Tester Jobs Requirements (VIDEO GAME)

Como es sabido, una de las funcionalidades atractivas y muy utilizadas en Telegram es la posibilidad de crear e interactuar con bots. La API para crear bots de Telegram es p�blica y justamente por eso es posible encontrar much�simas implementaciones de bots creados para ella tambi�n de forma p�blica.

Figura 1: Un bot de Telegram protegido por Latch en un Datacenter...

Un bot de Telegram es un programa que se ejecuta en un sistema propio (un sistema del tipo C&C) y que realiza las acciones que el usuario le solicite a trav�s de mensajes, llamados �ordenes�, enviados desde la cuenta del mismo Telegram por chat y con en el siguiente formato: /help, /ping, /lo_que_se_desee_hacer. Ya hemos visto ejemplos en varios art�culos aqu�:

- Pi Guardian: Video-Vigilancia controlada por un bot de Telegram
- Usar bots de Telegram para crear una botnet
- Controlar Sinfonier con un bot de Telegram

Los bots son una gran herramienta a la hora de querer difundir informaci�n entre miembros de un grupo de usuarios. Al utilizar Telegram como canal de comunicaci�n, se aprovecha del cifrado de la conexi�n del chat, y permite utilizar cuentas an�nimas, es decir sin la necesidad de identificar a los usuarios reales o a la organizaci�n que lo ha implementado. E incluso puedes seguir este blog "El lado del mal" por Telegram.


Todo hace pensar que es ideal entonces para administraciones remotas. Sin embargo, a pesar de las ventajas de este modelo, existe un gran desaf�o al momento de querer crear un bot que brinde acceso a datos o servicios sensibles de una organizaci�n porque, por defecto, no se permite autenticaci�n y autorizaci�n de usuarios. Es decir, dada ciertas condiciones, cualquier persona puede agregarse a un grupo y acceder a datos sensibles del mismo.


Una posible soluci�n ser�a no utilizar bots para manipular informaci�n confidencial y, si bien este acercamiento es cierto en la mayor�a de los escenarios, deber�amos plantearnos �qu� sucede si realmente queremos maximizar los beneficios y posibilidades que brindan los bots para ejecutar tareas sencillas y repetitivas (aunque a�n confidenciales)?

Un bot de Telegram protegido con Latch en un Datacenter

El equipo t�cnico del DataCenter de Telef�nica de Argentina est� compuesto por personas que se hacen este tipo de preguntas y que intentan buscarles respuestas, y por ello crearon un bot que permite agregar un m�todo de autenticaci�n y autorizaci�n robusto mediante la utilizaci�n de una herramienta conocida por los lectores de este blog: Latch.

La soluci�n se basa en integrar un middleware para sistemas internos - sistemas de monitoreo, medici�n de consumos energ�ticos, temperaturas, sistemas de ticketing, etc�tera - con un bot de Telegram, que pueda ser consultado desde los tel�fonos m�viles del personal que, previamente, debe acceder a ellos mediante Latch que actuar� como Segundo Factor de Autorizaci�n.

Figura 4: Configuraci�n de la app de Latch para controlar el bot de Telegram

Las ventajas son muchas. Una vez que el usuario se haya autenticado y aprobado su acceso, puede ejecutar tareas directamente sobre los sistemas internos del CPD y de esta manera se puede automatizar y acelerar el tratamiento de tareas rutinarias y repetitivas, minimizar el tiempo que un operador debe pasar dentro del centro o frente a una consola, garantizar que todas estas tareas son realizadas por personal autorizado.

Como siempre, existe una primera fase de alta y validaci�n de usuarios que ser�n agregados al grupo de Telegram y luego se usa Latch para evitar transmitir datos que tienen cierto nivel de sensibilidad, de forma no autorizada. Si un usuario �cierra� su Latch, la aplicaci�n informa que �alguien� ha intentado acceder a su cuenta y se bloquea el acceso. El proceso de creaci�n de esta interesante implementaci�n, ser�a de la siguiente manera:

Figura 5: C�digo para integrar Latch en nuestro bot de Telegram

Antes que nada registrarse en Latch como desarrollador y crear una aplicaci�n. Es bueno recordar que no es necesario brindar ning�n dato que nos relacione a una organizaci�n, el correo electr�nico o el tel�fono, los datos son solo representativos y sirven para obtener el Application ID y el Secret de la aplicaci�n creada. Ahora puedes gestionar hasta los permisos que quieres dar a cada Secret. En este ejemplo tienes un paso a paso de c�mo integrar una aplicaci�n web con Latch.

Figura 6: SDK de Latch para lenguaje Python

En el bot de Telegram se utilizan estos datos para procesar la validaci�n del usuario de Latch. En este caso el c�digo del bot propiamente dicho est� creado en Python por lo que es necesario descargar la el SDK Python correspondiente de Latch y luego realizar la autenticaci�n a trav�s de los datos obtenidos previamente (app_id y secret_key):

Figura 7:  Control de ejecuci�n de �rdenes con Latch

Una vez creado el bot de Telegram, se debe proceder a programar la integraci�n con Latch y agregar las ordenes que se desee que el bot lleve a cabo. El bot tiene una serie de par�metros y opciones que deber�n ser agregados y que servir�n para interactuar con el mismo. Por ejemplo, en este caso �/remedio� servir�a para descargar e instalar una actualizaci�n determinada en el sistema operativo.

Funcionamiento del bot de Telegram protegido por Latch

Ya con todo el desarrollo terminado, as� es como se ve la interacci�n del usuario (operador), para ejecutar tareas en el centro de datos a trav�s del bot de Telegram que se ha creado, protegido con Latch.

Figura 8: El bot ejecuta el comando porque el Latch est� abierto

Y as� se ver�a el resultado al momento de cerrar el Latch para un usuario determinado, es decir, deshabilitar la autorizaci�n para que ejecute acciones y por tanto el bot no las ejecutar�.

Figura 9: Operaci�n denegada por el bloqueo de Latch

Como puede verse, es sencillo crear un servicio que utilice un bot de Telegram para intercambiar informaci�n con un grupo de usuarios previamente autorizados con Latch y de esa forma potenciar el uso de ambas herramientas para realizar tareas sencillas, obteniendo un gran beneficio para todos. Por ejemplo, obtener el estado de un servidor o ejecutar un proceso urgente a distancia y, al mismo tiempo, proteger informaci�n sensible de la organizaci�n.

Autor: Claudio Caracciolo (@holesec)
CSA de ElevenPaths en Argentina

Tanto mi gran amigo Rafael Troncoso (@tuxotron) como yo, somos dos usuarios de Latch y llev�bamos mucho tiempo queriendo implementarlo a nivel de desarrollador en alg�n proyecto propio. Aunque hemos hecho algunas pruebas para integrarlo en Raspberry Pi y otros proyectos relacionados con el IoT, finalmente nos hemos decidido por un SDK en uno de los lenguajes que mayor popularidad est� ganando en los �ltimos meses. Hablamos del lenguaje Go, desarrollado por Google. Antes de nada, indicar que esta versi�n de SDK Latch para Go no es oficial de ElevenPaths.

Figura 1: Friends, tenemos un nuevo SDK de Latch para Go!

Rafael ha creado una primera versi�n de este SDK y hemos estado realizando varias pruebas sobre �l para comprobar que las funciones b�sicas funcionan correctamente. Pero antes de entrar en materia queremos explicar por qu� nos hemos decidido por el lenguaje Go. Primero porque si el legendario Ken Thompson, uno de los padres del Lenguaje C, es uno de los desarrolladores y por lo tanto hay que prestarle mucha atenci�n. De hecho, otra de sus ventajas es su sintaxis, la cual es bastante parecida al Lenguaje C por lo que no ser� dif�cil acercarte a Go si tienes conocimientos de este lenguaje. Adem�s, ha heredado la mayor�a de las caracter�sticas (y mejorando otras) que han hecho del Lenguaje C una referencia en el sector.

Figura 2: SDK de Latch para Go (no oficial)

Antes de comenzar, suponemos que tienes ya una cuenta de Latch como desarrollador. Tambi�n ser� necesario que tengas instalado Go para el sistema operativo que est�s utilizando Windows, Linux o macOS. El �ltimo paso es tener instalado Latch para tu Smartphone. Esto puedes hacerlo directamente desde la tienda de la plataforma que utilices o desde este enlace.

Utilizar el SDK de Latch para Go

Nosotros haremos las pruebas desde un ordenador con Linux. Utiliza el siguiente comando para instalar el SDK Latch para Go:

# go get github.com/tuxotron//latch-sdk-go

Finalmente estar� instalado en la siguiente ruta:

$GOPATH/src/github.com/tuxotron/latch-sdk-go/

Es fundamental obtener los valores Application ID y Secret, desde la consola de administraci�n web de Latch, en el men� Manage Applications. Sobre la aplicaci�n que queramos proteger pulsamos la opci�n Edit, tal y como se muestra a continuaci�n:

Figura 3: Men� de Latch donde podemos ver el ApplicationID y el Secret

En nuestro ejemplo, obtenemos los siguientes valores:

� Application ID: 7p9hrnmiWLf8EpbNcPFNfkaCrzPjW3kzTt2rrW9c
� Secret: YkmAJAX2W4v4JU9jP3Ce

Ahora procederemos a hacer algunas de las llamadas b�sicas de Latch utilizando el SDK de Latch para Go. Utilizaremos un fichero que hemos llamado main.go que puedes ver a continuaci�n:

Figura 4: Fichero main.go en el SDK de Latch para Go

El c�digo de este programa crear� una instancia en Latch de nuestro servicio. A�adiremos en Latch desde la aplicaci�n del Smartphone, un nuevo servicio para poder asociar nuestra aplicaci�n. Luego lo pareamos con la opci�n Pair with Latch:

Figura 5: Opci�n de Latch donde podemos activa "Pair with Latch"

Esta opci�n nos devolver� un token temporal de pareado de 6 d�gitos.

Figura 6: Token Temporal de Pareado devuelto por Latch

Ahora tendremos que a�adir la llamada para realizar el pareo en nuestro c�digo anterior. El c�digo a�adido son las l�neas 3,12,13,14,15,16,17,18 y 19 en el fichero main.go.

Figura 7: Configuraci�n de pareado con Latch

La l�nea 12 realiza una llamada a la funci�n pair con el token recibido en la aplicaci�n m�vil. El resto del c�digo se encarga de imprimir por pantalla el resultado de la llamada. Finalmente, cuando ejecutemos go run main.go devolver� el accountId, que ser� parecido al que mostramos a continuaci�n:

OK {"accountId":"zZhqg7H9pabaZDDJg4y2HcFWCjZtDm6yXBg7QDdrKNjBJfreirxzjY74R2dtxbta"}

Este valor de accountId es necesario para comprobar el estado de nuestra aplicaci�n desde Latch. Una vez realizado el pareo no necesitaremos m�s la opci�n PairWithToken(...) as� que la comentamos en el c�digo (l�nea 12) y a�adimos una nueva l�nea para comprobar el estado de Latch status(...) que puedes ver en la l�nea 13:

Figura 8: Accediendo al estado de un accountID en Latch

La llamada status recibe tres par�metros, accountId, el cual recibimos cuando hicimos el pareado y los otros dos son valores booleanos (ver documentaci�n Latch). Si ejecutamos nuestro c�digo ahora y no tenemos nuestra aplicaci�n bloqueada con Latch tendr�amos que ver una salida parecida a la siguiente:

OK{"operations":{"WcqfYQErkANrk7wfijgv":{"status":"on"}}}

Recibimos el ID de la operaci�n y el estado de Latch, que en este caso est� activada, es decir, no bloqueada.

Figura 9: Activaci�n de Latch sobre nuestro servicio

Cuando bloqueamos nuestra aplicaci�n desde Latch, obtendremos una salida similar a la siguiente:

OK{"operations":{"WcqfYQErkANrk7wfijgv":{"status":"off"}}}

La aplicaci�n est� bloqueada por Latch y como hemos incluido el par�metro silent con el valor falso, recibiremos una alerta en nuestro smartphone como esta:

Figura 10: Aviso de alerta de acceso a Latch

A modo de resumen, estos son los pasos que tenemos que realizar para poder proteger un servicio Latch:

1. Obtener Applicaction ID y Secret 

2. PairWithToken con el token obtenido en la aplicaci�n m�vil. 

3. Llamar a la funci�n status con el accountId, y comprobamos si el estado (status) est� a ON (permitido) , si el estado est� a OFF evitamos la ejecuci�n de la operaci�n y notificamos al usuario con el alg�n tipo de error.

Finalmente, para quitar el pareo de la aplicaci�n podemos usar la funci�n Unpair, y le pasamos como par�metro el accountId:

Figura 11: Opci�n de Unpair en linea 12

Recibiremos una alerta en el m�vil indicando que todo ha ido bien:

Figura 12: Alerta recibida una vez hemos hecho el Unpair del servicio

Esperamos que os haya gustado esta primera introducci�n al SDK Latch en Go. Seguro que haremos m�s pruebas e implementaremos m�s funciones que compartiremos con todos vosotros.

Autores: Fran Ram�rez (@cyberhadesblog�), Investigador de ElevenPaths y escritor del libro �Microhistorias: an�cdotas y curiosidades de la Inform�tica� y  Rafael Troncoso (@tuxotron),  co-fundador del blog CyberHades y escritor del libro �Microhistorias: an�cdotas y curiosidades de la Inform�tica�

Creo que a estas alturas todos conocemos LATCH, pero para el que no haya estado al tanto:

"Latch es un servicio en la nube para que los usuarios pueden crear pestillos digitales para poner a sus identidades digitales, y que les permita poner ON/OFF las cuentas con tan solo hacer clic en la identidad que quiere desbloquear o bloquear cuando la vaya a utilizar. "

La �ltima vez que escrib� sobre Latch fue por el 2014 y os trajimos un hack en el cual hac�amos varios usos de este servicio, para "Lachear" medios f�sicos...

Muchos proyectos he visto desde entonces, algunos brillantes... Tambi�n Eleven Path empez� a fomentar el "maltrato o uso loco" de su servicio con Latch Plugin Contest  donde he podido ver usos de este servicio verdaderamente interesantes.....(siempre he querido participar pero siempre perd� la oportunidad de apuntarme, se me escapaban los plazos.....soy mu desastre para las fechas).

Pero nosotros vamos a ir un poco m�s all� (estamos m�s locos), cierto es que bajo la misma premisa pero con un hardware mucho mas minimalista... y con much�simas m�s posibilidades dado su reducido tama�o.

Pues por aquel entonces me rondo una idea la cabeza "y si construyera un peque�o dispositivo aut�nomo, no mas grande que mi pulgar, muy barato de construir (2 o 3 �), capaz de conectarse ala red ,con el cual poder Lachear cualquier cosa???"......

 Y cuando digo cualquier cosa es cualquier COSA....el coche (o su bomba de combustible), la puerta del garaje, mi robot de cocina, el tel�fono, la puerta de mi casa, una central nuclear, mi router, la electrov�lvula de mi vecino..el encendido de la moto..el control de acceso de la oficina...etc etc....CUALQUIER COSA..(el�ctrica...no podemos "lachear" una oveja)....bien como un vector extra de seguridad o simplemente como dispositivo a distancia...

Pues bien tras un par de d�as de curro os quiero presentar la prueba de concepto de Microlatch ...se basa en un chip ESP que no cuesta mas de 3�, al cual se le adaptado el firmware y es capaz de hacer peticiones https y llevar acabo todo el proceso necesario para conectar con el servicio latch, conectarse a la red mediante wifi, poner en red un peque�o servidor web... y con un par de salidas para conmutar rel�s, optocopladores etc.

De momento el software esta en fase de desarrollo  aunque ya he resuelto las principales pegas (a ver el tiempo que me dejan)  pero en breve tendr� algo decente.. y divertido..


Os emplazo a una segunda entrada en la cual entrare mucho mas en detalle...y veremos como fabricarnos un Microlatch.

Un saludaco.
PD: Pediros perd�n a vosotros y al blog por todo este tiempo AFK, que he ando mas liado que la pata un romano.

https://github.com/Hackplayers/Micro-latch/wiki