Algo novedoso


Ahora, siguiendo mi tradición de ir contracorriente, voy a hacerlo completamente a mano, me dispongo a empezar un post (¿semanal?) con un resumen de las últimas noticias sobre hacktivismo, ingeniería social y tecnofascismo, siempre desde mi punto de vista tecnológico, práctico y militante.

En 2018, cuando todavía OpenAI no había lanzado su bomba nuclear al público (ChatGPT – noviembre de 2022), monté en este mismo blog un sistema inteligente que generaba un post semanal con un resumen de las últimas noticias de tecnología. Funcionó, con alguna pausa, hasta 2023. La IA Generativa se había popularizado y mi sistema ya no aportaba nada novedoso.

Ahora, siguiendo mi tradición de ir contracorriente, voy a hacerlo completamente a mano, me dispongo a empezar un post (¿semanal?) con un resumen de las últimas noticias sobre hacktivismo, ingeniería social y tecnofascismo, siempre desde mi punto de vista tecnológico, práctico y militante.

Antes, los escritores no usaban IA, robaban el trabajo de sus mujeres y lo presentaban como propio.

Robado al Partido Pirata

Vamos al lío:

Repaso de noticias

Las guerras son una cosa terrible, pero hay muchas formas de pelearlas

Ucrania ha lanzado una web con toda la documentación que tiene sobre armamento ruso. El objetivo es doble: acceder a la inteligencia colectiva (crowdsourcing) y devaluar el armamento ruso en el mercado porque todo el mundo conozca sus fallas.

    Ante la tiranía, organización

    Como buen negacionista del cambio climático, Trump se cargó todos los datos que lo avalaban de climate.gov y los científicos que trabajaban ahí se han organizado para republicar toda esa información de nuevo en climate.us.

    Honrar la memoria, memoria para honrar

    Un medio de comunicación alemán ha hecho una base de datos de documentos que listan miembros del partido Nazi para saber quién fue parte.

    En España lo más parecido es el buscador PARES del ministerio de cultura, pero no tiene digitalizado todo.

    Cuando la vigilancia se vuelve parte del paisaje

    Este artículo, escrito por Catalina Balla, directora de Comunicaciones de Derechos Digitales hace repaso de algunos casos de vigilancia masiva y control social que se han producido en América Latina.

    Vigilancia autoalojada

    IP Crawl es un sitio web que enlaza un montón de cámaras de vigilancias personales que por una mala configuración quedan accesibles a cualquiera por Internet. RTFM!

    Vigilancia sin necesidad de explotar vulnerabilidades

    El ataque FROST es un sistema de vigilancia implementado por investigadores de la Universidad Tecnológica de Graz en Austria. Gracias a una funcionalidad legítima de los navegadores, que permiten a las páginas web manejar archivos, cualquier web puede medir la curva de velocidad de la lectura en SSDs. Han comprobado que esta curva depende de los programas en ejecución y de qué otras web están abiertas en el sistema (ataque de canal lateral que ya se conocía), por lo que se puede comparar el resultado obtenido de la lectura de un archivo en disco con una base de datos de firmas para identificar lo que está haciendo el usuario mientras tiene la web abierta.

    Vigilancia a la europea

    A pesar de que algunos gobiernos están rechazando el trabajar con Palantir por ser una empresa de USA y como tal priorizará las órdenes dadas por Trump, parece más bien un lavado de cara por la publicidad negativa que está teniendo la empresa. La retirada temporal del mercado internacional de los modelos Mythos 5 y Fable 5 de Anthropic por orden de Trump, ha convencido a todos de que ante un conflicto pueden quedarse sin servicio de una herramienta «vital». ¡Pero eso no quiere decir que no quieran herramientas para espiar!

    Francia y Alemania ya han buscado alternativas europeas, mientras que el Ministerio del interior Austriaco ha renovado sus licencias de Tangles (también de USA), un sistema de Inteligencia Artificial que usa fuentes de todo tipo para hacer vigilancia masiva. Su principal arma es Webloc, que explota datos obtenidos por aplicaciones móviles y plataformas de anuncios para identificar y geolocalizar a dispositivos móviles (ergo a las personas que los portan). Este sistema lo usa también Hungría y el ICE en Estados Unidos.

    ¿Y España qué?

    Extraoficialmente parece que el gobierno ha contactado a los organismos públicos y empresas participadas por la SEPI y ha dado orden de no contratar los servicios de Palantir en adelante lo que habría frenado proyectos que estaban negociándose con la Guardia Civil y Navantia. Sin embargo, tanto la SEPI como la Moncloa han negado que exista tal directiva.

    Cambiar toda la tecnología extranjera por europea

    El Supremo de Estados Unidos ha dicho que la FTC no puede ser independiente porque todos los organismos de USA deben obedecer a su presidente.

    Esto, que podría verse como una disputa interna de Estados Unidos, tiene implicaciones mucho más allá puesto que los acuerdos entre Europa y USA para que los datos de ciudadanos europeos se puedan gestionar por empresas americanas requieren que estén supervisadas por una entidad independiente (la FTC).

    Y no es sólo una cuestión de gente de a pie. Hay alguien espiando a los políticos europeos con el mismo software espía que se descubrió en el teléfono del presidente Sánchez, y también empresas especializadas en interferir en las elecciones de sus países miembro.

    La comunidad actúa contra el monopolio de las Big Tech

    La prohibición de exportar el modelo Mythos también es un toque de atención para la comunidad tecnológica que tiene que reforzar sus estrategias para usar modelos que no dependan de las grandes tecnológicas y sus centros de datos ya sea porque se ejecutan en local o porque lo hacen de manera distribuida.

    La responsabilidad de los trabajadores de las Big Tech

    Aunque es algo sabido que las grandes empresas tecnológicas como Microsoft participan de la vigilancia masiva, por ejemplo en el genocidio que lleva a cabo Israel en Gaza. Son sus trabajadores los que están mejor posicionados para evitar que esto pase como se ha hecho y se sigue haciendo. No se puede infravalorar la posición de fuerza de quienes (de momento) son imprescindibles hasta que la IA les quite el trabajo.

    Lo ilustra muy bien esta carta de despedida del jefe de seguridad de Android a sus compañeros.

    ¿Pero quién va a espiarme a mi?

    Aunque es legítimo pensar que no se tiene nada que ocultar y que nadie se va a molestar en espiarte, la realidad muestra que la información es valiosa hasta para la entidad menos pensada.

    Papa Johns (una cadena de pizzerías) deduce cuando te queda poca comida en la nevera para lanzarte publicidad porque saben que es más fácil que piques si tienes menos opciones a tu alcance en casa.

    Mientras, reCAPTCHA (el servicio de Google para diferenciar humanos de bots) evoluciona para capturar la estructura de la mano pidiendo al usuario que active la cámara y haga gestos. ¡Cómo si no supieran perfectamente que eres humano sin que hagas nada!

    ¿Qué hago?

    Si quieres actuar contra la vigilancia masiva, lo primero es protegerte a ti misma. Tenemos a nuestra disposición guías y software que permiten a cualquiera escabullirse entre las costuras del sistema como Sandra Bullock en La Red.


    Eso ha sido todo. What a week!

    Espero que no caiga sobre mi la maldición de todas las cosas que se anuncian y en unos días pueda compartiros las novedades que aparezcan, ¡que está la actualidad muy tecnofascista!

    Cualquier feedback en comentarios, toots o correos electrónicos. ¡Nos leemos!

    Clinical AI ¿alguien piensa en el enfermo?

    El mundo mira horrorizado la propuesta de OpenAI para una especialización médica de su IA generativa, y quizá sea porque mi visión de «lo de la IA» no es tan absolutista de «todo mal» (ni tampoco «todo bien»), pero no me parece una idea tan mala.

    Creo que el callo de más de 20 años dedicados a la tecnología, y sobre todo el de llevar más de 5 años y medio (y contando) muy enfermo, me avalan para poder rantear a gusto sobre este tema pero intentaré no excederme en mis exabruptos y plantear los porqués con claridad, aunque no prometo ser capaz. Vamos al lío.

    Primero los antecedentes. Llevo más de 5,5 años muy enfermo. Enfermo nivel llevo 5 años en la cama, desde que la médica me obligó a coger la baja porque las piernas no me aguantaban. La causa nadie la conoce de forma segura, aunque todo apunta a una mutación genética que es rara entre las mutaciones raras.

    Las mutaciones en mi gen son tan raras que los estudios que hay se hacen con cifras tan locas como 12 pacientes en todo el mundo, pero mi variación concreta es tan especial que ni siquiera está catalogada. «Significado incierto» es el eufemismo para «no tenemos ni puta idea».

    Con esta base he pasado por un montón de médicos que siempre se acaban rindiendo y le pasan la patata caliente al siguiente, que pasa por todas las mismas fases que los anteriores (duda sobre que no puede ser tan difícil, seguridad de que todos los anteriores se habían equivocado, incredulidad de que no responda a los tratamientos de lo que habían presupuesto, desesperación por no saber qué hacer… y patada a seguir).

    Sentadas las bases, metámonos en harina. ¿Una IA generativa es útil para un enfermo crónico como yo? Sí y mucho.

    En primer lugar, ¿en qué son buenas las IA generativas? Como su nombre indica, son especialistas en generar. Usan la estadística para buscar los valores más probables. Por eso son tan buenas en labores de documentación como resumir un libro, clasificar contenidos o buscar los temas más relacionados con un texto.

    ¿Y en qué aplica? Pues cuando tienes una historia médica como la mía con un centenar de documentos heterogéneos que no se ha leído exhaustivamente ningún médico, le puedes pedir que te haga un resumen para mantener una historia médica actualizada que necesitarás, por ejemplo, cuando te toque ir a un médico privado para intentar buscar las soluciones que los del hospital se niegan a seguir buscando.

    Pero eso no es todo. Al menos para mí es imposible mantener una idea clara de cuándo ha sido tal prueba, o cuánto tiempo ha pasado desde la última biopsia. Para una IA generativa es trivial hacer una línea de tiempo que ordene la aparición de síntomas, las pruebas, los tratamientos fallidos… ¿Cuándo me dieron aquel biológico? ¿Y lo del corazón fue antes o después? Lo que para nosotros es un lío, para una IA generativa es trivial.

    Resúmenes, cronogramas, no parece mucho ¿verdad? ¡Sólo es la puntita del iceberg!

    Como la IA, a diferencia de los médicos, sí se ha leído toda tu historia y todos los estudios sobre temas relacionados con tus síntomas y hallazgos, te puede plantear un cuestionario para hacer una clínica correcta, porque es capaz de determinar qué preguntas estadísticamente son más importantes en casos que tengan puntos en común con el tuyo. Y esa clínica, puede sacar cosas a relucir como que todo esto puede tener relación con problemas que tuviste hace décadas, o que eso tan raro que le pasó a tu pariente se puede explicar con lo mismo que te pasa a ti. ¿Es una verdad absoluta? No, claro, pero son nuevos datos a corroborar que si resultan ciertos pueden dar lugar a nuevas hipótesis o tratamientos a probar. Son esperanzas, que valen oro cuando todo el mundo se rinde y no te queda en qué ni en quién apoyarte.

    Obviamente, aunque los negacionistas lo odien, me toca nombrar a AlphaFold. El sistema de IA (generativa) que predice cómo se pliegan las proteínas. Gracias a él se sabe que un gen con mi mutación provoca una anomalía en una parte muy concreta de la proteína, que hace que comience el proceso de ensamblado del inflamasoma sin motivo (o con un motivo equivocado). Las simulaciones que se han podido hacer recientemente al respecto de las mutaciones en este gen, son gracias a esto, a la IA generativa.

    ¡Y hay más! En casos en los que hay tan poquitos datos en el mundo, las IA generativas se usan para generar datos sintéticos que expanden la lista de casos de un modo probable para que se puedan realizar estudios sobre una base sustancial.

    ¿Te parece poco? Pues además, una IA generativa puede adaptar todo el lenguaje técnico (en este caso médico) y llevarlo a otro terreno. Por ejemplo, a mí me puede hablar de plegamiento de proteínas, ensamblado de inflamasomas y otro montón de cosas que no había oído en mi vida haciendo símiles informáticos como los antivirus por firmas o la compilación de código fuente. Esto es algo que ningún médico podría hacer ni en el remoto caso de que se plantearan informarte.

    Resúmenes, cronologías, simulaciones, datos sintéticos, explicaciones… Pues también te ayudan a buscar mejor. La época de buscar en Google y que todo sea cáncer y te vayas a morir ya pasó. Ahora tienes un buscador supervitaminado que se ha leído todo internet y lo tiene indizado para quien sepa qué y cómo preguntar. Además puedes hacer preguntas tan extensas como quieras y dando explicaciones que sólo podrías dar a otras personas y no a cualquiera. A ver cómo buscarías en google algo cómo:

    Llevo unos días con algo muy molesto, son como cortocircuitos, no es estrictamente algo sonoro ni visual aunque en parte sí, es como si se pusieran a disparar blasters de la guerra de las galaxias dentro de mi cabeza, chiu chiu… chiu chiu chiu chiu. Son ráfagas cada minuto, con varios estallidos. La medicación de la migraña no me arregla pero…

    Y le sueltas tu parrafada, que cuando no puedes ir a urgencias porque en el SUAP se asustan con tu historia y en Valdecilla los MIR no saben ni por donde cogerte, y el médico 1 está de vacaciones y el médico 2 no te responde… pues por lo menos te desahogas, que no es poco. Y tras unos segundos pensando, para colmo, el algoritmo estadístico te suelta:

    Lo que describes se parece a los «brain zaps» que se describen normalmente como tal y cual y que pueden venir provocados por esto o aquello. ¿Puede encajar con tu caso?

    ¿Qué si encaja? ¡Al dedillo! Así que además del desahogo cuando no tienes nadie con quien hacerlo, te da tranquilidad de que por lo menos no es tan raro, es algo común dadas las circunstancias, esta noche puedes dormir, mañana ya veremos.

    «Pero es que van a vender tus datos…» ¿Y? ¿Acaso cuando uno está enfermo se preocupa mucho de sus datos? No, se preocupa de curarse si es posible, y si no de estar todo lo bien que se pueda. ¡Me la sudan mis datos! Dame paz y dime tonto.

    Fuera parte, que en España lo miramos todo desde el prisma privilegiado de quien tiene la mejor sanidad del mundo. Díselo a un yankee que aún con seguro médico tiene que decidir entre ir al médico o pagar la hipoteca de ese mes, si no le iría bien con un médico virtual medio lelo que le cobre lo que un McPollo con bebida y patatas grandes.

    No nos engañemos, los médicos también basan sus diagnósticos en la estadística y no siempre la real, muchas veces se ciñen a los casos que hayan visto durante su carrera y lo que digan los datos se la trae al pairo. ¿O no hay médicos que recomiendan homeopatía? ¿O no me han dicho a mí que vaya a acupuntura «porque no tienes nada que perder»? De las decenas de médicos que me han visto en estos años, el porcentaje de los que me han dado recomendaciones sin base científica es alarmante ¡y estamos en el país con la mejor sanidad del mundo!

    ¿Los datos? Me cago en los datos. Se los regalo a quien me ofrezca media oportunidad o gratis a quien los vaya a usar para que nadie más pase por una agonía como la mía, incluso si gana dinero por el camino.

    Yo, personalmente, antes de que plantearan especializaciones ya había usado varias para trabajar sobre mi problema ante la desesperación que supone que te cierren todas las puertas. Sé cómo funcionan y lo que suponen, y no me quedo con la primera respuesta, pregunto al derecho y al revés, pregunto de rebote mientras está «concentrada» en otra cosa, pregunto con unos datos y sin ellos. Le digo que me explique, no que me diga (sutil diferencia). También valido, no me quedo con lo que dice y voy a sus fuentes, repaso los estudios que ha usado o la documentación de mi historia a la que hace referencia. Y borro, por supuesto que borro, después de unos días de sesión alimentándole con mis datos, le pido que borre absolutamente todo, que limpie memoria y conversaciones, para que no haya fugas de información que expongan mi intimidad y, sobre todo, para no condicionar sus futuras respuestas si le vuelvo a preguntar por algo que pueda guardar relación. Ya será tarde y tendrán nuestras interacciones para su entrenamiento, pero realmente me parece el menor de los males.

    Así que hacer un especialización para un caso de uso que los enfermos ya estamos empleando, no puede hacer más que mejorar la experiencia de usuario y los resultados. Si lo hacen bien incluirán alertas para que no confíes ciegamente (por cubrir sus espaldas, no por bondadosos). Si lo hacen muy bien, enlazarán todo con los datos en los que se basan. Si lo hacen excelentemente bien, usarán expertos (médicos) para revisar lo generado y comprobar que se está haciendo un buen trabajo. Yo al menos, no tengo absolutamente nada que perder.

    Si eres de los del «todo mal» vas a seguir en tus trece, pero si eres de los que tienen una preocupación genuina por los datos y los enfermos, que quieres lo mejor para los pacientes y no presumir de tu superioridad moral en redes, en lugar de luchar contra algo que les puede ayudar, enséñales a usarlo, a que no pueden creer todo a pies juntillas, enséñales a validar, enséñales a borrar y haz que les resulte útil.

    A mí, dime lo que quieras pero ¿cuándo me activan esa funcionalidad? Es lo único que me interesa.

    Sources & References
    • news.ycombinator.com ChatGPT Health

      OpenAI is building ChatGPT Health as a healthcare marketplace where providers and insurers can reach users with detailed health profiles, powered by a partner whose primary clients are insurance companies.

    • openai.com Presentamos OpenAI para el sector sanitario

      Productos de IA seguros para ayudar a las organizaciones del sector sanitario a ofrecer atención de alta calidad a más personas, reducir el trabajo administrativo de los equipos y potenciar soluciones clínicas personalizadas, mientras protegen los datos.

    • mastodon.social El mundo mira horrorizado la propuesta de OpenAi para una especialización médica de ChatGPT y como enfermo crónico…

      Rant de Javi en Mastodon con un hilo en el que comenta algunas de las cosas que salen en este post.

    • hdsr.mitpress.mit.edu Statistics and AI: A Fireside Conversation

      Statistical theory plays a critical role as a collection of mathematical tools and foundations driving the AI wave.

    • ibm.com Document AI

      Document AI gestiona datos estructurados, como hojas de cálculo, datos no estructurados, como correos electrónicos y contratos, y documentos semiestructurados, como formularios, facturas e informes financieros.

    • alphafoldserver.com AlphaFold Server

      AlphaFold Server is a web-service that can generate highly accurate biomolecular structure predictions containing proteins, DNA, RNA, ligands, ions, and also model chemical modifications for proteins and nucleic acids in one platform. It’s powered by the newest AlphaFold 3 model.

    • welzo.com Brain Zaps: Causes and How They Feel

      Both LOCs and brain zaps are sharp sensations felt in the head…most often linked to the withdrawal either or the change of the administrative dose of specific types of medications, including SSRIs and benzodiazepines.

    • thehackernews.com OpenAI Launches ChatGPT Health with Isolated, Encrypted Health Data Controls

      Health operates in silo with enhanced privacy and its own memory to safeguard sensitive data using «purpose-built» encryption and isolation… All apps available in Health are required to meet OpenAI’s privacy and security requirements, such as collecting only the minimum data needed…

    Collaborative Anual Planner

    Esta aplicación web permite crear calendarios que compartir con otras personas, haciendo que cualquiera con el enlace pueda editarlo sin necesidad de crear usuarios ni identificarse de ningún modo.

    Screenshot de https://calendar.yups.me

    El calendario, por defecto, se establece para el año en curso salvo si es diciembre que ya se prepara para lo que viene. Sin embargo, en la configuración puedes establecer el año que quieras ¡cómo si te quieres ir organizando para 2030!

    El funcionamiento es muy sencillo, sólo tienes que copiar el enlace directo al calendario y compartirlo con la gente con la que te vas a organizar. Además, has de cambiar el acceso para que cualquiera pueda modificarlo, y ya estaría. Cualquiera de las personas con las que has compartido el enlace podrá crear eventos seleccionando el día adecuado.

    La aplicación funciona tanto en móvil como en escritorio y el planner está diseñado para que pueda ser impreso en un único folio A4 para su uso en el mundo real.

    A nivel tecnológico, para los entendidos, es una single page application montada con React, que usa Firebase como backend. El código está disponible para cualquiera que quiera mirar las tripas o montarse su propia instancia.

    Es una aplicación sencilla que cubre una necesidad muy concreta: organizarse rápida y de fácilmente de forma colaborativa. Se le podrían hacer varias mejoras, pero para ser algo hecho en una hora cubre bastante bien todo el ciclo de un usuario (crear, compartir, modificar e imprimir).

    Cualquier feedback es bienvenido, aunque sólo le daré más cariño si veo que resulta útil.

    Bingo Social

    Bingo Social es una web app que permite crear cartones de bingo que puedes compartir con amigos o en redes para que todos jueguen a la vez y puedan ver en tiempo real la evolución de los demás participantes.

    Cartón de bingo de las cosas que escuchan los escritores de blogs en 2025

    Es un modo de mantenerse entretenido y en contacto de un modo amigable y divertido. Cada cual elige de qué quiere crear el bingo, como por ejemplo:

    • Cuñadeces que dirán los familiares en las fiestas.
    • Exaltaciones corporativas en la cena de empresa.
    • «Consejos» para los enfermos crónicos.
    • Frases que dirá el amigo de las criptomonedas en la próxima quedada.
    • Qué se verá en la Isla de las tentaciones o Eurovisión.
    • Cuáles serán las últimas «politicadas» del año.
    • Los espontáneos que se incorporarán por año nuevo a vuestro canal de Telegram.
    • … cualquier cosa que se te ocurra, ¡incluso si no es graciosa!

    Para los interesados en los aspectos más técnicos, no, no tiene modelo de negocio, es sólo por los jajas y por demostrarme que podía hacerlo.

    El desarrollo tecnológico ha tenido una dosis alta de asistencia de Google Gemini y el resultado es una single page application con Vite (React) que se aloja en Firebase del que usa Firestore para la persistencia de datos y la autenticación para la gestión de los usuarios (que son anónimos pero se les recuerda entre accesos).

    Como curiosidad, aunque lo he colgado de un dominio propio (bingo-social.yups.me) por aquello de tener el control en el futuro, el identificador de proyecto asignado en firebase es bingo-social (bingo-social.web.app), así sin numeritos ni nada, ¡he sido el primero en hacer un Bingo Social en Firebase!

    Dejadme un comentario o escribidme por donde más rabia os dé si lo probáis y tenéis algún Feedback 🙂

    Recomendaciones de seguridad online

    Hoy en día, todo el mundo debería de seguir unas pautas seguras en su vida digital para evitar peligros como estafas, suplantaciones, engaños, etc. Hay algunas que son muy fáciles de seguir y que cualquiera puede incorporar en su día a día:

    • Usar contraseñas fuertes.
    • No reusar contraseñas en distintos sitios.
    • No utilizar información personal como contraseña (nombres de hijos, mascotas, parejas, cumpleaños, etc.).
    • Usar un gestor de contraseñas o una simple libreta para almacenarlas.
    • Activar la autenticación en dos pasos en todas las plataformas que lo permitan (correo, redes sociales…).
    • Mantener todos los dispositivos con el software actualizado.
    • Activar el bloqueo de pantalla automático cuando no usamos un dispositivo.
    • No dejar un dispositivo sin vigilancia al alcance de terceros.
    • Tapar las webcams cuando no las estemos usando.
    • Usar filtros para el fondo cuando hacemos videoconferencias.
    • Ajustar los niveles de privacidad de las plataformas sociales a lo que necesitemos (quizá no todo tenga que ser público).
    • Leer y comprobar los permisos que nos piden las aplicaciones y pensar si tienen sentido.

    Otras, como el abandono de las redes sociales propietarias pasando a federadas o auto-alojadas, puedes ser más traumáticas, pero necesarias en el entorno actual en el que las propias empresas no europeas admiten no poder cumplir la ley manteniendo a salvo los datos de los usuarios:

    • Usar software libre en lugar de software pirateado.
    • Usar servicios de correo electrónico encriptados.
    • Usar servicios de almacenamiento en la nube encriptados.
    • Usar servicios europeos. Incluso si no eres de Europa, tus datos estarán más seguros.
    • Evitar las redes sociales propietarias como Facebook, Twitter, Instagram, Telegram…
    • Configurar y usar como buscador por defecto un buscador seguro en lugar de Google.
    • Si usas redes wifi públicas de cafeterías, hoteles, etc. usar VPNs.

    Además, hay ciertas medidas que ,quizá no todo el mundo pero que al menos los profesionales, deben de tener en cuenta. Por ejemplo al realizar OSINT (investigación de fuentes públicas -el stalkeo de toda la vida-) y otras labores online:

    • Evitar usar cuentas personales y crear unas para tal fin.
    • Evitar usar los dispositivos que usas en tu día a día.
    • Usar VPNs. Siempre. Todo el rato.
    • Usar máquinas virtuales como sandbox para controlar posibles infecciones.
    • Compórtate como haría un usuario (horas de acceso, número de clicks, tiempo en página…)

    Mi recomendación es que intentes cumplir las menos exigentes del primer apartado, antes de centrarte en las más avanzadas. Pensar y preguntar a profesionales (o a mi mismo) por qué son necesarias, ya que una vez lo entiendas e interiorices te costará menos aplicarlas. Y sobre todo ir pasito a pasito, es más importante navegar en la dirección correcta que ir muy rápido.

    Copiar un archivo a otra «máquina»

    Esta entrada va a ser muy cortita. Casi es como un postit que me podría pegar al monitor, porque es algo que siempre necesito buscar cuando lo hago de pascuas a ramos. No es más que copiar un archivo a otra máquina:

    scp file.ext user@example.com:/home/user
    

    El código previo nos permite copiar un archivo (file.ext) a una máquina remota (example.com) en la que existe el usuario user. El archivo se copiará a la carpeta home de ese usuario.

    Hoy en día, que se llevan mucho los contenedores, es posible que la otra máquina, en lugar de ser un servidor remoto no sea más que un contenedor en nuestra propia máquina. En ese caso lo que necesitaremos ejecutar es la versión docker del comando cp.

    docker cp ./file.ext 1dc097a19eab:/app/public/
    

    Por mucho que tengamos automatizado todo el sistema de despliegue y de pruebas, es muy posible que en un momento dado queramos modificar algo a mano para hacer una prueba rápida, o traernos un fichero de log para analizar. Por eso es importante tener estos comandos a mano, que nos pueden salvar el culo cuando estemos apurados.

    TFI 002

    The previous TFI Challenge was a bonus one. It means it’s not one of the basics that are linked by an explicit URL.

    This second challenge can be found on a page where one of the main characters in this amazing story hacks a gun. Basic challenges are related to hacking actions or strategies developed by the group of hackers we’re following in the comic.

    When you follow that URL, you’ll find a code to redeem, instructions to connect remotely to a console using netcat, and the source code of the script that manages that console.

    The console gives you three options:

    • Activate the special mode of the gun
    • Get admin privileges
    • Exit

    By reading the code, you can tell it was written by a rookie developer, because it includes the encrypted password and decodes it to compare it with the user input.

    You should never do that. Storing passwords in code is wrong, and being able to decrypt a password is also a mistake — you should use non-reversible algorithms.

    To solve this challenge, you just need to write a script or start an interactive Python session to decode the encrypted password the same way the original script does.

    With that password, you can connect to the remote console and follow the instructions to catch the flag. Easy peasy.

    See you in the next challenge.