Continuo con la segunda parte de mi listas, mujeres en la tecnología que no puedes dejar de seguir en Twitter 🙂
#11 – Jessy Irwin
Tecnologa y entusiasta de la ciberseguridad, Jessy es un miembro muy activo en la comunidad, parte de su tiempo lo dedica a impartir platicas sobre privacidad de datos, consejos básicos sobre seguridad y en general concientizar a la población acerca del buen uso de Internet, en su blog personal tiene bastantes referencias sobre platicas y eventos a las que ha sido invitada
Julia es una hacker muy peculiar 🙂 no solo por la manera en la que transmite sus ideas (les recomiendo ver los videos de sus presentaciones en YouTube) si no también por el gran numero de áreas que domina en la informática, parece que no hay algo que esta mujer no sepa y lo mejor de todo es que puede explicar temas muy complejos de una forma simple y fácil de entender para el común de los programadores. Algunas de sus publicaciones mas populares incluyen System design, TCP stack, Kernel hacking, dynamic memory, etc.
Aunque ella se considera a si misma una simple administradora de sistemas, en sus publicaciones Julia demuestra un gran expertis en el área de redes y sistemas operativos en general.
Fundadora y CEO de LutaSecurity, empresa dedicada en proveer soluciones para el responsable disclosure de vulnerabilidades en las organizaciones, los tweets de Katie incluyen las ultimas noticias sobre el malware que afecta a las organizaciones y APTs (advanced persistent threat) en general.
Katie Neuman es una autoridad en la comunidad de seguridad, junto con un grupo de expertos se encargan de crear las pautas para que los procesos de seguridad a nivel corporativo sigan un mismo estándar, en su cuenta de Twitter publica acerca de las ultimas amenazas en el mundo de la ciberseguridad.
Lesley Carhart es una veterana de la seguridad, con mas de 15 años de experiencia en la industria, incluyendo 8 como DFIR (Digital Forensics and Incident Response) es una gran inspiración para todas los entusiastas de la informática forense, mediante su blog personal colabora con la comunidad publicando artículos de seguridad dirigidos tanto a audiencia técnica como no técnica, puedes encontrar varios videos de sus charlas en Youtube
Amanda Rousseau, mejor conocida como Malware Unicorn, es una analista de Malware e investigadora de seguridad, su experiencia incluye haber trabajado como Malware reverse Engineer en el centro de delitos cibernéticos del Departamento de Defensa de los Estados Unidos, Amanda es especialmente popular en eventos de ciberseguridad como Defcon y Black Hat por sus platicas y talleres sobre ingeniería inversa.
Melissa Archer es una entusiasta de la tecnología, actriz y empresaria, mejor conocida por ser cofundadora de Hacker’s brew, Jailbreak developer y Tweak developer.
Ophelia Pastrana es una mujer transgénero, física, economista, emprendedora y agnóstica de la tecnología, es muy activa en redes sociales, especialmente en la comunidad tecnológica y LGBT de Latinoamérica, es creadora de varios podcast/vlogs como nerdcore y canvas y le gusta asistir a multitud de eventos tecnológicos entre ellos Campus Party MX, en el cual he tenido la oportunidad de conocerla y hablar con ella personalmente.
Parisa Tabriz aka Security Princess, trabaja en Google liderando uno de los equipo de ciberseguridad encargado de mejorar la seguridad de varios productos, entre ellos como Google Chrome, Parisa es una investigadora de la que todo entusiasta de la seguridad ha oído hablar al menos una vez, una de sus aportaciones mas significativas ha sido su articulo So, you want to work in security? en donde comparte consejos a las personas que se quieren iniciar en seguridad.
Rosa Guillén, también conocida como Novatillasku es una entusiasta de Linux a la que tengo ya varios años de seguir en Internet, es autodidacta y tiene un blog donde publica noticias y artículos de tecnología, comencé a leer sus tutoriales sobre Ubuntu y Linux en general cuando empezaba la preparatoria, si quieres estar enterado de las ultimas noticias sobre este sistema operativo definitivamente es una excelente fuente de noticias.
Sailor Mercury tiene una historia muy interesante, ella solía ser una desarrolladora web en Airbnb y tenia un pasa tiempo que consistía en crear historietas sobre tecnología y diversos temas de ciencias computacionales como algoritmos, memoria, TCP, protocolos, etc. con la ayuda de Kickstarter consiguio fondos para crear una tienda en linea llamada bubblesort.io, dejo su trabajo en Airbnb y ahora se dedica de tiempo completo a seguir transformando conceptos complejos en pequeñas historietas para que mas gente tenga acceso al conocimiento.
Samantha Davidson es una hacker que ha trabajado en equipos de seguridad de compañías como Uber y actualmente Snapchat, su trabajo consiste en concientizar a las personas acerca de la privacidad de sus datos, sobre todo en ambientes corporativos.
Tuve la oportunidad de conocer a Sheila en una de sus platicas durante el DragonJar Security Conference en 2015 en Manizales, Colombia. Ella se dedica a la seguridad informática pero desde un punto de vista mas ofensivo, es una reverse engineer y analista de malware muy hábil, ha contribuido a la comunidad de seguridad creando herramientas como CBM – The Bicho y el framework Crozono
Yan Zhu es otra de las hackers mas populares y respetadas en la comunidad de seguridad, siempre esta presente en eventos como Defcon y Black Hat, entre sus aportaciones a la comunidad se encuentran haber contribuido a proyectos como HTTPS everywhere, Let’s Encrypt, SecureDrop, Privacy Badger y Brave
Puedes encontrar varias de sus charlas en Youtube, la gran mayoría de ellas son acerca de protocolos de seguridad para comunicaciones como TLS.
Investigadora y oradora en temas de ciberseguridad reconocida mundialmente, trabaja directamente con compañías Big 4 y Fortune 500 ayudandolos a crear estrategias para mejorar su seguridad y la de sus productos. Esta mujer ha aportado bastante a la comunidad y ha sido fuente de inspiración de muchísimos entusiastas alrededor del mundo, ha sido mencionada en medios de gran reputación como Forbes, Scientific American, WIRED y TED.
Mucha de la gente que me conoce sabe que soy un gran amante de los soundtracks, mi biblioteca musical está conformada en su mayoría por soundtracks de mis películas, series y videojuegos favoritos, a diferencia de algunos otros melómanos yo no conozco nombres de bandas famosas, o la historia del vocalista X o el baterista Y del grupo Z, pero si tuviera una habilidad musical (además de saber tocar la guitarra) esta sería la capacidad de identificar en qué serie / película / videojuego he escuchado antes X canción :).
Desde hace algún tiempo he querido hacer una serie de publicaciones acerca de mis soundtracks favoritos, y en esta ocasión empezare con Videojuegos:
Half Life track 34
Half Life fue una de las primeras sagas de los videojuegos que termine completamente, se trata de un FPS que jugué a mediados de 2006 y que me gusto bastante, además de su historia y todo el sci fi lo que más me engancho fue su música, los dejo con el track 34 del soundtrack que es la música que suena en uno de los endings del juego.
The Last of Us Soundtrack 06 – Vanishing Grace
The Last of Us es un juego relativamente reciente, tuve la oportunidad de jugarlo y terminarlo el año pasado y me gusto bastante, muchos de sus soundtracks son tocados con guitarra acústica y eso es un plus para mí, esta pieza en particular es bastante relajante y emotiva por el contexto en el que juega durante la historia del juego.
Age of Empires II: The Conquerors Soundtrack 7 – Mountain Lie On
AOE es un clásico de clásicos de los RTS, sus soundtracks son variados y encajan perfectamente en cada etapa de una partida, Mountain Lie On en particular me encanta por el clímax que se escucha más o menos a la mitad de su reproducción, no les digo el segundo exacto para que mejor la escuchen y disfruten por si mismos.
The Elder Scrolls V: Skyrim OST – Steel on Steel
The Elder Scrolls V Skyrim es uno de mis RPGs favoritos, literalmente he invertido horas y horas en este videojuegos y nunca me ha aburrido, sus soundtracks son de lo más épico que he escuchado y en el caso de Steel on Steel me hace recordar estar librando una batalla dentro de alguna mazmorra contra un grupo de hechiceros / Orcos que me sobre pasan en número.
Mass Effect 1 OST – Uncharted Worlds
Unhcarted Worlds de Mass Effect es el soundtrack que escuchamos cuando exploramos el mapa en el primer Mass Effect, es un soundtrack que por alguna razón me hace entrar en un estado de concentración absoluto, es por eso que muchas veces cuando estoy en alguna sesión de programación maratónica de fondo suena un loop de 10 hrs de Uncharted Worlds
Mass Effect 2 OST – Illusive Man theme
Lo mismo que el soundtrack anterior, puedo escuchar Illusive Man theme por 10 hrs seguidas sin problemas
Age of Mythology Soundtrack – 04 Never Mind the Slacks and Bashers
AOM es otro RTS clásico con el que muchos universitarios / adultos jóvenes vivieron su infancia, los soundtracks de Age of Mithology son únicos y te transportan a la época de la civilización con la que estés jugando, recomiendo bastante este soundtrack si lo que quieres es inspiración.
Age of Mythology Soundtrack – 06 Flavor Cats
Otra joya de AOM, de este soundtrack en particular me gusta el bajo que se escucha de fondo lo suficiente como para recomendarlo en esta lista
Skyrim Additional Music Project Track 11: The Winged Dread
Este soundtrack lo descubrí por casualidad hace algunos meses mientras me preparaba para una sesión de trabajo en la empresa donde laboro, los invito a escuchar este soundtrack con audífonos a todo volumen para disfrutarlo al máximo XD, por lo menos a mí me hace sentir que estoy librando una de las más grandes batallas de todos los tiempos (justo en el minuto 1:55)
The witcher 3: Wild hunt – Hunt or be hunted
Hunt or be hunted es el primer soundtrack de batalla que suena cuando peleas contra un mini boss en The Witcher 3, durante esta batalla Gerald lucha contra una bestia alada, un grifo, y como se darán cuenta el soundtrack queda bastante con el calor de la batalla, el grifo no solo supera en fuerza al Witcher, sino también en tamaño y además vuela, es un muy buen soundtrack de batalla.
Dark Souls – Gwyn, Lord of Cinder
Este soundtrack suena durante la pelea contra Gwyn, Lord of Cinder y jefe final de Dark Souls 1, a diferencia de otros soundtracks de pelea que compartí más arriba este es mucho más lento y melancólico y te hace pensar en que Gwyn did nothing wrong, él no es malvado en realidad y solo fue víctima de las circunstancias (y el poder lo corrompió)
Bonus extra
La verdad es que tengo tanta música que nunca acabaría de listarla por completo, pero a continuación dejo algunas recomendaciones extras de soundtrack que también me gustan y las escucho bastante.
El 30 de mayo de este año (2016) Enrique Alfaro, presidente de Guadalajara, anunció durante la sesión de Campus Night la nueva aplicación de administración y gestión de información relevante para los ciudadanía: CiudApp.
Entre muchas otras cosas, la aplicación permite a los ciudadanos estar informados de las noticias más relevantes de la administración (por eso del trending de los gobiernos abiertos), realizar reportes incluyendo geolocalización y solicitar o proponer servicios al gobierno.
A raíz del lanzamiento de la aplicación ha surgido bastante debate y comentarios en Internet en torno a la misma, incluso leí un artículo muy interesante en donde le hacían un análisis de usabilidad a la aplicación, pienso que está bien ya que en nuestro querido México, en el pasado hemos tenido casos polémicos como el de la app de los 115 millones de pesos y es natural que la gente que sabe del tema (desarrolladores, ux designers, community managers, etc.) emitan su opinión acerca de un producto tecnológico “generado” por el gobierno.
Regresando a lo anterior, después de leer el análisis heurístico de usabilidad de la aplicación me pregunte a mí mismo ¿Quién está detrás del desarrollo de la aplicación?, ¿Y si le hacemos un análisis interno a la app? Podemos hacer algunas pruebas de seguridad también, vamos a “destripar” la aplicación para entender como está construida y ver cómo fue desarrollada, todo esto con la premisa de que no vamos a romper ni a explotar / vulnerar / hackear nada 🙂 y pues manos a la obra.
Instalando la aplicación en genymotion
Lo primero que vamos a hacer es descargar el apk de la aplicación (Si, el análisis lo vamos a hacer sobre un dispositivo con Android), el link de la app CiudApp en la playstore es https://play.google.com/store/apps/details?id=com.radmas.iyc.guadalajara.mex y hay miles de sitios web que te permiten descargar el apk utilizando la url de la tienda, solo busquen algún en google y descarguen el archivo, cuando hayan terminado tendrán un archivo llamado más o menos así Ciudapp_Guadalajara_v3.0.146_apkpure.com.apk.
Después de eso vamos a instalar la aplicación en genymotion, si no saben lo que es pueden investigar y descargarlo de acá https://www.genymotion.com/ y probablemente escriba un tutorial en el futuro acerca de cómo instalarlo y configurarlo.
Ejecutamos nuestro dispositivo virtual de con Android y vamos a proceder a instalar el apk de la aplicacion mediante adb con el comando:
Una vez termine el proceso de instalación tendremos la app en nuestro dispositivo virtual.
Bueno, ya tenemos la aplicación preparada, vamos a dejar esto por un momento y vamos a regresar a la carpeta en donde descargamos nuestra apk, ahora vamos a utilizar 3 herramientas, apktool, dex2jar y Jd (Jar Decompiler) para entender un poco más como está construida la app.
Obteniendo los assets de la aplicación
Vamos a utilizar apktool para de compilar la app y leer así algunos archivos importantes como el AndroidManifest.xml, strings.xml y cualquier otro archivo que nos pueda decir algo acerca de la app o sus desarrolladores.
apktool.bat d "C:\Users\Alevskey\Documents\Pentest\mobile\ciudapp\Ciudapp Guadalajara_v3.0.146_apkpure.com.apk"
Entre los permisos que nos solicita la aplicación tenemos cosas típicas como acceso a la cámara, acceso al GPS, escribir y leer en almacenamiento externo, acceso a internet, etc., permisos que uno esperaría de una aplicación como esta.
Lo que me llamo la atención desde un inicio, y una de las razones por las que quería hacer este ejercicio, fue encontrar que empresa fue la desarrolladora de la app, revisando más a fondo el archivo vemos que muchos de los packages empiezan con com.radmas.iyc.guadalajara.mex, haciendo una búsqueda en google de radmas.com encontramos lo que parece ser una agencia española (pueden revisar su información en who.is) de desarrollo de software especializada en diseño, marketing, creación de aplicaciones móviles y páginas web.
Si son desarrolladores de Android pueden identificar rápidamente otras cosas interesantes como los activities de la aplicación, uno que otro broadcast receiver, algunos servicios, intents, public api keys, etc.
También me llamo la atención que la aplicación tiene internacionalización, aunque la app parece un poco genérica, está bien hecha en ese aspecto
Con la utilidad File Locator Lite también encontramos algunos archivos interesantes como:
app.json
{
"server_url":"https://api.mejoratuciudad.org",
"base_uri":"",
"jurisdiction_id":"mx.guadalajara",
"api_key":"12",
"name":"Ciudapp Guadalajara",
"promo_text": "Echa un vistazo a 'Ciudapp Guadalajara', la mejor aplicación móvil de atención ciudadana https://play.google.com/store/apps/details?id=com.radmas.iyc.guadalajara.mex",
"promo_web": "https://play.google.com/store/apps/details?id=com.radmas.iyc.guadalajara.mex",
"email": "[email protected]",
"languages": [{"key":"Español","value":"es"},
{"key":"Inglés","value":"en"}],
"share_url": "http://intranet.mejoratuciudad.org/mail/request/"
}
De acuerdo a lo que vemos la app se comunica con varios servicios web hospedados en mejoratuciudad.org, investigando un poco sabemos que la empresa anterior mencionada (radmas.com) también es dueña de este producto, y según sus propias palabras:
Mejora Tu Ciudad (MTC) es una plataforma de comunicación entre los ciudadanos y el ayuntamiento, que se enmarca dentro de las soluciones Smart City y que se basa en los tres pilares fundamentales de Open Government:
Participación, colaboración y transparencia
Al menos con esto estoy un poco más tranquilo sabiendo que el gobierno de Guadalajara contrato una empresa especializada para el desarrollo de la aplicación y no a un par de becarios para programar la app XD.
Del DEX al JAR y del JAR al código fuente
Antes de avanzar al siguiente paso hay algo más que podemos hacer, es sabido que los archivos apk, son en realidad archivos rar, entnces tomamos nuestro Ciudapp Guadalajara_v3.0.146_apkpure.com.apk lo renombramos a Ciudapp Guadalajara_v3.0.146_apkpure.com.rar y lo descomprimimos obteniendo algo como lo siguiente:
El contenido de la carpeta es muy parecido a lo que generamos cuando utilizamos apktool sin embargo si tratan de abrir algún archivo xml aquí, como por ejemplo el AndroidManifest.xml lo unico que obtendrán serán 0s y 1s, pero tenemos algo interesante, el archivo classes.dex.
Podemos utilizar dex2jar con el siguiente comando para generar un archivo jar (Javar Archive)
Obtendremos un archivo classes_dex2jar.jar que podemos abrir en el Java decompiler, tan solo abrimos la aplicación y seleccionamos el archivo jar.
Muchos de los paquetes que vemos ahí son librerías de terceros y conforme indagamos más y más podemos ver que la aplicación utiliza librerías de facebook, google, librerías para animaciones, reyclerviews personalizados, analytics, Bitly, crash analytics, etc.
Para agilizar la búsqueda podemos seleccionar File > Save All Sources y elegimos una carpeta en donde guardaremos el archivo Zip generado que después descomprimimos y analizamos, nuevamente utilizando File Locator Lite
Algunas búsquedas nos arrojan cosas interesantes, como por ejemplo credenciales en texto plano XD
Con las credenciales obtenidas fue posible acceder a lo que parece un portal administrativo de estacionamientos de una tercer empresa llamada urbiotica en http://services.urbiotica.net/
Podemos ver, al parecer, en tiempo real el status de los cajones de un estacionamiento en algún lugar de España, la pregunta aquí es: ¿Que hacían esas credenciales hardcodeadas en la app?, navegando la aplicación no veo por ningún lado algo que haga referencia a estacionamientos sin embargo haciendo otra búsqueda con la palabra park obtenemos referencias en muchos otros archivos.
Sin embargo no pude lanzar ningún activity o servicio relacionado al Parking desde adb shell ya que no estaban registradas en el AndroidManifest.xml.
Opino que esas credenciales son quizás de algún desarrollo anterior, el código fuente fue re utilizado y las credenciales fueron olvidadas ahí y ahora están siendo distribuidas masivamente XD, en fin la pantalla administrativa del sistema de estacionamientos luce de esta forma, tiene sentido que haya otra empresa más involucrada en este proyecto, sobre todo si es está enfocada en tecnologías para Smart cities.
Revisando los archivos de la aplicación
Regresamos a nuestro emulador y ahora vamos a abrir una shell de windows y ejecutamos el comando:
adb shell
El comando anterior nos entregara una consola para poder navegar el dispositivo donde instalamos la app, conociendo un poco sobre Internals y arquitectura general de Android sabemos que la información de una app se almacena en la ruta /data/data/package.de.la.app, en este caso /data/data/com.radmas.iyc.guadalajara.mex/
Aquí encontramos otros archivos que podrían contener más cosas interesantes y que a su vez nos podrían enseñar un poco más cómo funciona la aplicación, comenzamos por ver que hay dentro de la carpeta shared_prefs, si no saben lo que es pueden investigar más al respecto acá https://developer.android.com/training/basics/data-storage/shared-preferences.html pero en resumen es un método de almacenamiento persistente que nos ofrece el sistema operativo, la información es almacenada en archivos XML y es generalmente utilizado para guardar configuraciones de la aplicación.
Quizás el archivo más interesante es JURISDICTION_LOADED.xml que contiene:
Y del cual vamos a hablar en la siguiente etapa. Después de que se loguen en la app pueden ver que nuevos archivos de preferencias compartidas son creados, estos contienen información relacionada con su cuenta, facebook, etc, etc.
En la carpeta /data/data/com.radmas.iyc.guadalajara.mex/databases/ encontramos dos bases de datos sqlite, procedemos a descargarlas para ver qué es lo que contienen usando los siguientes comandos.
En la tabla request es donde podemos ver los reportes “cacheados” por la aplicación en nuestro teléfono, podemos observar el id del reporte (service_request_id), el id de la cuenta de la persona que hizo el reporte (account_id), la calle, coordenadas, url de imagenes, descripcion, status, fecha, etc.
En general cumplen con las buenas prácticas de almacenamiento de información, no almacenan datos sensible en lugares inseguros como la SD externa y en su lugar lo hacen en bases de datos SQLite y shared preferences que es donde solo la aplicación tiene privilegios de lectura y escritura.
Entendiendo las comunicaciones
Ahora viene una de las partes más divertidas de este tipo de ejercicios, saber cómo y con quien se comunica la aplicación, que es lo que envía y que es lo que recibe, etc. Pero antes, si están haciendo este ejercicio mientras leen mi artículo se darán cuenta que la app maneja un concepto muy interesante llamado Jurisdicciones o Jurisdiction, después de analizar el código fuente y visualizar en mi mente el flujo de información, jurisdiction es un identificador que le dice a la app que información cargar de acuerdo a una región especifica, por default la app al iniciar hace un request a https://api.mejoratuciudad.org/applications/12.json y obtiene como resultado
Pueden jugar con el numero al final de la url y de esta manera nos damos cuenta que esta aplicación (o al menos el backend y los servicios web) son escalables y han sido implementados en muchas otras ciudades y países (¿Posiblemente otros clientes de radmas?), por ejemplo https://api.mejoratuciudad.org/applications/5.json nos arroja:
Revisando rápidamente con una herramienta para automatizar el proceso podemos ver que actualmente existen 16 jurisdicciones diferentes (al menos en ese servidor), podemos encontrar muchísimas ciudades más del estado de Jalisco así como ciudades de otros países, eso nos dice que la aplicación está siendo implementada en muchos más lugares 🙂
El mismo ID de jurisdicción es utilizado para obtener las noticias, reportes y servicios relacionados de una región en específico.
Continuamos, como sabemos la aplicación se comunica con servicios web hospedados con el proveedor https://api.mejoratuciudad.org/, si vamos a esa URL podremos ver una bonita api REST muy bien documentada 🙂
Esto es muy bueno ya que los desarrolladores ya no estamos limitados a solo utilizar la aplicación, ahora podemos crear nuestras propias aplicaciones utilizando la api ya existente :)! hay otros servicios web muy interesantes como:
Como mencionaba anteriormente, tal solo cambien el valor de la jurisdicción por alguno de los otros y obtendrán la información de las otras plataformas. Para obtener un poco mas de información general de la aplicación, ejecutamos fierce sobre mejoratuciudad.org para tratar de obtener una lista de posibles subdominios
En este punto el servidor me dio ban (probablemente por mis peticiones automatizadas, pero nada que no se solucione con una VPN), y ya no continué haciendo más pruebas, pero no sin antes darme cuenta de que al parecer su servidor no está hardenizado, cualquier petición a su api devolvía un error 403 revelando la versión del servidor web y su sistema operativo.
Y si le corremos un scan con nmap a los puertos más conocidos obtenemos.
PORT STATE SERVICE VERSION
22/tcp open ssh OpenSSH 6.6.1p1 Ubuntu 2ubuntu2.7 (Ubuntu Linux; protocol 2.0)
80/tcp open http nginx 1.4.6 (Ubuntu)
111/tcp open rpcbind 2-4 (RPC #100000)
443/tcp open ssl/http nginx 1.4.6 (Ubuntu)
5666/tcp open tcpwrapped
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel
Por buenas prácticas de seguridad esa información no debería ser revelada, y es bastante sencillo corregir eso (literalmente es modificar una línea en el archivo de configuración de nginx).
Con la ayuda de Burp Suite es posible analizar los request y eso nos arroja aún más información de cómo se comunica la app, aunque teniendo la documentación de su api a la mano ya no es tan necesario.
Para terminar, que es lo que aprendimos hoy
En el desarrollo de este proyecto estuvieron involucradas al menos 3 partes: El gobierno de Guadalajara, la empresa Radmas y Urbiotica (dejando de lado el posible caso de que en realidad ellos no tienen nada que ver y solo las credenciales de uno de sus clientes fueron leakeadas en la app, eso sería muy mala suerte)
Al menos la app de Android (que fue la que analice) fue desarrollada de forma nativa
Hacen buen uso de las funcionalidades para almacenar información, guardan la información sensible utilizando shared preference y bases de datos sqlite
El almacenamiento de imágenes lo hacen en la nube de aws
La app tiene credenciales hardcodeadas (posiblemente de un proyecto anterior del cual re utilizaron el código) y que al día de hoy funcionan
La app utiliza el servicio de mejoratuciudad.org que al parecer es un producto de radmas.com y podemos decir que es un software / plataforma / tecnologia especializada para hacer implementaciones en smart cities
Los servidores de mejoratuciudad.org no están hardenizados
Los servidores de mejoratuciudad.org cuentan con algún tipo de IDS/IPS que bloquea a usuarios después de X número de peticiones automatizadas.
La plataforma no implementa esos controles puesto que solo utilice una VPN para cambiar mi IP y ya pude seguir interactuando con la app sin problemas.
Debido al concepto de Jurisdicciones sabemos que la app está siendo implementada en muchas otras ciudades de México y el mundo (16 clientes para ser exactos según los servidores de mejoratuciudad.org)
Los servicios web no parecen vulnerables a algún tipo de ataque popular como SQL injection, xss, RCE, etc. Muy bien por Radmas 🙂 )
Hola lectores, tengo varios post acumulados que me gustaría publicar antes de que termine el año, varios son nuevos tutoriales de desarrollo, avances en mi investigación sobre la seguridad en SmartTvs y eventos de tecnología a los que he asistido estos últimos meses.
El 13 y 14 de noviembre se llevó acabo el I/O Hack 2015 en el Tecnológico de Monterrey campus Santa fe y tuve la fortuna de ser uno de los 40 seleccionados para asistir al hackaton. Era la primera vez que asistía a un evento de este tipo, ya sabía de la existencia de los hackatones y sabia más o menos bien de que se trataba pero nunca había tenido la oportunidad de participar en uno.
Pues llegue el viernes 13 (nunca he creído en la mala suerte hehe) al evento sin conocer a nadie, los organizadores y todo el staff eran bastante amable y procuraban que uno se sintiera cómodo en todo momento, ya una vez dentro de las instalaciones se respiraba un aire muy parecido al de un evento en campus party, pequeños grupos hablando sobre tecnología, personas presentándose y hablando un poco acerca de lo que hacen, un par de impresoras 3D en el centro haciendo modelos, etc. rápidamente me integre a uno de los grupos, me presente y comenzamos a platicar acerca de que les parecía el evento, en que programaban, que frameworks manejaban, hardware y demás cosas en lo que empezaba oficialmente el evento.
El hackaton tenía como temática el Internet de las cosas y había 3 categorías principales en las que se podía participar, estas eran:
Agricultura
Logistica
Retail (soluciones para pymes)
Por cada una de ellas se nos dio una plática y se nos hablo acerca de problemáticas muy puntuales a las que se enfrentan hoy en día, en lo personal me gusto bastante la charla sobre agricultura ya que representa una industria millonaria en México, y uno pensaría que agricultura y tecnología no tienen nada en común pero la verdad es que muchos de sus problemas si se pueden resolver usando tecnología.
Para no extenderme demasiado solo diré que al inicio del evento conocí dos personas bastante interesantes, quienes ademas de tener solidas habilidades en programación eran bastante buenos en las cuestiones de algoritmos, complejidad computacional y específicamente tratamiento de imágenes, Fernando Hernandez y Marco Antonio Cruz, al final participamos en la categoría de agricultura desarrollando una solución de reconocimiento de imágenes tomadas mediante fotografía aérea con drones, la idea era detectar cuando una plantación de caña de azúcar comenzara a secarse (analizábamos los niveles de amarillo en las puntas de la planta desde arriba) y con eso alimentábamos una red neuronal para determinar si se estaba echando a perder el producto, desarrollamos nuestro prototipo, hicimos las pruebas y lo presentamos a los jueces obteniendo el tercer lugar del Hackaton 🙂
Bueno hasta aquí mi resumen sobre el evento, lo que más me gusto y con lo que me quede fueron las experiencias que viví, toda la gente que conocí, las tecnologías que aprendí y sobre todo los buenos amigos que hice, ahora, mi intención con este post además de contarles un poco lo que viví es invitarlos a participar en un evento de este tipo siempre que puedan, así que les dejo los pros y contras de un Hackaton.
Pros de asistir a un Hackaton
Conoces gente muy interesante (TI, Makers, hackers, etc)
Te expones a nuevas tecnologías
Aprendes lo que sabes y te enseñan nuevas cosas
Haces amigos
Resuelves retos y problemas interesantes
Contras de asistir a un Hackaton
Si el evento no ofrece viáticos a sus participantes pues es un gasto
Si no te gusta desvelarte frente a una computadora eso es un problema
Si eres celoso al compartir tus ideas eso es un problema
Esta charla se titula ¿Quieres comenzar tu StartUP? Tips y tecnologías que te ayudaran, y la impartí durante un hackers & founders en la ciudad de Morelia, Michoacán.
No importa si eres desarrollador con experiencia o apenas comienzas en el mundo de la tecnología, esta charla esta enfocada principalmente a personas que tienen la iniciativa de crear su StartUP de tecnología, puede ser una app movil, una plataforma web o un servicio que utilice Internet, pero tienen problemas al momento de empezar o no conocen cuales son las mejores opciones que hay en el mercado.
En esta charla se explican las diferencia entre distintas tecnologías como hosting (servidores compartidos, dedicados, virtuales), domains (com,mx,org,etc), algunos manejadores de contenidos que existen en el mercado (wordpress, joomla, drupal), ecommerce (prestashop, magento, broadleafcommerce) y foros (phpbb, simplemachine).
Tambien hablamos sobre servicios web y los distintos proveedores que nos pueden ayudar a darle soporte a nuestras aplicaciones (Amazon Web Service, Azure, Rackspace).
Terminamos con una comparación sobre desarrollo de aplicaciones nativas y multi plataforma para Android y iOS, sus ventajas y desventajas y sobre todo en cual nos conviene desarrollar o invertir.
This website uses cookies to improve your experience. We'll assume you're ok with this, but you can opt-out if you wish.AcceptRead More
Privacy & Cookies Policy
Privacy Overview
This website uses cookies to improve your experience while you navigate through the website. Out of these, the cookies that are categorized as necessary are stored on your browser as they are essential for the working of basic functionalities of the website. We also use third-party cookies that help us analyze and understand how you use this website. These cookies will be stored in your browser only with your consent. You also have the option to opt-out of these cookies. But opting out of some of these cookies may affect your browsing experience.
Necessary cookies are absolutely essential for the website to function properly. This category only includes cookies that ensures basic functionalities and security features of the website. These cookies do not store any personal information.
Any cookies that may not be particularly necessary for the website to function and is used specifically to collect user personal data via analytics, ads, other embedded contents are termed as non-necessary cookies. It is mandatory to procure user consent prior to running these cookies on your website.