Advertisement

miércoles, marzo 1

2 app para bajar videos de Redes Sociales

Buenas gente! ¿qué tal estas primeras semanas del 2017? Creo que poco a poco nos vamos desperezando de las navidades y entrando en calor con los trabajos. Yo ahí sigo, implantando unidades de inteligencia y formando a analistas. Y muy contanta con mi pequeño espacio en el programa de radio digital "En turno de noche" hablando de los riesgos de Internet. Permíteme que haga un poco de publi del programa. Sinceramente te animo a escucharles porque se centra en emergencias y cada miércoles realizan entrevistas con gente interesantísima de la que se aprende un montón. 

El programa es los miércoles de 20:00 a 21:00 (hora España) en World Press Radio: http://worldpressradio.com/en-turno-de-noche/  Además los graban y luego están disponibles para ser escuchados a través de YouTube. Yo voy cada quince días y suelo intervenir al final del programa. Pero vamos, que el programa entero merece mucho más la pena que mi propia intervención, jejeje.

Precisamente al respecto, recordé que varios alumnos me han preguntado por herramientas para descargar vídeos de las redes sociales. Es una magnífica pregunta, porque los analistas podemos y debemos utilizar cada vez más la información en formatos multimedia. Así que tenía pendiente una entrada con este tema para echar una mano seleccionando las que son las mejores opciones gratuitas "para mi" al respecto de este tema.

Así que nada, mis palabras mágicas de hoy van dirigidas a trasladaros esta pequeña lista de aplicaciones que nos permiten descargar vídeos de las redes sociales (Twitter, Facebook, YouTube, Vimeo, etc.).

Como digo la lista es pequeña, porque aunque hay un montón de app, sobre todo especializadas en un canal concreto, he pensado mejor en seleccionar aquellas que son seguras y "valen para todo":

A) Descargar vídeo vía url online:

Este modo se centra en app online en las que das la url que contiene el vídeo que quieres bajarte. Una vez lo localiza te da la opción de bajarlo.

Existen muchísimos, pero la mayoría está demasiado especializado.. O sólo Youtube... o sólo Facebook...

Pero entre todos hay uno realmente magnífico, que te descarga el vídeo en bastante buena calidad. Se llama Savevideo.me. Como digo, sólo debes seleccionar la url donde está el mensaje del vídeo que quieres bajarte y ya está. En Twitter, por ejemplo, es la url del mensaje donde está incrustado.

Evidentemente al ser en nube guardará un resgistro de las url que la gente se ha descargado... Lo digo porque imagino que habrá vídeos que no querréis que nadie sepa que os los bajais.





B) Descargar vídeo vía extensiones en FireFox o Chrome:

Como casi siempre que hablamos de herramientas para osint, solemos proponer ya algunas que son extensiones o add-on de los navegadores. Tienen la limitación de que sólo estarán disponibles en ese navegador donde lo hemos instalado y que cada vez que el navegador se actualiza es posible que tengamos que actualizar la extensión.

De hecho, esto es lo que le pasa a uno de los históricos a la hora de bajar vídeos de Redes Sociales: Video Download Helper

A mi me va de lujo, no os voy a mentir, pero es cierto que en ocasiones deja de funcionar por culpa de una actualización del navegador. Pero por lo demás, simplemente va rastreando los vídeos que se encuentran disponibles en las web y redes sociales que visitas y te propone descargalos. Los descarga en una calidad muy buena.


Diría que este es mucho más seguro en cuanto a bajarte cualquier vídeo, al fin y al cabo detecta automáticamente las url. Además, tiene la posibilidad de descarga "enmascarada". Por otro lado, si lo descargas para FireFox siempre será más seguro, pues sales "del radar" de Google.


C) Descargar vídeos en Whatsapp y Telegram:

Gran parte de los vídeos que nos interesan suelen ser compartidos por esos servicios de mensajería instantánea. En este sentido conseguir descargar estos vídeos es de lo más sencillo.

Pulsa en el vídeo y busca el icono de compartir que se suele usar para reenviar algun meme o una noticia, etc. Al compartirlo, por si no te habías dado cuenta, además de compartirlo en otras redes sociales puedes enviarlo a tu Google Drive o mandártelo a tu correo y ¡ya lo tienes! No tiene más ciencia...

D) Descargar vía programa instalado en el ordenador.:

Sé que generalmente os hago alguna propuesta para descargar un programita gratis en el ordenador, sin embargo, en esta ocasión no me atrevo. Todas las app gratuitas que he analizado incluyen programas "espia" que abren puertas traseras al ordenador o que incluyen publicidad que podría tener malware, etc.

En este caso, si necesitas algo más pro, me temo que no te quedará más remedio que pagar por alguna aplicación que te asegure que la instalas en el ordenador sin "cosas raras".


Pues nada, espero que este mini post te ayude a guardar los vídeos que te interesan. Hasta el próximo post! ;-)

domingo, enero 15

Cifrar y descrifrar archivos con Gpg4win/Kleopatra para compartir

Feliz año a tod@s! ¿Qué tal el tránsito del 2016 al 2017? Espero que, por lo menos haya sido en paz. A mi alrededor ha estado todo muy movido, como cuando se dice que al acabar un año cierras una etapa y empiezas otra.  Está claro que en el ambiente rondan tiempos de cambios inesperados, quizá por el Brexit y Trump.  Desde un punto de vista histórico, sin duda estos tiempos son para disfrutar del hecho de que “todo puede pasar”. Aunque es cierto que al ser humano no le gusta vivir en la incertidumbre, pienso que en ocasiones es necesario navegar de noche para ponernos a prueba, cambiar viejos hábitos o concepciones. En fin, ¡así es la vida! Así que veamos cuáles serán los pasos que damos como humanidad en el 2017.

Bien, la cuestión es que con todo este lío de los emails de Hilary Clinton y las contantes noticias de filtraciones, espionajes, etc., fui consciente de que todavía no había hablado en el Blog de algo realmente importante: cómo comunicarnos de una forma segura. Me refiero sobre todo a cuando compartimos informes, reflexiones, y otras cuestiones relevantes que deseamos proteger.

En este mundo de la comunicación inmediata y de los avances digitales, a veces olvidamos algo muy importante, y es que un email es algo muy vulnerable, incluso aunque pertenezcas a una organización que tiene su servidor de correo muy controlado. Algo puede pasar. Por tanto, no es ninguna tontería, aunque parezca engorroso, cifrar los contenidos de los emails.

En esta ocasión me ha parecido interesante hablar, concretamente de los archivos que enviamos por email con esa información clave que deseamos compartir, y no directamente el email en sí. Lo he pensado para dar la oportunidad a analistas que utilizan recursos cloud como el email de Gmail, Yahoo, Hotmail o alguno de este tipo.

Como siempre en este Blog, procuro ofrecer soluciones Open Source para mis consejos y en esta ocasión podemos hablar de la existencia de un programa Open y gratuito que realmente es excepcional en cuanto a cifrado y en cuanto a usabilidad. Vamos, que aunque pienses que eres un desastre digital, con Gpg4winpodrás cifrar tus archivos sin ningún problema. ¡Ya lo verás!

Bien, lo primero que necesitas es comprender un concepto muy básico: el cifrado asimétrico. Este tipo de cifrado es el más utilizado hoy en día, por ser uno de los más seguros. Además, este tipo de cifrado incorpora distintos tipos de algoritmos para cifrar. Simplemente, para que te suene, el algoritmo RSA es la estrella de este baile y es el que utilizaremos.

Vale, cifrado asimétrico... ¿qué significa? Significa que existirán dos tipos distintos de clave que serán necesarios para descrifar un documento. Es algo así como si tuvieras que meter dos contraseñas diferentes para acceder a un contenido. Estas dos claves se denominan:

  •  Clave pública: esta es una “contraseña/clave” que suministrarás a quien quieras.De esta manera, el analista que quiera compartir documentación cifrada contigo, la usará para que tú puedas descifrarlos con tu otra clave, la privada. Para que lo entiendas mejor, es como si le dijeras al mundo que sólo hablas “chino” y que por tanto, para dirigirse a ti tienen que enviarte los documentos “cifrados” en ese idioma, no te va a servir ningún otro.
  • Clave privada: esta clave sólo la conoces tú. Es como tu “contraseña” particular con la que podrás descifrar todo lo que te envíe la gente que haya usado tu clave pública para cifrar los documentos.


Ciertamente parece un poco lioso, pero en cuando hagas una primera práctica verás que es realmente es muy sencillo. Sea como fuere, cuando desees compartir documentos con alguien, ambos deberéis tener la clave pública de cada uno.

Pongamos dos analistas, Rosa y Diego. Si quieren pasarse información, Rosa necesitará tener la clave pública de Diego para enviarle los archivos cifrados; y al revés, Diego necesitará la clave pública de Rosa para enviarle a ella los documentos que quiera compartir.

No te preocupes, dentro del Gpg4win, existe un programa de gestión llamado Kleopatra que crea todas las claves y las guarda. Además, las claves públicas pueden enviarse tranquilamente por email. Luego se importan en Kleopatra y listo. Tendrás en Kleopatra un listado con todas las claves públicas de tus compañeros para enviarles los documentos cifrados cuando quieras.

Bien, no compliquemos más el asunto, pues no es cuestión de convertirnos en técnicos especialistas en cifrado, sino en ser capaces de utilizar un programa muy sencillo para incorporar una capa de seguridad digital a nuestros trabajos.

Mis palabras mágicas de este post te traen una sencilla guía para cifrar documentos con Gpg4win y Kleopatra en Windows.

Lo primero y más importante es descargarse el programa gratuito. Descárgatelo desde aquí:  https://www.gpg4win.org/download.html Verás que te pide una ayudita como donativo. Yo les he echado una mano, pero si no puedes, no te preocupes, selecciona la opción 0$ y comenzará la descarga.

1. Instalando el programa

La instalación de Gpg4win es realmente sencilla, pero por si acaso voy a guiar tus pasos. Así nos aseguraremos de que todo irá bien cuando pasemos a la fase de gestión. Te pongo todos los pasos que verás al instalar. Realmente sólo tienes que pulsar el "siguiente".










Muy bien!! Ya lo tienes instalado!

Verás que en tu escritorio te ha aparecido un icono de un avatar femenino con el pelo rojo y que se llama Kleopatra. Éste es el programa de gestión que vamos a utilizar para generar tu clave pública y privada, así como guardar las claves públicas de aquellos compañeros analistas con los que quieas compartir información cifrada.

Sigamos con el tutorial, ¿te parece?

2. Creando nuestra clave pública y privada

Doble clic sobre el icono de Kleopatra y verás que se te abre la siguiente ventana. Ve a "File" y pulsa en "New certificate".




Lo siguiente que te pide es que decidas el tipo de certificado que quieres generar. Vamos a seleccionar el del OpenPGP:


Tras pedirte que nos cree nuestro par de claves en OpenPGP, se abre el siguiente cuadro en el que debemos meter nuestro nombre y un email. En la pantalla hay una pestaña que te da la opción de ir a una configuración avanzada, "Advanced Settings". Pincha sobre este botón, verás que dejamos por defecto el cifrado en RSA. Lo que nos interesa es darle una validez concreta a dicha clave, es decir, una fecha de caducidad por motivos de seguridad. El mínimo recomendable suelen ser 6 meses, así que cambia las fechas al mínimo que consideres apropiado para ti:



Tras dar en "ok" se te abrirá un cuadro resumen con lo que has seleccionado. Si estás de acuerdo, pulsa en "Create Key". Al pulsar se te pedirá que des una contraseña de seguridad, que será la que te pida siempre que quieras descifrar algún mensaje, en definitiva, será tu clave privada. Verás que la barra de calidad te muestra si cumple con los criterios de seguridad. Procura que sea algo compleja, pero que puedas recordarla. De nada sirve que la tengas apuntada por ahí... ;-)


Una vez que lo hayas hecho y confirmado, verás que tu nueva clave asimétrica ya ha sido creada, con el siguiente mensaje. Te recomiendo que después, hagas una copia de seguridad por si tuvieras que restaurar el progama. La copia se hace en "Make a Backup". Simplemente guárdala en el directorio que especifiques:



Tras hacer clic en "Finish", pasará ya al panel de control de las claves:


3. Pasarle nuestra clave pública a los compañeros con los que compartiremos la información cifrada.

Evidentemente los compañeros deben tener Kleopatra, así que ya sabes, anímales!

Es muy sencillo, seleccionas la clave que quieres compartir, botón derecho del ratón y opción "Export Certificates". Te la guardará por defecto en .asc. Ese será el ficherito que envíes a tus compañeros, para que cuando quieran enviarte algo cifrado, recurran a ella.


4. Importar la clave pública de nuestros compañeros.

Esto es tan sencillo que no necesita de captura. Simplemente pídeles que te envíen su clave pública. Le das al botón de "Import Certificates" buscas los .asc en la carpeta en que los hayas guardado y automáticamente te los carga en tu panel de control.

Es importante que una vez tengas el listado, te aparezca este pequeño menú de navegación que te remarco para que, si quieres, puedas ver todas las claves, es decir, la tuya y la de tus compañeros. Sino, sólo te mostrará la de tus compañeros por defecto. Para verlo todo es la opción "All certificates".



5. Cifrar un archivo con la clave pública del compañero al que queremos pasarle el archivo

Bien, ahora que ya tenemos todos los certificados que necesitamos, vamos a mandarle a nuestro compañero un archivo cifrado. Es sencillísimo!

Lo primero es localizar el documento en nuestro ordenador. He pensado en enviarle a mi compi analista un informe sobre las botnets en el sector bancario. Para ello, hacemos clic en el botón derecho del ratón y observamos que tenemos dos nuevas funcionalidades. "Firmar y cifrar" y "Más opciones de GpgEX". Nosotros seleccionamos "Firmar y Cifrar".


En la siguiente pantalla simplemente respetamos por defecto lo que viene seleccionado y le damos a "Next".


Tras pulsar en "Next", se abre el cuadro de diálogo de la gestión de las credenciales para que decidas para cuáles de tus compañeros quieres cifrar el archivo. Puedes añadir todos los que quieras utilizando el botón "Add", y, recuerda añadirte a tí también por si quieres volver a descifrar dicho archivo ;-) Cuando ya tengas toda la lista, pulsa en "Encrypt".


Si todo ha ido bien saldrá una barrita de porcentaje y un mensaje como éste. Dale a "Finish":


Y aquí está el archivo cifrado. Como es interesante abrirlo para ver si lo ha cifrado realmente, lo he asociado al programa de win "bloc de notas", por eso me aparece con su icono. Pero no tienes porqué hacerlo si no quieres.



Lo importante es que vayas al archivo, pulses con el botón derecho y selecciones "abrir con". Selecciona el bloc de notas. Debería aparecerte algo como ésto:


Pues ale, ya está listo para enviarlo a través de un email por la red, o incluso si lo prefieres, subirlo a un archivo compartido del tipo dropbox, drive, etc.

6. Descifrar un archivo cifrado con Kleopatra en el que nuestros compis han utilizado nuestra clave pública

Ahora vamos a realizar el proceso inverso. Supongamos que nos ha llegado este informe de botnets en la banca de 2015 via email. Nos lo manda un compañero que ha cifrado el archivo con nuestra clave pública.

El proceso es muy sencillo.

Lo primero es hacer clic en el botón derecho del ratón y seleccionar "Descifrar y Verificar":


Cuando lo hagas se abrirá la siguiente ventana en la que no tienes que tocar nada. Sólo dale al botón de "Decrypt/Verify":




¿Te acuerdas que cuando configuramos tu certificado te pidió una contraseña? Pues este es el momento de meter tu clave privada, esa que sólo sabes tú:




Una vez que la introduzcas correctamente el documento ya debe haberse descifrado! Puedes comprobarlo en la ruta donde se te estén guardando (normalmente el escritorio).

Y ya lo tienes!

Te recomiendo que empieces jugando sólo con tu propia clave. Esto significa que puedes seleccionar cualquier tipo de archivo y probar a cifrarlo y descifrarlo con tu clave. En cuanto le cojas el tranquillo no tendrás ningún problema para cifrar y descrifrar archivos con tus compañeros.

En fin, espero que este tutorial te haya resultado sencillo y te animes a empezar cuanto antes.

Nos leemos en el próximo post!

lunes, noviembre 7

Mapa de fuentes en #OSINT (Intelligence Sources Map)

Buenas! Pues ya estoy otra vez por aquí. Ya iba tocando, ¿verdad?

Esta última temporada he estado muy atareada cambiando de puesto y funciones. Se me presentó un proyecto precioso que no podía rechazar. Como ya comenté en la entrada El mercado de la Inteligencia en España, creo que se van notando algunos pequeños cambios para mejor, como el hecho de que aumentan las ofertas (no todo lo que nos gustaría) y la comprensión de las empresas respecto a que un analista de Inteligencia puede ocupar varios puestos relacionados con riesgos, estrategia, seguridad física y lógica, marketing, BI, etc. 

Es para alegrarse, pero hay que seguir luchando y demostrando la utilidad de nuestros servicios, porque, al menos en Seguridad, todavía se sigue escuchando el "he vivido muy bien sin este tipo de servicios, así que... para qué me va a servir ahora". Para contestar esta pregunta utilizo cada vez con más frecuencia los conceptos de "eficacia" y "eficiencia" en la mejora de los sistemas de información o en la adquisición de la misma. Es decir, consigues más información, de mejor calidad y además más barata porque nuestra metodología ayuda a ahorrar tiempo. Además, esa información va teñida de una visión integral que permite interpretar datos de orígenes muy diversos para crear verdadera Inteligencia (que se diferencia de la información a secas, porque en el proceso de análisis se evalúa dicha información).

Y es, precisamente en este sentido que me he animado a realizar este post que tenía pendiente de hace muchísimo tiempo. Parece simple, pero impica un trabajo inteso y muy importante. De hecho, el mapa que propongo aquí comencé a dibujarlo hace 3 años, ¡3 años! Estos días estoy en pleno diseño de la estrategia de implantación en un Departamento que contiene múltiples áreas con distintos objetivos y necesidades de información. Y tras realizar una buena toma de requisitos y diseño de la estrategia, toca plantearse, para la fase de Obtención de Información del Ciclo de inteligencia, cuál deberá ser su Mapa de Fuentes #OSINT.

En su día, me animé a pintarlo en forma de Mapa Mental, así que puede ser un buen ejemplo también para la entrada 5 consejos para mejorar tus análisis de Inteligencia con mapas mentales.

Así pues, mis palabras mágicas de hoy se centran en recordar algunas de las principales fuentes OSINT a las que se puede acudir para elaborar un buen informe o realizar una buena investigación.

Por supuesto hay muchas más, ésto es sólo una visión general básica por la que comenzar. Para ver mejor el contenido de este mapa, haz clic sobre él.




Como puedes ver, he estructurado la información en cuatro (4) grandes áreas:
  • Web: puro contenido, generalmente propio de la "versión oficial" de organizaciones, empresas, asociaciones, editoriales, universidades, etc. Es contenido de relativo fácil acceso a través de los buscadores y metabuscadores.
  • Social Media: es la expresión de la ciudadanía, las opiniones en bruto, los impulsos y pasiones, el intento de manipulación de la opinión pública, los bulos, etc.  Es tan interesante el contenido y el quién es quién como el comportamiento de las propias relaciones. ¡Todo es información!
  • Tecnología: son contenidos con un alto componente tecnológico propio de los metadatos e información relacionada con "lo que hay detrás" de una web, un malware, una estafa ciber, las cryptomonedas, etc.
  • Deep Web:  son todos aquellas fuentes de información que no están indexadas en la red más conocida. Suele accederse a través de mecanismos alternativos como una ftp, TOR, P2P, etc.

Diseñar con claridad tu mapa de fuentes, que generalmente se guarda en formato EXCEL, te permite conocer en todo momento dónde estás. Como si de un mapa geográfico se tratara. 

Sabrás qué tienes y qué te falta y cuál podría ser el sesgo informacional de tus informes al carecer de un área concreta. Te ayudará, por tanto, a saber qué más necesitas o si tienes de sobra, etc.

El mapa es algo dinámico vivo, porque además de que tus necesidades de inteligencia van cambiando, también cambia Internet. Así que exige algo de tiempo mantenerlo actualizado, pero ¡te prometo que merece la pena!

Espero que esta pequeña píldora de conocimiento te ayude a mejorar tu fase de Obtención ;-)

¡Hasta el próximo post!





miércoles, septiembre 7

#OSINT de forma privada con una VPN



Buenas! ¿Qué tal las vacaciones? Espero que las hayas disfrutado al máximo y vengas con fuerza para abordar el “nuevo curso escolar”. Por mi parte, he descansado y desconectado un montón, me hacía falta. He aprovechado para conocer Paris, y reconozco que me ha sorprendido muy gratamente. Es de esas ciudades que te abren la mente, te la recomiendo.

En fin, parece que ya va tocando escribir una entrada nueva, ¿no? Le he estado dando varias vueltas a distintos temas que tengo en mente, y finalmente me he decidido por éste. Esto se debe a que observo que los analistas de #OSINT estamos cada vez más acercándonos a ecosistemas un tanto expuestos en busca de información y se va haciendo indispensable que aprendamos a navegar de forma privada de verdad, que no anónima, porque eso es imposible

Así que si tienes pensado bucear en la deepweb: en TOR, en I2P o en FreeNet,  sería bueno que tengas muy en cuenta esta entrada.

3 añitos que llevo ya en ciberseguridad y ciberinteligencia y ésta es una de las cuestiones clave, junto con la de hacerse perfiles falsos. Así pues, mis palabras mágicas para hoy te preguntan si estás listo para conocer un poco más sobre cómo va este tema. Espero que sí, porque de verdad que te conviene.

¿Por qué navegar de forma anónima?

Cuando hablamos de ser anónimo en la red, hablamos realmente de navegar de una forma segura y lo más privada posible, y entre ellas está el hecho de que no se identifique nuestra dirección IP para que puedan señalarnos. En definitiva, hablamos de cómo conseguir usar una IP que no sea la nuestra para "enmascarar nuestros pasos". Esto es importante para un analista por:

  • Web y Redes Sociales que visitamos con frecuencia, incluso aunque no sean “oscuros”, registran nuestra IP y el número de veces que los visitamos. Debido a ello, pueden saber que estamos muy interesados en sus temas. Por ejemplo, si eres un fan de Stratfor o de la Europol, etc. También está el caso de que estés haciendo informes de Inteligencia Competitiva y estés investigando a tu competencia. No sería bueno que te identificara. Incluso aunque tengas una IP dinámica y hagas el truquito de apagar y encender el router, corres un riesgo. Por último, tampoco hay que andar enseñándole a Twitter o Facebook qué haces. 
  • Buscadores como Google, que viven de nuestras búsquedas, pues… tampoco es cuestión de estar diciéndole a Google que buscamos temas de radicalismos, blanqueo de capitales, etc, ¿no? Por otro lado, Google selecciona la información en función de tu IP, así que si cambias a otro país, verás las búsquedas que tiene para ese país. En definitiva, te abres un campo nuevo de fuentes.
  • Servicios de Inteligencia varios. Todos sabemos ya que los servicios de inteligencia de USA como FBI, NSA, etc. están constantemente monitorizando la red, incluidos esos sitios que encontramos para nuestras investigaciones. También están los rusos, los chinos, los israelíes, coreanos, etc. Hoy día Internet se ha convertido en una fiesta del espionaje. Dependiendo de lo que estés investigando no es cuestión de que les estés saltando todos los días como un “falso positivo” fácilmente, jajajajaja.

Bien, por todo esto, para que tu navegación sea lo más privada posible se hace imprescindible navegar utilizando una VPN. Como no todo el mundo tiene la posibilidad de montarse una, han nacido una serie de servicios que te permiten acceder a una ya creada y que tendrá más o menos IPs disponibles por todo el mundo para ofrecerte.

Ahora llegamos a un tema delicado, hay muy pocas VPN de este tipo que sean gratuitas, así que o sí o sí vas a necesitar soltar unos duros o unas bitcoins, según quieras, incluso, anonimizar tu compra del servicio. De hecho, las gratuitas funcionan bastante lentas y tiene brechas de seguridad.

Una de las principales redes de acceso VPN es la OpenVPN, que es Open Source y si tienes los conocimientos técnicos necesarios puedes aprovecharla. Sino, no te preocupes, porque tienes la opción de utilizar alguno de estos servicios VPN que te propongo, que la incluyen, y que te permitirán anonimizarte fácilmente con un solo “clic”, bueno, quizá con 2 ;-)

Si quieres más información al respecto, encontrarás por la red cientos y cientos de tutoriales y de páginas que comparan este tipo de servicios, como por ejemplo Top Best VPN. Si me vas a preguntar cuál uso, uno de los que más me gustan es IPVanish, entre otras cosas, porque no guardan los log de tu navegación, es decir, el histórico de por dónde andas. Pero está bajo el amparo de la ley americana, así que ya sabes, tienen derecho a decirle a sus servicios de INT que eres cliente :-P

¿Qué debes tener en cuenta a la hora de elegir un servicio de este tipo?

Algunas cosas básicas que debes saber para seleccionar el mejor proveedor de VPN que cumpla con lo que necesitas:

  • Número de direcciones IP: cuantas más direcciones IP te ofrezca más posibilidades tienes de “jugar” con ellas y decidir por cuál quieres salir en cada momento.
  • Número de países: de nada sirve que tenga 1000 direcciones IP si salen todas desde el mismo país. Lo “divertido” es poder disfrazar tu IP de distintos países cada vez.
  • Varios dispositivos a la vez: algunas VPN te permiten conectar varios dispositivos, como tu pc, el móvil y la Tablet. Esto es muy interesante, sobre todo si realizas una investigación estando de viaje o en movimiento.
  • Método de pago: evidentemente, según como pagues, quien sí sabraáquién eres el el proveedor de este servicio. Algunos, como ExpressVPN e IPVanish te permiten pagar en Bitcoins y mantener cierto anonimato. O por ejemplo, que puedas pagar con una tarjeta prepago, que impida que te vaya contra la cuenta bancaria en caso de un ataque o una tarjeta regalo. Aquí te dejo un enlace del top VPN en pago con Bitcoins.
  • País de origen del servicio: nunca está de más conocer de dónde es el servicio. Para saber cuáles son sus leyes de protección de datos, si el servicio es sólido frente a ataques, si entregan alegremente los datos personales a los servicios de inteligencia, etc.
  • Cifrado: según el tipo de "tunel" que utilicen puede que la información vaya cifrada o no. 
  • Registros: hoy día van apareciendo VPN que te aseguran que no registran nada del usuario, de forma que te convierten en anónimo. Eso es imposible, porque estableces una relación con el proveedor. La clave está en que, por lo menos, no registre los lugares por los que navegas. Es decir, los log.
  • Precio: como siempre, también habrá que estudiar lo que nos piden por el servicio. Tiene que estar dentro de lo razonable, entre 5 y 15 euros al mes.
En función de lo que vayas a hacer y dónde te quieras meter, juegas con estas variables y eliges. Evidentemente si estás haciendo informes de inteligencia competitiva, con una capa básica es más que suficiente.


¿Cómo funciona?

El funcionamiento es muy sencillo. Normalmente te pedirán que te instales el software necesario para la conexión. Una vez instalado, introduces tu usuario y contraseña (en algunos, ni siquiera) y verás que te aparece una consola con varias direcciones y países que puedes elegir.

Una vez que has seleccionado la que quieres usar, pulsas un botón de “conectar” o similar. Esperas a que se conecte y ¡listo! Ya navegas con otra IP.

Puedes hacer una prueba visitando alguna web de reconocimiento de IP como por ejemplo What is my IP y comprobar cómo te ha cambiado la IP.

¿Qué viene después?

Pues a navegar! Abre el navegador que quieras y muévete tal y como lo has estado haciendo siempre, eso sí, verás cómo en Google te aparecen otro tipo de anuncios más relacionados con el país donde estás. También notarás que va un poquitín más lento, pero es lo que hay. 

Eso sí, recuerda que no debes aceptar las cookies, ni permitir que te entre publicidad porque pasarías a dar información de tu ordenador (utiliza un bloqueador de publicidad). Cierto es que no por la IP, pero sí les informarías de cuál es el sistema operativo que usas, con qué navegador vas, la resolución de la pantalla, cuánto tiempo has estado en la web, etc. Son datos que si se van uniendo a otros, ya sabes que dan más pistas sobre quién eres.

De todas maneras, si además pasas a utilizar el navegador TOR, crearás otra capa de privacidad, y ya de paso, puedes acceder a su Deep Web.

Y hasta aquí por hoy! Te animo a probarlo sin meterte en mucho líos e ir aprendiendo poco a poco a ver cómo funciona. Te ayudará a coger confianza y hacer que tus investigaciones sean un poco más limpias.

domingo, junio 19

5 Buscadores para el reverse de imágenes


Muy buenas a todos! Ya estamos a las puertas de las vacaciones del verano, así que imagino que estaréis planificando vuestro descanso y vuestros viajes.

Yo también, estoy con unas ganas de descansar locas. Este año ha sido bueno, pero muy intenso. Sin duda necesito parar un poco. Peeeeeero, antes de hacerlo he pensado en dejaros por aquí algunos buscadores que pueden seros de mucha ayuda para practicar este verano. A mí y a mi equipo nos lo son, eso desde luego.

En las clases del Experto en Análisis de Inteligencia suelo hablar de la importancia de la información que se encuentra en las fotografías. Creo que todos somos conscientes ya de que no siempre buscando por un texto vamos a encontrar lo que queremos.

En un anterior post, os hablé del Google Images, como buscador para encontrar imágenes similares. Bien, sin duda hay algunos más por ahí igualmente interesantes de los que me gustaría hablar hoy.

Pero antes de nada, ¿para qué puede valerme uno de estos buscadores? Aunque ya lo avanzábamos en el post de Google Images:

  1. Para descubrir otras web donde está publicada la imagen que buscas. Esto es muy útil, por ejemplo cuando se busca phishing, cuando queremos saber si un perfil en las redes sociales es real, cuando queremos ver si la competencia utiliza o a utilizado una fotografía similar, etc. Da igual que te dediques a seguridad o a competitiva, siempre te será muy útil.
  2. Algunos de estos buscadores, además de darte la lista de herramientas te darán ciertos metadatos como la fecha y la hora en la que se sacó la fotografía, o cuándo fue subida a la web, etc. Como puedes imaginar, esto te ayudará a manejar un horizonte temporal, conocer quién la subió primero, etc. 
  3. Por último, según el volumen de repeticiones de las imágenes, sabrás el alcance que ha tenido. Te servirá para determinar, por ejemplo, si la campaña ha tenido mucho éxito o no. 
  4. Ahora bien, es importante que entiendas que las imágenes de estos buscadores salen de sus propios repositorios y de los principales buscadores Google, Yahoo, Bing, Yandex, Baidu, etc. Lo que significa que no "tiran" de las imágenes de las redes sociales.

Si lo que quieres es buscar una fotografía dentro de Twitter o Facebook, puedes utilizar los Google Dorks con el buscador de Google Images. Sube la imagen que quieras rastrear y utiliza el comando site:twitter.com o site:facebook.com



Muy bien, vamos allá! Mis palabras mágicas de hoy se centran en hablaros del reverse image search.

  • Tiny Eye es una herramienta muy interesante que te busca sólo la imagen exacta en su base de datos que has introducido. Es especialmente útil cuando quieres ir directo al grano y filtrar posible ruido. Además, te puede servir para contrastar la información que te da la herramienta de Google, porque ya sabes que Google no lo es todo (aunque le gustaría). Ahora dispone también de varios plugin para diferentes navegadores, con lo que ahorras mucho tiempo.
  • Image Raider tiene la ventaja de que es como un metabuscador, es decir, busca las imágenes en varios buscadores. Además, te abre un espacio nuevo al poder consultar en Yandex, el buscador ruso por excelencia. En definitiva, mucho más alcance que sólo Google Images.
  • Karma Decay permite buscar en la red de Reddit. Esto es muy bueno, pues es una red utilizada por millones de personas y puedes encontrarte compartiendo de todo. Tal vez alguien esté hablando de lo que quieres.
  • Social Catfish inspirado en el conocido programa de televisión que "desenmascara" la gente que hay detrás de un perfil en las redes sociales, también permite búsquedas de fotografías en diferentes bases de datos.
  • Reverse Image Search de Small SEO Tools es otra herramienta muy interesante que sale a buscar a varios buscadores a la vez, con lo que aumenta el alcance de los resultados.

Espero que te sirva, o cuando menos que te ayude a dar un paso más en el uso de las herramientas para Open Source Intelligence (#OSINT).
Comparte información para Análisis de Inteligencia usando el hashtag en Twitter #esINT. Seguro que tú también tienes mucho que aportar.

Recíbelo por email

Archivo