Latch: Cómo proteger las identidades digitales (IV de IV)

Con el objeto de permitir que Latch sea tan flexible como quieran las entidades que hacen uso de él, se abrieron los SDK en los lenguajes C, .NET, Java, PHP, Python y Ruby. Lo que se persigue es que la flexibilidad sea máxima y se puedan crear usos distintos para Latch, como los que por ejemplo a continuación se van a exponer.

Figura 12: SDKs para utilizar Latch

Tienes acceso a todos ellos en la zona de Developer de la web de Latch y en este documento tienes explicado en detalle cómo utilizar el SDK de Latch para .NET para aplicarlo a cualquier sitio web desarrollado con esta tecnología y en este ejemplo cómo implementarlo en un servidor FTP.

Control Parental

Al final, el control de un Latch no da nunca acceso a la privacidad de la cuenta, así que el que tenga una persona el control del mismo no le permitiría tener la posibilidad de acceder al sistema. En un entorno de control parental, la idea es que la persona que tiene las credenciales puede mantener el control absoluto de la privacidad de la cuenta, pero la persona que decide si puede conectarse o hacer uso de algunas de las opciones de granularidad que vengan definidas - como se vio en la tercera parte de este artículo - será otra.

Por supuesto, para crear este esquema, la cuenta que es controlada por el Latch debe estar de acuerdo con esta protección, y una vez que sea así, su acceso está restringido al control partental.

Figura 13: Esquema de Control Parental con Latch

Este control parental no sólo está pensado para Tutor Legal -> Hijo/a, sino también para entornos de identidades delegadas en las que se ha cedido el uso de las credenciales por necesidad del negocio. Por ejemplo, en casos en los que un empleado tenga que entrar a gestionar las cuentas bancarias de una empresa u otro servicio. El administrador o supervisor, podrá restringir el acceso completo a la misma o a las opciones de ella mediante el control del Latch.

Verificación de 4 ojos

Un esquema que nos solicitó uno de los clientes era el de aplicar Latch como un sistema de Verificación de seguridad de 4 y/o 6 ojos, poniendo para ellos latches cruzados que serían gestionados por otros empleados de la organización. Este esquema está pensado para sistemas críticos en los que hay que controlar los usos de los administradores.

Figura 14: Esquema de verificación en 4 ojos con Latch

El objetivo es que cada cuenta de administrador tiene uno o varios latches que están controlados externamente, de tal forma que siempre es necesaria la presencia de dos o tres personas para poder hacer una determinada acción.

Alerta y Reacción

En algunos entornos lo que se desea no es bloquear el acceso, si no tener la posibilidad de detectar una acción y tomar una medida reactiva. En un entorno en el que se hace un acceso SSH en el que se puede comprobar que alguien ha accedido con una cuenta, se podría comprobar si está el Latch cerrado o abierto, y en caso de estar cerrado tomar acciones, como podría ser la grabación de lo que está haciendo por pantalla o la desconexión de la sesión. Aquí tenéis la experiencia descrita por HackPlayers para fortificar SSH en modo paranoico.

Figura 15: Reacción a un Latch cerrado en una conexión SSH

En estos entornos la sesión inicial se establece, pero el dueño del Latch recibe la alerta y puede decidir qué hacer, como se hizo en el caso de SSH donde las sesiones son matadas.

Conclusiones

Al final, la idea abierta que subyace con Latch, en la que se diferencia totalmente entre una cuenta para gestionar los latches, que es independiente de la identidad protegida, independiente del número de teléfono móvil, y que no almacena ningún dato personal ni de acceso al sistema, permite toda la flexibilidad del mundo.

Para hacer mucho más fácil su integración, se han publicado plugins para Joomla, Drupal 6, PrestaShop, DotNetNuke, RedMine, WordPress y .NET Log in, pero esta semana sale una nueva remesa de plugins. En este artículo tienes cómo se configura en WordPress, aquí cómo se configura en Joomla, y este vídeo  te explica cómo hacerlo.


Figura 16: Cómo configurar Latch en Joomla
A día de hoy hay ya más de 400 sitios que están haciendo uso de Latch. Como el sistema es anónimo, nosotros no sabemos cuáles son. Se bajan el plugin, o usan el SDK y comienzan a proteger sus sitios. Si necesitas ayuda para implantarlo en tu sitio web, puedes ponerte en contacto con nosotros e intentaremos ayudarte.

Figura 17: Guía de Instalación de Latch en ACENS

Sí que puedes hacer uso de Latch en Acens - aquí tienes la guía de configuración, en 0xWord, Recover Messages y Nevele Bank - en todos ellos puedes sacarte una cuenta gratuita y probar cómo funciona - y en el Mobile World Congress os anunciaremos una buena lista de sitios grandes que están poniéndolo ahora en prueba. La app está disponible para iPhone, Android y Windows Phone, y en breve para Firefox OS y BlackBerry. Además, esta semana se subirán nuevas versiones con algunos bugs resueltos y sugerencias que nos habéis pasado.

Saludos Malignos!

************************************************************************************

- Latch: Cómo proteger las identidades digitales (I de IV)

- Latch: Cómo proteger las identidades digitales (II de IV)

- Latch: Cómo proteger las identidades digitales (III de IV)

- Latch: Cómo proteger las identidades digitales (IV de IV)

************************************************************************************

Una historia de un casting maligno

"Es duro ser una estrella, pero alguien tiene que serlo". Es por eso que después de triunfar en los escenarios más exigentes del Rock'n Roll y decir que no a Jon Bon Jovi cuando se me ofreció de telonero, he decidido aceptar que se haga una película sobre mi vida. Ya sabéis que hace años os conté como una dura vida de conciertos y éxitos con Spectra: The Band me había llevado a caer en los más duros infiernos, pero tras años de terapia pude salir de ellos.

Figura 1: Mis orígenes como "Nasty" en Spectra: The Band

Ahora Hollywood se ha fijado en mi vida y el propio Kevin Smith, después de intentar hacer el guión de Superman y no conseguirlo, ha accedido a contar mis aventuras en los conciertos del rock, las falsas acusaciones de relaciones con las más famosas actrices del celuloide y los falsos rumores de excesos en fiestas en Las Vegas.

Figura 2: Prueba de Nicholas Cage para el papel de "Maligno"

El casting para la obra ha comenzado y algunos actores se han postulado, como Nicholas Cage que después de haber hecho El Motorista Fantasma con mucho rock'n roll en la banda sonora, motos y chicas en trajes de cuero pensaba que podía dar el perfil.  Pero parece ser que no querían ver otra película de Nicholas Cage haciendo de Nicholas Cage, así que ha sido desestimado por el productor de filme.

Figura 3: Jóvenes promesas también lo han intentado

Ha habido también conatos de poder contratar a actores más amateurs, para ver si podían encajar con el perfil, pero es estilo de Leonardo DiCaprio deslucía el guión tan canalla que ha propuesto el gran Kevin.

Figura 3: George se mete más en el papel

El que parece que convence más a los productores del largometraje es George Clooney, que debido a su camaleónica capacidad de mutar, puede meterse sin ningún problema en el papel. Con un poco de bronceado pasaría perfectamente por El Maligno y podría hacer algo parece a Ocean's Eleven Paths, pero no está aún cerrado.

Figura 4: David Hasselhoff en el casting

Sin embargo, los aficionados han pedido que sea el gran David Hasselhoff, un actor del método que es capaz de hacer grandes actuaciones como Los Vigilantes de la Playa o el anuncio del Antivirus de Norton o... alguno más.

Figura 5: David Hasselhoff en el anuncio de Norton Antivirus

El dilatado curriculum de "The Hoff" es tan grande que incluso ha llegado a hacer películas en España y conoce a la perfección el idioma mostolita natal de mi persona, como se pudo ver en el papel de Fuga de Cerebros 2 que le llevó cerca de un Oscar.

Figura 6: En Fuga de Cerebros 2, donde casi come un día en el Burger Oscar de Móstoles

Además, contar con David Hasselhoff sería algo que la crítica aceptaría de buen grado. No solo ha participado en campañas de concienciación contra el malware, sino que ha sido icono de la fortificación de sistemas gracias al conocido ataque "David Hasselhoff".

Figura 7: Chema Alonso en su papel de "El ataque David Hasselhoff"

Este es un ataque yo mismo he protagonizado en diversas ocasiones, no solo posando en las fotografías, sino prestando mi silueta para campañas de realidad virtual hechas con las últimas tecnologías e 3D.

Figura 8: El tributo a David Hasselhoff que le hice con 3D (3 Dedos)

La excelente relación entre David y yo se ha visto en múltiples ocasiones, ya que ambos hemos cedido nuestra imagen para participar en calendario tórridos orientados a un público más adulto, y que nos ha llevado hasta a hacer posados intercambiados.

Figura 9: En el Calendario Tórrido inédito

Sea como fuera, para este otoño, esperamos que el estreno mundial arrase en las taquillas de medio mundo. Para navidades estará disponible en DVD, BlueRay y TVE ha pedido que se incluya en la renovación de la licencia de difusión que tienen todas las películas de Ozores, Andrés Pajares y Fernando Esteso. ¡Éxito asegurado!

Saludos Malignos!

PD: Aún no nos hemos decantado por las actrices femeninas que deberán grabar las escenas tórridas de la ajetreada vida sexual de todo informático, así que si queréis estar en el casting, solo debéis enviarme un book de fotos que ya las envío yo al director del reparto....si eso.

dSploit: Pentesting & Hacking WiFi desde Android (2 de 2)

- Sesiones: A partir de la release de finales de diciembre, esta herramienta está comenzando su integración con Metasploit, por lo que se ha añadido la opción de Sessions que permite manejar sesiones abiertas de MSF en un determinado host.

- MiTM:  Bajo esta opción se guardan todas las posibles formas de atacar conexiones en la red WiFi. Todas ellas se realizan en el protocolo IPv4 - habrá que esperar a una versión de Evil FOCA para Android -. Las acciones que se pueden hacer solo causan efecto sobre conexiones no cifradas. Las acciones de MiTM que posee esta herramienta pueden apreciarse en la siguiente imagen.

Figura 7: Acciones que se pueden hacer en ataques Man in the middle

Esta son la lista de herramientas que tiene introducidas dSploit en el equipo, y por lo que le hace tan poderoso y peligroso en un red WiFi en la que se conectan usuarios libremente cuando hace el ataque man in the middle entre la puerta de enlace y el objetivo seleccionado.

A) Sniffer simple: La herramienta redirecciona el tráfico del equipo seleccionado a través de ella a la vez que realiza la captura de éste y lo almacena en un archivo pcap que pueda ser analizado posteriormente en detalle por un poderoso WireShark. También arroja estadísticas de las direcciones IP detectadas junto con el ancho de banda que consumen y el total de bytes trasmitidos por cada una de ellas.

Figura 8: Sniffer simple

B) Snifffer de contraseñas: Realizará la misma acción que la anterior con la diferencia de que solo se ocupará y almacenará los datos relacionados a credenciales de autenticación de distintos protocolos, entre los que están aplicaciones que hagan uso de HTTP, FTP, IMAP, IMAPS, IRC, etcétera.

C) Sessión hijacker: dSploit captura las cookies de  sesión que circulan por la red, permitiendo secuestrar las sesiones activas. La aplicación lista todas las cookies capturadas una vez se inicie la acción y si se presiona sobre alguna de ellas permite realizar el secuestro de la sesión seleccionada.

Figura 9: Sesiones abiertas con cookies seguras o inseguras

Una vez pulsada una de estas sesiones capturadas se abrirá automáticamente dentro de la aplicación una vista de la web a través de la cual se puede navegar con la sesión seleccionada. El concepto es un hijacking de sesión clásico, pero con la facilidad que propuso Firesheep cuando se presentó oficialmente. Hoy en día existen multitud de herramientas automatizadas que hacen el Session Hijacking con la misma simpleza.

Figura 10: Sesión de Windows Técnico que iba por HTTPs secuestrada

D) Bloqueador de conexiones: la aplicación descarta todos los paquetes que recibe de la víctima, resultado esto en un bloqueo de la conexión del equipo sobre el cual estamos realizando el ataque.

E) Redirector: la herramienta redirige toda la navegación web de la víctima a una web que se le especifique sin importar la petición que se realice. Útil cuando se quiere lanzar un exploit de client-side para explotar un bug en el navegador sí o sí.

Figura 11: Opciones de redirección a una URL 

F)Reemplazar imágenes/vídeos: esta herramienta se encarga de sustituir todas las imágenes o vídeos que puedieran contener las páginas web consultadas. Se le debe especificar a la aplicación la imagen por la cual se deben sustituir las originales, ya sea a través de una dirección URL o mediante la selección de una imagen local del propio terminal móvil.

Figura 12: Artículo de Windows Técnico con las imágenes cambiadas por el mitm

Una vez aplicada esta acción, cada vez que se consulte una web no cifrada se sustituirán todas las imágenes que contenga la web, haciendo que la víctima cada vez que intente abrir una página con imágenes obtenga el siguiente resultado. Como puede observarse todas las imágenes de la web fueron sustituidas por una que se especificó a través de una dirección URL.

G)Inyector de scripts: la herramienta inyectara un código script en todas las páginas web visitadas por la víctima, haciendo que este se ejecute automáticamente antes de que el usuario pueda visualizar la web. Un ejemplo de ello podría ser un simple JavaScript con un alert (‘hola mundo maligno’) obteniendo el siguiente resultado.

Figura 13: Script inyectado en página web vista por la víctima

H) Filtro personalizado: la aplicación es capaz de reemplazar el texto de las web. Para ello se le debe especificar a la herramienta el texto que se desea buscar y el texto por el cual debe reemplazarlo.

Estas acciones de cambiar imágenes, texto, vídeos, código HTML o inyectar Scripts, fueron todas presentadas hace tiempo con The Middler, un framework para hacer justo esto, pero de forma masiva, pudiendo inyectar, entre otras cosas, el payload de BeeF Project y hacer así una JavaScript Botnet. Aquí tienes la presentación de la DefCON 17.

Figura 14: Conferencia sobre The Middler 2.0 en DefCON 17

- Packet forger: La última de las opciones que se pueden hacer sobre un objetivo - ya fuera del menú Man in the Midlle, es esta que permite crear y enviar un paquete personalizado al (ya sea TCP o UDP) objetivo seleccionado para poder hacer ataques personalizados cuando así se requiera.

Conclusiones

A groso modo estas son las acciones que se pueden realizar con esta herramienta. Como puede verse es una aplicación bastante potente y variada con la que se puede realizar distintos tipos de pruebas de la seguridad en redes desde un dispositivo móvil. Además, es una aplicación gratuita y de código abierto, lo que significa que es posible colaborar y seguir de cerca la evolución de esta herramienta a través de su página de Github.

La manera en cómo puedes colaborar reportando fallos, mejorando implementación del código de la aplicación, traduciendo la herramienta a idiomas no soportados o mejorando las traducciones ya realizadas, etc. Si estáis interesados en formar parte y colaborar con esta herramienta todo lo que necesitas saber lo puedes conseguir en la página web de dSploit.

Por otro lado, también la herramienta pone en manos de cualquiera un conjunto de potentes herramientas que se manejan de manera muy sencilla, así que ten cuidado si te conectas a una red WiFi pública, ya que puedes ver qué fácilmente te pueden hacer ataques que puedan dañarte.

Autor: Umberto Francesco Schiavo de Eleven Paths

*************************************************************************************************
- dSploit: Pentesting & Hacking WiFi desde Android (1 de 2)
- dSploit: Pentesting & Hacking WiFi desde Android (2 de 2)
*************************************************************************************************