Isidro M. Pérez

Ingeniero Informático.
Interesado en temas de seguridad.

[Isidro M. Pérez @maverick69i]

@PDuchement No lo dudéis. Si queréis ayudar a una gran persona en la lucha contra el acoso a menores en las RRSS (y cosas peores en algunos casos), hazte #CiberProtecter. Comencé comprando varios ejemplares de su libro, y después me hice CiberProtecter. Hoy he hecho upgrade a mi mecenazgo

[Isidro M. Pérez @maverick69i]

@ServiciosAND @AndaluciaJunta La sede electrónica da error 503 desde esta mañana al intentar realizar un procedimiento dirigido al #RAED, como es solicitar certificado de inscripción en RAED. ¿Cuándo volverá a estar disponible?
#JuntaAndalucía #SedeElectrónica #Caída #Inoperativa

[Universidad de Málaga @InfoUMA]

¿Te presentas a la 𝗣𝗔𝗨 𝗲𝘅𝘁𝗿𝗮𝗼𝗿𝗱𝗶𝗻𝗮𝗿𝗶𝗮? 👀 ¡No pierdas de vista los plazos de inscripción a las pruebas! ⬇️ 

⭐️ Toda la información en https://t.co/xDgc6JEEeY

[Bernardo Quintero @bquintero]

* 10 días en Málaga este verano (6-16 Julio)

* Alojamiento y desplazamiento gratis

* Formación en ciberseguridad

* Organiza la Universidad de Málaga, patrocina Google

no hay mucho que pensar 😅

https://t.co/bLOW3LefYy

[Universidad de Málaga @InfoUMA]

#PAU. Las Universidades Públicas de Andalucía realizarán 𝗯𝗮𝗿𝗿𝗶𝗱𝗼𝘀 𝘀𝗲𝗹𝗲𝗰𝘁𝗶𝘃𝗼𝘀 para la detección de ❌ dispositivos no autorizados durante la PAU 2026.

La medida ha sido determinada en coordinación con el Gobierno de @AndaluciaJunta 🔗 https://t.co/5wtLX7KWVO

[Jose Luis Sanchez @josetesan]

@JaimeObregon Si usáis gmail hay una aplicación muy chula que te vuelca todo el correo a un sistema local Z también han alarido soporte de IMAP recientemente. https://t.co/iL7mFLsWdX

[Jaime Gómez-Obregón @JaimeObregon]

📣 La liberación de los datos mercantiles es una necesidad nacional.

Son datos públicos, pero su modelo de explotación impide aprovecharlos justo para lo que más falta hace: detectar irregularidades en contratos públicos.

✍️ Mi tribuna en @elnotarioSXXI https://t.co/R4m22zBxo4

[Jaime Gómez-Obregón @JaimeObregon]

La Seguridad Social, @info_TGSS, ha renovado la introducción al trámite digital para solicitar la Tarjeta Sanitaria Europea.

¡Y lo han hecho muy bien!

1️⃣ Comunicación clara. Sin el terrible lenguaje jurídico y sin jerga administrativa.

2️⃣ Diseño funcional y mínimo, que no distrae.

3️⃣ Cuerpo del texto legible. Tipografía suficientemente grande, que se lee sin esfuerzo.

4️⃣ El «call to action» (CTA) está claramente definido. Y solo hay uno, tanto arriba como al pie de la página.

5️⃣ Breve colección de preguntas frecuentes, cuyas respuestas están ocultas tras desplegables, lo que reduce la carga cognitiva del ciudadano y le permite mostrar solamente la información de su interés.

6️⃣ Un asistente interactivo, que hace preguntas claras para que el interesado exprese su caso y avance en el trámite sin necesidad de leer supuestos que no son el suyo.

¡Esto está muy bien y es un ejemplo para otras Administraciones y trámites!

Enhorabuena a quienes lo hayan impulsado. ❤️

[Jaime Gómez-Obregón @JaimeObregon]

Un tercer y último comentario a la @AEPD_es. Y a quienes leáis este hilo y trabajéis en o para la Administración pública en trámites digitales:

Tras cursar satisfactoriamente un trámite aparece la posibilidad de dejar una opinión sobre la experiencia. Algo así:

Ayúdenos a mejorar
¿Qué le ha aparecido este trámite?
Seleccione → 😃|😐|😖

Esto es una buena práctica. Solo hay un problema: está implementado de forma que el ciudadano solo puede dejar su opinión ✨cuando culmina exitosamente el trámite ✨.

Si el trámite falla —como me falla a mí— no puedo dejar opinión alguna.

Esto se llama «sesgo del superviviente» y distorsiona totalmente el bucle de mejora continua que han intentando implementar, pues solo se puede opinar de los trámites que funcionan.

Reciban un cordial saludo de su amigo,

— Jaime Gómez-Obregón
Presidente del Observatorio de los Observatorios Públicos de España y consultor gratuito en Sentido Común para organismos públicos.

[Jaime Gómez-Obregón @JaimeObregon]

Lo que reporto está comprobado en Chrome y Safari.

Aquí va otro problema en la Sede Electrónica de la @AEPD_es. Este es más grave, pues me imposibilita cursar el trámite.

Lo que está pasando: cuando adjunto un documento (de una extensión y tamaño admitidos), el trámite falla porque el servidor devuelve un error HTTP 400 («Bad Request»).

El trámite falla y no me dice por qué. Ni siquiera me dice que hay un error —aunque es evidente—. Solo me pide que reintente.

Por supuesto, al reintentar —incluso desde otro navegador o esperar un tiempo— nada cambia y quedo a los pies de los caballos.

Solo puedo hacer una cosa: explicarlo aquí y quedarme sin hacer el trámite, con la sensación de que estoy haciendo de soporte técnico informático gratuito para un organismo público.

Comprobado en ambos navegadores también.

[Jaime Gómez-Obregón @JaimeObregon]

¿Me lee alguien en la @AEPD_es?

Quiero reportar un error en su Sede Electrónica que dificulta la descarga del justificante de presentación de una solicitud.

He grabado este vídeo explicando el problema y la solución.

👉 Al hacer clic para descargar el justificante, no sucede nada. Esto es frustrante y me ha llevado un rato entender qué está pasando.

— El problema, como muestro en el vídeo, es que el evento que dispara la descarga del documento no está vinculado al enlace, sino solo al icono.

— La solución, que vinculen el evento al enlace completo, no solo al icono.

Informo de esto a la @AEPD_es porque seguro que esto está afectando a más personas, algunas de las cuales no estarán logrando descargar su documentación.

Lo reporto en público porque no he encontrado un mecanismo simple y de baja fricción™️ para reportar problemas técnicos.

OTROSÍ DIGO

Que estoy muy harto de encontrar problemas en casi cada trámite digital que curso. Pero estoy instalado en la paciente y constructiva actitud de que:

1️⃣ Si informo de cada problema que encuentro y aporto una propuesta de solución técnica —cuando puedo—, y ✨el organismo escucha✨, el trámite mejorará no solo para mí sino para todo el país.

2️⃣ Si lo hago públicamente y con pedagogía, esto puede ayudar a otros organismos públicos y a los programadores que trabajan en las consultoras que desarrollan para ellos estos trámites.

Que esto llegue a la @AEPD_es y lo resuelvan dirá si esta actitud mía es útil o ingenua.

Sea como fuere, por cada problema que encuentre en un trámite digital, pondré un tuit público. Me seguís 130 000 personas (¡muchas gracias!), y voy a utilizar esa influencia para mejorar todo lo que pille roto en la Administración electrónica y en la relación ciudadano-Estado.

[Laprovittera Carlos @laprovittera]

Hacer cumplir los controles de acceso

El control de acceso (o autorización) consiste en permitir o denegar solicitudes específicas de un usuario, programa o proceso. En cada decisión, un sujeto solicita acceso a un objeto, y el sistema evalúa si la política definida le otorga ese permiso. Este proceso no solo determina si se concede o no el acceso, sino que también abarca la concesión y revocación de privilegios. El control de acceso debe aplicarse en múltiples niveles. Por ejemplo, una aplicación con un backend de base de datos debe implementar controles tanto en la lógica de negocio como en el nivel de datos. Asimismo, cuando una aplicación ofrece distintas formas de interactuar (por ejemplo, una API y una interfaz web), todos los puntos de entrada deben compartir las mismas comprobaciones de control de acceso.

📷 Nota: La autenticación (verificar la identidad del usuario) no es lo mismo que la autorización (verificar qué acciones puede realizar).

Amenazas
Políticas mal configuradas: un atacante podría acceder a datos o funcionalidades que la organización no pretendía exponer.
Componentes inconsistentes: si la aplicación tiene varios módulos de control de acceso, el atacante podría explotar el más débil.
Cuentas olvidadas: una cuenta antigua no deshabilitada puede ser reutilizada por un atacante.
Ausencia de denegación predeterminada: si no se aplica la regla de “denegar por defecto”, el atacante podría acceder a datos al no encontrar una restricción explícita.
Control de acceso
El control de acceso discrecional (DAC) es un medio para restringir el acceso a objetos (archivos, entidades de datos) en función de la identidad y la necesidad de saber de los sujetos (usuarios, procesos) y/o grupos a los que pertenece el objeto. .
El control de acceso obligatorio (MAC) es un medio para restringir el acceso a los recursos del sistema en función de la confidencialidad (representada por una etiqueta) de la información contenida en el recurso del sistema y la autorización formal (es decir, autorización) de los usuarios para acceder a la información de dicho recurso. sensibilidad.
El control de acceso basado en roles (RBAC) es un modelo para controlar el acceso a los recursos donde las acciones permitidas en los recursos se identifican con roles en lugar de con identidades de sujetos individuales.
El control de acceso basado en atributos (ABAC) otorgará o denegará las solicitudes de los usuarios en función de los atributos arbitrarios del usuario y los atributos arbitrarios del objeto, y las condiciones ambientales que pueden ser reconocidas globalmente y más relevantes para las políticas en cuestión.

[Juan Carlos Ortiz 🛡️ Ciberseguridad para Empresas @CycuraMX]

🛡️ ¿Compartirías tu ropa interior? Tampoco compartas tu contraseña maestra

Los gestores de contraseñas son una gran idea.

Pero justo por eso se han vuelto un blanco.

Este ataque va directo al punto más débil.

⚠️ ¿Qué está pasando?

Usuarios de LastPass están recibiendo correos falsos.

Dicen que deben respaldar su bóveda en 24 horas.

Usa palabras como mantenimiento, seguridad y urgencia.

El correo incluye instrucciones detalladas.

Y un enlace que parece legítimo.

Pero lleva a un sitio falso que imita a LastPass.

Ahí está la trampa.

La página pide la contraseña maestra.

Si la escribes, el atacante obtiene acceso total a todas tus contraseñas.

LastPass ya aclaró algo importante.

Ellos no piden respaldos urgentes por correo.

La urgencia es una técnica clásica para que no pienses.

El momento tampoco es casual.

El ataque se lanzó en un fin de semana festivo.

Cuando hay menos atención y más distracción.

💡 Qué debe aprender cualquier usuario de gestores de contraseñas

Un gestor nunca debería pedir tu contraseña maestra por correo.

Ni por enlaces.

O por “mantenimiento”.

Los ataques ya no buscan una contraseña suelta.

Buscan la llave que abre todas.

Por eso copian correos, marcas y procesos reales.

Si un mensaje te apura, te saca de la rutina normal, y te lleva a iniciar sesión desde un enlace,
ahí está la señal.

Y recuerda:

- No hacer clic en enlaces de correos sobre seguridad.
- Entrar siempre al gestor desde tu app o marcador habitual.
- Activar autenticación de dos factores.
- Tu contraseña maestra no se comparte nunca.

Con info de securityweek

[elhacker.NET @elhackernet]

CheckCle es una plataforma de monitorización de código abierto y autohospedada para sistemas, aplicaciones e infraestructuras completas en tiempo real y sin interrupciones
https://t.co/yYH7Hx7Uyp

[DSN @dsn]

#Ciberseguridad
➡️Ataques a las #Contraseñas
➡️Infórmate y que no te afecten
➡️Tipos de ataques
➡️ ¿Cómo proteger nuestras contraseñas?
➡️Ingeniería Social ¿Qué es?
@osiseguridad @INCIBE https://t.co/1gBvVDx8af

[DMNTR Network Solutions 👻 AS204773 @weareDMNTRs]

La caché DNS... esa cosa...

[SoyITPro @SoyITPro]

🛡️ Portmaster es un cortafuegos de aplicaciones gratuito y de código abierto que bloquea la vigilancia masiva y te devuelve el control de tu red.

Con configuraciones predeterminadas seguras y opciones avanzadas, protege tu privacidad sin esfuerzo. Desarrollado en 🇪🇺 Austria, bajo licencia GPLv3.

→ https://t.co/urVjzAgc2r

[Adnan M. @soy_adnan3]

Si Google quiere que pagues por el almacenamiento de Gmail, haz esto antes.

Pasé de 14,9/15 GB a 6 GB en una sola tarde.

Espero que esto te ayude tanto como me ayudó a mí ↓

[DMNTR Network Solutions 👻 AS204773 @weareDMNTRs]

#TipLinux

Ejecuta: watch -d -n 1 ss -s

Muestra en tiempo real cuántas conexiones TCP/UDP/etc tienes abiertas y resalta los cambios.

Lo divertido no es el comando, lo divertido es descubrir que tu servidor “tranquilo” no lo está tanto 👿👿👿

[Isidro M. Pérez @maverick69i]

@AndaluciaJunta, si @proteccioncivil envía alerta roja a móviles, y se enlaza a URL con el acortador de #LaJunta para consejos, qué menos que el servicio funcione. Parece que se os ha caído un servidor #MySQL

[Isidro M. Pérez @maverick69i]

Lo de que funcione vuestra web ya lo dejamos para otro día, no?

¿Saben lo que es la escalabilidad o la alta disponibilidad?

[Ministerio de Sanidad @sanidadgob]

📲 Más información: https://t.co/numyQ3Ol9w