APFS: Un nuevo sistema de ficheros para MacOS X (ahora macOS Sierra)

Los años no han pasado en balde por HFS+, el sistema de archivos introducido en 1998 en la versión 8.1 de MacOS (classic) y que desde entonces ha sido el estándar en todas las versiones de MacOS X. Aunque hace unos años hubo un tímido intento de usar ZFS, llegando MacOS X 10.5 (Leopard) a tener soporte de lectura, no se siguió desarrollando. Sin embargo,las limitaciones existentes en HFS+ han llevado a Apple a desarrollar un nuevo sistema de ficheros, APFS con el objetivo de que MacOS disponga de un sistema de ficheros moderno dejando atrás los problemas de HFS+.

En APFS la unidad de almacenamiento básico es un contenedor (container) dentro del cual hay varios volúmenes o sistemas de ficheros, los cuales tienen sus propios espacio de nombres. Estos volúmenes comparten todo el espacio libre presente en el contenedor. Un contenedor , según la documentación de Apple se mapea a una entrada en la tabla de particiones GPT.

APFS expande sus estructuras internas para dar soporte a sistemas de fichero que puedan contener muchos más entradas y de tamaño superior, optimizaciones para que tenga más rendimiento en discos SSD, cifrado de datos más granular o un sistema de copy on write para que las actualizaciones sean resistente a errores, sustituyendo al journaling

Pero lo que hace potente a este nuevo sistema de ficheros son características como el clonado de ficheros y directorios, que permite o los snapshots. Características similares a estas existen en Linux en btrfs

Parece ser que Apple quiere publicar las especificaciones del sistema de ficheros para que utilidades de tercero puedan acceder a los discos que usen este nuevo formato. Veremos en qué queda.

Me pregunto si Dominic Giampaolo, que creó el sistema de ficheros para BeOS también está detrás de este diseño. Para quien tenga curiosidad, publicó el libro Practical File System Design with the Be File System

Alejandro no ha ido a la cárcel por 79,20 euros

Esta mañana, en un bar, he visto un trozo de un programa de Antena 3 donde hablaban que una persona iba a la cárcel por haber pagado 79,20 euros usando una tarjeta falsificada. Aparte de ver a Revilla desbarrando, no le di mucha importancia a este asunto hasta que por mi TL apareció este disparate de artículo de opinión de Martín Algarra. Entonces decidí intentar localizar la sentencia, porque si algo que tenía claro es que nadie va a la cárcel por esa cantidad como está titulando toda la prensa española.

Cuando uno localiza la sentencia por la cual ha sido condenado Alejandro González - los nombres en la misma son ficticios pero la de los abogados no, es fácil ver a quien corresponde Alejandro - , uno se da cuenta que ha sido condenado por:

• Delito de falsificación de tarjetas de crédito y débito del artículo 399 bis .1 CP al ser mas favorable.
• Delito continuado de estafa de los artículos 248 , 249 y 74 del CP

Lo interesante de este caso es cuando vas a la prensa a leer sobre el tema. Por ejemplo, El Mundo titula Entra en prisión el joven condenado a 6 años por pagar 79,20 euros con una tarjeta falsa mientras que El País , Granada pide el indulto del condenado por pagar 80 euros con una tarjeta falsa en 2010. Aquí las capturas de ambos titulares:

Un simple enlace a la sentencia hubiese bastado para que los lectores tuviésemos una visión más informada de la noticia. Pero no, de los titulares y cuerpos de las noticias parece que se hace hincapié de que ha sido condenado por pagar ese dinero con la tarjeta falsa, cuando no es real. Es más, es extraño que no aparezca la sentencia cuando es algo habitual en otros casos.

Lo peor es, es que siendo un poco mal pensando, no aparecen estos datos porque no conviene. Es decir, los periodistas piensan que se nos debe hurtar esa información y que la versión correcta es lo que se está plasmando en el artículo. No me creo que en las redacciones de El País o de El Mundo no haya gente que busquen la referencia a la sentencia y la cuelguen como un enlace. Quizás, porque ya han tomado partido en cual debe ser la interpretación de la historia.

Ahora, si nos dan información sesgada en este caso, imaginaros que ocurre cuando se habla de política o corrupción. Y es una lástima,porque creo que hay periodistas que hacen bien su trabajo.

PD: Es interesante leer los comentarios de los indignadísimos internautas a esta noticia: excepto algún despistado que se ha molestado en buscar la información, todos hablan de que este chico va a la cárcel por 80 euros mientras que los políticos roban millones. Y esto ocurre porque la prensa está en este juego.

Capturas de tráfico de malware

Hace algún tiempo tuve la necesidad de probar que unas configuraciones de los IDS Suricata y Snort funcionaban correctamente, generando las alarmas y las capturas de los paquetes de manera adecuada. Una solución sencilla es aprovechar las opciones que tiene tanto Suricata como Snort para leer capturas y analizarlas. En ambos casos, la opción para especificar el fichero es -r y no es necesario ejecutarlo como root, ya que no se abren interfaces para capturas.

suricata -r file.pcap -c suricata.yml
snort -r file.pcap -c snort.conf

A continuación está alguno de los blogs que busqué para obtener capturas de tráfico. Muchas de ellas están en ficheros zip protegidos por contraseña, para poder bajarlos sin que los bloqueen antivirus o proxies.

• El blog Contagio (malware dump) tiene multitud de enlaces a malware y capturas de tráfico. Estuve mirando la colección de unas mil capturas que tienen.
• Capturas de Malware Traffic Analysis, un sitio especializado en capturas de tráfico de diferentes muestras de malware. Además, hay varios tutoriales para aprender a analizar estos bichos.
• El National CyberWatch Mid-Atlantic Collegiate Cyber Defense Competition (MACCDC) es un concurso centrado en aspecto de protección de redes. Durante el mismo se graba el tráfico gvenerado y las capturas están disponibles para quien quiera usarlas.
• Un clásico son las capturas del CTF de la Defcon
• Nettresec tiene una sección en la web con multitud de enlaces a pcaps públicos que pueden usarse.
• No estrictamente capturas de tráfico, pero si malware diseñado para aprender a analizarlo, del blog Running the Gauntlet, escritos por Andrew Honig y Mike Sikorski

Advertencia

Estos enlaces llevan a capturas de tráfico en formato pcap de malware. Un error en el manejo de los mismos puede dar lugar a la infección de los ordenadores en los que se está trabajando. Cuidado al manjar estas capturas.

Algunos enlaces sobre Elasticsearch

Estos últimos meses estoy trabajado con el motor de búsqueda Elasticsearch. Durante este tiempo, he ido buscando información sobre ciertos aspectos de su uso, configuración y monitorización. Esto son algunos enlaces que he encontrado sobre aspectos de Elasticsearch sobre los cuales me ha interesado profundizar.

El primer enlace que os dejo es Monitor Your Elasticsearch Cluster Performance donde se describe el uso de varias herramientas en la nube que hacen peticiones a las API de Cluster Health de Elasticsearch para poder monitorizar el estado del mismo. Quizás de esta me quedo como usar nginx como un frontal que pase peticiones al API RESET de Elasticsearch.

Este booklet, Performance Monitoring Essential, Elasticsearch Edition de la empresa Sematext, donde se da una visión general del producto, como indexa y sobre todo cuales son los indicadores básicos a vigilar para estudiar el rendimiento.

Si queremos usar Docker para desplegar Elasticsearch, se peude seguir las indicaciones de como crear un Dockerfile.

Microsoft ha publicado una guía de como configurar Elasticsearch en Azure. Hace una buena introducción a la configuración de Elasticsearch y su despliegue en Azure.

Si tenéis una instalación que use una versión 1.7.x y pasáis a la nueva versión 2.x , es conveniente leer con detalle los puntos a tener en cuenta para que la actualización se pueda hacer sin problemas.

Probablemente esto sea una entrada dinámica, que actualizaré conforme vaya leyendo artículos y encontrando información que me interese sobre Elasticsearch.

Xvfb: Virtual framebuffer X server

En el mundo de los sistemas operativos tipo Unix, el sistema gráfico con el cual se implementan las interfaces de usuario en modo gráfico es X Window. Éste tiene una arquitectura cliente servidor, donde los programas se conectan a un servidor, X Server, el cual recibe las órdenes necesarias para dibujar en pantalla lo que deseen los programas clientes. Se encarga de mandar a los clientes información de los eventos de los distintos dispositivos (ratones, teclados, ...) del sistema. Toda esta comunicación se realiza usando el protocolo X. Este servidor se encarga de manejar todos los dispositivos necesarios para la entrada y salida.

Hay diversas implementaciones del servidor X, y hoy quiero hablar de una de ellas, Xvfb. Este servidor corre en máquinas donde no hay pantallas ni dispositivos de entrada y se comporta como un framebuffer tonto, donde el servidor va dibujando lo que se le pide.

Pero, ¿qué sentido tiene un sistema de este tipo, si no siquiera podemos interaccionar con el mismo?. Pues hay varios escenarios donde encaja:

• Programas que sean clientes X, pero que no necesiten mostrar ventanas para interaccionar con el usuario.
• Pruebas: Se quiere hacer pruebas automáticas con algún tipo de framework y no queremos tener ventanas abriéndose y cerrando en nuestro escritorio mientras se ejecutan. Este fue el escenario

Mi caso de uso ha sido poder probar una web a través del navegador Firefox que era controlado por una serie de scripts, ejecutándose en una máquina virtual sin necesidad de que interactúe con la pantalla.

Xvfb admite las opciones del servidor X, mas las propias que ayudan a configurarlo. Lo básico es decir cual va a ser la pantalla que va a usar y la resolución junto con la profundidad de color. Puede arrancarse:

$ Xvfb :0 -screen 0 1280x1024x24

Le estamos indicando que el servidor "0" tenga una pantalla "0" con una resolución de 1024x768 y 24 bits de color. Podemos conectarnos a ella, con lo cual la variable DISPLAY debe tener el valor 0:0. Cambiando el número de servidor X (:0) se puede ejecutar junto a un servidor X normal que interactúe con la pantalla, teclado y ratón.

Se puede comprobar que funciona con estas simples órdenes (supuestos que tenemos xterm e imagemagick instalados), de tal manera que nos generará la captura de pantalla en screen.jpg

$ env DISPLAY="0:0" xterm &
$ import -window root screen.jpg

Por defecto, el servidor Xvfb va a permitir conexiones TCP/IP, así que puede ser interesante desactivar la misma con -nolisten tcp

$ Xvfb :0 -screen 0 1280x1024x24 -nolisten tcp