Security Art Work

[Como segunda entrada sobre VoIP, en este post vamos a describir los principales protocolos de señalización utilizados por VoIP, y en el siguiente entraremos en los protocolos de transporte. Estas tres entradas permitirán que los siguientes artículos, de carácter técnico, sean más accesible a aquellos no duchos en esta tecnología.]

En los últimos años, los protocolos de señalización para el servicio de transmisión de voz han experimentado una fuerte evolución, puesto que cada vez más, se están usando las redes de conmutación de paquetes para transportar tráfico de voz. Las necesidades de calidad de servicio hacen que sea necesaria una gestión de recursos que asegure la optimización de la capacidad de transporte de la voz extremo a extremo, para ello surgen los protocolos de la señalización.

Por señalización se entiende el conjunto de informaciones intercambiadas entre los dos extremos de la comunicación que permiten efectuar operaciones de:

• Supervisión (detección de condición o cambio de estado).
• Direccionamiento (negociación y establecimiento de llamada).
• Explotación (gestión y mantenimiento de la red).

Para cumplir los requerimientos de señalización existen principalmente tres protocolos: H.323, SIP y MGCP.

[Read more…]

Hace ya algún tiempo que nos encontramos en un tremendo boom de la virtualización de sistemas informáticos. Gran cantidad de empresas están migrando sus sistemas a entornos virtualizados seducidos por las grandes ventajas que aportan estos sistemas encuanto a comodidad y eficiencia.

La virtualización consiste en una capa software que corre en un sistema operativo anfitrión, y que proporciona una capa de abstracción con el hardware y con el sistema operativo que hay por debajo de dicho software. Dicha abstracción es realizada de tal manera que resulte transparente al software que se ejecuta por encima de ella, es decir, cuando instalemos un sistema operativo sobre dicha capa de abstracción, esté verá el mismo tipo de procesador, espacio de direcciones y demás características hardware que vería en una máquina física, permitiendo la ejecución sin necesidad de modificaciones del software.

Dado que multiples instancias pueden ser lanzadas, la capa de abstracción es la encargada de asignar los recursos a cada una de ellas (tiempo de CPU, memoria RAM, espacio en disco, etc), permitiendo un control centralizado de las mismas desde la máquina anfitrión. Otra de las principales ventajas que aporta esta nueva vertiente es la independencias del hardware y del sistema operativo anfitrión ya que, en caso de un fallo hardware del equipo, es posible trasladar la máquina virtual a una nueva máquina física, aunque el hardware y el sistema operativo instalado en dicha máquina sean completamente diferentes a los de la máquina original, simplemente con que dicha arquitectura sea soportada por el fabricante del sofware de virtualización.

Como podéis imaginar, la aplicación de las arquitecturas virtualizadas en los planes de contingencia de los sistemas de información es inmediata, ya que en caso de desastre, simplemente con tener hardware disponible (sin necesidad de que sea igual al original) y una copia de las máquinas virtuales es posible restaurar el funcionamiento en muy poco tiempo. Sin embargo, como suele pasar en la mayoría de los casos, ninguna solución es la panacea, sino que aporta unas ventajas y unas desventajas que hay que valorar.

Concretamente, el uso de entornos virtualizados tiene algunas implicaciones de seguridad que hay que tener muy en cuenta a la hora de diseñar este tipo de entornos, con el fin de poder controlar sus riesgos de seguridad intrínsecos y reducir dicho riesgo a un nivel residual asumible por la organización.

Pero eso será otro artículo.

Tras la introducción teórica del funcionamiento del proceso de autenticación, comentada la semana pasada (I y II), es hora de abordar la metodología utilizada por las herramientas de seguridad inalámbricas que permiten realizar ataques de diccionario a la PSK, aplicaciones como Airolib (de la suite Aircrack) o Cowpatty. Aunque en un inicio pensamos separar esta entrada en dos, hemos llegado a la conclusión de que no tiene sentido, y que aunque sea un poco largo, aquellos interesados lo agradecerán.

El estándar 802.11i, y en concreto WPA, conforma un protocolo de seguridad complejo y fiable, si es utilizado de la manera adecuada. No obstante, no esta exento de ser susceptible a ataques de diccionario y fuerza bruta. En este post se detalla de forma teórica el principal “Talón de Aquiles” que presenta este protocolo. Éste reside en el proceso de autenticación entre las estaciones de la red y el punto de acceso, el llamado saludo a cuatro vías o “4 way-handshake“; dicho proceso consta del intercambio de 4 paquetes para la gestión del acceso a la red. La brecha de seguridad a la que nos referimos, y que un atacante podría utilizar, se encuentra tanto en el segundo como en el cuarto paquete, ya que en ambos la estación transmite al AP el MIC o control de integridad, y el mensaje EAPoL en claro. (Recordad que el valor MIC conforma el resultado de aplicar el algoritmo de control de integridad “Michael” al mensaje EAPoL. Dicha función toma como entrada el paquete de datos mismo, las direcciones MAC origen/destino, y parte de la PTK; todo ello genera mediante la función de HASH HMAC_MD5 la cadena de control de integridad.)

[Read more…]

Aunque como dicen allá, muchos de ustedes ya lo sabrán, leo en Kriptópolis que se ha descubierto una vulnerabilidad crítica en el kernel de Linux, que permite a un usuario interno obtener privilegios de root; efectivamente, lo hemos probado y funciona. El código fuente del exploit puede encontrarse en Security Focus, así como versiones afectadas.

Afortunadamente, existe un parche oficial, del que ya se ha sacado una segunda versión.

Ya tienen trabajo para mañana. O para esta noche.

En el bus por decir un sitio; en la cafetería, en el aeropuerto, en un ascensor… No sé si alguna vez se han parado a escuchar a la gente. Yo sí lo he hecho, y les puedo asegurar que, en más de una ocasión —y dicho sea de paso, sin proponérmelo de forma especial— he oído cosas que sin duda podrían ser aprovechadas en contra de quien las dice, ya sea personal o profesionalmente. En otras palabras, volvemos a lo de siempre: las personas suelen ser el punto más débil de la seguridad.

Sin llegar a extremos (nunca he oído a alguien en el ascensor de un edificio de negocios decir algo del tipo “Mi clave es X” —N.d.E. Yo sí lo he oído, en la calle a viva voz, a propósito de una contraseña caducada—), los comentarios que en mayor o menor medida hacemos al salir de una reunión, al salir de la oficina o al tomar un café con un compañero pueden suponer un peligro para nuestra seguridad. Los típicos “Este Z, que se apunta las claves en la PDA”, “A Y le haré un 10% de descuento porque es buen cliente”, “Te has enterado del robo del portátil de X”… pueden ser sin duda un serio problema de seguridad para cualquier organización. Y es que todos estamos expuestos, cada día más, y en determinados lugares aún más todavía, a un shoulder surfing auditivo (lo que en castellano plano llamaríamos cotilleo) que implica riesgos a controlar en la organización.

Había una página estadounidense (no recuerdo la URL) que venía a llamarse “Cosas que oigo en el autobús” o algo así, en la que gente anónima enviaba posts diciendo lo que había oído comentar a unos tipos, y por supuesto dando el mayor número de detalles de la conversación (lugar, hora, zona, descripciones físicas, referencias a terceros mantenidas…); sin duda un arma de doble filo, pero un arma al fin y al cabo. Sin llegar a estos extremos, pensemos lo siguiente:

— El ascensor del edificio del cliente, en el que me encuentro al salir de una reunión comentando los resultados con mi compañero, tiene un micro.
— El taxista que me devuelve a la oficina, después de una dura negociación de precios con un cliente que estoy detallando a mi jefe por el móvil, trabaja para ese cliente.
— El chico del restaurante del centro de negocios memoriza todo lo que puede de las conversaciones que tenemos durante el almuerzo.
— …

Asusta, ¿verdad? Bien, pues es algo que, aunque a veces suene a película, se hace. Y más de lo que podamos imaginar (sobre todo si trabajamos para sectores como banca, seguros, defensa…, o para empresas con una fuerte competencia). Evidentemente, si vamos a un congreso del sector todos tenemos precauciones en los comentarios que hacemos con el que se sienta al lado o en las conversaciones por el móvil; al fin y al cabo, sabemos de antemano que el congreso está trufado de competencia, posibles clientes, partners, etc. Pero esas precauciones debemos tenerlas también en la cafetería, el ascensor, el gimnasio o el autobús.

¿Qué hacer contra esto? Dos medidas básicas: por un lado procedimientos (políticas, normativas, estándares… como les queramos llamar) que alerten a toda la organización de estos peligros y de qué podemos o no podemos decir en un sitio público, y por otro sentido común a la hora de hablar, dónde hacerlo y con quién. Con estas dos medidas sería suficiente para mitigar en buena parte un riesgo que en pocas ocasiones consideramos como tal.

No sé si se acuerdan de lo que les comentamos hace algún tiempo en relación con esas páginas en las que, a cambio de tu usuario y password de MSN, te dicen quién te tiene bloqueado en su MSN. O eso afirman ellas, porque el propósito final al parecer es muy diferente, según lo visto: generar spam (que es desde luego, casi lo más benigno que se puede hacer).

No vamos a repetir lo mismo que les dijimos aquella vez, pero al parecer, a raíz de una entrada en Genbeta (posiblemente inaccesible en estos momentos; su reproducción puede verse en el blog de Enrique Dans, a partir del cual he conocido la noticia) que advertía del peligro que supone dar este tipo de información a desconocidos, dicho blog, propiedad de Weblogs S.L., está sufriendo un ataque distribuido de denegación de servicio desde el pasado 3 de febrero.

Creo que ya lo he dicho alguna vez, y lo repito. Es un error pensar que este tipo de cosas las hacen cuatro mataos. Nada más lejos de la realidad. Estas cosas están bien organizadas, y sus responsables gestionan en la sombra (y no me refiero a la cárcel) una cantidad de recursos (botnets) en ocasiones nada despreciable, a los que muchas veces simplemente no es posible hacerles frente. Así de simple, y así de duro.

Nada más por esta semana. Para la que viene, entre otras cosas, tenemos la continuación de la serie sobre WPA-PSK de Roberto, y empezaremos a entrar en detalle con VoIP. Como siempre, pasen un buen fin de semana y nos vemos el lunes.

Actualización 09/02: Al parecer, algún otro weblog de Weblogs S.L., blogs relacionados con ellos (Error500.net, por ejemplo) y Menéame.net (directamente de su FAQ, una web que te permite enviar una historia que será revisada por todos y será promovida, o no, a la página principal) están sufriendo ataques de DDoS. Meneame incluso parece estar sufriendo algún tipo de extorsión por parte de los autores del ataque, por lo que cuentan en su blog, que se extendería a todas aquellas webs afectadas.

Actualización 10/02: Genbeta ya funciona de nuevo.

Actualización 11/02: Ricardo Galli da una explicación del ataque, procedencia, autores, y demuestra que como suele decirse, el mundo es un pañuelo: enlace.

En las ultimas décadas, el mercado de las redes de comunicaciones es uno de los que ha obtenido un mayor avance, debido principalmente a varios motivos, como son (a) la total generalización del uso del protocolo IP que ha posibilitado la difusión de servicios como el correo electrónico o el acceso a web hasta el usuario final, y (b) la apertura de la industria a las nuevas tecnologías, que ha llevado a un sistema flexible de transmisión de datos y a la aparición de tecnologías de comunicaciones ópticas, lo que a su vez ha incrementado el ancho de banda disponible para las comunicaciones.

Principalmente, las redes desarrolladas a lo largo de los años para transmitir voz se basan en el concepto de conmutación de circuitos, es decir, que la realización de una comunicación entre el emisor y el receptor requiere el establecimiento de un circuito físico durante el tiempo que dura ésta. Esto significa que los recursos que intervienen en la realización de una llamada no pueden ser utilizados en otra hasta que la primera no finalice, incluso durante los silencios que se suceden dentro de una conversación típica, por lo que las redes de conmutación de circuitos hacen un uso ineficiente de los recursos.

[Read more…]

Como les adelanté el pasado 28 de enero, nuestro compañero Antonio Villalón —que debería prodigarse más por estos lares— participó vía videoconferencia en el I Foro Latinoamérica Sistemas, Tecnología, Comunicaciones. A continuación, y a la espera del video de la ponencia, tienen el documento de la presentación que realizó, que pueden bajarse si lo desean de su página personal (donde encontrarán material adicional), o de este enlace (PDF, 360Kb).

Si leyeron la entrada de ayer, nos quedamos preguntándonos por los elementos que se utilizan para construir la PMK. La respuesta es muy sencilla: la contraseña precompartida, el ESSID del AP, la longitud del ESSID, y un barajado de 4096 procesos. Todo ello es generado por una función matemática llamada PBKDF2 (PBKDF2 es una función de PKCS #5 v2.0: Password-based Cryptography Standard) ofreciendo como resultado una clave PMK de 256 bits:

Una vez obtenida esta clave, comienza el proceso de autenticación con el AP al que se denomina 4-Way Handshake, o saludo inicial, que se puede ver en la imagen al final del post. En ese proceso, tanto la estación como el AP generan la PTK y la GTK utilizadas para cifrar los datos, siendo ambas diferentes en cada sesión.

[Read more…]