Este post trata de explicar de manera sencilla como evitar todo esto, o al menos de como evitar ser espiado por elementos intermedios en la red (proxies transparentes de empresa, analizadores de tráfico, sniffers, …), dado que si tienes instalado en tu PC un troyano que analiza todo lo que tecleas o haces, este post no va a solucianarte nada.

CÓMO ACCEDEMOS A INTERNET

En una empresa, cuando accedemos a Internet (se entiende para navegar a un servidor web) para navegar a la web del Marca, creemos que pasa lo siguiente:

Es decir, esperamos que la petición HTTP viaje mágicamente por Internet hasta el Servidor HTPP, pero lo que realmente pasa es algo más parecido a lo siguiente:

El proxy de la empresa tiene varios cometidos (aunque originalmente un proxy no hacía tantas cosas):

• Hacer una caché del tráfico, para evitar acceder a Internet si el Proxy ya ha servido dicho contenido previamente. Esto es bueno, y no hay demasiado problema (a no ser que no funcione bien, y el Proxy nos sirva contenido caducado…).
• Filtrar contenido, de modo que la empresa pueda definir políticas de páginas web cuyo contenido quiere ser, al menos, bloqueado, y de este modo evitar que los trabajadores accedan a él; el típico ejemplo de esto es filtrar porno, webs de ocio, descargas ilegales, … Esto a priori no es del todo malo, dado que evita distracciones, pero la verdad es que a veces las personas que trabajamos en Ingeniería tenemos que buscar respuestas a preguntas que a veces se encuentran en foros o webs cuya reputación no es buena, y que por tanto han sido “bloqueadas” o metidas en “listas negras” por los programas de bloqueo que usan las empresas.
• Finalmente, otro de los cometidos es la de espiar las páginas web a las que accede el personal de la empresa, para tomar medidas varias como sancionar, hacer despidos procedentes (ya hay jurisprudencia de empresas que han ganado el juicio, presentando como pruebas logs de dichos programas para demostrar que un empleado usaba el acceso a Intenet de la empresa para otros cometidos fuera de lo profesional), y un largo etc.

Si estás leyendo esto, te encuentras en alguno de los dos últimos supuestos, o al menos te pica la curiosidad científica de saber que hacer en estos casos, no?. Para que emplees este túnel no va a ser discutido aquí, sólo me encargaré de describir el mecanismo.

ARQUITECTURA DE LA SOLUCIÓN

La idea es acceder a Internet, pero sin que el Proxy de la empresa se entere qué páginas web (servidores) estámos accediendo, esto lo conseguiremos mediante el uso de un túnel SSH con un servidor remoto, esto puede verse reflejado en la siguiente arquitectura:

El meollo del asunto se encuentra en que estalecemos un túnel SSH entre nuestro PC (dentro de la red insegura de la empresa, si he dicho insegura, pero insegura para nuestra privacidad!) y un Sservidor SSH remoto (fuera de la red de la empresa claro!, sino no arreglamos nada!), de modo que todas las peticiones se propaguen a dicho servidor, y se hagan desde él, en vez de directamente desde nuestro PC, esto hará que nuestras peticiones viajen:

1. Cifradas entre el PC y el Servidor SSH remoto, de este modo evitamos que nos espíe el Proxy de la empresa (o cualquier otro elemento intermedio).
2. En abierto entre el Servidor SSH remoto y el Servidor Web al que queríamos acceder (cuando digo en abierto, me refiero a que los datos irán fuera del túnel, pero si estás accediendo vía HTTPS, es obvio que no irá en abierto).

REQUISITOS

Hay varios requisitos (todos ellos salvables) para poner esto en marcha:

• Requisitos en el Servidor SSH:
  • Evidentemente disponer de un Servidor SSH en Internet (si no dispones de un servidor dedicado o algo parecido, puede hacerse fácilmente con un PC en tu casa conectado a Internet).
  • Tener una cuenta en la máquina para poder acceder por SSH.
• Requisitos en el PC:
  • Tener instalado un cliente SSH. En Linux es muy fácil y normalmente viene instalado por defecto, sino basta con teclear: sudo apt-get install ssh. En Windows hay varias opciotes: Instalar Cygwin e instalar el paquete de SSH, o bien instalar otro cliente de ssh como Putty o cualquier otro.

CREAR EL TÚNEL

Lo primero es crear el túnel SSH, para ello desde del PC en una línea de comandos (si has instalado el Cygwin, desde la línea de comandos del Cygwin), y presuponiendo que tu cliente de SSH se llama ssh, hay que ejecutar la siguiente línea de comandos:

ssh -D 9999 -C usuario@servidor_ssh_remoto

Cuando nos pida la clave, la introducimos, y una vez iniciada la sesión, la dejamos iniciada todo el rato (mientras la sesión siga activa, el túnel seguirá vivo).

Esto crea un túnel hacia servidor_ssh_remoto (aquí pones la IP o nombre de tu servidor) con el usuario indicado, además abre el puerto 9999 (puedes usar cualquier otro, siempre y cuendo esté libre) y habilita la compresión (-C).

Por ejemplo para abrir un túnel a mi servidor con mi cuenta (la clave nos os la doy! ):

ssh -D 9999 -C emilio@ociotec.com

CONFIGURAR EL NAVEGADOR

El siguiente paso es configurar el Navegador Web en el PC para que use dicho túnel, para ello y dependiendo del navegador se hace lo siguiente:

• Mozilla Firefox:
  • Abrimos el menú: Herramientas, Opciones…:
    
  • Seleccionamos la solapa Avanzado y dentro de esta la solapa Red y pulsamos el botón Configuración:
    
  • Seleccionamos la opción Configuración manual del proxy, luego rellenamos el texto Servidor SOCKS con el valor localhost, que es dónde está instalado el lado cliente del túnel (es decir, nuestro PC) y el texto Puerto a 9999 (el valor del puerto de escucha del túnel en el PC que antes hemos configurado), también se puede configurar que el túnel SSH no se use para determinadas direcciones (en el ejemplo figura localhost y su IP, pero puedes añadir otras direcciones de la red local de oficina, es decir, la Intranet de tu empresa):
    
• Internet Explorer:
  • Abrimos el menú: Herramientas, Opciones de Internet:
    
  • Seleccionamos la solapa Conexiones y dentro de esta la solapa pulsamos el botón Configuración de LAN:
    
  • Seleccionamos la opción Usar un servidor proxy para la LAN (…), luego pulsamos el botón Avanzadas:
    
  • Rellenamos el texto Socks con el valor localhost, que es dónde está instalado el lado cliente del túnel (es decir, nuestro PC) y el texto de la derecha : a 9999 (el valor del puerto de escucha del túnel en el PC que antes hemos configurado), también se puede configurar que el túnel SSH no se use para determinadas direcciones Excepciones (en el ejemplo figura localhost y su IP, pero puedes añadir otras direcciones de la red local de oficina, es decir, la Intranet de tu empresa):
    

El “casi” del párrafo anterior viene justificado en que en WIndows podemos establecer manualmente la frecuencia a la que trabaja la CPU, siempre y cuando nuestro portátil disponga de un procesador de Intel que disponga de administración de energía a nivel de CPU.

Este tipo de procesadores pueden administrarse mediante utilidades del fabricante o directamente por Windows, estableciendo distintos niveles de frecuencia de CPU para de este modo, por ejemplo: alargar la vida de la batería reduciendo al mínimo dicha frecuencia cuando estamos sin alimentación, o aumentándola al máximo para obtener más potencia cuando estamos enchufados a la corriente.

Para llevar a cabo este avance, usaremos el applet de Gnome “Monitor de frecuencia de CPU”, esta aplicación monitoriza la frecuencia de la CPU, pero por defecto no nos permite cambiar dicha frecuencia.

El procedimiento es muy sencillo, desde una linea de comandos, escribiremos lo siguiente:

sudo dpkg-reconfigure gnome-applets

Esto reconfigurará el paquete de applets de Gnome, haremos lo siguiente:

1. Teclear la clave para el comando sudo.
2. Pulsamos Aceptar cuando nos muestre un mensaje.
3. Cuando nos pregunte: Should cpufreq-selector run with root privileges?, contestaremos Yes (por defecto estará a No).

Una vez hecho esto ya podremos añadir al panel el applet (si es que no lo teníamos añadido ya).

Para poder seleccionar la frecuencia, no hay más que hacer click con el botón izquierdo encima del icono, tal y como se puede ver en la siguiente imagen:

Ya podéis sacar mucho más partido a vuestro portátil (batería, potencia, ruido, o calor si lo usáis encima de las piernas!).

Resultado: Imperio 50 punto, Condes vampiro 1425 puntos.

Comentarios sobre la partida:

• Despliegue: ambos bandos despliegan de manera compacta en una linea uniforme, el Imperio además despliega máquinas de guerra en dos colinas (en una un cañón y en otra una batería de cohetes con fusilerios).
• Turno 1: empiezan los Imperiales, sin hacer grandes avances, salvo los flagelantes que se lanzan de cabeza a entorpecer el avance de las tropas enemigas, el resto se alinean, la fase de disparo no hace bajas significativas. Los Condes vampiro avanzan, en la fase de magia crean una unidad de zombies justo delante de la unidad de grandes espaderos (más que nada para molestar, que es lo único que pueden hacer los zombies).
• Turno 2: los grandes espaderos y una unidad de lanceros cargan a los zombies y casi se los quitan de en medio en un turno (pero sólo casi, dado que permanecieron 3 aguerridos zombies!), los flagelantes se encaminan hacia la unidad de caballeros negros, la otra unidad de lanceros avanza para ponerse en linea con el resto de unidades y de este modo no desproteger los flancos de las unidades en combate cuerpo a cuerpo, en la fase de magia y disparo no ocurre nada significativo. Los condes vampiro cargan a la unidad de lanceros (la que no estaba en combate) con los necrófagos y el carruaje de la muerte pero declara como reacción a la carga huir, tras lo que redirigen la carga al flanco y frontal de la de lanceros ya trabada, y tras una penosa carga en el que el carruaje (por cierto habiendo absorbido dados de energía y consiguiendo: odio, etéreo y volar!) no hizo nada, quedan trabados en un combate múltiple… Los caballeros negros cargan a los flagelantes, y haciendo gala de un gran ineptitud hacen bajas pero no todas las esperadas.
• Turno 3: todo más trabado en comate cuerpo a cuerpo, los combates no son decisivos, de este modo, no es hasta el final de turno cuando los zombies acaban de morir, y al estar destrabados los grandes espaderos estos intentan flanquar al carruaje, pero al estar demasiado cerca de los tumularios (regla de 1 cm de separación) fallan la carga. En el turno de los Condes vampiro, entre los necrófagos por el flanco y el carruaje por el frente, desmoralizan a los lanceros, lo que en un alarde de suerte para los Condes vampiro hace que los grandes espaderos y la otra unidad de lanceros huyan al fallar sus dos chequeos de pánico por unidad amiga desmoralizada a 15 cm, dando todos los puntos de victoria debido a que ya no se jugaron más turnos.

A continuación os dejo las fotos de la partida:

Page 1 of 1
.100_2195 (7 views, 0 comments, 0 tags)	.100_2196 (7 views, 0 comments, 0 tags)	100_2195 (17 views, 0 comments, 0 tags)	100_2196 (10 views, 0 comments, 0 tags)
100_2197 (15 views, 0 comments, 0 tags)	100_2198 (17 views, 0 comments, 0 tags)	100_2199 (20 views, 0 comments, 0 tags)	100_2200 (8 views, 0 comments, 0 tags)
100_2201 (7 views, 0 comments, 0 tags)	100_2202 (3 views, 0 comments, 0 tags)	100_2203 (15 views, 0 comments, 0 tags)	100_2204 (22 views, 0 comments, 0 tags)
100_2205 (10 views, 0 comments, 0 tags)
Plugin EHT Photos v2.1.1 - Created by Emilio González Montaña

• Sencillo de instalar.
• No necesita configurarse.
• Las imágenes previamente generadas no se vuelve a calcular (caché) a no ser que cambie el contenido (MD5).

Download plugin

Ejemplo de uso (quitar el espacio entre [ y uml]):


[ uml]
Class.A(”Point”)
(”+x: int”,
“+y: int”) ();
Class.B(”Circle”)
(”radius: int”)
(”+getRadius(): int”,
“+setRadius(r: int):void”);
topToBottom(45)(A, B);
drawObjects(A, B);
clink(aggregationUni)(A, B)
[/uml]


Generaría la siguiente imágen:

EHT UML v0.1 © - Emilio

La sintáxis puede consultarse en la web de la librería MetaUML.

Instalación:

1. Instalar los paquetes necesarios para ejecutar los comandos: mpost (en Ubuntu texlive-mpost) y convert (creo que ImageMagic).
2. Instalar y activar el plugin.
3. Úsalo en cualquier post o página tal y como se indicó previamente.

Datos del plugin en Mantis:

• Incidencias (para reporta una nueva incidencia, necesitas registrarte)
• Log de cambios
• Roadmap

Historial:

• 0.1 First release (#46).

FreeMind es una herramienta JAVA multiplataforma, es decir, nos funcionará tanto en Windows como en Linux (y cualquier sistema operativo que pueda ejecutar JAVA).

La edición de los esquemas es realmente sencilla, pudiéndose hacer todo desde teclado o con iconos y ratón (como te sea más cómodo).

Esto puede resultar de utilidad para lo siguiente:

• Administramos varias máquinas y estamos hartos de teclear.
• Necesitamos lanzar comandos remotos de manera automática (CRON, script, …).

Esto lo podemos conseguir generando una clave RSA en la máquina cliente, y dejando la parte pública de dicha clave en el servidor, de modo que cuando el cliente intente conectarse al servidor, este se fíe del cliente.

Supongamos que tenemos la siguiente topología de máquinas y usuarios:

Topologia maquinas y usuarios para SSH sin password ©

PASOS A SEGUIR:

1. Generar la clave RSA en el cliente, desde la cuenta del usuario1:
   ssh-keygen -t rsa
   Esto generará lo siguiente (Pulsa la tecla Enter donde aparezca el texto [ENTER]):
   Generating public/private rsa key pair.
Enter file in which to save the key (/home/usuario1/.ssh/id_rsa): [ENTER]
Enter passphrase (empty for no passphrase): [ENTER]
Enter same passphrase again: [ENTER]
Your identification has been saved in /home/usuario1/.ssh/id_rsa.
Your public key has been saved in /home/usuario1/.ssh/id_rsa.pub.
The key fingerprint is:
67:da:cf:b6:31:8f:3a:a8:aa:fb:96:d6:03:96:fd:82 usuario1@cliente
   Tal y como el log del comando indica esto nos ha generado 2 ficheros: ~/.ssh/id_rsa clave privada, ~/.ssh/id_rsa.pub clave pública.
2. Copiaremos la clave pública al servidor:
   scp ~/.ssh/id_rsa.pub usuario2@servidor:
   Esto mostrará lo siguiente (introducir la password de usuario2 en [PASSWORD]):
   usuario2@servidor's password: [PASSWORD]
id_rsa.pub 100% 402 0.4KB/s 00:00
3. Ahora añadiremos la clave pública del cliente en la lista de claves autorizadas del servidor, para lo cual desde la sesión de usuario2 en el servidor, teclearemos lo siguiente:
   if [ ! -d ~/.ssh ]; then mkdir ~/.ssh; fi
chmod 700 ~/.ssh
if [ ! -e ~/.ssh/authorized_keys ]; then touch ~/.ssh/authorized_keys; fi
chmod 600 ~/.ssh/authorized_keys
echo ~/id_rsa.pub >> ~/.ssh/authorized_keys

Con estos pasos, ya podremos hacer un SSH desde el cliente al servidor sin que se nos pregunte por una password.

RESOLUCIÓN DE PROBLEMAS:

Lo mejor para solucionar problemas es usar el log, para ello tenemos dos vías:

1. En el cliente, lanzar el cliente de SSH con toda la traza posible:
   ssh -v -v -v -v cliente2@servidor
2. En el servidor, ver la traza del servidor de SSH:
   tail /var/log/auth.log

Algunos de los problemas que pueden darse son:

• No has generado bien la clave en el cliente (repasa el paso 1).
• Los permisos de la carpeta ~/.ssh o del fichero ~/.ssh/authorized_keys en el servidor no son correctos (repasa el paso 3).
• La versión de SSH del cliente no corresponde con la del servidor, lo cual puede causar un fallo, para detectarlo y solucionarlo ver las trazas como se ha indicado previamente, y lo normal sería actualizar ambas máquinas.
• El cliente es más viejo que el servidor, y ha generado una clave que el servidor considera vulnerable. Este error es muy difícil de de detectar, dado que hay que ver en profundidad las trazas del servidor, pero se puede prevenir fácilmente ejecutando el comando en el servidor que nos dirá si tenemos alguna clave en la máquina vulnerable:
  ssh-vulnkey -a
  Si la clave del cliente fuera marcada como vulnerable, tenemos dos opciones:
  • Actualizar el cliente y repetir el proceso sobreescribiendo las claves.
  • Indicar en el servidor que acepte las claves vulnerables, esto lo hacemos editando el fichero de configuración del servidor de SSH del servidor añadiendo la línea (si es que no existe previamente):
    PermitBlacklistedKeys yes

Si tenéis algún problema adicional, no dudéis en enviar un comentario, e intentaré ayudaros. También si alguien ha tenido algún problema con esto, y ha encontrado solución, se agradecería un comentario indicando cuál fue el problema y su solución, de este modo ayudaremos a gente que pudiera tener dicho problema…

Posts relacionados: Cuotas de disco ... (0), Evita que te esp... (1), Linux en Windows... (2), Migrado a nuevo ... (0), Recuperar GRUB t... (1), Servicios de est... (0), Servidor con IP ... (1)
Posts en mismas categorías: C++ en Windows (0), Cómo analizar t... (30), Control de versi... (0), Cuotas de disco ... (0), EHT Mantis (plug... (0), Evita que te esp... (1), Integrar Subvers... (1), Organiza tus ide... (0), Recuperar GRUB t... (1), Sácale partido ... (0), Servicios de est... (0), Servidor con IP ... (1), Trabajo como fre... (0)
EHT Related v0.2.5 by Emilio González Montaña]]>