SlideShare una empresa de Scribd logo
1 de 32
Seguridad en Navegadores Chema Alonso MS MVP Enterprise Security chema@informatica64.com
Code Windows Code Library Code Application Code Arquitectura: Protección de la Memoria Data ExecutionProtectionAddressSpaceLayoutRandomization DEP ASLR Stack Locals LoadLibrary() Return Address Parameters Previous Frames
Arquitectura: MIC & UIPI MandatoryIntegrity Control (MIC). Una aplicación no puede acceder a datos que tengan un Nivel de integridad superior al suyo. Niveles de Integridad: Bajo, Medo, Alto y de Sistema Los objetos con ACL tienen una nueva entrada ACE donde se les asigna un nivel de Integridad A cada proceso se le asigna un Nivel de Integridad en su testigo de acceso UserInterfacerPrivilegeIsolation (UIPI) Bloquea el acceso mediante mensajes de procesos con Nivel de Integridad inferior a procesos con Nivel de Integridad superior. Virtual Store:  Acceso a carpetas y claves del registro virtualizadas en perfil de usuario
DEMo
Extensiones, administración y configuración (I) Todos los navegadores, excepto Safari permiten el uso de extensiones. Internet Explorer y Firefox son los únicos que permiten el uso de complementos firmados. Solo IE8 y Firefox* permiten configuración por GPO’s Firefox con software adicional en AD y en cliente
Extensiones, administración y configuración (II) Sólo IE8 permite controlar componentes por sitio y usuario.
Administrador de complementos en IE8
Extensiones, administración y configuración (III)
Control de cookies y sesiones IE8 es el único navegador que da soporte al flag ‘Write’ de HTTPOnly, y que implementa un filtro anti Cross-Site Scripting. Todos los navegadores, excepto Firefox, proporcionan soporte a la cabecera X-FRAME-OPTION para la prevención de clickjacking Todos los navegadores, excepto Opera, soportan el uso de la cabecera Access-Control-* para evitar ‘Cross DomainRequest’.
Ingeniería Social
Ingeniería Social: Resalto del dominio Unicamente los navegadores IE8.0 y Chrome 4.1 realizan un resalto de dominio en la URL. Internet Explorer Google Chrome
Nombre de dominioresaltado
Alertas sobre certificados Todos los navegadores muestran alertas sobre certificados en los siguientes casos: Certificado generado para otro dominio Certificado caducado Certificado emitido por una CA desconocida
Certificados con validación extendida Todos los navegadores realizan un resalto de los certificados con validación extendida. Sin embargo en Chrome 4.1 y Safari 4.0 no queda bien reflejado.
Almacén de certificados Entidades emisoras de certificados como la FNMT o CATCert, no son incluidas en las almacenes de certificados de MozillaFirefox, Opera Browser o Apple Safari.
Programa PADRE
Protección ante phishing y malware (I) ,[object Object]
 Los tiempos de respuesta de Opera respecto a los demás está muy distante.,[object Object]
Protección ante phishing y malware (III)
Firefox y el Malware http://www.symantec.com/content/en/us/enterprise/media/security_response/whitepapers/firefox_and_malware.pdf
Gestión de información de navegación
Configuración de Javascript Todos los navegadores permiten deshabilitar Javascript. Chrome y Safari no permiten una configuración avanzada de opciones Javascript. Solo IE8 y Google Chrome permiten hacer listas.
Vulnerabilidades
Número de vulnerabilidades Internet Explorer 8 [12 meses] Marzo 2009 Chrome 2, 3 y 4 [10 meses] Mayo 2009  Firefox >= 3.5 [ 9 meses] Julio 2009 Opera >=9.6 [14 meses] Enero 2009 Apple Safari 4.0 [9 meses] Julio de 2009
Número de vulnerabilidades totales
Número de vulnerabilidades por mes
Vulnerabilidades por criticidad
Cuota de Mercado
Corrección de vulnerabilidades
¿Preguntas? Chema Alonso Microsoft MVP Enterprise Security chema@informatica64.com http://twitter.com/chemaalonso http://elladodelmal.blogspot.com Informática64 i64@informatica64.com http://www.informatica64.com http://twitter.com/informatica64

Más contenido relacionado

Destacado

Fortificación de MS SharePon
Fortificación de MS SharePonFortificación de MS SharePon
Fortificación de MS SharePonChema Alonso
 
Asegúr@IT 7: Serialized SQL Injection
Asegúr@IT 7: Serialized SQL InjectionAsegúr@IT 7: Serialized SQL Injection
Asegúr@IT 7: Serialized SQL InjectionChema Alonso
 
Seguridad en Apache Web Server
Seguridad en Apache Web ServerSeguridad en Apache Web Server
Seguridad en Apache Web ServerChema Alonso
 
Navegadores en la Empresa
Navegadores en la EmpresaNavegadores en la Empresa
Navegadores en la EmpresaChema Alonso
 
Circuitos de Video Vigilancia IP
Circuitos de Video Vigilancia IPCircuitos de Video Vigilancia IP
Circuitos de Video Vigilancia IPChema Alonso
 
Apadrina un malware
Apadrina un malwareApadrina un malware
Apadrina un malwareChema Alonso
 
Connection String Parameter Pollution Attacks
Connection String Parameter Pollution AttacksConnection String Parameter Pollution Attacks
Connection String Parameter Pollution AttacksChema Alonso
 
RootedCON 2011: DUST
RootedCON 2011: DUSTRootedCON 2011: DUST
RootedCON 2011: DUSTChema Alonso
 
Hacking, Ciberguerra y otros Palabros
Hacking, Ciberguerra y otros PalabrosHacking, Ciberguerra y otros Palabros
Hacking, Ciberguerra y otros PalabrosChema Alonso
 
Asegúr@IT 7 - Forefront UAG 2010
Asegúr@IT 7 - Forefront UAG 2010Asegúr@IT 7 - Forefront UAG 2010
Asegúr@IT 7 - Forefront UAG 2010Chema Alonso
 
MetaShield Protector & FOCA 2.0
MetaShield Protector & FOCA 2.0MetaShield Protector & FOCA 2.0
MetaShield Protector & FOCA 2.0Chema Alonso
 
Codemotion 2013: Feliz 15 aniversario, SQL Injection
Codemotion 2013: Feliz 15 aniversario, SQL InjectionCodemotion 2013: Feliz 15 aniversario, SQL Injection
Codemotion 2013: Feliz 15 aniversario, SQL InjectionChema Alonso
 
Hachetetepé dos puntos SLAAC SLAAC
Hachetetepé dos puntos SLAAC SLAACHachetetepé dos puntos SLAAC SLAAC
Hachetetepé dos puntos SLAAC SLAACChema Alonso
 
FC00::1 (Algunos) Ataques en IPv6
FC00::1 (Algunos) Ataques en IPv6FC00::1 (Algunos) Ataques en IPv6
FC00::1 (Algunos) Ataques en IPv6Chema Alonso
 
WebBrowsing Fingerprinting y Privacidad en entornos de Big Data
WebBrowsing Fingerprinting y Privacidad en entornos de Big DataWebBrowsing Fingerprinting y Privacidad en entornos de Big Data
WebBrowsing Fingerprinting y Privacidad en entornos de Big DataChema Alonso
 
XSS Google Persistentes
XSS Google PersistentesXSS Google Persistentes
XSS Google PersistentesChema Alonso
 
Bitdefender - Malware & Mac OS X en la empresa
Bitdefender - Malware & Mac OS X en la empresaBitdefender - Malware & Mac OS X en la empresa
Bitdefender - Malware & Mac OS X en la empresaChema Alonso
 
Latch Security Scenarios
Latch Security ScenariosLatch Security Scenarios
Latch Security ScenariosChema Alonso
 
El juego es el mismo
El juego es el mismoEl juego es el mismo
El juego es el mismoChema Alonso
 

Destacado (20)

Fortificación de MS SharePon
Fortificación de MS SharePonFortificación de MS SharePon
Fortificación de MS SharePon
 
Asegúr@IT 7: Serialized SQL Injection
Asegúr@IT 7: Serialized SQL InjectionAsegúr@IT 7: Serialized SQL Injection
Asegúr@IT 7: Serialized SQL Injection
 
Seguridad en Apache Web Server
Seguridad en Apache Web ServerSeguridad en Apache Web Server
Seguridad en Apache Web Server
 
Navegadores en la Empresa
Navegadores en la EmpresaNavegadores en la Empresa
Navegadores en la Empresa
 
Circuitos de Video Vigilancia IP
Circuitos de Video Vigilancia IPCircuitos de Video Vigilancia IP
Circuitos de Video Vigilancia IP
 
Apadrina un malware
Apadrina un malwareApadrina un malware
Apadrina un malware
 
Connection String Parameter Pollution Attacks
Connection String Parameter Pollution AttacksConnection String Parameter Pollution Attacks
Connection String Parameter Pollution Attacks
 
RootedCON 2011: DUST
RootedCON 2011: DUSTRootedCON 2011: DUST
RootedCON 2011: DUST
 
Hacking, Ciberguerra y otros Palabros
Hacking, Ciberguerra y otros PalabrosHacking, Ciberguerra y otros Palabros
Hacking, Ciberguerra y otros Palabros
 
Asegúr@IT 7 - Forefront UAG 2010
Asegúr@IT 7 - Forefront UAG 2010Asegúr@IT 7 - Forefront UAG 2010
Asegúr@IT 7 - Forefront UAG 2010
 
MetaShield Protector & FOCA 2.0
MetaShield Protector & FOCA 2.0MetaShield Protector & FOCA 2.0
MetaShield Protector & FOCA 2.0
 
Codemotion 2013: Feliz 15 aniversario, SQL Injection
Codemotion 2013: Feliz 15 aniversario, SQL InjectionCodemotion 2013: Feliz 15 aniversario, SQL Injection
Codemotion 2013: Feliz 15 aniversario, SQL Injection
 
Defcon 18: FOCA 2
Defcon 18: FOCA 2Defcon 18: FOCA 2
Defcon 18: FOCA 2
 
Hachetetepé dos puntos SLAAC SLAAC
Hachetetepé dos puntos SLAAC SLAACHachetetepé dos puntos SLAAC SLAAC
Hachetetepé dos puntos SLAAC SLAAC
 
FC00::1 (Algunos) Ataques en IPv6
FC00::1 (Algunos) Ataques en IPv6FC00::1 (Algunos) Ataques en IPv6
FC00::1 (Algunos) Ataques en IPv6
 
WebBrowsing Fingerprinting y Privacidad en entornos de Big Data
WebBrowsing Fingerprinting y Privacidad en entornos de Big DataWebBrowsing Fingerprinting y Privacidad en entornos de Big Data
WebBrowsing Fingerprinting y Privacidad en entornos de Big Data
 
XSS Google Persistentes
XSS Google PersistentesXSS Google Persistentes
XSS Google Persistentes
 
Bitdefender - Malware & Mac OS X en la empresa
Bitdefender - Malware & Mac OS X en la empresaBitdefender - Malware & Mac OS X en la empresa
Bitdefender - Malware & Mac OS X en la empresa
 
Latch Security Scenarios
Latch Security ScenariosLatch Security Scenarios
Latch Security Scenarios
 
El juego es el mismo
El juego es el mismoEl juego es el mismo
El juego es el mismo
 

Similar a Seguridad en Navegadores

Navegadores en la Empresa
Navegadores en la EmpresaNavegadores en la Empresa
Navegadores en la Empresaguest022763
 
Microsoft Windows Server 2003 Y Windows 2000
Microsoft Windows Server 2003 Y Windows 2000Microsoft Windows Server 2003 Y Windows 2000
Microsoft Windows Server 2003 Y Windows 2000teddy666
 
Microsoft Windows Server 2003 Y Windows 2000 I
Microsoft Windows Server 2003 Y Windows 2000 IMicrosoft Windows Server 2003 Y Windows 2000 I
Microsoft Windows Server 2003 Y Windows 2000 Iteddy666
 
Segurida dinformatica
Segurida dinformaticaSegurida dinformatica
Segurida dinformaticahmitre17
 
Los 7 pecados del Desarrollo Web
Los 7 pecados del Desarrollo WebLos 7 pecados del Desarrollo Web
Los 7 pecados del Desarrollo Webacksec
 
Presentación SPAC CORE NETWORKS
Presentación SPAC CORE NETWORKSPresentación SPAC CORE NETWORKS
Presentación SPAC CORE NETWORKSCore2014
 
Manejo de software de seguridad de equipo de
Manejo de software de seguridad de equipo deManejo de software de seguridad de equipo de
Manejo de software de seguridad de equipo delalunabrilla
 
Manejo de software de seguridad de equipo de
Manejo de software de seguridad de equipo deManejo de software de seguridad de equipo de
Manejo de software de seguridad de equipo delalunabrilla
 
Manejo de software de seguridad de equipo de
Manejo de software de seguridad de equipo deManejo de software de seguridad de equipo de
Manejo de software de seguridad de equipo delalunabrilla
 
Cuestionario de concepto de seguridad
Cuestionario de concepto de seguridadCuestionario de concepto de seguridad
Cuestionario de concepto de seguridadraul115
 
1. introduccioìn a la seguridad
1. introduccioìn a la seguridad1. introduccioìn a la seguridad
1. introduccioìn a la seguridad1 2d
 
Portátiles a Prueba de Robos
Portátiles a Prueba de RobosPortátiles a Prueba de Robos
Portátiles a Prueba de Robosguest022763
 
Análisis de clientes ICA
Análisis de clientes ICAAnálisis de clientes ICA
Análisis de clientes ICAJoaquin Herrero
 
Introduccion a la seguridad en Windows Azure
Introduccion a la seguridad en Windows AzureIntroduccion a la seguridad en Windows Azure
Introduccion a la seguridad en Windows AzureJuan Pablo
 

Similar a Seguridad en Navegadores (20)

Navegadores en la Empresa
Navegadores en la EmpresaNavegadores en la Empresa
Navegadores en la Empresa
 
Respuestas
RespuestasRespuestas
Respuestas
 
Microsoft Windows Server 2003 Y Windows 2000
Microsoft Windows Server 2003 Y Windows 2000Microsoft Windows Server 2003 Y Windows 2000
Microsoft Windows Server 2003 Y Windows 2000
 
Microsoft Windows Server 2003 Y Windows 2000 I
Microsoft Windows Server 2003 Y Windows 2000 IMicrosoft Windows Server 2003 Y Windows 2000 I
Microsoft Windows Server 2003 Y Windows 2000 I
 
Pdf2
Pdf2Pdf2
Pdf2
 
Segurida dinformatica
Segurida dinformaticaSegurida dinformatica
Segurida dinformatica
 
virtual pc
virtual pcvirtual pc
virtual pc
 
Mc afee
Mc afeeMc afee
Mc afee
 
Los 7 pecados del Desarrollo Web
Los 7 pecados del Desarrollo WebLos 7 pecados del Desarrollo Web
Los 7 pecados del Desarrollo Web
 
Framework .NET 3.5 11 Seguridad
Framework .NET 3.5 11 SeguridadFramework .NET 3.5 11 Seguridad
Framework .NET 3.5 11 Seguridad
 
Seguridad en servidores
Seguridad en servidoresSeguridad en servidores
Seguridad en servidores
 
Presentación SPAC CORE NETWORKS
Presentación SPAC CORE NETWORKSPresentación SPAC CORE NETWORKS
Presentación SPAC CORE NETWORKS
 
Manejo de software de seguridad de equipo de
Manejo de software de seguridad de equipo deManejo de software de seguridad de equipo de
Manejo de software de seguridad de equipo de
 
Manejo de software de seguridad de equipo de
Manejo de software de seguridad de equipo deManejo de software de seguridad de equipo de
Manejo de software de seguridad de equipo de
 
Manejo de software de seguridad de equipo de
Manejo de software de seguridad de equipo deManejo de software de seguridad de equipo de
Manejo de software de seguridad de equipo de
 
Cuestionario de concepto de seguridad
Cuestionario de concepto de seguridadCuestionario de concepto de seguridad
Cuestionario de concepto de seguridad
 
1. introduccioìn a la seguridad
1. introduccioìn a la seguridad1. introduccioìn a la seguridad
1. introduccioìn a la seguridad
 
Portátiles a Prueba de Robos
Portátiles a Prueba de RobosPortátiles a Prueba de Robos
Portátiles a Prueba de Robos
 
Análisis de clientes ICA
Análisis de clientes ICAAnálisis de clientes ICA
Análisis de clientes ICA
 
Introduccion a la seguridad en Windows Azure
Introduccion a la seguridad en Windows AzureIntroduccion a la seguridad en Windows Azure
Introduccion a la seguridad en Windows Azure
 

Más de Chema Alonso

CyberCamp 2015: Low Hanging Fruit
CyberCamp 2015: Low Hanging FruitCyberCamp 2015: Low Hanging Fruit
CyberCamp 2015: Low Hanging FruitChema Alonso
 
Índice Pentesting con Kali 2.0
Índice Pentesting con Kali 2.0Índice Pentesting con Kali 2.0
Índice Pentesting con Kali 2.0Chema Alonso
 
Configurar y utilizar Latch en Magento
Configurar y utilizar Latch en MagentoConfigurar y utilizar Latch en Magento
Configurar y utilizar Latch en MagentoChema Alonso
 
Cazando Cibercriminales con: OSINT + Cloud Computing + Big Data
Cazando Cibercriminales con: OSINT + Cloud Computing + Big DataCazando Cibercriminales con: OSINT + Cloud Computing + Big Data
Cazando Cibercriminales con: OSINT + Cloud Computing + Big DataChema Alonso
 
New Paradigms of Digital Identity: Authentication & Authorization as a Servic...
New Paradigms of Digital Identity: Authentication & Authorization as a Servic...New Paradigms of Digital Identity: Authentication & Authorization as a Servic...
New Paradigms of Digital Identity: Authentication & Authorization as a Servic...Chema Alonso
 
CritoReto 4: Buscando una aguja en un pajar
CritoReto 4: Buscando una aguja en un pajarCritoReto 4: Buscando una aguja en un pajar
CritoReto 4: Buscando una aguja en un pajarChema Alonso
 
Dorking & Pentesting with Tacyt
Dorking & Pentesting with TacytDorking & Pentesting with Tacyt
Dorking & Pentesting with TacytChema Alonso
 
Pentesting con PowerShell: Libro de 0xWord
Pentesting con PowerShell: Libro de 0xWordPentesting con PowerShell: Libro de 0xWord
Pentesting con PowerShell: Libro de 0xWordChema Alonso
 
Recuperar dispositivos de sonido en Windows Vista y Windows 7
Recuperar dispositivos de sonido en Windows Vista y Windows 7Recuperar dispositivos de sonido en Windows Vista y Windows 7
Recuperar dispositivos de sonido en Windows Vista y Windows 7Chema Alonso
 
It's a Kind of Magic
It's a Kind of MagicIt's a Kind of Magic
It's a Kind of MagicChema Alonso
 
Ingenieros y hackers
Ingenieros y hackersIngenieros y hackers
Ingenieros y hackersChema Alonso
 
Cuarta Edición del Curso Online de Especialización en Seguridad Informática p...
Cuarta Edición del Curso Online de Especialización en Seguridad Informática p...Cuarta Edición del Curso Online de Especialización en Seguridad Informática p...
Cuarta Edición del Curso Online de Especialización en Seguridad Informática p...Chema Alonso
 
Auditoría de TrueCrypt: Informe final fase II
Auditoría de TrueCrypt: Informe final fase IIAuditoría de TrueCrypt: Informe final fase II
Auditoría de TrueCrypt: Informe final fase IIChema Alonso
 
El Hardware en Apple ¿Es tan bueno?
El Hardware en Apple ¿Es tan bueno?El Hardware en Apple ¿Es tan bueno?
El Hardware en Apple ¿Es tan bueno?Chema Alonso
 
Latch en Linux (Ubuntu): El cerrojo digital
Latch en Linux (Ubuntu): El cerrojo digitalLatch en Linux (Ubuntu): El cerrojo digital
Latch en Linux (Ubuntu): El cerrojo digitalChema Alonso
 
Hacking con Python
Hacking con PythonHacking con Python
Hacking con PythonChema Alonso
 
Tu iPhone es tan (in)seguro como tu Windows
Tu iPhone es tan (in)seguro como tu WindowsTu iPhone es tan (in)seguro como tu Windows
Tu iPhone es tan (in)seguro como tu WindowsChema Alonso
 
Codemotion ES 2014: Love Always Takes Care & Humility
Codemotion ES 2014: Love Always Takes Care & HumilityCodemotion ES 2014: Love Always Takes Care & Humility
Codemotion ES 2014: Love Always Takes Care & HumilityChema Alonso
 

Más de Chema Alonso (20)

CyberCamp 2015: Low Hanging Fruit
CyberCamp 2015: Low Hanging FruitCyberCamp 2015: Low Hanging Fruit
CyberCamp 2015: Low Hanging Fruit
 
Índice Pentesting con Kali 2.0
Índice Pentesting con Kali 2.0Índice Pentesting con Kali 2.0
Índice Pentesting con Kali 2.0
 
Configurar y utilizar Latch en Magento
Configurar y utilizar Latch en MagentoConfigurar y utilizar Latch en Magento
Configurar y utilizar Latch en Magento
 
Cazando Cibercriminales con: OSINT + Cloud Computing + Big Data
Cazando Cibercriminales con: OSINT + Cloud Computing + Big DataCazando Cibercriminales con: OSINT + Cloud Computing + Big Data
Cazando Cibercriminales con: OSINT + Cloud Computing + Big Data
 
New Paradigms of Digital Identity: Authentication & Authorization as a Servic...
New Paradigms of Digital Identity: Authentication & Authorization as a Servic...New Paradigms of Digital Identity: Authentication & Authorization as a Servic...
New Paradigms of Digital Identity: Authentication & Authorization as a Servic...
 
CritoReto 4: Buscando una aguja en un pajar
CritoReto 4: Buscando una aguja en un pajarCritoReto 4: Buscando una aguja en un pajar
CritoReto 4: Buscando una aguja en un pajar
 
Dorking & Pentesting with Tacyt
Dorking & Pentesting with TacytDorking & Pentesting with Tacyt
Dorking & Pentesting with Tacyt
 
Pentesting con PowerShell: Libro de 0xWord
Pentesting con PowerShell: Libro de 0xWordPentesting con PowerShell: Libro de 0xWord
Pentesting con PowerShell: Libro de 0xWord
 
Foca API v0.1
Foca API v0.1Foca API v0.1
Foca API v0.1
 
Recuperar dispositivos de sonido en Windows Vista y Windows 7
Recuperar dispositivos de sonido en Windows Vista y Windows 7Recuperar dispositivos de sonido en Windows Vista y Windows 7
Recuperar dispositivos de sonido en Windows Vista y Windows 7
 
It's a Kind of Magic
It's a Kind of MagicIt's a Kind of Magic
It's a Kind of Magic
 
Ingenieros y hackers
Ingenieros y hackersIngenieros y hackers
Ingenieros y hackers
 
Cuarta Edición del Curso Online de Especialización en Seguridad Informática p...
Cuarta Edición del Curso Online de Especialización en Seguridad Informática p...Cuarta Edición del Curso Online de Especialización en Seguridad Informática p...
Cuarta Edición del Curso Online de Especialización en Seguridad Informática p...
 
Auditoría de TrueCrypt: Informe final fase II
Auditoría de TrueCrypt: Informe final fase IIAuditoría de TrueCrypt: Informe final fase II
Auditoría de TrueCrypt: Informe final fase II
 
El Hardware en Apple ¿Es tan bueno?
El Hardware en Apple ¿Es tan bueno?El Hardware en Apple ¿Es tan bueno?
El Hardware en Apple ¿Es tan bueno?
 
Latch en Linux (Ubuntu): El cerrojo digital
Latch en Linux (Ubuntu): El cerrojo digitalLatch en Linux (Ubuntu): El cerrojo digital
Latch en Linux (Ubuntu): El cerrojo digital
 
Hacking con Python
Hacking con PythonHacking con Python
Hacking con Python
 
Shuabang Botnet
Shuabang BotnetShuabang Botnet
Shuabang Botnet
 
Tu iPhone es tan (in)seguro como tu Windows
Tu iPhone es tan (in)seguro como tu WindowsTu iPhone es tan (in)seguro como tu Windows
Tu iPhone es tan (in)seguro como tu Windows
 
Codemotion ES 2014: Love Always Takes Care & Humility
Codemotion ES 2014: Love Always Takes Care & HumilityCodemotion ES 2014: Love Always Takes Care & Humility
Codemotion ES 2014: Love Always Takes Care & Humility
 

Último

Evaluación y Mejora Continua Guía de Seguimiento y Monitoreo para Cursos de C...
Evaluación y Mejora Continua Guía de Seguimiento y Monitoreo para Cursos de C...Evaluación y Mejora Continua Guía de Seguimiento y Monitoreo para Cursos de C...
Evaluación y Mejora Continua Guía de Seguimiento y Monitoreo para Cursos de C...Oxford Group
 
1 GENERALIDADES Bioestadística y demografia.pdf
1 GENERALIDADES Bioestadística y demografia.pdf1 GENERALIDADES Bioestadística y demografia.pdf
1 GENERALIDADES Bioestadística y demografia.pdfjoanjustiniano98
 
Libros - Las 48 leyes del Poder vida.pdf
Libros - Las 48 leyes del Poder vida.pdfLibros - Las 48 leyes del Poder vida.pdf
Libros - Las 48 leyes del Poder vida.pdfomd190207
 
El Ejército y las Operaciones en el Ciberespacio
El Ejército y las Operaciones en el CiberespacioEl Ejército y las Operaciones en el Ciberespacio
El Ejército y las Operaciones en el CiberespacioEjército de Tierra
 
INTELIGENCIA EMOCIONAL -ADMINISTRACION.pdf
INTELIGENCIA EMOCIONAL -ADMINISTRACION.pdfINTELIGENCIA EMOCIONAL -ADMINISTRACION.pdf
INTELIGENCIA EMOCIONAL -ADMINISTRACION.pdfELISATORRES56
 
GESTIÓN POR PROCESOS - 09.12 y 16.12.23 - parte 2 - MILAGROS FERNANDEZ - PRES...
GESTIÓN POR PROCESOS - 09.12 y 16.12.23 - parte 2 - MILAGROS FERNANDEZ - PRES...GESTIÓN POR PROCESOS - 09.12 y 16.12.23 - parte 2 - MILAGROS FERNANDEZ - PRES...
GESTIÓN POR PROCESOS - 09.12 y 16.12.23 - parte 2 - MILAGROS FERNANDEZ - PRES...ssuser66a3da
 
GERENCIA DE OPERACIONES MBA ADMINISTRACION DE EMPRESAS
GERENCIA DE OPERACIONES MBA ADMINISTRACION DE EMPRESASGERENCIA DE OPERACIONES MBA ADMINISTRACION DE EMPRESAS
GERENCIA DE OPERACIONES MBA ADMINISTRACION DE EMPRESASSilvanabelenCumpasip
 
Unidad 1 Modelo de Internacionalizacion de la empresas.pdf
Unidad 1 Modelo de Internacionalizacion de la empresas.pdfUnidad 1 Modelo de Internacionalizacion de la empresas.pdf
Unidad 1 Modelo de Internacionalizacion de la empresas.pdfLuisFernandoRozasVil
 
Aprendizaje basado en proyectos. La vida no son asignaturas_CPAL_PERU.pdf
Aprendizaje basado en proyectos. La vida no son asignaturas_CPAL_PERU.pdfAprendizaje basado en proyectos. La vida no son asignaturas_CPAL_PERU.pdf
Aprendizaje basado en proyectos. La vida no son asignaturas_CPAL_PERU.pdfLizbethMuoz40
 
modalidades de importaciones de productos
modalidades de importaciones de productosmodalidades de importaciones de productos
modalidades de importaciones de productosRaynelLpezVelsquez
 
METODO MIXTOpresentaciondeadministracion.pptx
METODO MIXTOpresentaciondeadministracion.pptxMETODO MIXTOpresentaciondeadministracion.pptx
METODO MIXTOpresentaciondeadministracion.pptxBrayanParra38
 
ANÁLISIS DEL ENTORNO en la empresa Entel .pptx
ANÁLISIS DEL ENTORNO en la empresa Entel .pptxANÁLISIS DEL ENTORNO en la empresa Entel .pptx
ANÁLISIS DEL ENTORNO en la empresa Entel .pptxJoseLuisUluriMamani
 
INSPECCION-PREOPERACIONAL DE PULIDORA.pdf
INSPECCION-PREOPERACIONAL DE PULIDORA.pdfINSPECCION-PREOPERACIONAL DE PULIDORA.pdf
INSPECCION-PREOPERACIONAL DE PULIDORA.pdffaguilarpgrarlboliva
 
Emprendedores peruanos, empresas innovadoras.pptx
Emprendedores peruanos, empresas innovadoras.pptxEmprendedores peruanos, empresas innovadoras.pptx
Emprendedores peruanos, empresas innovadoras.pptxFERNANDOMIGUELRIVERA1
 
Presentación Martin Purisaca - BCP...ppt
Presentación Martin Purisaca - BCP...pptPresentación Martin Purisaca - BCP...ppt
Presentación Martin Purisaca - BCP...pptjoseccampos94
 
LOS BANCOS EN PERÚ establece las normas para la contabilización de los invent...
LOS BANCOS EN PERÚ establece las normas para la contabilización de los invent...LOS BANCOS EN PERÚ establece las normas para la contabilización de los invent...
LOS BANCOS EN PERÚ establece las normas para la contabilización de los invent...EmelynYesmynVegaArre
 
Regímenes laborales en el Perú actualizados al 2024
Regímenes laborales en el Perú actualizados al 2024Regímenes laborales en el Perú actualizados al 2024
Regímenes laborales en el Perú actualizados al 2024fanny vera
 
PPT Planilla Foro logistica (1).pptDMEDMEOD
PPT Planilla Foro logistica (1).pptDMEDMEODPPT Planilla Foro logistica (1).pptDMEDMEOD
PPT Planilla Foro logistica (1).pptDMEDMEODferchuxdlinda
 
CADENA DE SUMINISTROS DIAPOSITIVASS.pptx
CADENA DE SUMINISTROS DIAPOSITIVASS.pptxCADENA DE SUMINISTROS DIAPOSITIVASS.pptx
CADENA DE SUMINISTROS DIAPOSITIVASS.pptxYesseniaGuzman7
 
INVESTIGACIÓN EN INGENIERIA - El Problema de investigación
INVESTIGACIÓN EN INGENIERIA - El Problema de investigaciónINVESTIGACIÓN EN INGENIERIA - El Problema de investigación
INVESTIGACIÓN EN INGENIERIA - El Problema de investigaciónGabrielaRisco3
 

Último (20)

Evaluación y Mejora Continua Guía de Seguimiento y Monitoreo para Cursos de C...
Evaluación y Mejora Continua Guía de Seguimiento y Monitoreo para Cursos de C...Evaluación y Mejora Continua Guía de Seguimiento y Monitoreo para Cursos de C...
Evaluación y Mejora Continua Guía de Seguimiento y Monitoreo para Cursos de C...
 
1 GENERALIDADES Bioestadística y demografia.pdf
1 GENERALIDADES Bioestadística y demografia.pdf1 GENERALIDADES Bioestadística y demografia.pdf
1 GENERALIDADES Bioestadística y demografia.pdf
 
Libros - Las 48 leyes del Poder vida.pdf
Libros - Las 48 leyes del Poder vida.pdfLibros - Las 48 leyes del Poder vida.pdf
Libros - Las 48 leyes del Poder vida.pdf
 
El Ejército y las Operaciones en el Ciberespacio
El Ejército y las Operaciones en el CiberespacioEl Ejército y las Operaciones en el Ciberespacio
El Ejército y las Operaciones en el Ciberespacio
 
INTELIGENCIA EMOCIONAL -ADMINISTRACION.pdf
INTELIGENCIA EMOCIONAL -ADMINISTRACION.pdfINTELIGENCIA EMOCIONAL -ADMINISTRACION.pdf
INTELIGENCIA EMOCIONAL -ADMINISTRACION.pdf
 
GESTIÓN POR PROCESOS - 09.12 y 16.12.23 - parte 2 - MILAGROS FERNANDEZ - PRES...
GESTIÓN POR PROCESOS - 09.12 y 16.12.23 - parte 2 - MILAGROS FERNANDEZ - PRES...GESTIÓN POR PROCESOS - 09.12 y 16.12.23 - parte 2 - MILAGROS FERNANDEZ - PRES...
GESTIÓN POR PROCESOS - 09.12 y 16.12.23 - parte 2 - MILAGROS FERNANDEZ - PRES...
 
GERENCIA DE OPERACIONES MBA ADMINISTRACION DE EMPRESAS
GERENCIA DE OPERACIONES MBA ADMINISTRACION DE EMPRESASGERENCIA DE OPERACIONES MBA ADMINISTRACION DE EMPRESAS
GERENCIA DE OPERACIONES MBA ADMINISTRACION DE EMPRESAS
 
Unidad 1 Modelo de Internacionalizacion de la empresas.pdf
Unidad 1 Modelo de Internacionalizacion de la empresas.pdfUnidad 1 Modelo de Internacionalizacion de la empresas.pdf
Unidad 1 Modelo de Internacionalizacion de la empresas.pdf
 
Aprendizaje basado en proyectos. La vida no son asignaturas_CPAL_PERU.pdf
Aprendizaje basado en proyectos. La vida no son asignaturas_CPAL_PERU.pdfAprendizaje basado en proyectos. La vida no son asignaturas_CPAL_PERU.pdf
Aprendizaje basado en proyectos. La vida no son asignaturas_CPAL_PERU.pdf
 
modalidades de importaciones de productos
modalidades de importaciones de productosmodalidades de importaciones de productos
modalidades de importaciones de productos
 
METODO MIXTOpresentaciondeadministracion.pptx
METODO MIXTOpresentaciondeadministracion.pptxMETODO MIXTOpresentaciondeadministracion.pptx
METODO MIXTOpresentaciondeadministracion.pptx
 
ANÁLISIS DEL ENTORNO en la empresa Entel .pptx
ANÁLISIS DEL ENTORNO en la empresa Entel .pptxANÁLISIS DEL ENTORNO en la empresa Entel .pptx
ANÁLISIS DEL ENTORNO en la empresa Entel .pptx
 
INSPECCION-PREOPERACIONAL DE PULIDORA.pdf
INSPECCION-PREOPERACIONAL DE PULIDORA.pdfINSPECCION-PREOPERACIONAL DE PULIDORA.pdf
INSPECCION-PREOPERACIONAL DE PULIDORA.pdf
 
Emprendedores peruanos, empresas innovadoras.pptx
Emprendedores peruanos, empresas innovadoras.pptxEmprendedores peruanos, empresas innovadoras.pptx
Emprendedores peruanos, empresas innovadoras.pptx
 
Presentación Martin Purisaca - BCP...ppt
Presentación Martin Purisaca - BCP...pptPresentación Martin Purisaca - BCP...ppt
Presentación Martin Purisaca - BCP...ppt
 
LOS BANCOS EN PERÚ establece las normas para la contabilización de los invent...
LOS BANCOS EN PERÚ establece las normas para la contabilización de los invent...LOS BANCOS EN PERÚ establece las normas para la contabilización de los invent...
LOS BANCOS EN PERÚ establece las normas para la contabilización de los invent...
 
Regímenes laborales en el Perú actualizados al 2024
Regímenes laborales en el Perú actualizados al 2024Regímenes laborales en el Perú actualizados al 2024
Regímenes laborales en el Perú actualizados al 2024
 
PPT Planilla Foro logistica (1).pptDMEDMEOD
PPT Planilla Foro logistica (1).pptDMEDMEODPPT Planilla Foro logistica (1).pptDMEDMEOD
PPT Planilla Foro logistica (1).pptDMEDMEOD
 
CADENA DE SUMINISTROS DIAPOSITIVASS.pptx
CADENA DE SUMINISTROS DIAPOSITIVASS.pptxCADENA DE SUMINISTROS DIAPOSITIVASS.pptx
CADENA DE SUMINISTROS DIAPOSITIVASS.pptx
 
INVESTIGACIÓN EN INGENIERIA - El Problema de investigación
INVESTIGACIÓN EN INGENIERIA - El Problema de investigaciónINVESTIGACIÓN EN INGENIERIA - El Problema de investigación
INVESTIGACIÓN EN INGENIERIA - El Problema de investigación
 

Seguridad en Navegadores

  • 1. Seguridad en Navegadores Chema Alonso MS MVP Enterprise Security chema@informatica64.com
  • 2. Code Windows Code Library Code Application Code Arquitectura: Protección de la Memoria Data ExecutionProtectionAddressSpaceLayoutRandomization DEP ASLR Stack Locals LoadLibrary() Return Address Parameters Previous Frames
  • 3. Arquitectura: MIC & UIPI MandatoryIntegrity Control (MIC). Una aplicación no puede acceder a datos que tengan un Nivel de integridad superior al suyo. Niveles de Integridad: Bajo, Medo, Alto y de Sistema Los objetos con ACL tienen una nueva entrada ACE donde se les asigna un nivel de Integridad A cada proceso se le asigna un Nivel de Integridad en su testigo de acceso UserInterfacerPrivilegeIsolation (UIPI) Bloquea el acceso mediante mensajes de procesos con Nivel de Integridad inferior a procesos con Nivel de Integridad superior. Virtual Store: Acceso a carpetas y claves del registro virtualizadas en perfil de usuario
  • 5.
  • 6. Extensiones, administración y configuración (I) Todos los navegadores, excepto Safari permiten el uso de extensiones. Internet Explorer y Firefox son los únicos que permiten el uso de complementos firmados. Solo IE8 y Firefox* permiten configuración por GPO’s Firefox con software adicional en AD y en cliente
  • 7. Extensiones, administración y configuración (II) Sólo IE8 permite controlar componentes por sitio y usuario.
  • 9. Extensiones, administración y configuración (III)
  • 10. Control de cookies y sesiones IE8 es el único navegador que da soporte al flag ‘Write’ de HTTPOnly, y que implementa un filtro anti Cross-Site Scripting. Todos los navegadores, excepto Firefox, proporcionan soporte a la cabecera X-FRAME-OPTION para la prevención de clickjacking Todos los navegadores, excepto Opera, soportan el uso de la cabecera Access-Control-* para evitar ‘Cross DomainRequest’.
  • 11.
  • 13. Ingeniería Social: Resalto del dominio Unicamente los navegadores IE8.0 y Chrome 4.1 realizan un resalto de dominio en la URL. Internet Explorer Google Chrome
  • 15. Alertas sobre certificados Todos los navegadores muestran alertas sobre certificados en los siguientes casos: Certificado generado para otro dominio Certificado caducado Certificado emitido por una CA desconocida
  • 16. Certificados con validación extendida Todos los navegadores realizan un resalto de los certificados con validación extendida. Sin embargo en Chrome 4.1 y Safari 4.0 no queda bien reflejado.
  • 17. Almacén de certificados Entidades emisoras de certificados como la FNMT o CATCert, no son incluidas en las almacenes de certificados de MozillaFirefox, Opera Browser o Apple Safari.
  • 19.
  • 20.
  • 21. Protección ante phishing y malware (III)
  • 22. Firefox y el Malware http://www.symantec.com/content/en/us/enterprise/media/security_response/whitepapers/firefox_and_malware.pdf
  • 23. Gestión de información de navegación
  • 24. Configuración de Javascript Todos los navegadores permiten deshabilitar Javascript. Chrome y Safari no permiten una configuración avanzada de opciones Javascript. Solo IE8 y Google Chrome permiten hacer listas.
  • 26. Número de vulnerabilidades Internet Explorer 8 [12 meses] Marzo 2009 Chrome 2, 3 y 4 [10 meses] Mayo 2009 Firefox >= 3.5 [ 9 meses] Julio 2009 Opera >=9.6 [14 meses] Enero 2009 Apple Safari 4.0 [9 meses] Julio de 2009
  • 32. ¿Preguntas? Chema Alonso Microsoft MVP Enterprise Security chema@informatica64.com http://twitter.com/chemaalonso http://elladodelmal.blogspot.com Informática64 i64@informatica64.com http://www.informatica64.com http://twitter.com/informatica64