BoxCryptor - On-the-fly Encryption for cloud storage 

Cada día se hace más importante el almacenamiento de información en la nube, muchas son las aplicaciones y ventajas que nos ofrece.

Pero quizás la ventaja más interesante de usar el almacenamiento en la nube, desde el punto de vista de la seguridad, es la utilización de la nube como copia de seguridad de nuestros datos.

Sin embargo, la utilización de los sistemas en la nube no están exentos de ciertos inconvenientes respecto a la responsabilidad de la seguridad de los datos, ¿Donde se encuentran los datos? ¿Quién es el responsable de seguridad del sistema que almacena y contiene mi información?

En algunos casos, y sobretodo de cara a Empresas, estos sistemas de almacenamiento en la nube pueden ser considerados como una amenaza a la seguridad de la información, convirtiéndose en potenciales puntos de fuga de información. De hecho una buena práctica en aquellas empresas que así lo contemplen sería prohibir el uso de estos servicios de dos formas:

1.  Mediante normativa - incluyendo esta prohibición en la política de seguridad de la empresa.
2.  Mediante mecanismos técnicos, aplicando las reglas adecuadas en los cortafuegos corporativos.

Sin embargo desde el punto de vista "personal", la proliferación de estos sistema de almacenamiento permiten a los usuarios disponer de un almacenamiento extra, en muchos casos gratuito, para realizar copias de seguridad de los datos tales como fotos, documentos, etc.

¿Cómo podemos proteger la información que subimos a la nube? En un artículo anterior, os hablaba de la importancia de cifrar los datos (proteger) antes de subirlos a la nube, pues es muy difícil saber donde se encuentra ubicados los datos, cuantas veces son replicados, y en caso de borrarlos ¿Son realmente eliminados?

Por ello, el mejor consejo para proteger nuestros datos en la nube es cifrarlos antes de subirlos. Llegados a éste punto os voy a hablar de una aplicación que seguro que os ayuda a realizar la tarea de una forma extremadamente sencilla, se trata de boxcryptor.

¿Qué es Boxcryptor?

BoxCryptor asegura tus datos en la nube – sea que uses Dropbox, Box.net, Google Drive o cualquier otro proveedor de almacenamiento. Es un software que cifra los datos "al vuelo" antes de ser subidos / sincronizados con tu sistema de almacenamiento en la nube.

Este software tiene una versión gratuita con algunas limitaciones, véase la imagen siguiente o para mayor detalle, visite la página web oficial de la aplicación.

¿Cómo funciona?

Basta con instalar el software Boxcryptor en tu equipo, y seguir estos sencillos pasos:

1. Crear una carpeta (folder) para boxcryptor de forma que toda la información contenida en la carpeta será cifrada.


2. Seleccionar el proveedor del alamacenamiento en la nube. Esto puede hacerse de varias forma, la más sencilla es crear la carpeta anterior dentro del directorio destinado para sincronizar la información  en la nube. Ejemplo: Crear la carpeta boxcryptor dentro de la carpeta Dropbox. !Nota: el nombre de la carpeta puede ser cualquier!


3. Este momento es especialmente IMPORTANTE, se debe crear la contraseña de cifrado de los datos, digo que es importante, porque debéis escribir correctamente la contraseña, una vez elegida y introducida en el software boxcryptor, es imposible recuperar la contraseña en caso de olvido o error.

Listo, ya tienes todo preparado para proteger tu información, todo lo que almacenes en la carpeta "boxcryptor" será cifrado y subido a tu sistema de almacenamiento de forma totalmente automática y fácil.

Para recuperar la información (datos) en cualquier lugar, solo tienes que instalar y configurar tu aplicación boxcryptor, existe una versión para Android / IOS / PC. Además de poder instalar la aplicación de forma portable, por ejemplo instalando la aplicación en un dispositivo USB con suficiente capacidad y sincronizando la carpeta del USB con tu aplicación dropbox o similar.

Descargar

También existe una versión especifica para la interfaz METRO de Windows 8.

Detalles técnicos

BoxCryptor utiliza el estándar AES-256 para cifrar y proteger tus archivos. AES- 256, se trata de una clave simétrica y única. El software no almacena en ningún momento la contraseña por lo que es muy importante introducir una contraseña que sea robusta y segura (ver mi artículo sobre como crear contraseñas seguras), o en su defecto guardar a buen recaudo la contraseña (nada de post-it pegados a la pantalla del ordenador, que nos conocemos, xD).

Además la versión comercial permite ofuscar los nombre de los archivos que se suban a la nube.

Más información: https://www.boxcryptor.com/

Cuando aparece la palabra "cloud", o nube en español, ésta atrae toda nuestra atención. Pues es bien sabido que puede suponer un ahorro en los costes y más aún cuando se trata de la seguridad informática.

Algunas de las medidas de seguridad para las plataformas web incluyen costosos equipamientos con sistema de protección perimetrales, detectores de intrusos (NIDS) y cortafuegos a nivel de aplicación, o especializados como los WAF (Web Application Firewall).

Sin embargo, me ha llamado la atención el servicio gratuito que ofrece la empresa "Incapsula", que analizaremos más adelante.

¿Qué es Incapsula?

Es una plataforma de seguridad en la nube basada en la tecnología de Imperva, y que pretende proporcionar las páginas web (sea cual sea su tamaño) servicios de seguridad, destacando algunos de los más interesantes:

• - Protección frente a ataques de denegación de Servicio (DDoS)
• - Ataques específicos para las páginas Web (SQL injection, XSS, etc)
• - PCI Compliance 6.6 requirement.
• - Análisis y monitorización del tráfico recibido.

¿Cómo funciona Incapsula?

Puesto que se trata de un servicio en la nube, la protección de la página web consisten en configurar los DNS para que transfiera todo el tráfico a los servidores de "Incapsula" de forma que se convierta en una especie de "Proxy Inverso", convirtiéndose en el "front-end" de nuestro website.

INCAPSULA: Architecture - Cloud Website Security Plattform

Los servidores de Incapsula analizaran en tiempo real todo el tráfico web, y bloquearan cualquier acción sospechosa y/o detectada como Malware, incluyen las ultimas técnicas SQL de ataque detectadas, spammers, gusanos con ataques automatizados, y robots exploradores.

Además. el tráfico de salida (el ofrecido por nuestros servidores) se verá acelarado por los servidores de Incapsula, ofreciendo además de la protección el servicio de aceleración en la navegación web, imagino que realizando un cacheado de nuestra página web.

Características del Servicio

La versión de pago, incluye un cortafuegos de aplicación web (WAF), protección frente a DDoS, soporte para SSL y cumplimiento normativo PCI-DSS.

Lo más interesante, es que ofrecen un servicio gratuito, para niveles de tráfico inferiores a 50Gb/mes, donde incluye protección frente a robots, spammers y gusanos conocidos, así como una monitorización de todo el tráfico recibido.

Entre los servicios ofrecidos gratuitamente, se encuentra notificación de amenazas  eliminación de comentarios sospechosos de SPAM, mecanismo de comprobación de los sistema CAPTCHA, optimización y aceleración del tráfico, estadísticas diarias y registro de actividad para su evaluación a las 24 horas.

En la siguiente imagen se puede observar el catalogo completo de servicios ofrecidos en el plan gratuito. Para más información visite su página web.

Free Plan - Incapsula.

A continuación os dejo con un vídeo que explica el funcionamiento de INCAPSULA, en Ingles.

Más Información Incapsula website.
Via TheHackersNews

No hace más de un día que se ha publicado un artículo hablando sobre "cifrado de datos en la nube", cuando tengo otro artículo relacionado. Se trata de TeamDrive un servicio de almacenamiento en la nube que proporciona a los usuarios la capacidad de cifrar la información antes de subirla a la nube.

¿Pero que es lo que ofrece "TeamDrive"?

La principal diferencia con respecto a otras soluciones cómo son Dropbox, o Box, es la posibilidad de cifrar la información, y además, la libre elección en cuanto al servidor de almacenamiento, es decir, deja elegir libremente entre utilizar los servicios ofrecidos por TeamDrive en su "nube", o los servicios ofrecidos por terceros.

Interesante ¿verdad?; Por el momento, TeamDrive nos permitiría tener una herramienta de sincronización de datos de manera segura con servicios de "cloud computing" a libre elección. Pero veamos con algo más de detalle todas las funcionalidades que aparecen en su página Web:

Caracteristicas:

Sincronización

Con TeamDrive puede mantener sus datos sincronizados entre varios ordenadores de forma sencilla y automática.TeamDrive está disponible para todos los sistemas operativos mayoritarios - Windows, Mac and Linux. Más...

---

Colaboración

TeamDrive hace posible definir de forma sencilla equipos de trabajo que trabajen simultáneamente sobre los mismos documentos (colaboración online y offline). Gracias al sistema integrado de control de versiones, todos los cambios que se realicen en los documentos o ficheros son registrados automáticamente, de forma que se posibilita el seguimiento de cada uno de los cambios. Más...

Seguridad

La seguridad y confidencialidad de sus datos son la mayor preocupación del equipo TeamDrive. Antes de que TeamDrive transfiera sus datos, éstos son encriptados en su ordenador (AES-256). Sólo usted decide quién tiene acceso a sus datos. TeamDrive ha sido galardonado con el sello de protección de privacidad de ULD. Más...

Respaldo

Automáticamente se guarda en los servidores de TeamDrive una copia encriptada de sus datos. Si pierde su ordenador o éste se estropea, puede fácilmente restaurar su datos.Más...

Elección libre de servidor

TeamDrive ofrece dos alternativas para sincronizar y salvaguardar sus datos: puede usar los servidores de TeamDrive, lo que significa que nosotros nos hacemos cargo de todo, o puede usar sus propios servidores. Más...

Examaminemos con más detenimiento, las opciones de Elección de Servidor y Seguridad, pues cómo otros servicios de "almacenamiento" en la nube dispone de 2Gb gratis!

Seguridad

 La seguridad y confidencialidad de sus datos son la mayor preocupación del equipo TeamDrive. Antes de que TeamDrive transfiera sus datos, éstos son encriptados en su ordenador (AES-256). Sólo usted decide quién tiene acceso a sus datos. 

Cuando TeamDrive se instala, se genera un par clave pública-privda (Diffie-Hellman) para cada instalación. Estas claves son usadas para la transferencia segura de las invitaciones de TeamDrive. La clave pública se almacena en un servidor central operado por TeamDrive.

TeamDrive encripta los ficheros en su ordenador antes de que estos sean transferidos, usando el algoritmo AES-256. Para cada directorio, se genera una clave simétrica AES-256 independiente. Los datos de acceso al espacio en disco se envían también encriptados. El miembro invitado puede decodificar la clave simétrica usando su clave privada y unirse al directorio. Este procedimiento asegura que sólo los miembros del grupo autorizados puedan acceder a los datos.

Elección de Servidor

El software de TeamDrive puede usarse en combinación con los tres tipos de servidores simultáneamente. Puede elegir entre la nube de TeamDrive en Amazon, un servidor propio TeamDrive Personal Server o WebDAV para cada uno de sus espacios.

Conclusiones

TeamDrive ofrece una aplicación multiplataforma que junto con la capacidad de acceder a servicios de almacenamiento de terceros vía WebDav, abre el abanico de posibilidades.

"DropDAV makes your Dropbox accessible via WebDAV so you do just that"

DropDav permite acceder a la cuenta de Dropbox, utilizando WebDav, esto nos permitiría configurar la aplicación de TeamDrive para acceder simultaneamente a TeamDrive Cloud y Dropbox de manera segura.

Esto sirve como ejemplo complementario a mi artículo sobre "cifrar los datos en la nube", que se podría utilizar la aplicación de TeamDrive, para sincronizar datos tanto en la cuenta de TeamDrive como en Dropbox de manera segura y gratuita (hasta 2Gb), con esta opción, dispondríamos de copias de seguridad en dos servicios distintos. No obstante, hay que puntualizar que tanto Dropbox, como TeamDrive utilizan los servicios de Amazon Cloud! EC2, por lo que si falla Amazon, se perderían ambas copias de seguridad, a lo que recomiendo disponer de copias de seguridad locales en dispositivos extraíbles, lee más sobre la importancia de las copias de seguridad en mi artículo: "La copia de Seguridad ese gran desconocido" o "la importancia del Backup".

Fuente | http://www.net-security.org

La seguridad de los servicios que se ofrecen en lo denominado "nube" es uno de los temas de más actualidad. Existe una gran preocupación no solo por la disponibilidad de la información, sino por su confidencialidad e integridad.

A raíz de conocer el cierre de Megaupload, dejando a parte su utilización como centro de descargas, fueron muchos los usuarios que vieron comprometidos la seguridad de sus datos, no solo por la indisponibilidad, sino por la perdida total de los mismos.

Ante tal  panorama, se hace imprescindible "asegurar" tus datos sin entrar a discutir sobre la ubicación de los mismos, la solución pasa por dos acciones fundamentales:

1.- Realizar copias de seguridad en varios medios, entre ellos, discos duros extraibles.

2.- Cifrar los datos que se almacenan en la "nube".

Precisamente, esto ultimo es lo que me ha "motivado" a escribir este artículo. No hace mucho, vía twitter leía una artículo, que informaba sobre la utilización de una aplicación que permitía el cifrado de los datos que almacenabas en el popular servicio de Dropbox, en concreto se trataba de la aplicación "DataLocker".

DataLocker

La aplicación tiene una idea realmente sencilla, cifrar el contenido del buzón de Dropbox. Aplicación esta disponible inicialmente para el sistema iOS ( iPhone / iPad), totalmente gratuita y sin publicidad.

La aplicación desarrollada por Appsense, asegura que es capaz de cifrar los datos tanto localmente como en cualquier servicio de almacenamiento en la nube, lo que hace pensar que una vez has "enlazado" tu cuenta en el servicio de almacenamiento, será la aplicación DataLocker la que accederá a la información para ir cifrando el contenido. En este punto surgen algunas dudas al respecto ¿ política de privacidad al respecto? ¿Qué mas hacen además de cifrar la información cuando acceden a los datos? Estas son algunas de las dudas que no responden, en su web, y que sería interesante conocer antes de instalar la aplicación, y utilizarla.

Otras soluciones

Por ejemplo, EncFS es un sistema de cifrado fichero-a-fichero, por lo que se puede configurar para que cifre fichero a fichero automáticamente y sincronizar con la cuenta de dropbox, para que el contenido en la nube este "protegido" y "asegurado" en cuanto a confidencialidad e integridad.

Para saber como configurar EncFS (for windows), os recomiendo el artículo que "Security by Default" publico al respecto.

Otra opción, es utilizar AxCrypt para cifrar los documentos o archivos en Windows. La opción, es sincronizar con Dropbox o cualquier otro sistema de almacenamiento en la nube, una carpeta donde guardas solamente los archivos que previamente has cifrado, no es un proceso automático, pero en cambio te permite cifrar ficheros de forma única, con hasta AES128 bits.

¿ Conocéis otras soluciones?

Un Saludo.

Fuente | SeguridadApple  | twitter @mmdelrio | Datalocker | SbD |  Axcrypt

No podía dejar la pasar la ocasión de hacer una breve introducción a lo que ultimamente esta tan en "boca de todos" - servicios en la nube o cloud computing -, sobre todo después del lanzamiento del servicio iCloud que en palabras de la propia Apple lo define como: 

"iCloud es mucho más que un disco duro en el limbo: es la forma más sencilla de acceder a casi todo lo que tengas en tus dispositivos". ... Sin sincronizar. Sin organizar. Sin que tengas que dar un palo al agua. iCloud lo hace todo por ti.

Definición

Una definición menos pretenciosa, y mas acertada, sería:

Cloud computing, o informática “en la nube”, es una propuesta tecnológica o modelo que permite ofrecer servicios informáticos a través de Internet, en el que los recursos, el software y los datos se ofrecen bajo demanda. El objetivo de este nuevo modelo es que la empresa o el usuario final no tengan que preocuparse por los detalles técnicos y puedan utilizar cualquier aplicación con su navegador web.

Por tanto, podemos decir que el "Cloud computing" es un nuevo modelo de prestación de servicios de negocio y tecnología, que permite al usuario acceder a un conjunto (catálogo) de servicios estandarizados y responder a las necesidades de su negocio, de forma flexible y adaptativa, en caso de demandas no previsibles o de picos de trabajo, pagando únicamente por el consumo efectuado.

¿Qué tiene que decir la Seguridad de la información en todo esto? 

La ventaja de utilizar los servicios en la nube son múltiples, destacamos por ejemplo, la rapidez de integración y despliegue de la infraestructura a nivel mundial, menor inversión en los requisitos hardware de los puesto de trabajo, simplicidad en las herramienta y mantenimiento de los equipos de usuario, etc.

Pero como siempre, no solo son ventajas, desde el punto de la seguridad de la información, no son pocas las dudas que muchas empresas tienen en cuento a confidencialidad, integridad y disponibilidad de la información, algunas de las inquietudes son:

• La centralización de las aplicaciones y el almacenamiento de los datos origina una interdependencia de los proveedores de servicios.

• La disponibilidad de las aplicaciones está ligada a la disponibilidad de acceso a Internet.

• Los datos "sensibles" del negocio no residen en las instalaciones de las empresas, en general, por lo que podría generar un contexto de alta vulnerabilidad para la sustracción o robo de información.

Pero sobre la Seguridad en los servicios de Cloud Computing, hablaremos en otra ocasión, para centrarnos en la introducción de esta tecnología.

Tipos de Cloud Computing

Existen dos formas de clasificar los modelos de "Cloud Computing", una opción clasificar según el tipo de servicio ofrecido por el entorno e infraestructura, y el otro método es según el tipo de acceso que se ofrece para explotar y utilizar dichos servicios.

Modelos de "Cloud Computing" según el tipo de acceso

Para responder a las preguntas de ¿Quién controla mi información? o ¿Donde se encuentran mis datos? aparecen diferentes tipos de "nubes", cada una de ellas condicionará recursos, inversión, etc, con lo que presentaran ventajas y desventajas según los parámetros y requisitos con los que se midan.

Los tipos de "nubes" son:

• Las nubes públicas (Public Cloud) son aquellas cuya infraestructura y recursos se manejan por terceras partes, por lo general suelen ser servidores compartidos donde los cálculos, tareas y servicios clientes diferentes pueden estar ejecutandose en los mismos servidores, con los sistemas de almacenamiento y otras infraestructuras de la nube. Los usuarios finales no conocen qué tareas con otros clientes pueden estar corriendo en el mismo servidor, red, discos como los suyos propios. Un ejemplo de este servicio sería Amazon Elastic Compute Cloud (Amazon EC2), aunque hay que añadir que ofrecen múltiples opciones de configuración y funcionamiento, pudiendo disponer de servidores dedicados, etc.

EC2 proporciona un control completo sobre sus recursos informáticos y permite ejecutarse en el entorno informático acreditado de Amazon.

• Las nubes privadas (Private Cloud) son una buena opción para las compañías que necesitan alta protección de datos y control sobre los niveles de servicio. Las nubes privadas están en una infraestructura virtualizada en las propias instalaciones de la organización, con el completo control sobre las aplicaciones y servicios. Son propietarios del servidor, red, y disco y pueden decidir qué usuarios están autorizados a utilizar la infraestructura. Se caracterizan por ser administradas por la organización a la que sirven y encontrarse aseguradas por medio de un Firewall. Por lo tanto, el sentimiento de seguridad que se consigue es alto, pues se tiene el control sobre todos los medios.

• Las nubes híbridas combinan los modelos de nubes públicas y privadas. Usted es propietario de unas partes y comparte otras, aunque de una manera controlada. Las nubes híbridas ofrecen la promesa del escalado aprovisionada externamente, bajo-demanda, pero añaden la complejidad de determinar cómo distribuir las aplicaciones a través de estos ambientes diferentes. Las empresas pueden sentir cierta atracción por la promesa de una nube híbrida, pero esta opción, al menos inicialmente, estará probablemente reservada a aplicaciones simples sin condicionantes, que no requieran de ninguna sincronización o necesiten bases de datos complejas. Por lo tanto, la empresa no hace la inversión necesaria para implementar una plataforma cloud, sino que un tercero le ofrece su cloud privada (con la misma seguridad) a través de un modelo de pago por uso.

Modelos de "Cloud Computing" según el tipo de servicio ofrecido

Dependiendo del uso que se realice / ofrezca de los recursos e infraestructura en la nube (Cloud) se clasifican según:

• IaaS - Infraestructura como Servicio
• Paas - Plataforma como Servicio
• SaaS - Software como Servicio

Infraestructura como Servicio (IaaS)



Ese modelo se suministra al usuario una infraestructura de recursos (CPU, RAM, disco, red, firewall, etc), normalmente bajo una infraestructura de virtualización, en la cual podrá instalar y administrar el sistema operativo y aplicaciones que desee. El usuario elige la configuración que desea y paga una cuota en función de los recursos utilizados durante un tiempo determinado. Es el tipo de modelo utilizado por Amazon Web Services o vCloud Express de VMware.

Plataforma como Servicio (PaaS)

Es un paso por encima del IaaS. En este caso, además de suministrar la infraestructura de recursos se ofrece todo lo necesario para la construcción y puesta en marcha de aplicaciones y servicios web completamente disponibles en la Internet.

Otra característica importante es que no hay descarga de software que instalar en los equipos de los desarrolladores. PasS ofrece mútliples servicios, pero todos provisionados como una solución integral en la web. Normalmente este tipo de soluciones es utilizada por desarrolladores de software.
Imaginemos una empresa que necesita desarrollar una aplicación web con ASP.Net y base de datos SQL Server. Necesitaría invertir en licencias de VS.Net y SQL Server, hacer el desarrollo y a continuación la puesta en marcha de la aplicación, con los consiguientes costes. El proveedor de PaaS provee al desarrollador la plataforma necesaria a la cual accede, en la mayoría de los casos, a través de un navegador web sin necesidad de que realizar una inversión inicial alta y sin realizar instalaciones complicadas.

Ejemplos de este tipo de servicio puede ser SimpleDB y SQS de Amazon Web Services, VMForce, Windows Azure o Google App Engine.

Capas del Cloud Computing - (En lo más alto esta SaaS).

Software como Servicio (SaaS)

El usuario accede a una apliación a través de Internet, sin necesidad de instalar y ejecutar la aplicación en su propio ordenador. Normalmente el acceso es mediante un navegador web. La empresa que ofrece el servicio proporciona el mantenimiento, soporte y operación que usará el cliente durante el tiempo que haya contratado el servicio.

El ejemplo más conocido es el CRM SalesForce, pero existen múltiples ejemplos como Google Apps, Basecamp, etc.

Referencias Blog Virtualizamos  | Esds | INTECO