El hilo del laberinto (Publicaciones sobre Privacidad)

Thunderbird "habla demasiado" (respecto a tu configuración)

Jesús Cea Avión — Wed, 13 Nov 2024 22:07:00 GMT

El otro día estaba mirando las cabeceras SMTP de mis correos electrónicos y me he llevado una sorpresa:

User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:102.0) Gecko/20100101
            Thunderbird/102.15.1

Mi cliente de correo, Thunderbird, filtra la versión que estoy utilizando y que estoy usando Linux sobre x86-64.

Y esto no lo hace solo en los correos electrónicos salientes sino también en las conexiones HTTP que se generen al visualizar mensajes en formato HTML.

Esto me parece algo innecesario y un peligro de privacidad y de seguridad.

Afortunadamente podemos irnos al editor de configuración de Thunderbird y editar (o crear, si no existe) la preferencia general.useragent.override. Ahí ponemos el texto que nos de la gana.

En versiones modernas de Thunderbird podemos indicarle directamente al programa que sólo envie Thunderbird como identificación, sin referencias de plataforma o versiones. Para ello hay que entrar en el editor de configuración y poner (o crear) la preferencia mailnews.headers.useMinimalUserAgent a True. Si no queremos enviar una identificación de usuario en absoluto, podemos poner a False la preferencia mailnews.headers.sendUserAgent.

Podeis ver los detalles por vosotros mismos en el código fuente de Thunderbird, en su servidor Mercurial.

Automatización y mantenimiento de NSEC3PARAM en DNSSEC

Jesús Cea Avión — Mon, 19 Feb 2024 14:55:00 GMT

La solución propuesta en Por qué es conveniente usar NSEC3 en vez de NSEC en un dominio DNSSEC define NSEC3PARAM ya sea en el fichero de zona o utilizando rndc signing -nsec3param.

Este enfoque tiene un problema serio: ocasionalmente el signed o el journal de BIND se corrompen y hay que borrarlos. No parece grave porque BIND vuelve a regenerar esos ficheros pero... la configuración NSEC3PARAM se pierde. Y si BIND pierde la configuración NSEC3PARAM deja de servir NSEC3 y la zona pasa a ser NSEC... y no te enteras.

Tras ocurrirme un par de veces decidí ver qué estaba haciendo mal.

Leer más… (quedan 2 minutos de lectura)

Mejoras a la hora de generar un email diario a partir de un feed RSS (Slashdot)

Jesús Cea Avión — Mon, 30 Mar 2020 16:52:00 GMT

En Generar un email diario a partir de un feed RSS (Slashdot) publico un pequeño programa en Python para enviarme un correo electrónico diario con los artículos publicados en Slashdot desde la última notificación.

Este programa me ha servido bien durante años, pero había un problema desconcertante: El programa se ejecuta por cron una vez por hora y se supone que tendría que enviarme el resumen diario entre las cuatro y cinco de la tarde. Normalmente era así, pero no siempre. A veces el email se enviaba horas más tarde.

La cosa no era grave, solo molesta, y nunca tenía tiempo para investigarla. Cuando por fin me metí en harina, tardé un buen ratillo en localizar el problema:

El programa hace una petición HTTP condicional al feed RSS de Slashdot para no machacar el servidor y no trabajar nosotros tampoco en vano si no ha habido cambios. La cuestión es que, si no hay nada nuevo que procesar, el programa termina inmediatamente. Es decir, no llega a la parte de "es hora de mandar el email". En resumen, el correo electrónico se enviaba solo cuando era más tarde de las 16:00 y, además, había entrado algún artículo nuevo en el feed RSS.

Una vez determinada la causa última, la solución es simple: procesar el feed RSS aunque no haya novedades. La cosa parecía sencilla, pero al final no lo fue tanto. No guardo el feed RSS original así que tengo que hacer chanchullos para que mi programa no considere que ha perdido datos. La lógica es innecesariamente compleja, el programa exige una refactorización urgente. Durante el proceso detecté otro problema: si en un momento dado el programa detecta que se han perdido datos, pero no ha llegado aún el momento de enviar el correo electrónico, no nos enteramos. Compliqué el código una vez más para que el estado "pérdida de datos" sea persistente y solo se limpie cuando se ha enviado el correo electrónico notificándolo.

El resultado es un programa que funciona correctamente, pero innecesariamente complejo y bastante frágil. Cuando se llega a este estado urge refactorizar o, con un programa tan corto, directamente reescribirlo por completo.

Las diferencias respecto a la versión anterior son:

slashdot-20181015-ddeb027b3f1c.diff (Código fuente)

--- slashdot-20181015.py        2019-10-12 02:28:46.020075954 +0200
+++ slashdot-ddeb027b3f1c.py    2021-02-11 20:18:38.341490217 +0100
@@ -1,7 +1,7 @@
 #!/usr/bin/env python3


-# (c) 2018 Jesús Cea Avión - jcea@jcea.es - https://www.jcea.es/
+# (c) 2018-2020 Jesús Cea Avión - jcea@jcea.es - https://www.jcea.es/
 # This code is licensed under AGPLv3.


@@ -28,6 +28,7 @@

         self._procesados = data['procesados']
         self._buckets = data['buckets']
+        self._solapamiento = data.get('solapamiento', True)
         self._procesados_nuevos = set()
         self.etag = data['etag']
         self.modified = data['modified']
@@ -41,10 +42,14 @@
             v['modified'] = self.modified
         return v

+    def notificado(self):
+        self._solapamiento = True
+        self.cambiado = True
+
     def solapamiento(self):
         if self.saved:
             return self._solapamiento
-        return not self._procesados.isdisjoint(self._procesados_nuevos)
+        return self._solapamiento and not self._procesados.isdisjoint(self._procesados_nuevos)

     def update(self, guid, ts, title, link, summary):
         self._procesados_nuevos.add(guid)
@@ -65,6 +70,10 @@

         return self.update(guid, ts, title, link, summary)

+    def feed304(self):
+        self._procesados_nuevos.update(self._procesados)
+        return self.etag, self.modified
+
     def itera_antiguos(self, horas=16):
         ts_antiguo = datetime.datetime.now()
         ts_antiguo -= datetime.timedelta(seconds=horas * 60 * 60)
@@ -99,6 +108,8 @@
         if not self.cambiado:
             return

+        self._solapamiento = self.solapamiento()
+
         procesados = self._procesados_nuevos
         if not purga:
             procesados.update(self._procesados)
@@ -106,6 +117,7 @@
         with open(path + '.NEW', 'wb') as f:
             data = {'procesados': procesados,
                     'buckets': self._buckets,
+                    'solapamiento': self._solapamiento,
                     'etag': etag, 'modified': modified,
                     }
             pickle.dump(data, f, pickle.HIGHEST_PROTOCOL)
@@ -115,7 +127,6 @@
         self.cambiado = False

         # Tras el save no deberíamos usar más este objeto
-        self._solapamiento = self.solapamiento()
         self.saved = True
         del self._procesados
         del self._procesados_nuevos
@@ -136,20 +147,21 @@
     finally:
         socket.setdefaulttimeout(timeout)

-    if feed.status == 304:
-        # print("Sin cambios")
-        return
-
-    for entry in feed.entries:
-        summary = BeautifulSoup(entry["summary"], 'html.parser')
-        summary = list(summary.children)[0]
-        entradas.new(entry['id'], entry.updated_parsed,
-                     entry['title'], entry['link'], summary)
-
-    no_solapamiento = ''
-    if not entradas.solapamiento():
-        no_solapamiento = '<font size=+2><b>HEMOS PERDIDO ENTRADAS</b></font>'
-        no_solapamiento += '<br/><br/>\n'
+    if feed.status == 200:
+        etag, modified = feed.get('etag'), feed.get('modified')
+        for entry in feed.entries:
+            summary = BeautifulSoup(entry["summary"], 'html.parser')
+            summary = list(summary.children)[0]
+            entradas.new(entry['id'], entry.updated_parsed,
+                         entry['title'], entry['link'], summary)
+    elif feed.status == 304:
+        # En el 304 no se manda ETAG ni Modified, así que coge los que comprobamos
+        # en la petición condicional.
+        etag, modified = entradas.feed304()
+    else:
+        raise RuntimeError(f'Estado: {feed.status}')
+
+    # Si es 304, procesamos lo viejo por si tiene que salir el email.

     html_desc = html_links = ''
     entradas_a_borrar = []
@@ -164,9 +176,14 @@
     # lo cierto es que queremos actualizar el etag y el modified AUNQUE
     # no haya habido cambios en el feed. Esto es algo a mejorar en el futuro.

-    entradas.save(feed.get('etag'), feed.get('modified'))
+    entradas.save(etag, modified)

     if html_desc:
+        no_solapamiento = ''
+        if not entradas.solapamiento():
+            no_solapamiento = '<font size=+2><b>HEMOS PERDIDO ENTRADAS</b></font>'
+            no_solapamiento += '<br/><br/>\n'
+
         html_links = f'<ul>\n{html_links}\n</ul>\n'
         html = f'''<html>
 <head>
@@ -196,14 +213,17 @@
                        stdout=subprocess.PIPE,
                        stderr=subprocess.PIPE)

+        entradas.notificado()
+
     # XXX: Lo suyo sería grabar solo si hay cambios de verdad, pero
     # lo cierto es que queremos actualizar el etag y el modified AUNQUE
     # no haya habido cambios en el feed. Esto es algo a mejorar en el futuro.
     entradas = items()
+    etag, modified = entradas.feed304()  # XXX: Para evitar "no solapamiento"
     for guid, ts in entradas_a_borrar:
         entradas.borrar(guid, ts)

-    entradas.save(feed.get('etag'), feed.get('modified'), purga=False)
+    entradas.save(etag, modified, purga=False)


 if __name__ == '__main__':

El código completo es el siguiente:

Leer más… (quedan 5 minutos de lectura)

Audio de la entrevista radiofónica "Edward Snowden, ética frente a vigilancia masiva"

Jesús Cea Avión — Thu, 05 Dec 2019 16:19:00 GMT

El 22 de noviembre de 2019 me entrevistaron en el programa de radio Olvida tu equipaje de Radio Utopía para hablar de Edward Snowden y su libro Vigilancia permanente.

Se trata de una autobiografía que describe con detalle su juventud vinculada a la informática e Internet, su trabajo posterior en la comunidad de inteligencia, sus dudas crecientes sobre la ética en juego y su determinación final de sacar los abusos ilegales a la luz, aun con las consecuencias que sabría que le acarrearían.

El libro vale mucho la pena y, además, es divertido y fácil de leer y entender.

La verdad es que en la entrevista hablamos poco de Snowden y de Vigilancia permanente y la cosa se centra más en mis opiniones, pero creo que puede resultar interesante.

Acceso a la entrevista de una hora y veinte minutos de duración:

Gracias a Armando Silles por esta oportunidad. Por cierto, que ha publicado Aire verdadero, un libro de poesía bastante interesante que igual te apetece.

Generar un email diario a partir de un feed RSS (Slashdot)

Jesús Cea Avión — Thu, 10 Oct 2019 23:43:00 GMT

Llevo décadas, literalmente, siguiendo Slashdot. Es una de mis fuentes de noticias de revisión diaria obligada. Se puede seguir a través del feed RSS, pero el tráfico diario es alto y es fácil perder noticias si pasas un par de días desconectado, porque, por ejemplo, estás de vacaciones o de viaje. Afortunadamente, Slashdot proporciona la opción de recibir un único mensaje diario con la recopilación de noticias del día anterior. Esto es muy conveniente para leerlas cuando te va bien, no preocuparte de perder noticias y, además, poder archivarlas en tu sistema de correo para futuras búsquedas o referencias.

Todo fue bien hasta el 23 de septiembre de 2018. Ese día me dejaron de llegar los mensajes diarios de noticias sin ningún motivo aparente [1]. Curiosamente, sí me llegaban los emails de Slashdot sobre promociones y publicidad.

Revisé mi configuración antispam, por si acaso mi servidor de correo electrónico se estaba comiendo los mensajes, los logs del servidor, etc., sin éxito. Preguntar online y revisar foros para ver si alguien más tenía problemas fue infructuoso. Intentar ponerme en contacto con la gente de Slashdot fue imposible.

Slashdot, sencillamente, ya no me enviaba los mensajes.

Durante un tiempo aguanté leyendo el feed RSS de forma diaria, pero los fines de semana eran problemáticos porque tenía apagado el ordenador un par de días y algunas noticias ya no entraban en el último feed RSS. Los lunes tocaba revisar noticias a mano.

Tras pensarlo un poco y evaluar el coste/beneficio, decidí crear un programa simple y mínimo para reemplazar el email de noticias que me enviaba Slashdot a diario. El programa me costó una tarde de trabajo y ha estado funcionando desde entonces sin ningún tipo de problema.

[1]

Slashdot empezó a enviarme las noticias diarias de nuevo el 6 de abril de 2019. Así, sin más. ¿Qué ocurrió? Imagino que nunca lo sabré. La cuestión es que ya tenía este reemplazo funcionando durante meses, sin publicidad, sin depender de terceros, sin comprometer mi privacidad...

Sigo suscrito a las notificaciones diarias de Slashdot, pero ya ni siquiera abro esos emails. Tengo las mías y son mejores.

El código completo es el siguiente:

Leer más… (quedan 17 minutos de lectura)

Audio de la participación radiofónica "Privacidad en Internet"

Jesús Cea Avión — Wed, 28 Aug 2019 13:00:00 GMT

El 17 de noviembre de 2017 participé en el programa de radio Olvida tu equipaje de Radio Utopía para hablar sobre "Privacidad en Internet".

Se trataron varios temas:

Artículo 12 de la Declaración Universal de los Derechos Humanos: Nadie será objeto de injerencias arbitrarias en su vida privada, su familia, su domicilio o su correspondencia, ni de ataques a su honra o a su reputación. Toda persona tiene derecho a la protección de la ley contra tales injerencias o ataques.
¿A la gente le importa la privacidad? Todo lo que te dan gratis... es a cambio de algo.
La novela 1984 se ha quedado pequeña.
Vigilancia masiva e indiscriminada.
¿Qué cosas podemos y no podemos controlar?
Para las organizaciones es más fácil guardarlo todo que elegir.
Todo el mundo es persona de interés de forma retroactiva.
"Yo no tengo nada que ocultar".
Influencias en el día a dia que no son evidentes.
Autocensura.
Cuando tú no pagas, tú eres el producto.
La gente acepta términos legales sin leerlos.
Permisos abusivos de aplicaciones Android.
Las empresas como defensa ante los estados.
¿Qué ordenador comprar?
¿Qué móvil comprar?
La nube. La mensajería instantánea.
Geolocalización.
Usar WIFIs que no son de confianza. Firesheep y como un cambio decidido en una habitación con media docena de personas afecta a la seguridad de millones de usuarios.
https://maadix.net/.
Edward Snowden.

Acceso a la grabación, de una hora y treinta y dos minutos de duración:

Gracias a Armando Silles por esta oportunidad. Por cierto, que ha publicado Aire verdadero, un libro de poesía bastante interesante que igual te apetece.

Detección de presencia por ARP, o cómo saber si tu hijo está en casa (II): Ahora con AsyncIO

Jesús Cea Avión — Thu, 27 Sep 2018 21:01:00 GMT

En Detección de presencia por ARP, o cómo saber si tu hijo está en casa publiqué un programa Python que notifica por Telegram cuando un dispositivo concreto se conecta o desconecta de tu red. Antes de seguir leyendo, te recomiendo que repases ese artículo.

El código me ha servido bien, pero tiene algunos detalles que no me acaban de gustar:

Una vez por minuto se lanzan cientos de procesos Ping para sondear la red. Aunque la Raspberry PI donde está funcionando este sensor va sobrada de recursos y no he tenido problemas con esas avalanchas, resulta algo poco elegante.
Lanzo un proceso externo para leer la tabla ARP.

Publico aquí una nueva versión del código Python, esta vez usando la biblioteca asyncio de Python 3:

Leer más… (quedan 5 minutos de lectura)

Detección de presencia por ARP, o cómo saber si tu hijo está en casa

Jesús Cea Avión — Fri, 22 Jun 2018 20:52:00 GMT

Los adolescentes prefieren morir antes que salir de casa sin su móvil y la condenación eterna antes que permitir que se quede sin batería, así que comprobar si el móvil de tu hijo está conectado a tu red WIFI es una buena forma de saber si está o no en casa.

El siguiente programa te avisa por Telegram cuando tu hijo entra o sale de casa. De modo general, te avisa cuando un determinado dispositivo pasa a estar presente o desaparece de tu red doméstica.

Este programa puede ejecutarse en cualquier máquina Unix-like de nuestra red local que esté encendida permanentemente. En mi caso utilizo una Raspberry PI que tiene otros usos adicionales.

Leer más… (quedan 8 minutos de lectura)

Usar NSEC3 en vez de NSEC en un dominio DNSSEC con gestión de DNS dinámico

Jesús Cea Avión — Sat, 24 Jun 2017 00:36:00 GMT

En la configuración que describo en Activación de DNSSEC en BIND con DNS dinámico, el servidor DNS BIND genera registros NSEC en vez de NSEC3. ¿Y qué? ¿Por qué importa eso?.Lo explico clarito (creo) en Por qué es conveniente usar NSEC3 en vez de NSEC en un dominio DNSSEC.

Con todo esto ya entendemos por qué es conveniente mejorar la receta descrita en Activación de DNSSEC en BIND con DNS dinámico y pasar a usar NSEC3.

Nada más simple:

$ rndc signing -nsec3param 1 0 10 auto example.org

El primer parámetro es el hash a emplear (en este caso SHA1). El cero indica los flags a aplicar que, en este caso, no nos interesan. El 10 es el número de iteraciones. La sal en sí es el siguiente campo. Si indicamos auto, el programa proporcionará 64 bits aleatorios. Personalmente eso me parece poco, prefiero 160 bits, aunque eso incrementará el tamaño de la respuesta DNS:

$ python3 -c "import secrets; print(secrets.token_hex(40))"
611a1cf6aa1b891b4909ed9d5ebe9d11b452368b642ca7a73b4e96a7ae54639a589c4bef8afc651d
$ rndc signing -nsec3param 1 0 10 611a1cf6aa1b891b4909ed9d5ebe9d11b452368b642ca7a73b4e96a7ae54639a589c4bef8afc651d example.org

A partir de este momento la zona usará NSEC3. Veamos el mismo ejemplo propuesto en Activación de DNSSEC en BIND con DNS dinámico:

51PKTFM618079E60H7F0Q6IF0VT6P0D1.z.bt.jcea.es. 30 IN NSEC3 1 0 10 673A6224876B0486 OEPHDNT06U7U9UURA3UAPV240OVO88SP A RRSIG
51PKTFM618079E60H7F0Q6IF0VT6P0D1.z.bt.jcea.es. 30 IN RRSIG NSEC3 8 5 30 20170620071663 ...

Como vemos, la respuesta es similar al caso NSEC, pero ahora la cadena indica el rango de hashes cubierto por la respuesta NSEC3.

Si por algún motivo queremos volver a usar NSEC en la zona, haremos:

$ rndc-signing -nsec3param none example.org

Mantenimiento

El valor de la sal hay que cambiarla de vez en cuando, tal y como se describe en Activación de DNSSEC en BIND con DNS dinámico.

Referencias

Por qué es conveniente usar NSEC3 en vez de NSEC en un dominio DNSSEC

Jesús Cea Avión — Thu, 22 Jun 2017 21:06:00 GMT

Para empezar con los principios básicos, puedes leer Introducción a DNSSEC.

Gracias a DNSSEC un atacante malicioso no podrá manipular un registro DNS porque su firma digital RRSIG no puede ser falsificada. Pero, ¿puede falsificar la no existencia de un registro? Es decir, ¿puede negar falsamente que un registro DNS dado no exista?.

La respuesta es que no. Cuando DNSSEC gestiona una zona, añade multitud de registros propios. Los más evidentes son las firmas digitales RRSIG, pero hay más. Por ejemplo, los registros NSEC.

Los registros NSEC proporcionan authenticated denial of existence. Es decir, una prueba criptográfica de que un registro DNS no existe.

Su funcionamiento se describe en el RFC 4034 y el RFC 4035. Simplificando mucho, DNSSEC ordena todos los registros de la zona de forma canónica y genera registros NSEC para cubrir los huecos.

Por ejemplo, si una zona tiene los registros registro1 y registro3, pero NO registro2, una petición de DNS de registro2 se responderá indicando que el registro no existe y, además, aportará una prueba criptográfica de ello. Dicha prueba consiste en el registro NSEC asociado al nombre registro1 en el campo authority de la respuesta DNS, indicando que el siguiente nombre de la zona es registro3.

Leer más… (quedan 3 minutos de lectura)