Siendo en lo personal un amante de la seguridad y a modo de siempre estar ofreciendo un mejor servicio a nuestros clientes, me gusta cada cierto tiempo analizar cómo viaja la información de los usuarios en distintos sitios de alto tráfico.

 

En esta ocasión el sitio elegido para el experimento es: movistar.cl


Los clientes de Movistar sabrán de un portal llamado “Club Movistar“, también conocido como “Oficina Virtual”, en donde los usuarios del servicio pueden ver, modificar y contratar diferentes servicios, además de ver el detalle de las llamadas, facturas y equipos.

 

 

Ok, vamos al punto…. ¿qué es lo que se pide para ingresar al portal?, una credencial virtual (nombre de usuario y contraseña) es aquí en donde encontramos la primera falencia… la contraseña es SÓLO numérica y de 4 dígitos. Para los no muy entendidos, cabe destacar que el método más utilizado para un hacker que no tiene acceso directo a bases de datos en donde se almacenan contraseñas de un sitio en particular es el método conocido como “ataque por fuerza bruta“, en el cual se prueban claves aleatorias hasta dar con la correcta. No es muy difícil darse cuenta que con 4 caracteres y poniendo hasta 10 dígitos en cada uno de ellos se pueden formar solamente 10.000 claves (es por eso que la recomendación de Topo a los lectores de éste artículo es de utilizar al menos números y letras para sus contraseñas, es importante que sepan que ninguna contraseña es inhackeable, sin embargo lo que se puede regular es el tiempo que se puede demorar alguien en encontrarla y el costo asociado que se puede tener).

 

Segunda falencia, a pesar de que lo que se tiene es un entorno en FLASH (swf para ser más específico), con un decompilador de FLASH (i.e. Flash Decompiler Trillix) es muy simple ver las funciones a las cuales llaman los diferentes botones, a tal punto de poder también entender cuáles son las acciones que se realizan al hacer click en algún lugar.

 

Tercera falencia (y la más grave a mi juicio), la información no viaja encriptada y se reciben variables de una página a otra, nuevamente, sin encriptar. Esta falencia se puede explotar desde 2 puntos de vista: 1.- basta con un sniffer (i.e. wireshark) para escuchar lo que pasa por una red local y se podrán ver las peticiones que están siendo realizadas por otros equipos (cercanos al que tiene el sniffer) al servidor de movistar con la credencial virtual del usuario, viendo al igual que como se lee un texto cualquiera el nombre de usuario y contraseña que se está enviando; 2.- se pueden utilizar herramientas (add on) para el explorador Firefox, con las cuales se pueden ver los mensajes que se transmiten de una página a otra, y luego de eso simular peticiones con algún lenguaje de programación y así probar todas las combinaciones posibles (fuerza bruta) hasta encontrar la correcta (recordamos que en este caso son 10000: desde el 0000 hasta el 9999).

 

Finalmente, después de intentar vulnerar la seguridad del sitio durante no más de 4 horas, logré crear un software sin aplicar grandes técnicas de programación, al cual se le entrega un número de teléfono perteneciente a movistar y devuelve la clave del “club movistar” como máximo en 300 minutos aproximadamente (utilizando una conexión de 1Mbits/seg).

 

De todas formas me gustaría destacar que hace tan sólo unos meses en el mismo sitio de movistar.cl la credencial virtual viajaba por la URL, es decir por algunos segundos el número de teléfono y contraseña aparecía visible en la barra de direcciones del explorador. Por lo que ver el sitio hoy, ya genera una satisfacción porque si bien no es de lo mejor, podemos decir que de a poco se están poniendo más puristas en temas de seguridad.

 

Categorías: General, Tecnología

Tags: , , , ,