Liberando espacio de la carpeta WINSXS en Windows 10

 En el siguiente tutorial se puede ver como liberar espacio de la carpeta WINSXS de Windows 10

Building Your First Serverless Service With AWS Lambda Functions | CSS-Tricks

Many developers are at least marginally familiar with AWS Lambda
functions. They’re reasonably straightforward to set up, but the vast
AWS landscape can make it hard to see the big picture. With so many
different pieces it can be daunting, and frustratingly hard to see how
they fit seamlessly into a normal web application.


The Serverless framework is a huge help here. It streamlines the
creation, deployment, and most significantly, the integration of Lambda
functions into a web app. To be clear, it does much, much more than
that, but these are the pieces I’ll be focusing on. Hopefully, this post
strikes your interest and encourages you to check out the many other
things Serverless supports. If you’re completely new to Lambda you might
first want to check out this AWS intro.





Building Your First Serverless Service With AWS Lambda Functions | CSS-Tricks

una-al-día | Hispasec: TicketMaster, un drama en tres actos (y un epílogo)

Ataques como estos son ejemplos claros del alcance que pueden llegar a tener los fallos de seguridad en proveedores u otras dependencias de código. 
Aunque Inbenta ha sido la empresa atacada, es TicketMaster el más afectado tanto en imagen como económicamente. Incluso los efectos colaterales han llegado a Monzo, un tercero sin relación directa de negocio con ninguno de ellos.

Es importante recordar que la seguridad de nuestra infraestructura es tan débil como el componente más inseguro de la misma y que, por tanto, todos necesitan ser revisados para garantizar un producto seguro a nuestros usuarios y evitar que un problema de terceros nos afecte directamente.

 

una-al-día | Hispasec: TicketMaster, un drama en tres actos (y un epílogo)

Disponible el informe anual del CCN-CERT sobre amenazas y vulnerabilidades en dispositivos móviles

Un hecho destacable es la predominancia del sistema operativo Android y la casi completa desaparición del malogrado Windows Phone. Respecto a Android se vuelve a confirmar algo que ya sabíamos y que hemos repetido varias veces desde Una-al-día: la fragmentación de Android. Un fenómeno que no solo fastidia a los desarrolladores de la plataforma de Google, sino que también significa que una larga porción de usuarios podría estar exponiéndose a vulnerabilidades que afectan a versiones sin soporte.

No obstante, respecto a la fragmentación de Android, el informe recoge una interesante iniciativa que intentará paliar los efectos de este fenómeno. Básicamente, se trataría de separar la capa de personalización de los fabricantes del sistema base. Esto, facilitaría que el gigante del buscador pueda ofrecer actualizaciones de forma más rápida a los usuarios, sin tener que esperar meses o de manera indefinida a un parche producido por el fabricante del terminal.

El informe, también dedica un capítulo a explorar las diferentes medidas se seguridad biométrica, como el sistema FaceID de Apple, el escaneo del iris y reconocimiento facial de Samsung o el Intelligent Scan que estrenaron los dispositivos S9 y S9+ del mismo fabricante. 

Otros aspectos destacables del informe son la adopción paulatina de formas adaptadas de inteligencia artificial en estos dispositivos y los sistemas de protección frente a desbloqueos y extracción forense de datos en caso de sustracción o pérdida del terminal. Recordemos la importancia de estas plataformas hace que sean un objetivo muy apetecible para el robo de información sensible, sobre todo en el ámbito de las organizaciones y gobiernos.

A destacar la parte de análisis de las amenazas más destacadas en el sentido del malware que afecta a sistemas operativos móviles, en la que vuelve a ser el protagonista Android, así como la orientación de los objetivos del código malicioso a explotar las capacidades computaciones de estos sistemas para minar criptomoneda.

En resumen, una interesante lectura que glosa lo acontecido en seguridad de sistemas y plataformas móviles durante el pasado año y marca, a su vez, las lineas de tendencia que podría seguir el presente año.

https://unaaldia.hispasec.com/2018/05/disponible-el-informe-anual-del-ccn.html

Guía paso a paso para configuración de certificados Let’s Encrypt en Apache HTTPD sobre Windows Server

Para poder configurar nuestro servidor web Apache con SSL lo primero que vamos a hacer es obtener los cerficados Let's Encrypt.

Descargamos y descomprimimos la última versión de la utilidadletsencrypt-win-simple.v1.9.8.4.zip

Dentro una ventana de comandos con permisos de administrador ejecutamos letsencrypt.exe y nos aparece el siguiente menú:

Elegimos la primera opción M y nos aparece el siguiente menú:

Ahora elegimos la opción 4 para introducir el nombre de nuestro servidor manualmente (www.ejemplo.com):

En este apartado es posible introducir varios nombres de dominio de virtual hosts configurados en tu servidor pero yo no he conseguido que instale en todos ellos el fichero de comprobación de la propiedad del dominio, por ello he realizado estos pasos de instalación para cada virtual host.

En el siguiente menú nos pregunta que procedimiento utilizar para la instalación del fichero de comprobación de propiedad del dominio.

Como se puede apreciar elegimos la opción 3 en la que proporcionamos la ruta de nuestro DocumentRoot según lo tenemos configurado en Apache.

Seguidamente nos pregunta si se realiza la copia del fichero de comprobación de propiedad del dominio y decimos que sí.

Una vez realizado esto la utilidad letsencrypt-win-simple ya está en disposición de comprobar que vamos a instalar el certificado en un servidor del que somos propietarios por ello pregunta si queremos comenzar el proceso de instalación (más bien creación) de certificados.

Elegimos la opción 2 pues no necesitamos ejecutar acciones adicionales mediante un script, tal y como se ve en el pantallazo de arriba.

Ya finalizando podemos ver estos mensajes de confirmación de la creación del certificado y la creación de la tarea programada para la renovación.

Podemos ver los ficheros de certificado que se han creado en la carpeta:

C:\ProgramData\letsencrypt-win-simple\httpsacme-v01.api.letsencrypt.org

Seguidamente vamos a configurar Apache HTTPD Server para que utilice los certificados.

En el fichero httpd.conf tenemos que realizar las siguientes modificaciones:

• Añadir un listener para el puerto 443 de HTTPS

• Activar el módulo de SSL

El fichero donde tenemos configurados los virtual hosts httpd-vhosts.conf quedará de esta manera para cada uno de los virtual hosts:

<VirtualHost *:80>
    ServerAdmin miemail@miserver.es
    DocumentRoot "C:/miWebRoot"
    ServerName www.midominio.es

RewriteEngine On
# Redirect to the HTTPS site
RewriteCond %{HTTPS} off
RewriteRule ^/?(.*)$ https://www.midominio.es/$1 [NE,L,R=301]

</VirtualHost>


<VirtualHost *:443>
    ServerAdmin miemail@miserver.es
    DocumentRoot "C:/miWebRoot"
    ServerName www.midominio.es

RewriteEngine On
    # Redirect to the correct domain name
    RewriteCond %{HTTP_HOST} !^www.midominio.es$ [NC]
    RewriteRule ^/?(.*)$ https://www.midominio.es/$1 [NE,L,R=301]

SSLEngine on
SSLCertificateFile "C:/ProgramData/letsencrypt-win-simple/httpsacme-v01.api.letsencrypt.org/www.midominio.es-crt.pem"
SSLCertificateKeyFile "C:/ProgramData/letsencrypt-win-simple/httpsacme-v01.api.letsencrypt.org/www.midominio.es-key.pem"
SSLCertificateChainFile "C:/ProgramData/letsencrypt-win-simple/httpsacme-v01.api.letsencrypt.org/ca-VALORESHEXADECIMALES-crt.pem"

</VirtualHost>

Como vemos además de los certificados hemos añadido redirecciones desde el puerto 80 al 443 por lo que todas las url no seguras funcionarán siendo redirigidas a su equivalente en HTTPS.

En caso de tener conectores AJP para servir páginas desde TOMCAT copiaríamos la configuración de AJP al virtualhost con el puerto 443 y nos seguirá funcionando correctamente también con páginas seguras.

Si todo es correcto ya tenemos nuestro servidor sirviendo páginas en HTTPS y solo nos quedaría estar atentos a que las renovaciones automáticas de los certificados se realicen correctamente.

Hispasec @unaaldia: Corregida vulnerabilidad crítica en Drupal

El equipo de seguridad de Drupal ha publicado un boletín de seguridad calificado como crítico, en el que se soluciona una vulnerabilidad que podría permitir a un atacante evitar los controles de acceso.

El problema, con CVE-2017-6919 y considerado crítico, consiste en un salto del acceso. Un sitio solo se ve afectado si se cumplen las siguientes condiciones: el sitio tiene activo el módulo RESTful Web Services, permite peticiones PATCH y el atacante puede tener o registrar una cuenta de usuario en el sitio.

Se ven afectadas las versiones 8.x anteriores a 8.2.8 y 8.3.1. Se recomienda la actualización a las versiones Drupal 8.2.8 o 8.3.1.



Hispasec @unaaldia: Corregida vulnerabilidad crítica en Drupal

What Yahoo's NSA Surveillance Means for Email Privacy - ProtonMail Blog

Two weeks ago, we published a security advisory regarding the mass hacking of Yahoo. Unfortunately, due to recent events, we are issuing a second advisory regarding all US email providers.

What happened?

This week, it was revealed that as a result of a secret US government directive, Yahoo was forced to implement special surveillance software to scan all Yahoo Mail accounts at the request of the NSA and FBI.
Sometime in early 2015, Yahoo secretly modified their spam and malware
filters to scan all incoming email messages for the phrases in the court
order and then siphoned those messages off to US intelligence. This is
significant for several reasons:

• This is the first known incident
  where a US intelligence directive has indiscriminately targeted all
  accounts as opposed to just the accounts of suspects. Effectively, all
  500 million+ Yahoo Mail users were presumed to be guilty.

• Instead of searching stored messages, this directive forced Yahoo to scan incoming messages in real-time.

• Because ALL incoming email messages
  were targeted, this program spied on every person who emailed a Yahoo
  Mail account, violating the privacy of users around the world who may
  not even have been using a US email service.

What does this mean for US tech companies?

This is a terrible precedent and ushers in a new era of global mass surveillance. It
means that US tech companies that serve billions of users around the
world can now be forced to act as extensions of the US surveillance
apparatus. The problem extends well beyond Yahoo. As was
reported earlier, Yahoo did not fight the secret directive because Yahoo
CEO Marissa Mayer and the Yahoo legal team did not believe that they
could successfully resist the directive.

What Yahoo's NSA Surveillance Means for Email Privacy - ProtonMail Blog

El CCN-CERT publica Informe sobre los riesgos en el uso de WhatsApp

El CCN-CERT ha publicado un informe sobre los riesgos en el uso de WhatsApp en el que da a conocer los problemas de seguridad más conocidos y habituales del conocido programa de mensajería.
También ofrece recomendaciones de seguridad para ayudar a prevenir cualquier posible incidente. El documento, de 21 páginas, incide en los siguientes problemas de seguridad del servicio:

• Secuestro de cuentas aprovechando fallos de la red
• Borrado inseguro de conversaciones
• Difusión de información sensible durante la conexión inicial
• Robo de cuentas mediante SMS y acceso físico
• Robo de cuentas mediante llamada y acceso físico
• Peligros de la descarga de WhatsApp de markets no oficiales
• Ataques de phishing utilizando WhatsApp web
• Almacenamiento de la información en la base de datos
• Intercambio de datos personales entre WhatsApp y Facebook
• Otros fallos de seguridad anteriores 

Por último se incluye un apartado con unas breves recomendaciones adicionales útiles para cualquier usuario de teléfonos móviles.

Hispasec @unaaldia: El CCN-CERT publica Informe sobre los riesgos en el uso de WhatsApp

Obteniendo el valor de un checkbox en Struts

El checkbox es un control que tiene un comportamiento un poco especial. Cuando el checkbox está activado la propiedad asociada es modificada a true, pero cuando se desactiva el checkbox no se realiza ninguna acción.
Así que para funcione correctamente la propiedad del checkbox debe estar inicializada a false. Pero hay otro problema, si solo lo inicializarmos en el constructor del ActionForm no se actualizará en sucesivos cambios del checkbox, por ello debemos inicializar el valor en la función reset.

Código del ActionForm:

public class EncuestadoVOForm extends ActionForm{

private boolean activado; //propiedad asociada al checkbox

//constructor
public EncuestadoVOForm() {

activado = false; //inicializamos en el constructor
 
}


public void reset(ActionMapping mapping,
HttpServletRequest request) {

activado = false; //inicializamos en el reset

}

Como podéis deducir el constructor ya no es necesario una vez añades la función reset por lo que se podría quitar y el ActionForm funcionaría bien.

Sino lo realizamos así la propiedad "activado" siempre devuelve true sea cual sea el estado del checkbox.

Los mejores canales de Telegram

En mi campaña por la promoción de Telegram entre mis contactos, voy a compartir un listado de los canales de Telegram que más me gustan:

• https://telegram.me/canalestelegram: Un canal de canales, este canal es un directorio de otros canales ordenados por temática.
• https://telegram.me/chollazos: Uno de los canales de chollos y ofertas que más me gustan. Siguiéndolo no te perderás ningún chollo y con enlaces directos a las fichas de los productos. También actualizan los post cuando los productos se han agotado.
• https://telegram.me/eldiarioes: El canal de eldiario.es en mi opinión es un ejemplo de buen hacer en canales de telegram de periodicos. No se limitan a enlazar las noticias sino que publican viñetas, imágenes e incluso audios visualizables directamente en la aplicación.
• https://telegram.me/OnlineMusicArchive: Un buen canal con contenidos musicales descargables.
• https://telegram.me/kioskototal: Para estar al tanto de las novedades del kiosko, también con contenidos descargables.
• https://telegram.me/estrenoscine: También con contenidos descargables para que puedas pasar un rato viendo buen cine.
• https://telegram.me/ganar_dinero: Páginas para ganar dinero por Internet y consejos para poder utilizarlas mejor.

No olvides que a través de la utilidad de búsqueda de Telegram puedes encontrar canales. 

También existen webs como http://grupostelegram.com que funcionan como directorio de canales.

¿A que esperas para pasarte a Telegram? https://telegram.org/

Boletín de seguridad crítico para Drupal

El equipo de seguridad de Drupal ha publicado el primer boletín de seguridad del año. Calificado como crítico, obteniendo una puntuación de 15 en su escala de riesgo de seguridad de un máximo de 25. Han solucionado un total de diez vulnerabilidades.
Afectan a las versiones 6.x anteriores a 6.38, versiones 7.x anteriores a 7.43 y versiones 8.x anteriores a 8.0.4. Se recomienda su inmediata actualización a las versiones Drupal 6.38, Drupal 7.43 y Drupal 8.0.4
Hispasec @unaaldia: Boletín de seguridad crítico para Drupal

Drupal 8 Release Party Alicante ¡No te lo pierdas!

Esta noche en las oficinas de Sistel de Alicante tenemos Release Party de la versión 8 de Drupal.

Nuestro compañero Eduardo Esclapés realizará una presentación de las novedades que presenta Drupal en su nueva versión.

Toda la información en estos enlaces:

http://www.sistel.es/
https://groups.drupal.org/node/489473
Drupal 8 Release Party Alicante - Drupal España (Madrid) - Meetup

the decline of Java application servers when using docker containers — fabric8 io — Medium

the docker way to work with Java Application Servers is to make an immutable image for the application server and the deployment units you wish to run in production.

To upgrade the Java code of a service, rather than dropping a WAR in the webapps/deploy folder or calling a REST/JMX API in the application server or whatever, you just make a new image with the new deployment unit inside and run it.

Increasingly the Java Application Server doesn’t need to worry about deploying and undeploying new code at runtime; it doesn’t need to watch a deploy folder for changes or listen on a REST/JMX API for requests to change its deployment; it just starts up the code in its image on startup.

So the very idea of a Java Application Server (a dynamic JVM which you deploy and undeploy code to) is very much in the decline in a docker world.

the decline of Java application servers when using docker containers — fabric8 io — Medium

Cómo afecta a tu blog la anulación de Safe Harbor - Blogpocket

La principal consecuencia de la anulación del acuerdo de puerto segurocon EE.UU. implica que no puedas emplear aplicaciones de e-mail  marketing (encargado del tratamiento de los datos) de empresas cuyos servidores se encuentren fuera de la Unión Europea, por ejemplo MailChimp.

Cómo afecta a tu blog la anulación de Safe Harbor - Blogpocket

Why Static Website Generators Are The Next Big Thing – Smashing Magazine

Influential design-focused companies such as Nest and MailChimp now use static website generators for their primary websites. Vox Media has built a whole publishing system around Middleman. Carrot, a large New York agency and part of the Vice empire, builds websites for some of the world’s largest brands with its own open-source generator, Roots. And several of Google’s properties, such as “A Year In Search” and Web Fundamentals, are static.

Static websites are hardly new, going all the way back to the beginning of the web. So, why the sudden explosion in interest? What’s up? Why now?

Why Static Website Generators Are The Next Big Thing – Smashing Magazine

Features - wallabag

Wallabag es un clon libre de Pocket , Instapaper o Send to Kindle:

• wallabag is free and open source. Forever.
• No time to read? Save a link in your wallabag to read it later
• Read the saved articles in a comfortable view: the content, only the content. Get rid of the ads and menus.
• Save all the content: text and pictures
• You can easily migrate from other proprietary services : welcome to
  you, Pocket / Readability or Instapaper users! Also, you can import *
  your browser bookmarks.
• You like an article? There's many ways to share it, featuring email, twitter or shaarli
• Because we are increasingly mobile, the wallabag interface fits all your devices
• Saving a link is so easy because we provide you with many tools:
  extensions for Chrome and Firefox, iOS, Android, Firefox OS and Windows
  Phone application, a bookmarklet, a simple field in your config webpage
• RSS feeds allow you to read your saved links in your RSS aggregator
• You have an e-reader? wallabag can export all kind of entries to ePub, Mobi & PDF formats.
• You can set as many tags you like to your entries
• It is possible to search through title and content of articles
• wallabag is multilingual: french, english, spanish, german, italian, russian, persian, czech, polish, ukrainian and slovenian
• Keyboard shortcuts ! Lots of them !
• You’re not the only one at home to use wallabag? that’s fine, wallabag is multi-user
• Prefer a dark template? Perfect, many templates are available in the configuration screen
• Many storage systems allowed: sqlite, mysql and postgresql
• Scroll position is saved: when you return to an article, you come back where you were. So convenient!
• You can flattr flattrable articles directly from your wallabag
• You want to retrieve your wallabag data? Hey, remember, wallabag is open source, you can export it

Features - wallabag

PortableApps.com Platform 12.1: Improvements, Localizations, Bug Fixes, and Moving Forward | PortableApps.com - Portable software for USB, portable and cloud drives

Platform Features

As always, the PortableApps.com Platform is packed with great features like:

• Automatic App Closing - Closing down and getting
  going is easier than ever with the platform automatically (and safely)
  closing your running portable apps and letting you know which ones need
  to be closed before you eject and finish syncing your cloud drive. Luthfi Harahap was kind enough to re-license some of his code to help with this feature
• Awesome Themes - The modern default theme matches
  well with Windows 7, Windows 8/8.1 and Windows 10 and all your favorite
  classic themes are included as well.
• Cascading Tray App Menu - Get quick access to all your apps with a right click in the system tray
• Always-Ready Search - The app search box is always
  visible and ready by default, so you can open the platform - possibly
  with the CTRL-ALT-SPACE hotkey - and just start typing to launch your
  favorite app. You can even search in app descriptions if you'd like by
  ticking a box in Options
• Proxy Support - The connections tab in Options lets you automatically or manually configure the platform to work with your internet proxy
• Full Featured Installer - The Platform installer can detect and install to your portable devices, synced cloud directories, local machine, and more
• Fast Updater / App Store - Quickly check for updates to your existing apps and find new ones by name, category, release date, and more
• Eject or Power Off - For local users, the eject
  button automatically switches to a shutdown/restart/log off button,
  bringing up the Windows prompt to select your choice. You can also
  right-click on the button to select to show either eject or
  shutdown/restart/log off.
• Portable Fonts - Take all your fonts with you and use them in all your portable apps
• Organize Your Apps Your Way - Use the default of
  favorites and most used apps with all apps by category on the second
  page or switch it up by selecting alphabetical apps, categories and
  favorites by default, and other options
• All the fixes and features are details in the PortableApps.com Platform Changelog

PortableApps.com Platform 12.1: Improvements, Localizations, Bug Fixes, and Moving Forward | PortableApps.com - Portable software for USB, portable and cloud drives

Hispasec @unaaldia: Nubes tormentosas, archivos robados

El ataque reside en conseguir el token de contraseña, un pequeño archivo que para mayor comodidad se localiza en el dispositivo del usuario, para evitar tener que introducir la contraseña cada vez que el servicio quiera sincronizarse. Una vez que se consigue el token, para lo que puede emplearse cualquier otro tipo de ataque (p.ej. phishing o drive-by), se puede emplear para engañar a un nuevo equipo y convertir al atacante en el dueño de la cuenta. A partir de aquí ya está todo hecho, el atacante podrá acceder y robar los archivos del usuario, añadir malware en la nube del usuario, emplear la cuenta de ese usuario para otros ataques…


El token de autenticación se almacena en el sistema del usuario en el registro o en un archivo. Después de la autenticación, no se necesitan más credenciales explícitas (o almacenadas) para acceder a la cuenta del usuario. Además este token de sincronización es independiente de la máquina, puede utilizarse el mismo en máquinas diferentes.



Hispasec @unaaldia: Nubes tormentosas, archivos robados

Microsoft's new small print – how your personal data is (ab)used

Users who chose to enable Microsoft’s personal assistant software
“Cortana” have to live with the following invasion to their privacy: “To
enable Cortana to provide personalized experiences and relevant
suggestions, Microsoft collects and uses various types of data, such as
your device location, data from your calendar, the apps you use, data
from your emails and text messages, who you call, your contacts and how
often you interact with them on your device. Cortana also learns about
you by collecting data about how you use your device and other Microsoft
services, such as your music, alarm settings, whether the lock screen
is on, what you view and purchase, your browse and Bing search history,
and more.” But this is not all, as this piece of software also analyses
undefined “speech data”: “we collect your voice input, as well your name
and nickname, your recent calendar events and the names of the people
in your appointments, and information about your contacts including
names and nicknames.”



Microsoft's new small print – how your personal data is (ab)used

Free Oracle Book: "Developing Applications with NetBeans IDE 8.0" | NetBeans Zone

As you'll see, it very thoroughly covers everything that NetBeans can do for you!



Free Oracle Book: "Developing Applications with NetBeans IDE 8.0" | NetBeans Zone