yo les hecho una mano en lo que pueda. Se usa en dos o tres sesiones dependiendo el nivel, desde segundo de ESO a bachiller.

Todo el contenido del mapa es libre. Puede usarse sin tener que pagar y adaptarse a lo que se necesite e incluso venderlo, que yo estaré encantado de ver que alguien lo usa. Y de hecho, así ha sido cuando me he dado cuenta de que en una conferencia en Perú, al otro lado del mundo, a alguien le ha resultado útil a la hora de explicar algo.
Si me informáis de que lo habéis usado me daréis un gustazo y si detectáis algún error o posible mejora comentádmelo que me interesa y así todos tendremos las mejoras compartidas.

Por René Mérou en http://www.kriptopolis.org/mapa-conceptual-hacking