Internet

Hace un tiempo que hablé de los VPS para desarrolladores, unas máquinas que en general por ser baratas se presupone que tienen mala conexión… pero, ¿cómo comprobar de forma sencilla la velocidad de conexión de un VPS?

Lo único que necesitaremos es tener acceso SSH a la máquina y ejecutar un comando. Si quieres probar la descarga de un fichero de 100 MB, 500MB o 1GB puedes hacerlo con los siguientes comandos:

fichero de 100 MB

wget -O /dev/null http://speedtest.sea01.softlayer.com/downloads/test100.zip
wget -O /dev/null https://speed.hetzner.de/100MB.bin
wget -O /dev/null http://speedtest.tele2.net/100MB.zip
wget -O /dev/null http://cachefly.cachefly.net/100mb.test
wget -O /dev/null http://speedtest.london.linode.com/100MB-london.bin
wget -O /dev/null http://speedtest.atlanta.linode.com/100MB-atlanta.bin
wget -O /dev/null http://proof.ovh.net/files/100Mb.dat

fichero de 500MB

wget -O /dev/null http://speedtest.ams01.softlayer.com/downloads/test500.zip

fichero de 1GB

wget -O /dev/null https://speed.hetzner.de/1GB.bin
wget -O /dev/null http://speedtest.tele2.net/1GB.zip
wget -O /dev/null http://mirror.nl.leaseweb.net/speedtest/1000mb.bin
wget -O /dev/null http://mirror.us.leaseweb.net/speedtest/1000mb.bin

NOTA: en estos casos la descarga de estos ficheros no va a ocupar espacio en tu disco, es simplemente una descarga virtual.

Esto acaba dando un resultado similar al siguiente:

HTTP request sent, awaiting response... 200 OK
Length: 104874307 (100M) [application/zip]
Saving to: ‘/dev/null’

/dev/null 100%[=====================================>] 100.02M 15.3MB/s in 7.4s

2018-03-26 08:20:33 (13.4 MB/s) - ‘/dev/null’ saved [104874307/104874307]

La cifra marcada es la velocidad de descarga. Piensa que esta velocidad está en la medida que se indica, en este caso MB/s (Megabytes por segundo), por lo que si quieres compararla con tu conexión a Internet, has de multiplicar la cifra por 8:

15.3 MB/s = 122.4 Mb/s

Esta velocidad ahora es en Megabits por segundo, comparable con las conexiones de ADSL de 20 Mb/s, o de Fibra de 100 Mb/s o de 300 Mb/s e incluso de 1 Gb/s.

¿Qué velocidad debería dar al menos mi servidor? Pues depende de la tarjeta de red que tenga y si está limitada o no. Lo ideal es que al menos tenga una velocidad de 100 Mb/s, aunque lo ideal es que cubra los 1000 Mb/s, ya que un usuario que tenga conexión por Fibra Óptica podría aprovechar el 100% de la misma.

¿Estás harto de recibir spam después de haberte dado de alta en servicios “raros”? Si eres de los que le gusta probar sitios web, servicios desconocidos, y no quieres hacerlo de buenas a primeras con tu cuenta real de correo, existen servicios de correo que te permite verificar la cuenta, pero que luego, esa cuenta, desaparece por arte de magia. Son las cuentas disposable (de usar y tirar).

En general todos estos servicios que te voy a proponer crean una cuenta de correo nada más acceder, y allí mismo tienes la bandeja de entrada, por lo que si pones esa cuenta, a los pocos minutos recibirás el correo, podrás leerlo, y posteriormente la cuenta desaparecerá (en general las cuentas están disponibles entre 10 minutos y 60 minutos después de su creación.

• Temp Mail
• Throw Away Mail
• Nada
• Guerrilla Mail
• Email On Deck
• MyTemp.Email
• Crazy Mailing

Los que me conocen saben que soy muy de hacer pruebas con VPS de 5 dólares de DigitalOcean. Usar y tirar. Así que como en casa me faltaban máquinas para instalar y probar Kali Linux (usado para temas de seguridad principalmente) me he decidido a instalarlo en un servidor de estos baratos. ¿Qué ocurre? Pues como es lógico, pocos proveedores ofrecen la posibilidad de instalar Kali Linux por la posibilidad de usarse para hacer ataques preventivos; he visto algunos, pero la verdad, no sé si el precio compensa para hacer pruebas.

Así que después de darle varias vueltas, sabiendo que Kali Linux es una distro de Debian me he planteado si era posible instalar las herramientas sobre ello, y sí, es posible. Así que para empezar daremos de alta una máquina de, al menos 2GB de RAM con Debian (preferiblemente la última versión).

Lo siguiente a hacer es poner en hora la máquina (sí, una de esas manías mías con la hora).

timedatectl set-timezone UTC
timedatectl set-ntp on

Lo siguiente es permitir la instalación de paquetes Kali, por lo que añadiremos las fuentes como fuente (valga la redundancia) y haremos una actualización.

echo "deb http://http.kali.org/kali kali-rolling main contrib non-free" >> /etc/apt/sources.list
apt-get -y update

Y aquí surge el primer problema, ya que no autentica la configuración. Para ello instalaremos los keyring que también nos podrian dar error, así que le añadiremos un parámetro mágico y continuamos actualizando.

apt-get -y --allow-unauthenticated install kali-archive-keyring
apt-get -y update

Ahora que ya tenemos todo listo, habrá que decidir qué instalamos. Puesto a hacerlo, lo haremos a lo grande, así que haremos la instalación completa full, pero se puede ver la lista primero y decidir.

apt-cache search kali-linux
apt-get -y install kali-linux-all

Después de unos 20 minutos (y unas cuantas preguntas) tendrás tu máquina lista para comenzar a trabajar. Lo siguiente es darte una vuelta por las Herramientas Kali, y hacer pruebas.

ACTUALIZACIÓN: Una vez hecho este proceso, es más que recomendable hacer una actualización (un par de veces para asegurarse que no queda nada pendiente) de todo el sistema:

apt-get -y update
apt-get -y upgrade
apt-get -y dist-upgrade
apt-get -y autoremove

A partir de aquí, un reinicio del sistema, y a trabajar.

reboot

…o cómo ponerlo más difícil, y por lo menos no moriri en el intento.

Estos días estamos viendo como el Tribunal Constitucional español está solicitando el cierre de determinados sitios web (debido al Referéndum), y me gustaría hacer un planteamiento, desde el punto de vista técnico, de cómo se podría conseguir hacer esto algo más difícil.

Para comenzar lo primero hay que establecer son una serie de reglas: Internet está hecha para ser un sistema distribuido, por lo que cerrar un sitio web debe ser algo complicado desde el punto de vista técnico. Lo siguiente es establecer que , de la misma forma que Internet está hecho para ser distribuido, su funcionamiento ha de ser simple (y muy complejo) para que todos sigamos una serie de reglas.

Cuando lanzas un sitio web informativo, como puede ser el del referendum.cat, y que ahora lanza un mensaje como el que podemos ver a continuación…

…hemos de tener presentes tres puntos débiles del sistema: el dominio, las DNS y el servidor web.

Comenzando por el dominio, en este caso se están usando dominios .CAT que dependen de la Fundación punt Cat y formado por el Patronato, lo primero es analizar en qué registrador oficial se registra el dominio. Partiendo de la base de que los dominios no son caros da igual dónde los registres, yo me iría a registrarlos por ejemplo a 101domain, o tal vez a blacknight al estar la sede social fuera de España. Obviamente la gran diferencia es que la Guardia Civil no va a ir a tus oficinas, y van a ordenarte, de cuerpo presente, que des de baja el asunto. Esto ya te dará unos días.

Segundo punto, las DNS. En este caso hay fórmulas muy sencillas, como por ejemplo tener las DNS en un servidor DNS abierto. Hace unos días escribí una entrada sobre NS, que tampoco es 100% para esto que comento, pero nos puede dar una primera idea. El objetivo es tener un proveedor de DNS que esté fuera de Europa (o de países amigos, a ser posible) y utilizar varios servidores web (con varias cpias de la web) y que por sistemas de Round-Robin mandar a los usuarios a varios servidores en distintos países. ¿Te cierran un servidor web? No pasa nada, quitas esa entrada DNS y añades otra.

Para acabar, el servidor web. Una web como estas que comentamos son principalmente informativas y no suelen requerir una infraestructura compleja, ya que aunque tengan una pequeña base de datos son webs muy cacheables. Esto significa que con máquinas muy pequeñas, podrías tener muchas en muchos ISP lo que requeriría muchos requerimientos. En la misma línea, hace poco hablé de los VPS para desarrolladores que podrían servir para este caso (máquinas de 5-10 euros/mes, que total, sólo hace falta un mes).

Si sumamos todo esto, estamos hablando de que por 10 euros del dominio + 2 euros de DNS + 50 euros en 5 alojamientos web, tendrías una infraestructura distribuida sencilla, fácil de mantener, escalable incluso, extensible y a la que la acción judicial de un único país tendría ligeramente difícil de poder cerrar. Teniendo esto en cuenta, mi duda es is la gente que ha montado la web del referendum.cat tenía todo pensado para montar algo “razonable” o simplemente alguien estaba esperando que llegasen los jueces a cerrarla.

Elegir una App de mensajería instantánea para tu dispositivo móvil no debería se runa elección que se tome a la ligera. Al menos no si quieres estar seguro. Y es que aunque hoy en día la mayoría de las Apps utilizan cifrados punto a punto, hay una ligera diferencia en dónde se almacenan los datos.

Y es que una cosa que me explicaron hace muchos años sobre el correo electrónico es que daba igual que estuviera cifrado, porque las cabeceras no lo están, y eso implica que se sepa cuándo, de y para, cuántos mensajes se envían… lo que significa que puedes saber si hablas mucho con determinadas personas y con qué frecuencia, independientemente de la información de los mensajes. “Los grandes” siempre decían que eso era lo importante (por ejemplo, para Facebook sería suficiente esa información para relacionarte con otras personas).

Con la mensajería instantánea también pasa lo mismo… Lo importante es saber qué métodos de validación se usan y dónde se guardan los mensajes. No voy a hacer un análisis muy profundo de las cosas, pero sí que me voy a fijar en un par de elementos que deberían ser importantes a la hora de elegir.

Lo primero a tener en cuenta: ¿cuál es el sistema de identificación de usuarios? Hay sistemas de mensajería en que has de tener un número de teléfono y se centra todo en el número (por ejemplo a la hora de buscar contactos relacionados). Es lo que hace por ejemplo WhatsApp o Facebook Messenger y es lo que permite a Facebook relacionar personas. Otros como Signal lo usan pero sólo para verificar el dispositivo y a partir de ahí va siempre hasheado. En Threema ni eso (aunque puedes verificarlo posteriormente), simplemente te das de alta y listos.

Lo segundo a tener en cuenta: ¿dónde se guardan los mensajes? Hay dos modelos de mensajería, los que van de punto a punto o los que usan la nube como salto intermedio (y se guarda el mensaje ahí). Obviamente la mejor opción es la primera, ya que aunque se supone que nadie tiene tus claves y que las claves son “ultra seguras”, en realidad con un poco de ingeniería, es posible que la cosa no lo sea tanto y que esos mensajes almacenados puedan llegar a ser desencriptados (no digo que sea fácil).

Haciendo un repaso de estas opciones, si he de quedarme con Apps de mensajería, ¿con cuál me quedo? Sin hacer una investigación muy extensa, me quedaría con Signal o Threema, seguidamente de Telegram (con matices). Los dos primeros casos funciona de forma similar, aunque Threema sin duda es mucho más bestia, ya que te das de alta y te genera un identificador que no tienes porqué asociar ni con teléfono ni con correo (sólo lo haces si quieres) y la relación entre personas se puede hacer en persona, verificando tu relación leyendo un QR delsde el teléfono del otro. Signal en este caso sí que verifica el teléfono y es el sistema que usa para relacionar personas, aunque lo usa hasheado, de forma que sí que saben que se generan mensajes entre usuarios aunque se supone que son anónimos. n ambos casos, los mensajes nunca se almacenan en sus servidorfes sino que es mensajería cliente-cliente.

Telegram tiene una opción que es la de los chats privados que, en ese caso, sí que la mensajería es cliente-cliente, pero si es la normal (o los grupos) se usa mensajería cliente-servidor-cliente, lo que haría que se pierda eficacia.

Cuando alguien me dice eso de “pues instálate WhatsApp porque es lo que todo el mundo tiene”… bueno pues molt bé pues adiós.

Llevaba tiempo queriéndote decir esto: estás usando incorrectamente los mensajes de la Ley de Cookies. La primera pregunta que te quiero hacer es: ¿te has leido la ley? ¡Venga ya! Aceptaría que te hayas molestado en visitar la página simplificada de la Unión Europea en la que se explica la parte de cookies y si has de poner ese mensaje y cómo.

Primero vamos a situarnos rápido: una cookie no es una galleta, es un pequeño bloque de información que se guarda en tu navegador de Internet y que ayuda a los sitios webs por los que navegas a saber que eres tú y qué preferencias tienes en un sitio (por ejemplo, cuando seleccionas el idioma del menú de la página y cuando vuelves aparece ese mismo idioma).

Cookies hay de dos tipos, las de sesión (cuando cierras el navegador, se eliminan) y las permanentes (duran hasta la fecha final que se le indica). Por otro lado hay las de first-party (que son las cookies propias, las que genera el sitio por el que navegas) y las third-party (que las genera un servicio externo sobre el que no tienes control). Para acabar tienes la posibilidad de permitir solicitar cookies de forma implícita o explícita.

¿Cuándo NO hay que pedir permiso para las cookies? Cuando las cookies las provee el propio sitio web (first-party) y son para que el sitio funcione correctamente o tenga datos de configuración. Tampoco lo serían aquellas cookies de sesión o las que, como máximo, están un año.

¿Cuándo SÍ hay que pedir permiso para usar cookies? Cuando las cookies las provee un servicio externo que simplemente utiliza esas cookies para almacenar datos de uso o análisis. Ejemplos son Google Analytics, Hotjar y cosas de ese estilo. En definitiva, cosas que si no tuvieras, tu sitio funcionaría y que sólo pones para recopilar datos que se almaenan “por ahí”.

Existe una excepción y son las cookies de “redes sociales”. Por ejemplo, las cookies que Facebook, Google, Twitter ponen en tu sitio para identificar a los usuarios que han accedido a sus redes desde estos sitios.

Entonces ¿he de poner el mensajito que toca los webs en todos mis sitios? Depende. Sólo has de ponerlo cuando utilizas esas cookies de terceros que comentaba. En caso de ponerlo, y aquí es cuando decía al principio “que lo estás haciendo mal”. Voy a internet explicarme muy claramente:

Cuando pones el mensaje de las cookies ha de haber siempre dos opciones: Aceptar o Rechazar. El aceptar permite que incluyas esas cookies de terceros que trackean al usuario, pero el rechazar no puede sacarte de la web y mandarte a Google o Disney (si no dejas acceder a un usuario por no usar cookies loe stás discriminando, y eso es delito), te ha de permitir usar el sitio web, pero como propietario del sitio no puedes incluir los scripts de terceros.

Eso sí, ten presente que además de mostrar ese mensajito “flotante”, cuando lo aceptes o rechaces, igualmente y durante toda la visita del usuario, en cualquier momento el usuario puede decidor aceptar o rechazar de nuevo esto, y ha de estar visible de nuevo. Un ejemplo de este caso es el que se muestra en los puntos 1 y 3 de la imagen siguiente:

¿Cuál es la mejor manera de gestionar todo esto? Usando el sistema de Do Not Track que es una herramienta de los navegadores que automatiza la solicitud de este mensaje de las cookies. Si tu utilizas un sistema que detecte las cabeceras del sitio buscando la DNT y en caso de que esté activo no muestras los scripts de terceros, ya estarías cumpliendo en no tener que mostrar el mensaje de “aceptar las cookies”, ya que al estar activo y tú no mostrarlo, no hay que aceptar nada (ya que no muestras nada).

Eso sí, no olvides que independientemente de lo que hagas con la aceptación o no de las cookies, sí que hay que incluir en los sitios una zona en la que se explique qué tipo de cookies usas (ya sean first o third-party) y qué información almacenas en ellas. Ahora toca ponerse manos a la obra y arreglar lo que tengas mal en tus sitios (que es lo que voy a hacer yo ahora mismo).

Cuando hablamos de Internet hemos de hablar de resolución de nombres, principalmente los de dominio. Son las llamadas NS o DNS. Este es un servicio básico ya que lo que permite es convertir un dominio tipo [example.com] en una IP, además de hacer lo mismo con el correo y otras entradas.

Habitualmente los servicios de registro de dominio ofrecen una versión gratuita de este sistema, básico, pero suficiente para funcionar. Aunque si nos vamos a detalles más de tipo Web performance, la cosa cambia y deberíamos elegir un sistema algo más amplio, mundial, con multicast o anycast, que tenga redundancia, intentando tener tiempos altos de TTL.

Y aquí una lista de servicios gratuitos de DNS que existen en la red (ordenados alfabéticamente):

• 1984: Aunque se centran en dar alojamiento, tienen su servicio de Free DNS para cualquier usuario.
• ClouDNS: Aunque la versión gratuita no es muy amplia, no deja de ser otra opción distribuida importante y conocida.
• Cloudflare: Ofrecen varios servicios y parece que ahora mismo tienen cerca del 40% de la gestión de DNS del mundo.
• FreeDNS: Es de estos servicios que la comunidad pone a disposición de todo el mundo, siempre actualizado y a la última.
• Geoscaling: Lo interesante de este servicio es que permite distribuir las entradas dependiendo del punto de origen del usuario. Si un usuario está en América, lo mandas a un servidor en US, si está en Europa, a uno en DE…
• Hurricane Electric Free DNS: Personalmente el que más me gusta y uno de los que utilizo. Es visualmente feo pero funcional y si sabes de DNS te deja hacer prácticamente de todo. Además acaban de añadir soporte a las CAA y tienen servicio dinámico. Ofrecen 50 entradas gratuitas.
• Namecheap FreeDNS: Aunque se centran en registrar dominios, puedes usar sus servicios de DNS de forma gratuita aunque el dominio no esté con ellos.
• NS1: Tiene buena pinta, y su servicio de pago parece muy interesante. Ofrecen 50 entradas gratuitas con 500K consultas gratuitas.
• Rackspace: Tienen el servicio simplemente gratis por darte de alta con ellos. Usan el estándar de BIND9 en modo Anycast.
• BuddyNS: Aunque sólo ofrecen 300K peticiones/mes, es más que suficiente y tienen una buena infraestructura distribuida.

Como he comentado, personalmente estoy usando los servicios de Hurricane Electric, aunque también uso y he usado algunos otros para distintos proyectos. Al final es siempre escoger lo que a uno le vaya mejor. Y para eso, un par de herramientas interesantes. La primera un comparador (historizado) de velocidad de DNS. La segunda un comparador por zonas y listados de cuota de mercado por proveedor DNS.

Y, como siempre, si necesitas ayuda para montar o usar este sistema o cualquiera de ellos, no dudes en contactar conmigo que te podré ayudar con ello.

Cuando uno empieza en Internet suele hacerlo con una cuenta de correo de tipo GMail, Hotmail o similar. Son grandes servicios pero no muy profesionales. Por ejemplo, cuando entregas tu curriculum en la b´ñusqueda de empleo, al menos yo, es una de las cosas que me fijo, porque un correo personalizad dice mucho de esa persona.

Y es por esto que te propongo algunas opciones a la hora de montar tu propio correo electrónico con tu dominio, el cual ya doy por hecho que tienes. Personalmente te recomiendo un .COM, pero si no es el caso, siempre tienes los .CONTACT, .MAIL, .NAME, .EMAIL, .ABOGADO, .ACTOR… o cualquier cosa que te interese.

A partir de aquí ¿cómo consigo mi cuenta de correo completa y gratis? Pues te propongo algunas opciones (aunque la verdad es que no hay muchas).

• Zoho: Seguramente es de todas las opciones la más conocida, aunque personalmente para mi no es la más potente. Si visitas su página de pricing tienes la opción de gratis / free que te da hasta 25 cuentas de 25GB de espacio además de otros servicios. vendría a ser una especie de Office o Google Suite. A partir de ahí es cuestión de configurar tu dominio.
• Yandex: el llamado “Google ruso” ofrece un servicio casi ilimitado -1000 cuentas- de correo (y otros servicios) con tu propio dominio. Para ello puedes usar su servicio de Yandex Domain y que están ampliando con su Yandex Connect en el que también dan espacio en disco y otros servicios.
• Migadu: Es un servicio con cuentas ilimitadas para un dominio, pero con la restricción de máximo 20 correos salientes al día, algo que considero simplemente irrisorio.
• Pawnmail: es un servicio sencillo y simple de correo, gratuito por completo pero al que cuesta acceder ya que no siempre está disponible para dar de alta nuevas cuentas.
• Mailsac: este servicio es interesante ya que es para cuentas “de usar y tirar”, y que te permite usar tu propio dominio, lo que hace que para darte de alta en sitios parezca una cuenta de correo “seria” (sobre todo porque hay sitios donde no se permite el uso de cuentas de GMail o Hotmail).

Sin duda, si vas a comenzar con algo, no te importa que su versión webmail esté en inglés, y vas a usar, por ejemplo, un lector de correo o una App en el móvil, mi mejor opción es la de usar Yandex Mail. he tenido la oportunidad de probarlo y usarlo y es una elección interesante, fácil de usar y que tiene todo lo necesario para un servicio de correo que no te lo acabarás. Y si necesitas ayuda para montar o usar este sistema o cualquiera de ellos, no dudes en contactar conmigo que te podré ayudar con ello.