Under normal circumstances I wouldn’t be going for a Full Disclosure but for something a bit more discrete like some proper e-mails to the webmaster. But the guys behind the UK Pokémon Video Game Championship have managed to show their stupidity with the events that followed the press coverage of certain incident in certain hotel by a certain person who is not necessarily the winner and they deserve a bit of “love” in exchange for that.

For me and for many of us the winner will still be RubeNCB92 no matter what disciplinary actions you have taken against him. And although I know that this action won’t restore him his place on the championship we hope that the reason this shitty organization has had to hide this shitty incident by removing his proper title from Ruben is that there is much more shit behind it that they don’t want journalists to find of which this is just a small piece.

So what’s that we have here? Well I usually call this an oracle attack, is a kind of attack where you use the answers given by a web page to check whether a particular information is or not into a database. In this case what we are checking is whether a set of e-mail addresses is or not inside the pokemon.com user database.

Why is it a serious vulnerability? Well amongst other reasons because it can be used by a spammer to know which of the addresses in his list are valid and which may not be, thus reinforcing spam campaigns against those. It can also be abused to obtain other background and personal information of the e-mail owner in this case interest in Pokémon which could be abused and worst of all, it can be used in phising attacks.

We are not anonymous, you can find us if you search a bit for us, and we haven’t done anything illegal since all the requests we have done to end up with this were legitimate since the fault is a design flaw and not a coding one. You could argue distributing the code below may be illegal but this depends on how you use it, we are distributing it in the hopes it helps people check if they are affected by this fault and won’t be responsible of any usage behind that.

The next line is a bash oneliner which will use curl and other standard Unix tools to check whether the e-mail addresses written as input are or not in pokemon.com’s users database in case they are the e-mail address is returned, in case they aren’t we return Failure. I hope this helps you know whether you are or not affected by the vulnerability.

while read email; do curl -s -o- https://www.pokemon.com/uk/account/forgot-username -d csrfmiddlewaretoken=c05b01dc738120000d338aac31de60b4 -d “email=$email” -b csrftoken=c05b01dc738120000d338aac31de60b4 -e https://www.pokemon.com/uk/account/forgot-username | fgrep “Unable to find an account using the provided information.” > /dev/null && echo Failure || echo “$email”; done

With love,
klondike

No recuerdo que lo empezó exactamente, pero si recuerdo esa sensación de que algo no funcionaba bien. Recuerdo a unos chicos viniendo buscando representantes, recuerdo como salieron elegidos los que más amigos habían echo en una semana y recuerdo como no volvimos a saber nada de los elegidos unas semanas después. También recuerdo como sentíamos que nadie nos protegía frente a ciertas arbitrariedades, recuerdo un suspenso por no ajustarse a las plantillas de soluciones y recuerdo un 5 por no discutir unas soluciones que el profesor no entendía so amenaza de 0. También recuerdo como pese a mi interés en participar la siguiente elección se hizo sin previo aviso y cuando no estaba.

Recuerdo que quise cambiar eso, y recuerdo como quise mostrar mi descontento motivando a la gente a votar en blanco, recuerdo la bronca que me cayó después por violar las normas y desperté.

Entonces tuve otro sueño, si quería enfrentarme al sistema iba a tener que jugar con sus reglas, y para ello había que apuntar alto. Formamos un equipo de 3 personas (el mínimo para poder entrar en él) y hicimos  una parodia del sistema, lo llamamos el Partido Apático nuestro lema: “si no hacemos nada no la cagaremos”. La cosa arrancó algunas risas pero a la hora de la verdad esos mismos representantes elegidos en oscuras circunstancias decidieron que nuestras ideas no valían la pena. Tocó despertar de nuevo.

Pero volví a soñar, otra persona me explicó como los que habían ganado lo habían hecho a base de puñaladas, y me explicó que si queríamos cambiar las cosas no bastaba con apuntar a los mas alto del sistema sino que había que infiltrar gente en todos los niveles. Sabíamos que el nivel más bajo estaba muy corrompido y infiltrar gente en los mismos sería complicado, recuerdo como tras mucho esfuerzo logramos ganar, y al parecer fue porque nuestras ideas habían gustado. Sin embargo, a pesar de todo, acabamos perdiendo, las personas elegidas en dudosas circunstancias en los niveles más bajos seguían siendo más. Pero, aún no estaba perdido, esta vez algo se había ganado y aún tenía posibilidades de luchar. Recuerdo reuniones en las que lo único que se hacía era comer y acatar los acuerdos de los elegidos entre los elegidos. Recuerdo el miedo que inspiraba por mi actitud agresiva y mi conocimiento de los reglamentos, recuerdo al máximo representante ser incapaz de responder a mis argumentos y recuerdo como cambiaba mi personalidad cuando me ponía una corbata. También recuerdo como los que habían ganado me ofrecieron entrar a hacer un trabajo que nadie quería hacer y como por circunstancias de la vida no les quedó otra que aceptarme por ser el único con los conocimientos suficientes. Recuerdo como me empecé a distanciar como empecé a salir de fiesta y a alejarme de aquellos que me habían votado o bien por estar muy ocupado o bien por dejarme corromper, recuerdo como descubrí que el poder corrompía y que nada cambiaba pues el sistema estaba echo para ello y me volví a despertar.

Recuerdo entonces como recibí una beca para irme a otro país, recuerdo como creí ver mi sueño realizado, los representantes eran elegidos directamente por los representados y como el sistema disponía de sistemas para reemplazar a los elementos que cometían arbitrariedades, recuerdo como las instituciones estudiantiles eran independientes y como  los representantes disponían de las facilidades necesarias para dedicarse en exclusiva a ello, también recuerdo como eran gente cercana a las que podías hablar en cualquier momento. Sin embargo, recuerdo como se financiaba a asociaciones no democráticas que se vendían como una forma de fomentar intereses pero resultaban ser cerradas a aquellos que no les gustaran. Recuerdo haber presentado uno de los mejores currículums para entrar en una de ellas y haber sido rechazado por no poder pasar los 5 años que se requerían por ser un estudiante extranjero. Recuerdo haber presentado otro a otra asociación y como pese a los carteles, anuncios y las promesas de responder nunca llamaron, al parecer por ser extranjero. Entonces volví a despertar, quizás el sistema no estaba tan corrupto como el otro pero seguía estándolo y cambiar este era aún más difícil, pero ya estaba cansado habían sido 5 años de lucha y había cosas más grandes e importantes por las que luchar.

Esta entrada está inspirada por Y así nos luce el pelo de mi colega imobilis y está basada en hechos reales.

En este artículo voy a comparar las paellas de la EPSG con las últimas de informática para ver en que podrían mejorar las de aquí si se volvieran a celebrar.

El primer punto de favor es que el lugar donde se celebran dispone de sombras por lo que volver con serias quemaduras solares es raro, además de que siempre puedes cobijarte fácilmente del calor.

El segundo punto de favor es el civismo demostrado por los asistentes, el mayor problema lo tuvimos con unas quejas porque alguien no recibió su premio ya que se pensaba que se había ido (tras avisarle varias veces por megafonía). Todo eso pese a que se celebraba junto a una acequia, la gente no tiro cosas en ella ni se bañó, con árboles cerca, y en un parking donde cada uno debía elegir un sitio para poner la arena y hacer el fuego, todo el mundo la puso.

Siguiendo con el punto 2 otra ventaja es que la gente puede poner su mesa junto a la hoguera y estar con sus amigos mientras se cocina.

En cuarto lugar, la gente colaboró con la recogida (mención especial para aquellos que vaciaron su mesa cuando pasábamos con el contenedor o aquel que me echó una mano al recoger vidrio para reciclar.

En quinto lugar, tocan bandas del lugar y la gente las oye. Habiendo como ha habido otros años concursos de maquetas en la ETSINF, ¿por qué no hacer algo semejante y dejar tocar en las paellas a los grupos que mejor lo hagan en vez de tenerlos fuera y sin que casi nadie asista? La mayoría lo harían sin cobrar sólo por darse a conocer y creo que ese sería un buen premio.

Otra cosa que estaba genial era la disposición de cosas. Sólo había una zona reservada e integraba el bar, el escenario y los puestos de organización, facilitando mucho la comunicación y la gestión de posibles crisis.

Finalmente, quiero dar la nota política comentando que vista la actitud demostrada por el rector y su equipo en el último claustro dudo que las paellas vuelvan a ser como hasta ahora, al menos no hasta que venga otro.

Me gustaría comentar citas memorables (que no cito textualmente por no recordarlas textualmente) como la de que damos mala imagen de cara al exterior porque somos la única universidad en la que sus alumnos celebran fiestas dentro del recinto universitario, cosa cuestionable, basta con ver que es una hermandad y cuya falsedad es fácil de demostrar, había gente en las paellas de Gandía que había venido del extranjero sólo para vivir la fiesta y que con tan buen sabor de boca seguramente pidan un Erasmus para volver, y en que no hay presupuesto ni lugar para montar unas paellas, creo que, si tan mal vamos de dinero, igual sería buena idea eliminar o reducir esos desayunos antes de los claustros que acaban siendo reservidos al mediodía en La Vella y reducir ciertos gastos corporativos o prescindibles (aplausos a esas farolas encendidas a las 3 del mediodía o a ese gasto en señalizar con balizas las salidas de emergencia que ya habían sido pintadas para avisar su situación, y que dejan una vista desde la casa del alumno bien curiosa).

En fin, creo que la política del rector se está basando en ignorar (y ningunear) al alumnado ya que no es muy representativo a la hora de la verdad, este tema daría para un post mucho más largo y extendido que sería alejarse mucho del tema inicial, sin embargo, creo que está bien recordarle que todos los méritos que recibe la universidad le van a servir de bien poco si a la hora de la verdad despotricamos de ella y motivamos a los futuros alumnos a irse a otras universidades donde respeten más al alumnado y por ende a ellos.

Como nota final indicar que este artículo expresa mi opinión, y quizás la de algunas personas de las que represento que pueden compartirla, pero que no necesariamente representa la de la mayoría.

Por supuesto no descarto pasar en el futuro a una línea argumental en la que explicar cosas acerca de los personajes, aunque por ahora todos los guiones que tengo siguen la misma estructura

Bueno, si alguien le quiere echar un ojo lo he publicado en: http://klondike.xiscosoft.es/acu/ y intentaré actualizarlo siguiendo una serie matemática simple (a ver quien la adivina xD)i, aunque se que será cuando tenga ganas de pasar a limpio los bosquejos de mi mesa. En cualquier caso ahora mismo hay dos actualizaciones más programadas

Though it may seem a bit difficult for starters it can be solved easily using a simple algorithm and knowing a few things:

First we take the graph G and find the reverse graph G’ (this is a Graph with the edges reversed).

This would be the transposition of the connection matrix or could be done easily if the graph is represented as a vector of lists of nodes with a edge from its position going over each position on the vector and adding that position to the list on G’ on the position of every node in that list.

Now we will take a list L of all the nodes on G which are reachable from A. This can be easily done:

Q := queue
V :- bool vector size nodes(G) initialized to false
V[A] = True
Q.insert A
While ! Q.empty

n = Q.top
Q.pop
Foreach Q.edgeFrom(n) e #This is for each node with an edge from n to it

If (!V[e])

Q.insert n
V[e] = True

Then V will be True for each node reachable from A

We do the same with G’ and B and store it on L’

Finally if a node is in both L and L’ then it is part of at least one path from A to B

Now the explanation on why it works:

• If n is connected in G to A then there is at least one path P1 from A to n
• If n is connected in G’ to B then there is at least one path P2 from B to n
• As G’ is G with its edges reversed then the reverse of P2, P2” will be the path from n to B on G
• As there is a path from A to n and another from n to B then n is part of the path P1,n,P2′ which is a path from A to B so n is in at least one path from A to B

Finally to Big O calculation of its costs:

The cost of finding G’ is either O(N²) (If the graph is represented as a matrix whereh M[i,j] is 1 if there is a edge from i to j) or O(N+E) (If the graph is presented as a vector of lists of nodes reachable from i)

The cost of reachability is either O(N²) in the first case or O(N+E) on the second.

So the cost of this algorithm is either O(N²) or O(N+E) depending on the representation.

El consurso de kame hames en Murcia ha sido un tongo y voy a razonarlo.

Con este post quiero dejar de manifiesto porque este año el concurso de kame hames me ha parecido mal organizado y un tongo. Y cómo se podrían haber resuelto estas circunstancias.

En primer lugar, no avisaron del concurso hasta una semana antes (y encima un organizador dijo que probablemente no se iba a realizar). Esto hizo que nos tuviéramos que preparar todo aprisa y corriendo, los que pudieron. Sinceramente, creo que hubiera sido mejor no haber dicho nada al respecto, hasta que se supiera con seguridad si se iba a realizar el concurso o no.

Luego, estuvieron los cambios de horarios. Sinceramente, un concurso de este tipo pierde mucho si la gente se ha ido/está dormiendo/está durmiéndose. Y, al menos personalmente, perdí una cena en un japonés para prepararlo todo para las 00:00 (y luego, cuando ya era demasiado tarde para ir a esa cena ser informado de que el concurso de kames se movía al domingo a las 11:30). La mejor forma de resolverlo habría sido siendo un poco más estrictos con los horarios de escenario y separando las actuaciones 15 minutos (por llos posibles imprevistos). Por ejemplo, cuando la final de la gymkana se retrasó tanto igual hubiera sido buena idea haberla pospuesto en vez de dejar que afectase tanto al resto de cosas que iban después (sé que en este caso en particular era difícil por que cucaracha tenía una cosa personal que atender el domingo, pero podría haberse continuado la noche del sábado al domingo).

En tercer lugar está el jurado. Según las normas “La valoración de las actuaciones las hará un jurado compuesto por 5 personas, 2 representantes de la organización y 3 participantes elegidos al azar.” Sin embargo el jurado estuvo formado por un miembro de la organización y por 4 participantes que, para más INRI, eran todos del mismo lugar que el ganador. Esto es algo que debería de haber tenido en cuenta la organización al cambiar los horarios y haber tratado de buscar un nuevo jurado para ese nuevo horario. (Por si a alguien le interesa la política fue el primero en llegar el primero en ser jurado, lo que teniendo en cuenta que era el primer evento de la mañana implicó que fuesen todos del mismo lado).

Luego estuvo el planteamiento de las semifinales. En las semifinales se enfrentaron los dos con mejores puntuaciones y los dos con peores para ir a la final. Dejando de ladoo que no veo la razón de una semifinal cuando se ha valorado a todos los participantes individualmente. Para que los dos mejores pudieran llegar a la final, deberían haber enfrentado al 1º con el 3º o el 4º y al segundo con el otro en semifinales. Por otro lado el hacer las semifinales (y la final) en enfrentamientos por parejas, hizó que se pudiera ser menos original tanto con los prolegómenos como con el kame hame (por ejemplo yo iba a hacer un Ashi Kara Kame Hame Ha (y tenía preparadas unas líneas para ello), que en esas circunstancias fue imposible realizar. Personalmente, creo que el kame por parejas es algo que debería hacerse entre el campeón y el subcampeón al final del concurso, como ya se hizo el año pasado.

Después y aunque es más un detalle, pero, ¿a quién se le ocurre siendo el presentador decir que el jurado no puede votar 10 al primero? Eso me sentó bastante mal, especialmente después de la currada que me pegué para prepararlo todo.

Finalmente el hecho de que hayan cerrado el hilo en el foro: http://foro.murcialanparty.com/viewtopic.php?t=323 lo que me hace pensar que igual la organización si está involucrada, al menos en parte, en el asunto.

Es por ello que he tomado la decisión de, al igual que la organización, no volver a hacer un kame hame en la MLP. (Las Cromel son otra historia ). Y, si me preguntan la razón, decir que eso para mí nunca existió (tras discutirlo con algunas personas, me han dicho que se sentirían ofendidas si negase lo pasado el año pasado, así que mejor dejarlo en que negaré lo pasado este año) y dejar bien claro cuales son las causas.

Por otro lado me veo en la obligación de comentar que también siento que he ganado el concurso de patxipalabra de una forma un poco injusta, ya comentaré luego el porque. Hablé el tema y me comentaron que mi visión era errónea y que pese a las circunstancias pasé a la final limpiamente.

PD: Eso no quiere decir que el año que viene no vuelva a la MLP. La MLP no se reduce al concurso de kames

PD2: Ya que he enlazado al foro voy a comentar algo que ha dicho byqyngo: “Creo que tampoco ha sido tan injusto que ganase, en parte me gane al publico”. ¿Haciendo lo mismo que el año pasado y inventándote un movimiento inexistente? ¿Aprovechando que subiste después de que casi todo el mundo se acercase a ver mi actuación?

As usual we got through chapters 1 to 4 to get a working system from a Live CD, then configure its network connection and partition its hard disks (as a side note I like to comment that I have made boot being in the same partition as the main gentoo system).

After that I downloaded the hardened multilib stage3 (remember it can be found at the hardened directory inside the stages dir) file and uncompressed it following the instructions in the handbook.

Next thing I did was installing portage and then configuring the make.conf to my likes.

After that I selected a Mirror and followed the chroot process explained at section 6.a

Next, was changing the profile to the appropriate one (hardened/amd64/multilib/ now it is hardened/linux/amd64/10.0) as indicated at 6.b I also added the multilib USE as it doesn’t seems to work properly with that profile (see BUG #261482). Now adding the multilib USE seem unnecessary as the bug was fixed. And generated the appropriate locales (es-ES in my case).

After that and following part 6 I passed to adding gcc-4* to my system before going for the kernel.

First thing you need is layman and git so start by emerging both:

# emerge -v dev-util/git app-portage/layman

Also you should configure your make.conf so it reads data from layman:

# echo “source /usr/portage/local/layman/make.conf” >> /etc/make.conf

On new versions of layman this moved so use:

# echo “source /usr/local/portage/layman/make.conf” >> /etc/make.conf

After that we added the overlay using layman:

# layman -o http://github.com/Xake/toolchain-overlay.git/xake-toolchain.xml -fa xake-toolchain

As the overlay has moved,you’d better use

# layman -kfa hardened-development

Then we add a few thing to our make.conf to solve a few problems:

# echo ‘FEATURES=”metadata-transfer”‘ >> /etc/make.conf
#echo ‘PORTAGE_ECLASS_WARNING_ENABLE=”0″ >> /etc/make.conf

As of today the gcc-4.x with PIE and SSP is available on >=sys-devel/gcc-4.4.4-r1 and >=sys-devel/gcc-4.4.3-r3 for the 4.4.4 and 4.4.3 versions respectively. So the overlay is not required.

And we unmask the 4.3 version of gcc (as 4.2 is gone) and the required glibc-2.7* version we also unmask a few packages required by the toolchain to work properly:

# echo =sys-devel/gcc-4.3* >> /etc/portage/package.unmask
# echo =sys-libs/glibc-2.7* >> /etc/portage/package.unmask
# echo =sys-devel/gcc-4.3* >> /etc/portage/package.keywords
# echo =sys-libs/glibc-2.7* >> /etc/portage/package.keywords
# echo “=sys-devel/binutils-2.18-r4″ >>/etc/portage/package.keywords
# echo “=sys-boot/grub-0.97-r10″ >>/etc/portage/package.keywords

As of today only removing the keyword is removed and if no bug is filled against those versions in less than a month this won’t even be necessary.

For gcc-4.4.4 We should use:

# echo =sys-devel/gcc-4.4.4-r1 >> /etc/portage/package.keywords
# echo “=sys-boot/grub-0.97-r10″ >>/etc/portage/package.keywords

And for gcc-4.4.3 use instead:

# echo =sys-devel/gcc-4.4.3-r3 >> /etc/portage/package.keywords
# echo “=sys-boot/grub-0.97-r10″ >>/etc/portage/package.keywords

Now we build our fancy new toolchain:

# emerge gcc-config linux-headers glibc binutils gcc portage -1

And set up the system so it uses it. For gcc 4.4.4:

# gcc-config x86_64-pc-linux-gnu-4.4.4
# source /etc/profile
# export PS1=”(chroot) $PS1″

Or for gcc 4.4.3:

# gcc-config x86_64-pc-linux-gnu-4.4.3
# source /etc/profile
# export PS1=”(chroot) $PS1″

So now we have a hardened install with a gcc-4.3 compiler. We could remove the old gcc version but we are keeping it just in case.

With our new gcc version it would be a good idea recompiling our stage3 so it uses the new gcc version, SSP and PIE. For that we’d run:

# emerge -ev1 world

Next steep is following chapter 7 (configure and compile the kernel).

After following step 7.a to set the time we got the hardened sources:

emerge hardened-sources

And then jumped to step 7.c to configure the hardened kernel where I enabled PAX and Grsec.

After that (as I didn’t use modules) I jumped to chapter 8. and followed until the end.

I’ll report on how well or bad it works as it ends compiling kde

As report I have to say that I have been used this hardened system since I wrote this article without any major problems

• Me comprometo a dar cada mes al menos dos horas (pueden ser más) de clase en cualquiera de las temáticas que conozco en relación con las tecnologías de la información de forma completamente gratuita, incluyendo la sustitución de algún profesor.
• Para solicitarla basta con mandarme un correo electrónico (klondike ( e n ) xiscosoft.es) indicándome la fecha y la hora.
• Cumpliendo con una obligación ética, que veo bastante razonable, de los auditores del ISACA, solamente daré charlas de aquellos temas que conozca. Actualmente, estos son: Streaming Multimedia, Software Libre, GNU/Linux, administración de servidores UNIX, compilación de núcleos Linux, y de varios lenguajes de programación (C, C++, Java, ensamblador de MIPS …) Para cualquier otro tema recomiendo consultar previamente.
• En el caso de que me sea imposible acudir a dar la charla con mi bicicleta, pediré el importe del medio de transporte utilizado tratando de que sea el más asequible posible (generalmente autobús o metro).
• Me gustaría que a todo aquel, que quisiera acudir pudiera hacerlo, sin embargo, este requisito es opcional (aunque lo tendré en cuenta a la hora de priorizar las charlas). Al fin y al cabo si yo no te pido nada, creo que es justo que dejes asistir a quien lo desee ¿no?.
• Actualmente, a causa de los estudios, sólo podría dar las charlas los jueves por la tarde y viernes sábados y domingos durante todo el día.

Quiero recalcar que al fin y al cabo esto es una estrategia win-win, al formar gente para que use sistemas informáticos, estos se convertirán en potenciales usuarios de los mismos con lo que a su vez nos darán trabajo.

Pues nada, a ver si más gente se une y convertimos esto en una tradición

Mientras las operadoras de telecomunicaciones tratan de sortear la crisis, las sociedades de gestión de los derechos de autor intentan conseguir prebendas para las empresas productoras de contenidos, tratando de convencer a todo el mundo de que el intercambio de archivos entre particulares por Internet es un acto delictivo y que supone fuertes pérdidas al sector de entretenimiento.

Sin embargo tanto la fiscalía como las sentencias dictadas establecen que el intercambio de archivos con copyright restrictivo por redes P2P no es un delito y no es punible de ninguna forma cuando se trata de archivos públicos o bajo licencias copyleft (la mayoría de los casos).

Las propias entidades de gestión de derechos de autor han reconocido en el “Informe de la industria de contenidos en España”, publicado por ASIMELEC, que no hay una bajada de ingresos en el sector y que solo la música tiene un retroceso en la venta a través del canal tradicional (aunque no se informa del aumento de ingresos por, entre otros, actuaciones en directo, descargas y publicidad).

Lo cierto es que las negociaciones que se están llevando a cabo bajo el auspicio del Ministerio de Cultura, pueden suponer que algunas de las empresas más solventes y con mayor capacidad tecnológica de España empiecen a perder clientes a marchas forzadas. Lo que repercutirá en su cuenta de resultados y en su capacidad de mantener el empleo.

Pero lo más grave es que un acuerdo de esta naturaleza atenta contra la libre competencia, frena en seco el acceso a la Sociedad de la Información en España menoscabando los derechos civiles de los ciudadanos y alejando aún más el derecho constitucional de acceso a la cultura y al conocimiento.

Fdo. Francisco Blas Izquierdo Riera, estudiante y desarrollador.

Si queréis un sistema sin bugs y ligero, os recomiendo el uso de ningunux. ningunux, a parte de ser el sistema operativo más pequeño del mundo es totalmente portable entre máquinas (a nivel binario) y no consume recursos. Basta con instalarlo en la partición de arranque y listo.

Sin embargo es un poco escaso en funcionalidad.

Por si alguien quiere probar ningunux, lo podéis descargar desde aquí.