Review Oneplus One, análisis a fondo del dispositivo Android del momento

​

Tras probar un par de días el OnePlus One, hoy tenemos el placer de presentarles el review con nuestras primeras impresiones de este dispositivo que se ubica en lo más alto de la lista de los smartphones más potentes. Desde el momento en que fue anunciado el One (en abril de este año), la compañía OnePlus pasó de ser una marca inexistente a una de las marcas más admiradas en el mercado de smartphones Android. Y aunque lamentablemente la gran demanda de este dispositivo hace que sea un teléfono difícil de adquirir, es el momento preciso para examinar todo lo que hay detrás del OnePlus One.

Origen del dispositivo

Antes que nada, es importante conocer los orígenes del dispositivo, pues muchos usuarios no están muy relacionados con él. El OnePlus One es el primer smartphone de la compañía OnePlus, fue anunciado internacionalmente el 23 de abril del 2014, y llamó la atención de todos por ser el primer dispositivo en ejecutar de fábrica CyanogenMod, la ROM más popular de Android que lleva largos años de desarrollo, más exactamente llega con la versión CyanogenMod 11S basada en KitKat y creada exclusivamente para este dispositivo.

​

Hardware

El hardware del OnePlus One habla por sí solo. En su interior, este poderoso dispositivo lleva un procesador Snapdragon 801 cuatro núcleos a 2.5GH, acompañado de una GPU Adreno 330. El Snapdragon 801 es uno de los actuales procesadores de premium de Qualcomm; está diseñado para permitir un mejor procesamiento de imágenes, con juegos 3D más envolventes, un rendimiento mejorado, y una vida de batería excepcional para los teléfonos inteligentes de primera calidad. Por otra parte nos encontramos con 3 GB de RAM, una batería de 3.100 mAh, una pantalla de 5,5″ de 1080p, una cámara Sony IMX214 de 13 megapíxeles, y dos opciones de almacenamiento: 16GB y 64GB y sin slot para tarjetas MicroSD.

​

Diseño

La primera impresión que se tiene al analizar el diseño del OnePlus One es que estamos ante un terminal fino y bastante ligero. A pesar de ser un Smartphone bastante grande, su cuerpo alargado y su textura en la parte trasera hacen que su manipulación sea fácil y segura, y aunque en términos de diseño no es que tenga algo novedoso, su parte posterior está cubierta por una textura que nos recuerda un poco a las lijas usadas para suavizar superficies, lo que nos garantiza que el dispositivo no se va a deslizar de nuestras manos (al menos eso no será fácil). Por otra parte, a simple vista se nota que su cuerpo es bastante alargado, más exactamente tiene un tamaño de 152.9 mm de alto x 75.9 mm de ancho, un grosor de 8.9 mm, y un peso de solo 162 g.

​

Debido a su gran tamaño, su uso con una sola mano es un poco complicado, aunque la distribución de sus botones físicos en los laterales del dispositivo ayuda un poco a limar esas asperezas. En cuanto a diseño, determinamos como aspecto negativo la ubicación de su cámara trasera, la cual está muy pegada al borde superior del dispositivo, lo que hace que en muchas ocasiones nuestros dedos se entrometan al momento de realizar capturas en modo horizontal.


Pantalla

Al igual que los actuales buques insignia del mercado, este dispositivo se destaca por llevar una enorme pantalla. Su pantalla es un panel LCD IPS de 5.5 pulgadas, y pone en nuestras manos un equipo digno de la alta gama. Aunque su resolución es un poco más baja en comparación con la del LG G3, las 5.5 pulgadas del OnePlus One ofrecen una calidad de 1080 x 1920 pixeles y una densidad de 401 ppp suficientes para ubicar la pantalla del dispositivo como una de las mejores del mercado.

​

Luego de usar el teléfono por unas horas, cuando tenemos contacto con otros equipos sentimos una gran diferencia remarcada, esto último seguramente debido a que la pantalla del OnePlus One es mucho más envolvente a la hora de disfrutar de juegos, películas, y videos a una excelente calidad.

Cámara

La cámara del OnePlus One es un lente fabricado por una compañía especializada en el sector, más exactamente el modelo Sony CMOS IMX214.

​

La cámara cuenta con una capacidad para tomar fotografías con una calidad de 13 megapíxeles (4128 x 3096 píxeles) con autofocus, flash LED dual, foco táctil, detección de rostro y sonrisa, estabilización óptica de imagen, HDR, y geo-tagging, que es más o menos el equivalente al estándar actual de los dispositivos de alta gama.

Por supuesto el usuario podrá configurarla para sacar capturas de un menor tamaño y una mejor calidad dependiendo de la finalidad de la imagen.

​

De hecho la calidad de una cámara no se mide únicamente por la cantidad de megapíxeles de su sensor, sino también por el software que ejecute; en este caso el OnePlus One incluye más de 15 modos de captura diferentes que nos permiten elegir el mejor filtro dependiendo del lugar y el ambiente en el que se vaya a tomar la fotografía. En cuanto a la cámara frontal, tenemos un lente de 5 megapíxeles 1080p con apertura f/2.0.


Grabación de video en 4K

Sin duda, este aspecto hace del OnePlus One uno de los mejores a la hora de capturar videos. Al visualizar en su pantalla los videos grabados en resolución 4K con el mismo dispositivo, nuestros ojos experimentan una experiencia nunca antes vista.

Actualmente la resolución 4K es la más alta en términos de contenido multimedia, su nombre está directamente relacionado con la resolución de 4.000 píxeles en modo horizontal que ofrece, y que equivale a cuatro veces Full HD. También conocida como UHDV, y Ultra HD, la resolución 4K ofrece una densidad de 2160p, de manera que contar con un teléfono que sea capaz de crear contenido que ni siquiera vemos en la televisión actual, es algo que simplemente merece admiración.

Software

El software de este dispositivo es único, aunque cualquiera de nosotros puede disfrutar de Cyanogenmod en un dispositivo Android, este Smartphone es el primero en incluir la popular ROM como sistema operativo de fábrica.

Cyanogenmod se caracteriza por ofrecer una experiencia de Android puro, con un plus extra que nos permite personalizar ampliamente la interfaz del dispositivo. En este caso, el dispositivo lleva la versión 11S, una adaptación de Cyanogenmod exclusiva para el OnePlus One que ofrece una especie de Android KitKat avanzado.

Gracias a Cyanogenmod, el dispositivo cuenta con un gran número de temas capaces de cambiar hasta el último rincón de la interfaz visual de Android, además ofrece la posibilidad de personalizar los iconos de la barra de estado, como por ejemplo centrar el reloj, elegir un icono de batería circular, y mucho más.

Por supuesto, al ser Android puro, la experiencia es muyo más fluida que la de un móvil Samsung, Sony o de cualquier otra compañía fabricante con capaz de personalización propias.

En este punto, nos ha sorprendido un detalle que no vemos en ningún otro smartphone. Y es que para los controles de la barra de navegación tenemos dos opciones: utilizar los botones virtuales que hacen parte del hardware del teléfono, u optar por la barra de navegación dentro de la propia pantalla del dispositivo. Si optamos por la primera opción la pantalla estará mucho más despejada, mientras que la segunda opción roba tamaño de la pantalla y apaga los botones táctiles que se encuentran en la parte inferior del teléfono.


Rendimiento

Prueba antutu Oneplus one 2 576x1024 Review OnePlus One, analizamos a fondo el dispositivo Android del momentoPrueba antutu Oneplus one 1 576x1024 Review OnePlus One, analizamos a fondo el dispositivo Android del momento

¿Cómo crees que es el desempeño de un smartphone con un Snapdragon 801, 3 GB de RAM, 64 GB de memoria interna, y Android puro? En este punto solo queda decir que efectivamente el OnePlus One es demasiado ligero. La experiencia al usar el dispositivo se siente suave y fluida, la ejecución de aplicaciones no tarda más de un segundo, y su capacidad multitareas supera notablemente todo lo que habíamos visto hasta ahora.

De hecho, para no dejarnos llevar por nuestra mera impresión decidimos realizar unas pruebas de Benchmark al dispositivo a través de la popular aplicación AnTuTu. Como resultado, el dispositivo alcanzó los 38.000 puntos, lo que lo ubica como el dispositivo con mayor rendimiento en el mundo, incluso por encima de los HTC One M8, Samsung Galaxy S5, Sony Xperia Z2, Galaxy Note 3, Xperia Ultra, y del resto de smartphones Android existentes.

Batería

Un equipo tan grande, debe contar con una batería de igual capacidad. La batería de 3100 mAh del OnePlus One no es que brinde algo de otro mundo. Al igual que todos los Android, este dispositivo no supera las 24 horas de autonomía por carga, lo que nos obliga a cargar su batería diariamente. Lo que sí debemos resaltar es que en comparación con otros equipos, la batería del OnePlus One sí es capaz de durar toda una jornada intensa, de manera que por lo menos no tendremos que andar con el cargador para todos lados, siempre y cuando salgamos de nuestra casa con un porcentaje de carga por encima del 70%.

Sonido

Otro aspecto único. El sistema de altavoces de este dispositivo es bastante particular ya que se encuentra en la parte inferior del dispositivo y hace parte del propio marco. Vemos dos pequeños parlantes a lado y lado del puerto de carga ubicado en la parte baja.

​

Lamentablemente deja la sensación de que el sonido es bajo, pero es un problema meramente de la ubicación. Cuando escuchamos algo en modo vertical los parlantes quedan bastante alejados de nuestros oídos y apuntan hacia el suelo, mientras que en modo horizontal la experiencia es otra. Como un plus extra, el dispositivo cuenta con un software llamado AudioFX, el cual básicamente nos permite alterar el sonido a nuestro gusto, o elegir entre los diferentes modos disponibles, algo que mejora notablemente la calidad del sonido que llega por defecto.


Lo mejor 

• Su grabación de videos en resolución 4K es simplemente sorprendente.

• Cyanogenmod permite una amplia personalización.

• Su sistema de 3 micrófonos distribuidos estratégicamente elimina el ruido del ambiente de nuestro alrededor mientras estamos en una conversación. Por otra parte, este mismo sistema es capaz de captar un sonido extremadamente nítido a la hora de grabar videos.

• Su textura en la parte posterior garantiza un agarre seguro, sin riesgos de resbalarse.

• Sus tapas traseras se pueden cambiar.

​

Lo malo

• La ubicación de su cámara no es la mejor, pues en ocasiones al tomar el dispositivo horizontalmente nuestra mano se antepone al lente ubicado casi que al bordo.

• No cuenta con ranura para tarjetas microSD.

• Es demasiado difícil de conseguir, una explicación al hecho de que su precio sea mucho más elevado del original.en intercambiar.

​

Conclusión

En resumen el OnePlus One es al día de hoy el mejor Smartphone Android en cuanto a rendimiento, inclusive nos atrevemos a decir que es “el Moto G de la alta gama” debido a su relación precio-rendimiento. Por un precio muchísimo más bajo que el promedio actual de un Smartphone insignia, este dispositivo nos ofrece mucho más que el resto. No hay duda de que el OnePlus One es el llamado “flagship killer” (asesino insignia) de este 2014.

Reflected File Download with JSON Command Injection

Desde ayer que vi en Segu-Info la técnica de Reflected File Download publicada presentada en Black Hat Europe 2014 he estado jugando con ella. La verdad es que me parece un truco genial para ataques a clientes utilizando una inyección de comandos reflejada, en este caso, en las respuestas de un JSON o JSONP.

Figura 1: Reflected File Download presentada en BH EU 2014

Descripción del bug

La idea del bug inicialmente es sencilla, se pueden inyectar comandos en una URL que van a ser inyectados en una respuesta dada a través de un fichero JSON o JSONP. En ese entorno tendríamos ya inyectados los comandos en el cliente, conseguir la ejecución es otro truco añadido que les paso a contar cómo se hace.

El lugar donde se quieren ejecutar los comandos es en el propio sistema operativo, no en el navegador, para lo que es necesario que ese JSON inyectado salte del navegador al sistema operativo para lo que el investigador y descubridor de esta técnica se aprovecha de Content-Type especiales que fuerzan descargas directas de archivos. 

Figura 2: Inyección de un JSON más Content-Type de attachment

Por ejemplo, si desde Google Chrome haces clic en un enlace a una URL con extensión .bat y el Content-Type lo cataloga como un attachment, entonces el fichero pasa automáticamente a ser descargado al sistema operativo. Esto sucede en muchos tipos de extensiones y en casi todos los navegadores.

El último paso es sencillo - o no - y es conseguir la ejecución del fichero BAT dentro del sistema operativo. Digo que esto es sencillo o no, porque realmente depende del sitio que sea vulnerable y en qué contexto de seguridad tenga catalogado el navegador ese sitio. Si lo tiene en un lugar de confianza, entonces lo ejecutará automáticamente.

Resumiendo, si tienes un fichero .BAT que se genera a partir de parámetros que puedes inyectar en un fichero JSON y que se encuentra en una ubicación de confianza, entonces puedes hacer este ataque de Reflected File Download.

¿Qué podría ser inyectar?

El truco es que cuando se ejecuta el fichero BAT se aprovecha del operador OR, escrito || en el interfaz de comandos Windows. Si pones el comando "mierda||calc.exe" resulta que el primer comando da FALSE así que se ejecuta el segundo, y como resultado tienes la calculadora.

Figura 3: Ejecución del segundo comando porque el primero da FALSE

Si por el contrario ejecutas "calc.exe||mierda" resulta que tienes la calculadora sin que se intente siquiera ejecutar el segundo comando.

Figura 4: Ejecución de Calc.exe porque la primera parte del JSON da FALSE

En el caso de que se lance la ejecución de un JSON con comandos inyectados directamente en el fichero, algo como lo siguiente, al usar el operador || hace que se ejecute el segundo comando gracias a que el primero ha fallado.

Figura 5: Ejecución de un exploit con inyección en un JSON vulnerable

Lo mismo en el caso de un exploit completo con varios OR por medio. Este es un exploit complejo utilizando esta técnica para arrancar Google Chrome sin protección alguna.

Conclusiones

La técnica es muy curiosa y efectiva, en ataques a JSON y JSONP que habitualmente se quedan fuera de muchas auditorías. Ya con el ataque Rosetta se hacía abuso de este tipo de inyecciones, en este caso para generar ficheros SWF maliciosos y hacer un Cross-Site SWF Injection que se saltara todas las protecciones. Estos bugs de RFD para conseguir ejecución en el sistema en un entorno de Intranet tienen mucho peligro, ya que el contexto seguro que es alto en todos ellos.


Fuente

anonabox: un mini-router para acceder a Tor

Recientemente se ha creado una campaña de Kickstarter para Anonabox, un interesante router-hardware con software de código abierto queredirige automáticamente todo el tráfico mediante Ethernet o Wifi a través de la red Tor, ocultando la dirección IP del usuario y evitando la censura.

Pero lo que más llama la atención es su ajustado precio (vale unos 45 dólares) y que es tan pequeño como un paquete de cigarrillos, lo que permitirá al usuario llevarlo siempre encima y por ejemplo conectarlo a un cable ethernet de la oficina para hacer un trabajo sensible o en un cibercafé en China para evadir el Gran Firewall.

No es el primer proyecto que intenta integrar Tor directamente en un router, pero si quizás el que mejor equilibrio tiene entre precio, fácil configuración, tamaño y seguridad. "para nosotros era importante que fuera portátil y pequeño para que se pueda ocultar con facilidad o incluso tirar de inmediato si hay que deshacerse de él." comenta Germar, uno de los consultores de TI independientes que pasaron los últimos cuatro años desarrollando el Anonabox.

No obstante recordar que Anonabox o cualquier elemento que facilite el acceso a Tor no protege totalmente la privacidad del usuario. Si utiliza el mismo navegador para sus actividades de Internet anónimas y normales, por ejemplo, los sitios web pueden utilizar técnicas de "fingerprinting" en el navegador como cookies para identificarle. Por no hablar de la ejecución de algún exploit e instalación de malware que pueda comprometer la máquina del usuario...


Fuente: http://www.wired.com/2014/10/tiny-box-can-anonymize-everything-online

UN PEQUEÑO DETALLE NOS CONFIRMARÍA EL NOMBRE REAL DE LA PRÓXIMA VERSIÓN DE ANDROID.

Entre los fanáticos de Android existe una especie de tradición, y tiene que ver directamente con adivinar el nombre que llevará la próxima versión de su sistema operativo. En la antesala de cada presentación de una nueva versión los rumores abundan y los posibles nombres dan para todo.
Google esta vez nos dejó la tarea avanzada, hace algunos meses nos presentó Android L, y con esto ya por lo menos teníamos una letra inicial para poder comenzar a especular con el posible nombre “final” de Android L. Dentro de las alternativas teníamos:

Pues bien, sabemos que se trata de algo dulce, llevamos años en esa “evolución” del nombre en las versiones de Android, pero todavía no aparecía algo que nos diera una pista real u oficial, eso hasta ahora. Dentro de las tantas pruebas que realizan los desarrolladores de Android, estos se toparon con un pequeño detalle, analicen esta imagen:

La imagen muestra una captura de pantalla de Android L, con una ventana de Google Chrome y en apariencia todo normal. La clave de todo esta en el pequeño icono de “Depuración USB” que podemos ver en la barra superior, en donde se aprecia claramente lo que en algunos países es conocido como “piruleta”, “chupetón”, o mundialmente conocido como “Lollipop”.

Acá es cuando muchos de ustedes me diran: “puede ser una imagen cualquiera y no tiene que ver precisamente con la versión de Android”, y es ahí cuando yo les contesto: En las versiones anteriores de Android, al habilitar la Depuración USB (en Android puro) podíamos ver como la imagen del icono tenía directa relación con el nombre final de esa versión de Android, acá una muestra:

Bueno, al parecer el tema del nombre de la nueva versión queda casi confirmado quizá a un día de la presentación oficial de este, ya que posiblemente, y según indica Forbes, mañana Google presentaría la Nexus 9, su primer dispositivo con Android L y en donde podríamos conocer finalmente el nombre oficial de esta nueva versión de Android. Solo nos queda esperar y ver si los rumores se concretan, de ser así, mañana tendríamos más información por parte de Google respecto a sus productos y sistema operativo.

Fuente

La extraña filtración de las 400 cuentas de Dropbox

Chema Alonzo de

elladodelmal.com

Hoy la noticia es Poodle, la nueva vulnerabilidad en SSL localizada en sslv3 que permite, usando un padding, descifrar una sesión SSL con un JavaScript inyectado en cliente, pero yo quería hablarles del supuesto hackeo de las cuentas de Dropbox, ya que tiene tintes de ser una historia en la que los media se han dejado llevar por la emoción y las cosas se han ido de madre.

Figura 1: ¿400 o 7 Millones de identidades de Dropbox?

Cronología del Buzz

Ayer por la mañana leí muy temprano la primera noticia sobre la filtración de Cientos de cuentas de Dropbox, pero ya había decido que en mi artículo diario iba a hablar de Reflected File Download, así que lo marqué en mi RSS para leer más tarde. 

Pasaron unas horas en las que estuve trabajando en otras cosas y me olvidé un poco del asunto. En medio de una reunión en Eleven Paths un compañero me dijo... "¿Has visto lo de las identidades de Dropbox?". "Sí, han filtrado unos cientos de ellas, parece que ha sido como lo de Snapchat por una app de terceros", contesté. "No, no, dicen que se han filtrado 7 millones." 

Figura 2: Titulares sobre la filtración

En ese momento flipé, miré noticias en Internet y es verdad la mayoría de los medios hablaban en sus titulares de casi 7 Millones de identidades filtradas.

Buscando la fuente

Con más calma, por la noche, me dediqué a buscar por Internet la fuente de la filtración, y resulta que es un pastebin en el que hay 400 identidades de Dropbox con usuarios y contraseñas. Eso sí, la nota dice que tiene casi 7 Millones de cuentas en su poder y que según reciba pagos en BitCoins irá liberando más, para lo que deja su cuenta. Cuando más dinero gane más filtrará, dice.

Figura 3: El pastebin con las identidades de Dropbox

Ese volumen de identidades filtradas hubiera sido la segunda filtración más grande en Have I been Pwned?, donde solo la filtración de Adobe supera esa cantidad de cuentas. A día de hoy no se han filtrado, por supuesto, así que asumo que no ha cobrado lo suficiente por ahora.

Dropbox dice

El equipo de Dropbox, supongo que sobrepasado por el buzz ha confirmado que no ha sido hackeado en un post en su blog que puedes leer.

Figura 4: El post de Dropbox contestando a la supuesta filtración

Lo más curioso es que, en una actualización, ellos mismos confirman que las cuentas filtradas no funcionan porque estaban expiradas, así que parece que es unasituación similar a las de las cuentas de Gmail, que podrían haber sido robadas conmalware o con una app maliciosa.

Figura 5: Actualización confirmando que las nuevas filtraciones eran falss

Aún así, apareció por Internet una nueva remesa de cuentas de Dropbox, pero parece que eran un autentico fake, tal y como ponen en su post.

Pon un segundo factor de autenticación en Dropbox

El mensaje al final de toda esta historia es, además de ten cuidado con leer solo los titulares, que no debes preocuparte por esta filtración, sino por todas tus identidades. Pon un segundo factor de autenticación a todas las que puedas, tal y como dice también el post de Dropbox.

Figura 6: Cómo poner un 2FA en Dropbox

Google Authenticator, Verificación en 2 Pasos en Apple, Latch en todas las cuentas que puedas y en el caso de DropBox hay un segundo factor basado en SMS y en la app de de Dropbox para el móvil. No funciones de susto en susto, gestiona tu identidad online de forma segura y evita los sobresaltos.

Fuente

News: Nuevo plugin de latch para sistemas basados en Unix, Linux y Mac

El nuevo plugin de latch para Unix permite agrupar la funcionalidad ofrecida por plugins anteriores como el latch-plugin-ssh o latch-plugin-auth-ubuntu, añadiendo además, la posibilidad de proteger servicios como "sudo", "su" y otros que utilicen autenticación PAM.

Hasta ahora, se disponía de un paquete de Latch para Ubuntu y otro para SSH, pero este nuevo plugin trata de ser más genérico. En el paquete del plugin, dentro de la carpeta examples/, se ofrecen ejemplos de cómo configurar diferentes servicios (sudo, ssh, el login...). Están organizados por sistemas en los que se ha probado el plugin: Debian, Ubuntu, CentOS, Fedora y OS X. En cualquier caso, es necesario configurar manualmente algunos ficheros específicos para poder integrar Latch en los servicios. Veamos cómo.

Compilando e instalando el paquete

Para poder compilar e instalar el código fuente del plugin, es necesario utilizar gcc y el make . En muchos sistemas vienen instalados por defecto, pero si no es así, se pueden instalar fácilmente con los siguientes comandos:

Para Debian/Ubuntu y CentOS/Fedora/RedHat respectivamente:

sudo apt-get install gcc make 
sudo yum install gcc make

Además, son necesarias tres librerías: libpam-dev, libcurl-dev y libssl-dev. Para Debian/Ubuntu y CentOS/Fedora/RedHat respectivamente:

sudo apt-get install libpam0g-dev libcurl4-openssl-dev libssl-dev
yum install pam-devel libcurl-devel openssl-devel

En el caso de que el gestor de paquetes no encuentre alguna de las librerías y para usar las últimas versiones será conveniente actualizar el listado de paquetes disponibles.

Para Debian/Ubuntu y CentOS, Fedora o RedHat respectivamente:

sudo apt-get update
sudo yum update 

Con los prerrequisitos necesarios, ya será posible compilar e instalar el paquete. Desde el directorio raíz del paquete, debemos ejecutar:

./configure && make && sudo make install 

Tras esto, se habrá creado una librería dinámica "pam_latch.so" en la ruta  "/usr/local/lib/" que hay que situar en el directorio PAM de nuestro sistema operativo. Este directorio varía en función del sistema, aunque habitualmente se encontrará en "/lib/security/", "/lib64/security/" o "/lib/*/security/". En Mac OS X, el directorio PAM se encuentra en "/usr/lib/pam/".

sudo mv /usr/local/lib/pam_latch.so $PAM_DIR 

Listado de librerías dinámicas PAM en Ubuntu 13.10

También hay que mover otros dos archivos binarios (latch y latch-shell), que tras la instalación se encontrarán en /usr/local/bin/. El siguiente paso es modificar los permisos con estos dos comandos:

sudo mv /usr/local/bin/latch /usr/local/bin/latch-shell /usr/bin/
sudo chmod 4755 /usr/bin/latch /usr/bin/latch-shell

Archivos binarios de Latch en /urs/bin/

Y por último, hay que configurar el servicio que se desea proteger. Para ello, nos situamos en la carpeta /etc/pam.d/ (donde se encuentran todos los archivos de configuración PAM), y editamos el fichero de configuración correspondiente. Veamos el ejemplo concreto para Ubuntu, aunque el proceso es similar en el resto de sistemas operativos.

Ejemplo: Login en Ubuntu 13.10 

Para proteger el login en Ubuntu 13.10, hay que modificar tres ficheros: lightdm-autologin, lightdm y login. En primer lugar, es recomendable hacer una copia de seguridad de todos los ficheros que vamos a modificar, y así en el caso de querer desinstalar el plugin, será posible restaurar la configuración anterior fácilmente.

Abrimos los ficheros y añadimos nuestro módulo de autenticación de Latch a la configuración. Generalmente, se debe añadir justo después del módulo PAM que autentica:

auth required pam_latch.so config=/etc/latch/latch.conf accounts=/etc/latch/latch.accounts operation=login otp=yes 

Es importante destacar que si nos fijamos en la variable "operation", hemos puesto la etiqueta "login". Esta etiqueta es la que utilizaremos cuando configuremos el plugin más adelante. 

Fichero de configuración PAM lightdm después de añadir el módulo PAM de Latch

Podemos fijarnos en la carpeta examples/ubuntu/etc/pam.d/ para ver cómo configurar el resto de ficheros.

Configuración del plugin

Una vez completada la instalación, debemos configurar nuestro plugin. Para ello, es necesario en primer lugar obtener el "Application ID", el "Secret" y crear las operaciones necesarias para el plugin. En este caso, únicamente vamos a crear una operación (Login), pero es probable que en el futuro queramos crear más operaciones para así proteger cada uno de los servicios con un cerrojo ("latch") independiente.

Para obtener el "Application ID" y el "Secret" (fundamentales para integrar Latch en una aplicación), es necesario contar con una cuenta de usuario desarrollador en la página de Latch accediendo a la sección "Área de desarrolladores". Activada la cuenta, el usuario ya está en disposición de crear aplicaciones con Latch y acceder a la documentación para desarrolladores, incluyendo los SDKs y los plugins existentes. Para ello el usuario debe iniciar sesión en la página web de Latch y acceder de nuevo a la sección "Área de desarrolladores", desde donde podrá observar sus aplicaciones, a través de la sección "Mis aplicaciones" del menú lateral. Desde el botón "Añadir una nueva aplicación", el usuario indicará el nombre que desea que aparezca en la aplicación móvil.

Al crear la aplicación, se muestran dos datos fundamentales: el "ID de aplicación" y el "Secreto". Además existen otros parámetros adicionales entre los que están el icono de la aplicación que aparecerá en el dispositivo del usuario, si se incluirán operaciones internas (en caso de que se crearan) y si la aplicación va a soportar o no OTP (One Time Password). En este ejemplo añadimos una operación (a la que hemos llamado Login) y establecemos el OTP como opcional. El ID que aparece es el que tendremos que añadir dentro del fichero de configuración "latch.conf".

Detalle de la página donde se añade la nueva aplicación, tras crear la operación "Login"

Una vez finalizada la configuración y guardados los cambios, la nueva aplicación aparecerá en el listado de aplicaciones del usuario. El desarrollador podrá editarla en el momento que desee. El ID de la aplicación aparecerá tachado, pero su valor sigue siendo válido y también debe ser utilizarlo para configurar nuestro plugin.

Detalle de la página que nos permite editar la aplicación que acabamos de crear.

Edición del fichero de configuración "latch.conf"

Una vez que ya tenemos nuestros datos de configuración, abrimos el fichero de configuración "latch.conf" que tras la instalación se  ha creado en /etc/latch/, y lo editamos con los parámetros obtenidos.

Fichero de configuración "latch.conf" tras la instalación del plugin

Para este ejemplo, únicamente será necesario configurar el app_id, el secret_key y la operación que hemos creado (login) con su "OperationId" generado previamente.

Detalle de las operaciones predefinidas por defecto en el fichero de configuración de Latch

Usando el plugin

Para empezar a utilizar latch en nuestro sistema, es necesario en primer lugar parear nuestra cuenta. Necesitamos lógicamente tener descargada la aplicación de Latch en el móvil para Android, iPhone oWindows Phone y después seguir los siguientes pasos:

• Desde la aplicación móvil de Latch, generamos el código de pareado, presionando previamente sobre "añadir nuevo servicio" en la parte inferior de la aplicación.

Captura que muestra cómo generar un nuevo código de pareado en la aplicación móvil

• En el equipo, abrimos un terminal y ejecutamos el comando "latch -p ", utilizando el código de pareado generado en el paso anterior. 

Terminal en el que se ejecuta el comando de pareo de cuenta de Latch.

Ahora el usuario ya puede bloquear y desbloquear su login, así como configurar la autenticación con una contraseña de un solo uso, añadiendo una protección extra al acceso a nuestro sistema. 

Pantalla de autenticación en Ubuntu 13.10 con la opción OTP de Latch activada,
tras haber introducido la contraseña correctamente

Para desparear la cuenta, abrir un terminal y ejecutar el comando "latch -u".  

Fuente