¿Fue un Hackeo de iCloud?

<br /> <div style="text-align: justify;"> A estas alturas, cuando solo una pequeña porción de la humanidad aun no ha visto a la señorita Lawrence posar en una incomoda intimidad, merece la pena analizar lo ocurrido sin las prisas que demandan los titulares en llamas o el siempre juego del hambre por las visitas.</div> <div style="text-align: justify;"> <br /></div> <div style="text-align: justify;"> Una mañana te despiertas en tu mansión de Hollywood y después de la ducha matinal para desperezarte, te vistes con tu albornoz más suave y delicado y te pones a leer el guión que te envió ayer tu representante. Cuando vas por el segundo párrafo y la cosa se ponía interesante suena tu teléfono móvil, el mismo que vas a destrozar contra la pared en breves momentos.</div> <div style="text-align: justify;"> <br /></div> <div style="text-align: justify;"> "¡¿Cómo?!....¡¿Qué?!....Me…en…la…" El resto de la historia (completamente inventada) se deja a la imaginación. Cambiemos de personaje.</div> <div style="text-align: justify;"> <br /></div> <div style="text-align: justify;"> Días antes de que una docena de iPhones encontraran su fatal destino presas de la rabia y la impotencia, un usuario de 4chan presumía tener en su poder montones de fotos privadas (también vídeos) de famosas que iba a liberar, incluso pedía donaciones a su cuenta de PayPal por si algún alma caritativa le quería agradecer el "esfuerzo". Lo que parecía una fantasmada, fruto de la imaginación incontinente de un púber alienado por las hormonas, término por ser cierto. Cientos de fotos intimísimas de cientos de las mujeres más deseadas en este planeta (y dentro de miles de años quizás en otros) terminaron expuestas a los desorbitados ojos de millones de seres humanos.</div> <div style="text-align: justify;"> <br /></div> <div style="text-align: justify;"> Aquí se acaba lo que todo el mundo sabe. Comencemos con lo que nos interesa.</div> <br /> <h3 style="text-align: justify;"> ¿Fue un hackeo de iCloud?</h3> <br /> <div style="text-align: justify;"> Si y no. A pesar de lo que muchos medios generalistas anunciaron, nadie penetró en los sistemas de la nube de Apple. No se explotó ninguna vulnerabilidad directa. El problema se encontraba en la API de "FindMyPhone" de Apple. Concretamente esta llamada REST (hay un supuesto script que parece haber sido usado para el ataque - <a href="https://github.com/hackappcom/ibrute">https://github.com/hackappcom/ibrute</a>):</div> <div style="text-align: justify;"> <br /></div> <code><div style="text-align: justify;"> https://fmipmobile.icloud.com/fmipservice/device/'+apple_id+'/initClient"</div> </code> <div style="text-align: justify;"> <br /></div> <div style="text-align: justify;"> Donde el 'apple_id' se debe introducir el correo de la víctima. Exacto, el atacante debe saber de antemano el correo de la cuenta asociada a iCloud a la que quiere acceder. ¿Cómo era posible saber el correo de una famosa? Existen muchas teorías, alguno sería sencillo de averiguar o quizás pululaba por ahí, el caso es que obteniendo la agenda de contactos de una famosa el resto era ir tirando de la caña.</div> <div style="text-align: justify;"> <br /></div> <div style="text-align: justify;"> El ataque se hacía de manera combinada, con listas de correos y listas de contraseñas por lo que se trataba de un ataque de longitud cuadrática. "Por cada correo prueba estas 500 contraseñas…". Esto genera un ruido impresionante en los registros de eventos que ni a un IPS de segunda división se le pasa por alto, en el supuesto claro de que hubiera alguno… ¿Lo habría?</div> <br /> Viendo el código: <br /> <br /> <div style="text-align: center;"> <img border="0" height="345" src="http://3.bp.blogspot.com/-v3D_smH7O2c/VAdJgrTDslI/AAAAAAAABeE/-gdwMIvSPxI/s1600/icloud_1.png" width="540" /></div> <br /> <div style="text-align: justify;"> Observamos como el <i>User-agent</i> y otros valores son fijos. Y vemos algo que llama mucho la atención: El UDID del dispositivo origen de las peticiones es pseudoaleatorio, falso como el cartón piedra y cuando la combinación usuario/contraseña es correcta Apple no hace una comprobación adicional de ese UDID rechazando, a pesar de la validez de la contraseña, la petición. Tarjeta amarilla.</div> <div style="text-align: justify;"> <br /></div> <div style="text-align: justify;"> Lo segundo y que es lo que ha llegado a las rotativas, es la falta de límite de intentos de acceso a una cuenta determinada. Como dijimos un par de párrafos arriba los servidores de Apple se tragaban cualquier número de peticiones con resultado erróneo. ¿Os imagináis a Jennifer metiendo 500 contraseñas en 60 segundos en el set de rodaje mientras la esperan para la siguiente toma? Tarjeta roja.</div> <div style="text-align: justify;"> <br /></div> <div style="text-align: justify;"> Otro asunto es que la autenticación se hacía a través de la autenticación básica implementada por el protocolo HTTP. Concatenación de usuario y contraseña, símbolo ':' mediante y eso lo pasamos por un codificador en base64. Eso no es un hash, es simplemente una cadena codificada. La lista de passwords, supuestamente usada, no son hashes MD5 o SHA1 o lo que sea. Son contraseñas en texto claro que van a ser codificadas y enviadas para su comprobación al servidor de "FindMyIphone". Luego si no nos equivocamos, en algún momento esas contraseñas podrían estar almacenadas con un simple base64.</div> <div style="text-align: justify;"> <br /></div> <div style="text-align: justify;"> Por cierto, varios usuarios de Reddit comprobaron que el script funcionaba hasta que Apple parcheó los servidores que tiene repartidos por el mundo.</div> <br /> <h3 style="text-align: justify;"> La política de contraseñas de Apple</h3> <br /> <div style="text-align: justify;"> Apple mantiene una política de contraseñas estándar, con posibilidad de activar doble factor de autenticación y la extremadamente desaconsejable y completamente insegura segunda vía a través de preguntas personales. Con las redes sociales colmadas de datos personales voluntariamente expuestos, hoy día tiene más sentido ir mintiendo en absolutamente todas las preguntas que decir la verdad.</div> <div style="text-align: justify;"> <br /></div> <div style="text-align: justify;"> Volvamos a las contraseñas, que son las protagonistas (con el permiso de la Lawrence) del ataque.</div> <div style="text-align: justify;"> <br /></div> <div style="text-align: justify;"> Las reglas son declarativas y siguen una lógica AND:</div> <br /> <ul> <li style="text-align: justify;">Al menos tienen que tener una letra.</li> <li style="text-align: justify;">Al menos una letra capital.</li> <li style="text-align: justify;">Al menos un número.</li> <li style="text-align: justify;">No deben contener caracteres secuencialmente idénticos.</li> <li style="text-align: justify;">No debe ser la misma cadena que el nombre de usuario.</li> <li style="text-align: justify;">Al menos debe contener 8 caracteres.</li> <li style="text-align: justify;">No debe ser una contraseña común (conocida)</li> <li style="text-align: justify;">No ha de haberse usado durante el año anterior.</li> </ul> <div style="text-align: justify;"> Con todas estas reglas y una lista de gritones de contraseñas tenemos, no como construir una contraseña, sino como filtrar esa lista de contraseñas a través de expresiones regulares y quedarnos con una lista más ligerita y certera. Por ejemplo de nada nos serviría ir probando una secuencia de números o palabras que no contengan una mayúscula o passwords con menos de 8 caracteres.<br /> </div> <h3 style="text-align: justify;"> ¿Qué pinta tendría el password de una famosa?</h3> <br /> <div style="text-align: justify;"> Veamos, ¿Alguien se imagina a nuestra actriz favorita activando la doble autenticación? No, ¿verdad? Es posible que Noomi Rapace si, pero el resto seguro que no. ¿Os imagináis también a la famosa metiendo una contraseña robusta y a prueba de hackers?</div> <div style="text-align: justify;"> <br /></div> <div style="text-align: justify;"> Con las reglas arriba mencionadas una contraseña que deje pasar el sistema como válida tendría una pinta parecida a esta. Por cierto, cuando el sistema comienza a responder con mensajes del tipo "Contraseña no válida, debe tener al menos…" vamos relajando la complejidad porque el humano termina cansándose de la dichosa maquinita y cansancio y relax son el efecto y la consecuencia. Una tarea repetitiva termina bajando la guardia del que la realiza.</div> <br /> <ul> <li style="text-align: justify;">Una letra capital: la primera letra</li> <li style="text-align: justify;">Al menos un número: posiblemente dos (días, años, edad…) y al final, es típico.</li> <li style="text-align: justify;">Al menos 8 caracteres: de acuerdo, dos cifras al final nos deja 6 letras al comienzo.</li> <li style="text-align: justify;">No deben repetirse caracteres: perfecto, estrechamos el universo.</li> <li style="text-align: justify;">No debe ser igual al nombre de usuario: menos intentos todavía.</li> <li style="text-align: justify;">Y lo más importante y que está en la cabeza de la gran mayoría: tienes que memorizarlo.</li> </ul> <br /> <div style="text-align: justify;"> <b>Obviemos el resto de reglas. ¿Convincente?: Jlawrence90</b></div> <div style="text-align: justify;"> <br /></div> <div style="text-align: justify;"> Evidentemente no es la contraseña (eso esperamos) simplemente la base sobre la que ir construyendo contraseñas inspiradas en la reglas que en principio deberían servir para robustecerlas y lo que conocemos de la persona objetivo.</div> <div style="text-align: justify;"> <br /></div> <div style="text-align: justify;"> Por cierto. <a href="http://unaaldia.hispasec.com/2005/02/la-pregunta-secreta-del-caso-hilton.html">¿Alguien sabe como se llama el perro de Jennifer Lawrence?</a></div> <div style="text-align: justify;"> <br /></div> <div style="text-align: justify;"> Fuente: <a href="http://unaaldia.hispasec.com/2014/09/la-arquera-y-su-manzana.html" rel="nofollow" target="_blank">Hispasec</a></div>

A estas alturas, cuando solo una pequeña porción de la humanidad aun no ha visto a la señorita Lawrence posar en una incomoda intimidad, ...

Leer más »

Twitter y privacidad, casi 1 de cada 5 tweets divulga la ubicación del usuario

<div style="text-align: justify;"> Un estudio sobre el grado de privacidad típico en Twitter revela que casi 1 de cada 5 tuits (o tweets) divulga la ubicación del tuitero a través de geoetiquetado (geotagging) o metadatos.<br /><br />En la investigación, el equipo de Chris Weidemann, de la Universidad del Sur de California, hizo un muestreo de más de 15 millones de tuits. El análisis del muestreo indica que algunos usuarios de Twitter pueden estar revelando su ubicación, sin saberlo, a través de las actualizaciones.<br /><br />El estudio proporciona datos importantes para el creciente debate internacional sobre la privacidad en internet y el uso comercial de datos de geoetiquetado por terceras partes o su análisis por agencias gubernamentales atendiendo a razones de seguridad nacional o por otros motivos.<br /><br />La gente no es muy precavida, y, tal como ha comprobado Weidemann, se puede extraer toda clase de información de cosas que no son el propio tuit.<br /><br />Twitter tiene alrededor de 500 millones de usuarios activos, los cuales se calcula que producirán 72.000 millones de tuits durante 2013. Los informes han mostrado que cerca del seis por ciento de los usuarios aceptan permitir que la plataforma transmita su ubicación con cada tuit.<br /><br />Pero eso es sólo una parte de las huellas que dejan los usuarios de Twitter, e incluso los tuiteros que han optado por impedir que se registre su ubicación pueden, de modo inadvertido, revelar dónde están, según el estudio.<br /><br />Para tener una idea más completa de lo que los datos de acceso público podrían revelar sobre los usuarios de Twitter, Weidemann desarrolló una aplicación llamada Twitter2GIS para analizar los metadatos recogidos por Twitter, incluyendo detalles sobre la ciudad natal, huso horario e idioma del usuario.<br /><br />Los datos, generados por usuarios de Twitter y disponibles a través del API (Interfaz de Programación de Aplicaciones) de Twitter y el API de Geocodificación de Google, fueron luego procesados por un software que mapeó y analizó los datos en busca de tendencias.</div> <div style="text-align: justify;"> <br /></div> <div class="separator" style="clear: both; text-align: center;"> <a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhAWVzeROtzzVBKOSASOlHVLyPdTSjrsng5MH3078nPs58ZUg_74BYHz1sU4WHG07fM_Xg5zKCdzZDuVlo45g7okMvA8OIxyxkIAd-KgWFxTMzprXOV3PbPXZMnbjS97O2eUlLICSL7neGB/s1600/Mapa_Tweet.jpg" imageanchor="1" style="margin-left: 1em; margin-right: 1em;"><img border="0" height="256" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhAWVzeROtzzVBKOSASOlHVLyPdTSjrsng5MH3078nPs58ZUg_74BYHz1sU4WHG07fM_Xg5zKCdzZDuVlo45g7okMvA8OIxyxkIAd-KgWFxTMzprXOV3PbPXZMnbjS97O2eUlLICSL7neGB/s400/Mapa_Tweet.jpg" width="400" /></a></div> <div style="text-align: justify;"> <br /></div> <div style="text-align: justify;"> <br /></div> <div style="text-align: justify;"> <span style="color: red;">Este mapa de calor muestra la densidad de todos los tuits, durante el período de recopilación del estudio, donde la ubicación era proporcionada directamente o era identificada usando datos de ubicación "ambientales". (Imagen: Cortesía de Chris Weidemann)</span> </div> <br /> En el período de actividad de una semana analizado en el estudio, aproximadamente el 20 por ciento de los tuits recolectados mostraban la ubicación del usuario con una precisión del orden de la calle o incluso mejor.<br /><br />Muchos usuarios de Twitter divulgaron su ubicación física directamente a través de monitorización activa de ubicación o coordenadas GPS. Sin embargo, otro 2,2 por ciento de todos los tuits, equivalente a cerca de 4,4 millones de tuits al día, proporcionaron datos de ubicación "ambientales", un caso en el que el usuario podría no ser consciente de que está divulgando su ubicación.<br /><br />"El inconveniente de esto es que el procesamiento de este tipo de información también puede proporcionar oportunidades para utilizarla de manera delictiva”, advierte Weidemann. "Mi propósito es educar a los usuarios de medios sociales e informar al público sobre su privacidad".<br /><br /><a class="target_blank" href="http://pressroom.usc.edu/twitter-and-privacy-nearly-one-in-five-tweets-divulge-user-location-through-geotagging-or-metadata/" rel="nofollow" target="_blank">Información adicional</a>

Un estudio sobre el grado de privacidad típico en Twitter revela que casi 1 de cada 5 tuits (o tweets) divulga la ubicación del tuitero a ...

Leer más »