Blackhat USA 2019: Inside the Apple T2

Entre el 3 y el 8 de agosto se ha celebrado en Las Vegas, USA la conferencia de seguridad Blackhay USA 2019. Entre las charlas que se han dado, traigo en enlace a Inside de Apple T2. La presentación realizada por Mikhail Davidov y Jeremy Erickson, de la cual se puede bajar las diapositivas, cuenta la labor de ingeniería inversa realizada para averiguar cómo funciona dicho chip de Apple, qué papel juega dentro del proceso de arranque secure boot, así como el protocolo para acceder a los servicios que implementa dicho chip T2.

El chip T2 es un ordenador embebido que ejecuta un sistema operativo llamado BrigeOS. En este enlace se puede obtener el binario y las herramientas necesarias para descomprimirlo, si alguien se anima con la ingeniería inversa. Curiosamente, el T2 usa la arquitectura ARM64 y ejecuta un sistema parecido al iOS, con su kernel Mach, frameworks y binarios. En este último enlace se puede encontrar varias herramientas para explorar los binarios.

¿Los peritos de la Policía no saben lo que es el método Guttman? Me extraña

Esta mañana he leído esta noticia sobre el borrado de los discos duros del Partido Popular, donde se describe la extrañeza por parte de los peritos de la policía de usar las 35 pasadas. En realidad, lo de las 35 pasadas es un método bastante estándar llamado método Guttman. Hay infinidad de utilidades que lo implementan, por ejemplo el el srm que venía incluido en OS X o en Debian en el paquete secure-delete. Me extraña muchísimo que las unidades de delitos informáticos de la policía no sepan eso y se publique ese párrafo. Es normal, y muchas empresas lo tienen por política, destruir la información de los ordenadores por un método seguro antes de dar de baja los ordenadores o asignárselos a otro empleado.

"Con una única pasada de sobrescritura ya hubieran imposibilitado que obtuviéramos cualquier información", han añadido los investigadores. "También, es más fácil comprar un equipo nuevo que reasignar uno con 20 años. Pero eso depende de la empresa y sus capacidades", ha continuado uno de los peritos policiales, preguntado por el sentido de borrar el disco duro de una de las computadoras de Bárcenas, con dos décadas de antigüedad, para supuestamente dársela a otro trabajador.

Lo que ya desconozco, eso es tema de la justicia, si esa política existía en el PP o fue un borrado ad-hoc porque ese ordenador tenía datos comprometidos. En general, veo más fácil orientar el caso por ese camino que enredarse en si son 35 o 1 una pasada.

Apple T2 Security Chip Overview

Apple acaba de publicar un informe sobre el chip T2 y las funciones que desempeña dentro de la plataforma Mac.

El chip tiene dos funciones bien diferenciadas:

• Implementa varios controladores que se encargan del sonido, procesado de imagen, controlar la SSD y el manejo del sistema
• Un coprocesador llamado Secure Enclave que se encargará de proporcionar seguridad a la plataforma y ser la raíz de confianza de todo el sistema de firma del sistema.

El documento de Apple se centra en la descripción de las funciones del Secure Enclave y como interactúa con el resto de los componetes de la plataforma, tanto de hardware como de software.

Según el documento publicado por Apple,este Secure Enclave incluido en el chip T2 va a ser el encargado de de dar soporte a todo lo relacionado con el cifrado y la gestión de las claves usadas en los procedimientos criptográficos que realice el ordenador. Además, se va a encargar de varias operaciones de cifrado sin que las claves usadas salgan del chip, ni siquiera a través de mecanismos de depuración como puede ser una interfaz JTAG.ve

El Secure Enclave contiene una clave AES, llamada UID, definida en la fabricación de cada chip. Esta clave nunca abandona dicho coprocesador y la única manera de obtenerla sería sacar el chip de la máquina y realizar una ingenieria inversa sobre el chip. Además, existe una segunda clave, llamada GID es común a todos los procesadores de una misma clase. Ambas claves se utilizan en un motor de cifrado que implementa el algoritmo AES implementado en el chip, de tal manera que el coprocesador cifrará los datos que se le pida y devolverá los resultados.

El Secure Enclave está situado entre el procesador y el acceso al almacenamiento SSD, de tal manera que es capaz de cifrar los datos de manera muy rápida cuando se almacenan en el SSD

Estas claves se utilizan para implementar una jerarquía de claves que se usará en las diferentes necesidades de cifrado que tenga el ordenador. Como estas claves depende de una única de cada dispositivo, una vez habilitado el cifrado de disco con FileVault, no podrá acceder a los datos ni siquiera cambiando la SSD de ordenador, ya que la clave de cifrado depende del chip T2. Esto nos deja una primera consecuencia importante: Si se te estropea el hardware del Mac, como no tengas una copia de seguridad externa, no vas a poder recuperar tus datos. Decir quie si no se ha activado FileVault, se usará la clave UID, con lo cual, tampoco se podrá sacar los chips y leerlo en otro ordenador.

Otra particularidad importante del Secure Enclave es que si fallamos demasiadas contraseñas, el chip ya no realizará más tareas de verificación de claves o intentos de descifrar el volumnen de datos:

To prevent malware from causing permanent data loss by trying to attack the user’s password, these limits are not enforced after the user has successfully logged into the Mac, but will be re-imposed after reboot. If the 30 attempts are exhausted, 10 more attempts are available after booting into macOS Recovery. And if those are also exhausted, then 30 more attempts are available for each enabled FileVault recovery mechanism (iCloud recovery, FileVault recovery key, and institutional key), for a maximum of 90 possible attempts. Once those attempts are exhausted, the Secure Enclave will no longer process any requests to decrypt the volume or verify the password

Otra misión que tiene el Secure Enclave es garantizar que los programas encargados de arrancar el Mac no han sido alterados. Para eso, se utiliza la firma digital de los mismos, apoyándose en la autoridad de certificación que está dentro del chip. Además, para evitar modificaciones, el primer código que se ejecuta no es actualizable, ya que se encuentra en una ROM dentro del propio chip T2. A partir de ahí, se irán verificando los diferentes componentes que forman la cadena de arranque.

Este chip también es el encargado de gestionar las huellas digitales que usa el sensor Touch Id y tiene incorporado un generador de números aleatorios para usar en las funciones criptográficas.

Este Secure Enclave no es algo nuevo: Apareció por primera vez en los iPhones que tenían sensor de huella digital. Y ha habido diversos intentos de ver como funciona o acceder a su firmware. Por ejemplo, la presentación de la BlackHat Demystifying the Secure Enclave Processor donde se analiza el firmware del mismo desde una de las actualizaciones de Apple. (también está disponible video de la charla, Demystifying the Secure Enclave Processor y el artículo con el mismo tema. Para los que os guste la ingeniería inversa, de obligada consulta.

Referencias

1. informe sobre el chip T2
2. Seguridad de iOS (iOS 11)
3. Demystifying the Secure Enclave Processor
4. Demystifying the Secure Enclave Processor, Diapositivas de la BlackHat

Las teóricas VPNs sin logs

Supongo que muchos hemos visto proveedores de redes privadas virtuales, que entre sus servicios publicitan que no guardan registros de las conexiones de sus usuarios. Claro, hasta que que aparece el Estado con una orden de registro. Entonces, el proveedor de servicio entrega lo que supuestamente no tiene a los representantes del Estado.

Un proveedor de servicio sin un gran músculo financiero y legal, tiene dificultades para hacer frente de casos: Llegado el momento, si no quiere entregar los registros o no los tiene, tendrá que enfrentarse a la justicia si sus servicios se han utilizado para realizar un acto delictivo. Aparte, llegado el momento, ¿quién garantiza que el proveedor está cumpliendo con lo que promete?

No descartemos, en el futuro próximo, cambios legislativos para este tipo de cosas: Exactamente igual que en España en el caso del carnet de conducir por puntos, nos llevamos la sanción sino identificamos al conductor que iba al volante al cometer una infracción y el vehículo está a nuestro nombre.

Wanna Cry: Mis notas (Act)

Nota importante sobre Wanna cry

Este es un gusano que utiliza una vulnerabilidad conocida en el protocolo SMBv1 que implementa todos los sistemas Windows. Microsoft publicó hace dos meses el boletín de seguridad MS17-010 donde están todas las actualizaciones necesarias para los sistemas de Microsoft desde Vista en adelante. Hay que comprobar que está instalada en nuestros sistemas para cortar la propagación del gusano.

Aunque en principio, no se publicó parche para Windows XP y Windows 2003 - ambos fuera de soporte -, Microsoft acaba de publicar las actualizaciones para los mismos contra el Wanna Cry, dado los problemas que está causando.

Wanna Cry: Mis notas

Wanna Cry es un gusano informático: un programa capaz de replicarse a si mismo e ir infectando ordenadores sin necesidad de intervención de los usuarios. La particularidad es la carga de pago que lleva: una vez que ha conseguido infectar un ordenador, cifrará todos los archivos del mismo y exigirá un rescate de 300 dólares que debe de pagarse usando bitcoins. El usuario que haya sido infectado por este virus, no podrá acceder a sus archivos, a menos que pague el rescate y le den la clave que descifra los mismos, es decir entra en la categoría de ransomware. Además, intentará infectar a otros ordenadores usando las sesiones de escritorio que cada usuario tenga en la máquina Windows e infectar máquinas aleatorias en Internet.

Se propaga aprovechando una vulnerabilidad en un protocolo de Windows, SMBv1. Cualquier versión de Windows hasta la 10 es vulnerable y es necesario instalar el parche del boletín de segurida MS17-010 para cerrar el problema de seguridad. Puesto que utiliza SMBv1, las conexiones se realizarán al puerto 445, por lo cual, si por circunstancias no es posible aplicar el parche, hay que asegurar que las máquinas que no lo tienen están segmentadas en red de manera adecuada o que tiene un cortafuegos (firewall) que bloquea cualquier acceso a ese puerto.

Leyendo este análisis del virus hay que resaltar estos puntos:

• Intenta analizar la red local para intentar conectarse a otras máquinas Windows a través del puerto 445 para explotarlas.
• Intentará escanear máquinas en Internet, generando direcciones IP aleatorias. Un buen indicador que se está infectado es ver en los cortafuegos de perímetro conexiones a direcciones de Internet que usen como destino el puerto 445
• El código que utiliza para explotar el problema de seguridad, descrito en el MS17-10, es ETERNAL BLUE, uno de los exploits publicados por Wikileaks del supuesto arsenal de la NSA
• ETERNA BLUE no necesita autentificación para atacar a Windows 7 o Windows 2008. Basta con que tenga conectividad en la red.
• Hay un dominio, www.iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com., que en caso de que el virus tenga acceso a él, no instalará nada. Ojo, esto sólo se ha probado con algunas versiones. Nada impide que aparezca una versión distinta donde ésto no sea así. También parece ser que si el Mutex de Windows, MsWinZonesCacheCounterMutexA, el gusano terminará. Con lo cual, también puede ser un indicador de infección.

Quizás lo más complicado sea limpiar el virus. A menos que se esté dispuesto a pagar el chantaje del ransomware, la información está cifrada con el algoritmo AES-128-CBC, con una clave generada de manera aleatoría y posteriormente cifrada. La única posibilidad para muchas personas puede que sea la reinstalación del equipo, cosa que debe hacerse desde un medio y una copia de seguridad que se esté seguro que no está infectada. Además, hay que actualizar Windows hasta esta estar seguro que se ha incluido los parches necesarios.

Indicadores de compromiso

Hay varios indicadores de compromiso que pueden dar pistas sobre el gusano. Por ejemplo, WannaCry Indicators, en Alienvault OTX se pueden ver listados dominios, sumas criptográficas de los binarios que infectan, los dominios de TOR que utiliza para contactar con el centro de control. Otra página web

Los afectados

El gran afectado en España ha sido Telefónica, que ha tenido que decir a sus empleados de la red interna que dejaran de usar los ordenadores. Además, se han visto afectadas varias empresas españolas y muchas de ellas, que por motivos de negocio, comparten conexiones con Telefónica, se han visto obligadas a cortar la conectividad con la operadora.

Pero quizás, el caso más grave de infección sea el que ha ocurrido en Reino Unido, donde varios hospitales y centros del servicio de salud (NHS) se han visto afectados, siendo necesario desviar pacientes hacia otros centros.

También han sido secuestrados varios ordenadores del Ministerio de Interior ruso, por otra parte, país donde más virulenta ha sido la infección.

Referencias

• Identificado ataque de ransomware que afecta a sistemas Windows
• Indicadores de compromiso en Alienvault OTX
• WannaCry|WannaDecrypt0r NSA-Cybereweapon-Powered Ransomware Worm. Ojo con esta página, porque tiene enlaces a muestras del gusano
• The worm that spreads WanaCrypt0r
• wannacry.exe
• Shadow Brokers: explotando Eternalblue + Doublepulsar
• HOW TO EXPLOIT ETERNALBLUE & DOUBLEPULSAR TO GET AN EMPIRE/METERPRETER SESSION ON WINDOWS 7/2008
• WannaCrypt Live Feed
• Buenas Prácticas CCN-CERT BP-04/16

La prohibición de aparatos electrónicos en cabina de vuelo

Ayer, EEUU Reino Unido prohibían a los pasajeros de los vuelos con origen en ciertos aeropuertos y que viajan con ciertas compañías aéreas [1,2] de Oriente Medio y Norte de África, viajar en cabina con cualquier dispositivo electrónico mayor que un smartphone. El resto de los dispositivos tendrán que ser facturados para que vaya en las bodegas de carga del avión. Esto incluye portátiles, cámaras fotográficas, consolas. El origen de esta prohibición sería información de inteligencia recibida por el gobierno de EEUU donde se dice que terroristas podrían estar explorando la posibilidad de usar estos dispositivos para cometer un atentado.

Sin embargo, al meter este tipo de dispositivos en la bodega de carga de un avión hay que tener en cuenta el material del cual están hechas las baterías de muchos de ellos, iones de litio. Las baterías hechas de este material necesitan un correcto control de temperatura por parte de la electrónica de carga así como evitar ser dañadas por golpes. Ya han existido bastantes incidentes en aviación debido a problemas con las mismas. La ventaja de llevar estos dispositivos en la cabina de pasaje es que las tripulaciones están entrenadas para gestionar un fuego que tenga por origen una batería de este tipo. Sin embargo, en la bodega de carga, hay que confiar que los extintores hagan su trabajo.

De hecho, detrás los graves accidentes del UPS B744 at Dubai on Sep 3rd 2010, cargo fire y Asiana B744 near Jeju on Jul 28th 2011, fire in cargo hold se sospecha que pudo estar problemas con las baterías de ión litio que transportaban. Tal es el riesgo que ICAO decidió prohibir en el 2016 el transporte como carga de de dichas baterías en aviones que llevaran pasaje.

Ahora, imaginad que puede ocurrir si - con el tratamiento que reciben las maletas al cargar un avión - , en pleno vuelo, se produce un aluvión térmico - thermal runaway de una batería de cualquiera de estos dispositivos en la bodega de carga de un avión. ¿Cómo se puede balancear este riesgo de incendio frente al riesgo de un atentado terrorista? ¿Qué es más probable?. Si vemos el documento de la FAA, este año ya ha habido varios incidentes donde han salido ardiendo baterías de este tipo.

Aunque también hay quien dice - por ejemplo en U.S. confirms ban on large electronics in cabins on flights from 10 airports - que detrás de esta prohibición podrían estar las quejas de las aerolíneas americanas a los subsidios que ciertas aerolíneas de países del Golfo Pérsico reciben por parte de sus estados.

Lo que no tengo tan claro - agradezco enlaces a discusiones sobre este tema - es si esta medida va a disminuir la probabilidad de un atentado terrorista. Es más, visto los problemas que existen con estar baterías, podría ocurrir que la seguridad de los aviones disminuyera. Esperemos que no haya que lamentar un accidente por culpa de un incendio en bodega de un dispositivo electrónico que de haber ido en cabina, se podría haber extinguido.

Para profundizar algo más sobre el tema: USA und UK require electronic devices larger than smartphones to be checked in from certain countries/airports

Cuentas de github comprometidas

(vía Slashdot) Un número indeterminado de cuentas en github - uno de los repositorios de código fuente y gestión de proyectos más grandes de Internet - han sido comprometidas debido al uso de las mismas contraseñas en un sitio de terceros, hasta ahora desconocido. Las cuentas de github comprometidas compartirían contraseñas y usuarios con ese sitio. github está contactando con los usuarios cuyas cuentas han sido comprometidas para que cambien las contraseñas de las mismas.

Parece ser que los repositorios de código no han sido alterados, pero no estará de más que se compruebe el contenido de los mismos porque este ataque sería la forma más sencilla de dejar una puerta trasera oculta en el código de aquellas cuentas comprometidas.

Este tipo de ataques nos debe de recodar unas normas básicas sobre seguridad de las contraseñas:

• No compartir contraseñas entre distintos sitios, aunque hay que reconocer que es difícil no hacerlo.
• Usar autenticación de doble factor si está disponible.
• Cada cierto tiempo, cambiar las contraseñas de los sitios en los que tengamos cuenta.
• En caso de un ataque a un sitio con acceso no autorizado, no usar una contraseña que consideremos definitiva, puesto que puede ocurrir que todavía no se haya cerrado el problema de seguridad que causó la brecha de seguridad. Estar atentos, si se puede, a los registros de acceso para controlar cualquier actividad sospechosa.

eCall

eCall es un sistema impulsado por la Unión Europea que tiene por objeto reducir el tiempo de respuesta de los servicios de emergencia en caso de accidente, al ser éstos informados con la máxima celeridad del punto donde se ha producido a través de coordenadas GPS y de los parámetros del vehículo accidentado donde el sistema va montado.

Parece una buena idea encaminada a salvar más vidas. Sin embargo, hay un reverso tenebroso que merece ser tenido en cuenta: Este sistema puede ser capaz de registrar como una caja negra todos los movimientos del vehículo y transmitir al Estado - o a las compoañías que estén dispuestos a pagar por ello - toda una serie de parámetros sobre la circulación. Entre algunos usos que puede tener este sistema, que por supuesto no nos van a contar sus promotores pueden estar:

• Implantar un impuesto por kilómetros recorridos. No es la primera vez que se han publicado noticias sobre este particular.
• Las compañías de seguro querrán tener acceso a dichos datos. Les permitiría ofrecer servicios más granulados, pero también les permitiría estudiar los comportamientos de sus clientes y sobre todo intentar controlar más los partes y accidentes que se dan.
• Los gobiernos estarán encantados de usar este tipo de datos para poner multas.
• Las fuerzas de seguridad del estado y los servicios de inteligencia estarán encantandos de tener acceso a estar información para el control ciudadano.
• ¿Tendrán acceso las fuerzas de seguridad a través de algún mecanismo a la electrónica del coche, permitiendo su inmovilización?. ¿Podrá usarse para desarrollar políticas que hagan que el coche privado sólo se pueda usar un determinado número de kilómetros al día?.

¿Ciencia ficción?. La Unión Europea ha aprobado que a partir del 2015 el eCall sea obligatorio en todos los vehículos que se vendan en la UE.

Aunque sobre el papel me puede parecer una buena idea, reconozco que la iniciativa me causa una gran desconfianza. Es más, no puedo dejar de pensar que bajo ese barniz de seguridad y rápida atención a los accidentados se esconde toda una serie de mecanismos que permitan recaudar más impuestos y poder planificar el uso del vehículo privado de acuerdo a los burócratas de turno. Eso si, los españoles seguiremos pasando de este tipo de cosas que se desarrollan en la Unión Europea.

Algo más sobre la base de ZTE MF10 de Vodafone

Hoy, tras recargar el saldo de la tarjeta, he terminado de hacer una comprobación que tenía pendiente: Si el el telnetd que por defecto escucha en la estación solo lo hace en la parte interna de la red. La desagradable sorpresa es que no es así, escucha en todas las interfaces y por tanto en la conexión a Internet, lo que implica que cualquiera puede conectarse a nuestra estación base, en el puerto 4719 y usando el login y password por defecto, admin y admin, usarla para lo que desee. La interfaz de manejo web está abierta por defecto.

En este post explico como poner el login y el password a la estación y que se almacene en la nvram.

Cuando tenga un hueco, tendré que mirar que hay en el puerto 3535

---

Technorati Tags: seguridad

Las bases de Vodafone (y Telefónica ? ) ZTE MF10, contraseñas por defecto y securización del mismo

Ahora que estoy de vacaciones, tengo una base Wifi de Vodadone, fabricada por ZTE, modelo MF10. La cuestión es que sabía que se podía acceder a él a través de la interfaz web, pero que, en principio, no tenía ningún acceso más. Así que por curiosidad, le pasé un scan de puertos con el nmap, y me encontré con lo siguiente:

swordcoast:~ user$ nmap -p 1-65535 192.168.0.1

Starting Nmap 5.21 ( http://nmap.org ) at 2011-08-04 00:53 CEST
Nmap scan report for ralink.ralinktech.com (192.168.0.1)
Host is up (0.082s latency).
Not shown: 65531 closed ports
PORT     STATE SERVICE
53/tcp   open  domain
80/tcp   open  http
3535/tcp open  unknown
4719/tcp open  unknown

Nmap done: 1 IP address (1 host up) scanned in 23.80 seconds

Vaya, dos puertos abiertos. Lo malo es que un telnet al puerto 4719, descubro que tengo un telnetd escuchando, y que con el usuario admin y el password admin puedes entrar con independencia de lo que hayas puesto en la interfaz web. Como el sistema que tiene es el busybox,puedes intentar cambiar la clave con ayuda de chpasswd, pero dicha clave no quedará almacenada por este sistema en la nvram, y por tanto se perderá cuando se resetee la estación base.

Sería interesante saber, si este mismo modelo de base que vende Telefónica tiene el mismo problema, como sospecho. De hecho, el servidor telnetd se arranca desde el script /etc_ro/rcS y pone bastante clarito que es para debugging:

#for telnet debugging
telnetd &

La información por defecto que utiliza para generar el passwd de escucha del shell está en el fichero /etc_ro/default_parameter, que está situado en un sistema de ficheros de sólo lectura, por lo cual no se puede modificar. Sin embargo, los parámetros que están en dicho fichero se pueden almacenar en la nvram del sistema, y existe un comando, nvram_get que nos puede servir para ver los valores de los mismos. Así, con los siguientes comandos podemos ver cual es las contraseñas por defecto del sistema:

-> nvram_get Password      
admin
-> nvram_get Login
admin
-> 

Por supuesto, existe el correspondiente comando nvram_set que nos puede servir para establecer la contraseña que queramos y posteriormente, apagando la base wifi desde la web, quede almacenada en la nvram, dejando cerrado el pequeño boquete de seguridad que nos ofrece ZTE y Vodafone:

-> nvram_set Password XXXXXXX

Ojo, hay que respetar las mayúsculas y minúsculas, y una vez que se ha establecido la contraseña. Pero falta un paso más para que la contraseña quede almacenada en la NVRAM. Hay que hacer en apagado ordenado de la base. Para ello, es necesario desde la interfaz web, irnos al menú avanzado y pulsa en Apagar.

---

Technorati Tags: seguridad

Los problemas de seguridad de los Smartphones (Act)

Durante los últimos años hemos vivido un aumento de las prestaciones de los teléfonos móviles, culminando en las dos plataformas, a día de hoy, por excelencia de este mercado, el iPhone de Apple y los fabricantes que han abrazado a Android como sistema operativo. Tenemos más potencia de cálculo en cualquiera de esos teléfonos, con gigas de almacenamiento y algunos con hasta un giga de RAM que lo que era habitual en un PC de sobremesa no hace mucho. Alrededor de las plataformas han empezado a aparecer aplicaciones para dotar de más funcionalidad a los móviles.

Sin embargo, y a pesar del intento de los fabricantes, en especial Apple, por controlar que se ejecuta en las plataformas, los problemas de seguridad han hecho acto de presencia, y se han ido corrigiendo con mayor o menor grado de éxito. Sin embargo, no siempre han aparecido versiones de los sistemas operativos que ejecutan los móviles para todos los sistemas. Los ciclos de desarrollo y soporte de producto (unos cuatro años Apple, el caso que más conozco), ha dejado a todos los usuarios de móviles más antiguos que el 3G sin recibir importantes actualizaciones de seguridad. Esto es aplicable a muchas otras platoformas móviles, porque no suele ser normal que los usuarios actualicen el firmware de los mismos. No está mal recordar que Microsoft tuvo que implementar el Windows Update para que los usuarios de sus sistemas operativos instalaran las correcciones de los programas que iba publicando.

Sin embargo, me voy a centrar en un problema que salió a la luz pública hace unas semanas para darnos cuenta de los problemas que pueden surgir por la falta de actualización de los móviles: Hace unas tres semanas se supo que la autoridad de certificación Comodo había sufrido una intrusión que permitió generar varios certificados fraudulentos. Comodo es una autoridad de certificación que por defecto está incluida en Windows, MacOS X y Firefox, y es más que probable que esté incluida en varias plataformas móviles que usamos. Leyendo sobre en Sophos sobre los certificados fraudulentos, vemos que cualquiera que los tenga, podrá hacerse pasar por las máquinas HTTPS encargadas de gestionar los procesos de accesos a Gmail o Hotmail: Un tercero podría robar nuestras contraseñas sin problemas, puesto que estos certificados fraudulentos están firmados por una autoridad de certificación en la cual la mayoría de los navegadores confían por defecto.

Una vez que se descubrió el problema, empezaron a aparecer parches para todos los sistemas, donde ponían en una lista de negra dichos certificacos, para evitar los fraudes. ¿Para todos los sistemas?. ¿Qué pasa con las plataformas móviles?.

Pues por poner un ejemplo, para el iPhone 3G no hay ningún parche que cierre este boquete de seguridad. En otras plataformas, por ejemplo la multitud de móviles de Nokia que tienen navegador, es complicado saber si existe una actualización para este tipo de cosas. Y lo peor, al menos en la versión 4.2 de iOS que es la que lleva el 3G es que no hay manera de saber si la gestión SSL del mismo utiliza algún tipo de protocolo como OCSP o listas de revocación de certificados para comprobar la validad de los certificados SSL que le muestran lo servidores, llegando el caso de que navengando desde un dispositivo con este problema consigan engañar al sistema y se conecte a un servidor malicioso haciéndose pasar por cualquiera de los sitios legítimos. Y todo tanto por la falta de dilegencia de Apple para parchear estos agujeros como de la falta de información de las plataformas móviles para saber si hay que actualizar los sistemas.

Como colofón, en MacOS X para los que tengáis una versión vieja, se puede configurar el sistema para que consulte a servidores OCSP o listas de revocación para comprobar la validez de los certificados que nos dan los servidores.

Actualización

Tras buscar, he conseguido la lista de certificados raíces de iOS 3.x y la lista de certificados raíces de iOS 4.x, donde podemos ver el certificado raíz de comodo:

C=GB,ST=Greater Manchester,L=Salford,O=COMODO CA Limited,CN=COMODO Certification Authority
Subject Name
    Country Name           : GB
    State or Province Name : Greater Manchester
    Locality Name          : Salford
    Organization Name      : COMODO CA Limited
    Common Name            : COMODO Certification Authority
Issuer Name
    Country Name           : GB
    State or Province Name : Greater Manchester
    Locality Name          : Salford
    Organization Name      : COMODO CA Limited
    Common Name            : COMODO Certification Authority
Version                    : 3
Serial Number              : 4E 81 2D 8A 82 65 E0 0B 02 EE 3E 35 02 46 E5 3D
Signature Algorithm
    Algorithm              : SHA-1 with RSA Encryption
    Parameters             : none

De este tema hablan también en Update your Apple devices to iOS 4.3, or risk malicious code attacks en Nakedsecurity.

---

Technorati Tags: seguridad

Capsium: Un API de seguridad para Unix

(vía Slashdot) En la Universidad de Cambridge y con el apoyo de Google, se está investigando en una serie de modificaciones a las API de Unix para dotarlos de mayor seguridad y poder aislar la ejecución de procesos, limitando a los objetos del sistema a los que tienen acceso (sandboxing). El proyecto recibe el nombre de de Capsicum (pimiento, pimentón en castellano).

Capsicum: practical capabilities for UNIX, un artículo presentado en Usenix 2010 que explica cuales han sido los mecanismos que han decidido usar los investigadores para implementar el API y las abstracciones que han usado. El sistema operativo en el cual han decidido implementar sus ideas es FreeBSD, estando el código disponible bajo licencia BSD. Como no, estando Google implicada, el programa a nivel de usuario con el cual han probado estas API es Chromium. Parece ser que este API estará disponible de manera oficial en la versión 9 de FreeBSD.

---

Technorati Tags: Seguridad,Unix

Hash de comprobación de binarios de sistemas operativos y aplicaciones: Find a Hash

Cuando queremos ver que un ordenador no ha sido comprometido, necesitamos alguna manera de comprobar que los ficheros que residen en el mismo son los originales, en especial aquellos que pertenecen al sistema operativo. Si calculanmos un hash del cada fichero somos capaces de ver si es original o ha sido modificado, y podremos centrar nuestro análisis forense en aquellos ficheros, que teniendo que estar en el sistema han sido modificados.

El NIST americano, a través del proyecto National Software Reference Library. tiene una base de datos de ejecutables que nos podemos encontrar en diferentes sistemas operativos. Si calculamos el hash de cualquier ejecutable, podremos verificar contra la base de datos si es correcta, si existe o si ha sido modificada. Esta base de datos se puede bajar de manera gratuita para facilitar los análisis forenses y ocupa actualmente cuatro CDROMS.

Para facilitar las consultas el ISC ha publicado una interfaz web, Find a Hash, a través de la cual podemos buscar los hash de los ficheros que introduzcamos, o bien buscar un hash para ver al fichero que corresponde. De la misma manera, no sólo consulta la base de datos del NRSL, sino que también consulta la base de datos de malware de Team Cymru, permitiendo de esta manera saber si nos encontramos ante un fichero ejecutable que puede ser un troyano o un virus.

Technorati Tags: Seguridad,Forensics

Rooted CON: Marzo 2010

Se está organizando par el mes de marzo del 2010 unas conferencias de seguridad informática, bajo el nombre de Rooted CON. Los organizadores son un conjunto de profesionales que lleva más de diez años trabajando en el mundo de la seguridad de la información. La idea de la organización es realizar una serie de charlas de alta calidad sobre temas candentes en el mundo de la seguridad. Ya han abierto el plazo de presentación de charlas, call for papers, para las posibles presentaciones de las conferencias. El plazo de presentación de ponencias se cierra el 20 de diciembre de este año y en noche vieja se publicarán los nombres de aquellos encargados de dar las charlas.

También se organizará un torneo de Capture de Flag, un wargame organizado por el grupo Sexy Pandas, que ha sido finalista en los torneos de la Defcon en las Vegas.

Technorati Tags: seguridad, hacking

Botnets controladas por Google Groups e ingeniería del software seguro

Hacía tiempo que no me pasaba por el blog de Fernando, que siempre tiene interesantes referencias sobre seguridad informática. La primera nota es sobre el control de botnets desde Google Groups. La noticia a que enlaza, se hace eco del descubrimiento de la gente de Syamantec donde analizan un troyano que se conecta a los grupos de Google para recibir instrucciones. La otra referencia interesa es Un curso sobre ingeniería de software seguro, donde recoge la referencia de un curso de sofware seguro del Dr. Holger Peine.

Technorati Tags: seguridad

Problemas de seguridad en el PowerPoint: 0 Day

(vía Hispasec) Acabo de leer la noticia que el PowerPoint tiene un problema de seguridad de los llamados 0 day, es decir, un problema no conocido por hasta hace poco Microsoft que ha estado siendo utilizado para explotar los ordenadores ajenos a través de ficheros PowerPoint. Microsoft ha publicado el aviso de seguridad que reconoce la vulnerabilidad que afecta a las versiones 2000,XP, 2003 y Mac 2004.

Con la cantidad de powerpoints chorras que hay rondando en el correo electrónico, si las máquinas no están lo suficientemente actualizadas, existe un vector de infección bastante importante para la expansión de este troyano.

Para ver un análisis técnico de este tipo de virus, podéis leer Investigating the new PowerPoint issue, donde se dan instrucciones para usar el depurdador de windows (windbg), donde poner los breackpoints y ver cual es el fichero que están intentando ejecutar. Por supuesto, este tipo de operaciones hay que hacerlas en un ordenador que pueda quedar infectado (quizás una máquina virtual, aunque los virus tienen maneras de detectarla). Por supuesto, esto último no hacerlo sino sabéis exactamente qué es, porque podéis terminar con el ordenador infectado.

Technorati Tags: powerpoint,seguridad

SWFScan: Analizando ficheros .swf en busca de problemas de seguridad

(vía Slashdot) HP acaba de publicar la utilidad SWFScan, una aplicación para Windows que permite analizar los archivos de flash buscando posibles problemas de seguridad. Soporta todas las versiones de Flash, incluyendo la 10. Utiliza un análisis estático para buscar tanto incumplimientos de las recomendaciones de seguridad de Adobe como otros problemas. Es capaz de descompilar las aplicaciones Flash y exportarlas, excepto aquellas librerías de Flash del sistema.

Aparte, leyendo los comentarios de Slashdot, en este hacen referencia a la presentación en la Blackhat de Blinded by Flash: Widespread Security Risks Flash Developers Don't See (el vídeo de la presentación y el resto de la información aquí)

Referencias

• HP SWFScan FAQ

Technorati Tags: seguridad, flash,

Botnet de routers DSL infectados

(vía Slashdot) Acaba de aparecer información sobre una red de zombies compuesta por routers DSL infectados. Éstos routers ejecutan Linux sobre procesadores MIPS. El nombre del gusano causante de la infección es psyb0t. Éste contiene varios shellcodes de Linux/MIPS, técnicas para buscar contraseñas por fuerza bruta, buscar usuarios y password a través de inspecciones de los protocolos y por último localizar servidores MySQL y phpMyAdmin vulnerables. Un análisis más a fondo del gusano lo ha escrito Terry Baume

Siguiendo la descripción del vector de infección, bloquea el acceso a los puertos de administración del router (ssh, telnet y web) y se controla a través del irc, aunque parece que ya se ha dado de baja el canal desde se controlaba.

Algunas medidas para que tener los routers domésticos más seguros

• Cambiar las contraseñas de acceso por defecto.
• Configurar el router para que sólo admita conexiones de control (web, ssh, telnet, snmp o ftp) a través de la interfaz interna o lan.
• Mantener el firmware del router actualizado.
• Desactivar servicios que no se utilicen.
• En caso de usar WIFI, asegurarse estar usando WPA-PSK o WPA-PSK2 para securizar las mismas, cambiándolas cada cierto.

Technorati Tags: seguridad, routers, botnet

Sacelib: Gestión de cadenas y bloques de memoria más segura por Cisco

(vía reddit.programming) Publica la revista Dr Dobb's magazine un un pequeño artículo sobre The Safe C Library, una librería de código que implementa las recomendaciones recogidas en la especificación ISO/IEC TR 24731-1:2007,que define una serie de funciones alternativas a algunas existentes en la librería en C para poder usar funciones de copia de cadenas y de copia de bloques de memoria más segura. Entre otras cosas (del fichero safe_c_lib_readme.txt del código fuente) busca:

• Proteger contra los desbordamientos de buffer (buffer overflows).
• No producir cadenas no terminada por '\0'.
• Informar en caso de truncar cadenas.
• Manjadores de errores.

Las funciones que implementan son la aquellas encargadas de mover bloques de memoria (memcpy,memcmp,memset,memzero) y las funciones de manejo de cadena en C (strcpy,strcmp, strcasestr,strcpyfld,..). Las nuevas funciones utilizan el sufijo _s para distinguirlas de aquellas presentes en la librería estándar de C.

Otra librería más para facilitar el uso seguro de cadenas en C, aunque desde mi punto de vista, la única manera de acabar con este tipo de problemas es que el compilador genere códifo que compruebe los límites de los arrays. Lo malo es que el uso creativo de punteros en C, hace que implementar este tipo de verificaciones supongan una penalización importante en programas que hagan uso constante de punteros.

Sacelib está desarrollada por Cisco y la licencia es de tipo BSD.

Technorati Tags: c,seguridad

Informe seguridad X Force 2008

(vía Osnews) X-Force, una compañía que depende de IBM acaba de publicar su informa anual sobre la seguridad informática. Entre la información que aportan sobre las vulnerbilidades de los sistemas operativos:

• Aumento del 13.5% de vulnerabilidades respecto al 2007.
• Incremento de la gravedad de los problemas de seguridad, con un aumento del 15.3% de los calificados críticos y un 67.5% en los calificados medios.
• Aproximadamente el 92% de estas vulnerabilidades son remotas.
• De todas las vulnerabilidades, aproximadamente un 47% pueden ser corregidas con parches. Sin embargo cerca del 50% de años anteriores siguen si corregir.
• La categoría que más vulnerabilidades tiene es la de aplicaciones web, aproximadamente el 55% de las mismas. Las que afectan a software que se ejecuta en máquinas de escritorio computan con un 20% del total.
• Los últimos tres años los sistemas que más vulnerabilidades han sido descubiertas y publicadas son Apple y el kernel de Linux.

Interesante también leerse los apartados dedicados a vulnerabilidades web, donde vemos que siguen existiendo muchísimos problemas de inyección SQL, incluso estando este año por encima de los cross site scripting.

Según la editorial de Osnews lo que más está dando vuelta por Internet es esta tabla que indica el número total de vulnerabilidades hechas públicas para cada sistema operativo. El problema de esta métrica es saber de que tipo ha sido cada una de las vulnerabilidades publicadas.

El informe es extenso tiene cerca de cien páginas, y merece una lectura tranquila.

Technorati Tags: seguridad