Archive for Redes Sociales

Diciembre 12th 2012

SMS spoofing en Twitter, un viejo truco

Número de lecturas: 4300
{lang: 'es-419'}

Hace unos días, Jonathan Rudenberg publicaba una vulnerabilidad en el sistema de publicación a través de SMS de Twitter que podría permitir el envío de tweets en nombre de otra persona con solo conocer su número de teléfono. El efecto de esta vulnerabilidad ya se conoce desde hace varios años.

Twitter dispone de una interfaz SMS con la que, a través de mensajes de texto, un usuario puede publicar actualizaciones y seguir a otros usuarios, entre otras

opciones. Para activarla, es necesario enviar un nombre de usuario y contraseña a unos códigos telefónicos que la red social dispone a tal efecto.

Una vez hecho esto, el número de teléfono queda asociado a la cuenta de Twitter.  Jonathan Rudenberg en su blog afirma que esa asociación puede ser utilizada para publicar en la cuenta de otra persona solo conociendo su número de teléfono. El fallo reside en que la interfaz de Twitter confía en la legitimidad del origen del SMS sin pedir ninguna autenticación adicional.

El número de origen de un SMS puede ser fácilmente falseado. Algunos proveedores permiten cambiar el origen del mensaje de texto, así que es posible que un tercero envíe un mensaje con el número de teléfono de la víctima como origen y que Twitter lo publique en su cuenta asociada.

El usuario puede entonces ejecutar todos los comandos disponibles a través de SMS sobre la cuenta de la víctima, entre lo que se incluye el envío de mensajes directos, respuesta a otros usuario, o incluso desactivar la cuenta por completo si se es usuario exclusivo a través de SMS.

Sin embargo, Moxie Marlinspike, en un post en el blog de ingeniería de Twitter, ha dado algunos detalles de la situación. Para utilizar el canal SMS, el usuario tiene la opción de enviar sus comandos a dos tipos de códigos telefónicos.

El código “corto” es un número menor a cinco cifras, disponible en algunos países y proveedores de red móvil (España, por ejemplo, no tiene). Este es el método que utilizan muchos usuarios de Twitter SMS.
Estos códigos funcionan dentro de la misma red del operador y no permite cambiar el origen del mensaje. Por tanto no hay posibilidad de spoofing en este caso.
Sin embargo, el resto de países deben enviar sus tweets a un código “largo”. Este es un número telefónico normal que sí es vulnerable a spoofing. Por ello, Twitter ofrece una autenticación a través de PIN a los usuarios de estos códigos desde hace varios años, aunque es necesario que el usuario lo active.

Además, si en un país existe un código corto, no se permite al usuario publicar a través del código largo. Por tanto, el impacto de la vulnerabilidad es de menor magnitud, quedando reducido a solo los usuarios que solo puedan enviar sus tweets a un código largo y además no tengan activado el PIN.

Efecto conocido Si Twitter ofrece activación por PIN, es porque ya fue vulnerable al falseamiento del remitente del SMS. Ya a principios de 2007, Nitesh
Dhanjani daba detalles de este problema, lo que desemboco en la implementación de esta doble autenticación. Posteriormente, en 2009, Lance James se hacía eco del mismo fallo, esta vez solo afectando a usuarios de Reino Unido y Alemania. También SecurityByDefault aprovechó este fallo hace algunos años para realizar una divertida broma, con la que publicó un mensaje en una cuenta tan popular como la de @edans.

Parece que los reportes de la vulnerabilidad se han ido dando en zonas donde aún no había disponibles códigos cortos. Por tanto, la publicación no muestra nada nuevo, simplemente que siguen existiendo zonas donde la red móvil hace posible el spoofing en Twitter si no se tiene activado el PIN.

Este mismo fallo se podía encontrar en Facebook y Venmo, una plataforma social de pagos. Estos fueron solucionados antes de la publicación de la vulnerabilidad y no han trascendido más detalles.

 

Más información:

SMS Vulnerability in Twitter, Facebook and Venmo
http://titanous.com/posts/twitter-facebook-venmo-sms-spoofing

Twitter and SMS Spoofing
http://engineering.twitter.com/2012/12/twitter-and-sms-spoofing.html

Twitter and Jott Vulnerable to SMS and Caller ID Spoofing
http://www.oreillynet.com/onlamp/blog/2007/04/twitter_and_jott_vulnerable_to.html

Twitter Spoof (Twoof/Tweef?) You decide
http://lancejssc.tumblr.com/post/83499045/twitter-spoof-twoof-tweef-you-decide

Hackeos memorables: El Twitter de Enrique Dans
http://www.securitybydefault.com/2009/03/hackeos-memorables-el-twitter-de.html

Fuente:

hispasec.com

Junio 7th 2012

Comprobar si tu contraseña de LinkedIn ha sido comprometida

Número de lecturas: 3333
{lang: 'es-419'}

Hace unas horas saltaba la noticia de que 6 millones de contraseñas de LinkedIn habían sido expuestas. Muchos tenéis cuenta en el servicio, así que vamos a tratar de resolveros una duda:¿Cómo saber si tu contraseña ha sido comprometida?

Antes de nada, algunos detalles técnicos: lo que se ha liberado es una lista de hashes SHA1 de las contraseñas, una especie de huella digital de la contraseña. En la lista que está disponible por Internet hay algunos hashes que comienzan con cinco ceros: esos cinco ceros indica que ya se ha descubierto la contraseña correspondiente a ese hash.

¿Cómo comprobamos entonces si nuestra contraseña está ahí? Primero obtenemos el hash SHA1 de nuestra contraseña. Aunque hay webs que te permiten obtener el hash SHA1 de tu contraseña fácilmente, os recomiendo que os fiéis sólo de lo que esté en vuestro ordenador.

En Linux y Mac obtener el hash SHA1 es sencillo: abrid una consola y ejecutad sha1sum en Linux oshasum en Mac. Escribid vuestra contraseña y pulsad Ctrl – D (en Mac pulsad también Ctrl-D, no Comando). En Windows la cosa se complica un poco. Descargad la utilidad sha1sum del sitio deGNUPG, y escribid en un fichero vuestra contraseña. Abrid una consola (Inicio->Ejecutar, escribe cmdy pulsa enter), arrastra primero el ejecutable a la ventana de comandos y después el archivo que has creado con tu contraseña, asegurándote de que queda un espacio entre el nombre del ejecutable y el del archivo.

De cualquiera de las formas, ya tendréis vuestro hash SHA1. Sólo queda buscarlo en la lista de hashes. Abridla con el Bloc de notas o similar y haced clic en la opción de búsqueda (debería estar en el menú Edición, aunque depende del programa que uséis). Primero buscad el hash que hayáis obtenido. Si no lo encontráis, probad sustituyendo los cinco primeros caracteres por ceros. Si sigue sin aparecer, enhorabuena, vuestra contraseña no ha sido comprometida.

Espero que estos pasos os sean útiles. Aun así, cambiad vuestra contraseña y, como digo arriba, no os fiéis de servicios online que comprueben si vuestra contraseña ha sido comprometida. Podrían tener buenas intenciones, pero es un riesgo que yo no correría.

Descarga | Sha1Sum para Windows | Lista de hashes
Más información | Hacker News

Fuente:

genbeta.com

Abril 12th 2012

Mejoras en la navegación en google+ (video)

Número de lecturas: 2961
{lang: 'es-419'}

En estos últimos meses google plus ha realizado varias mejoras sin embargo el actual cambio en la interfaz hace que la experiencia de navegar en este sitio mejore mucho. Realmente me ha gustado mucho el cambio sugiero la revisen, esta muy interesante.

En este video se detallan los cambios y facilidades adicionales del sitio

YouTube Preview Image
Marzo 13th 2012

Los ‘hackers’ ven un tesoro en LinkedIn

Número de lecturas: 3096
{lang: 'es-419'}

Si usas la red social LinkedIn, probablemente has dicho en qué lugar trabajas, a qué te dedicas y con quiénes laboras. Esa información es una mina de oro para los hackers, cada vez más sagaces en el uso de esos datos públicos (pero personales) para dirigir sus ataques.

El método, conocido como “spear phishing” (pesca con arpón) provocó dos violaciones de seguridad en empresas de alto perfil: un ataque a Gmail que afectó a varios altos funcionarios del Gobierno estadounidense y un ataque a  la empresa RSA, cuyos tokens de autenticación SecurID son usados por millones de personas. En ambos casos, los atacantes engañaron a las víctimas para que abrieran archivos adjuntos en correos que parecían provenir de fuentes confiables o colegas.

Los investigadores no han revelado cómo fue que loshackers reunieron información de sus víctimas, pero en la conferencia de seguridad RSA del mes pasado, los peligros de las redes sociales -y de LinkedIn en particular- fueron un tema recurrente. Docenas de conferencistas dijeron que dicho sitio de contactos profesionales podría ser una potente arma para los delincuentes cibernéticos.

“Los empresarios usan LinkedIn para fines de investigación, los cazatalentos los usan para reclutar. ¿Por qué no habrían de usarlo también los agentes de inteligencia chinos para la pesca con arpón?”, se pregunta el experto en seguridad Ira Winkler, autor del libro “Spies Among Us”.

Gran parte del debate sobre los riesgos de LinkedIn fue teorético, pero en un estudio de caso, el hacker Ryan O’Horo demostró cómo usó esa red social para irrumpir en la red corporativa de uno de sus clientes.

O’Horo es asesor de seguridad de IOActive, una firma que ofrece servicios para evaluar la vulnerabilidad informática de quienes la contratan. Su cliente, “una compañía importante con decenas de miles de empleados,” contaba con protecciones técnicas de primera categoría. “Así que tuvimos que llevarlo al siguiente nivel”, narra O’Horo al referir sus esfuerzos para violar la red.

El experto creó una cuenta falsa en LinkedIn, fingiendo ser un empleado de la compañía. Atiborró el perfil con detalles realistas (una historia laboral creíble y una lista de sus aptitudes) agregando otros datos plausibles, como una membrecía en la liga local de hockey. Desde esta cuenta falsa, O’Horo envió 300 solicitudes de contacto a empleados reales de la compañía, 66 de ellas fueron aceptadas.

Lo siguiente que hizo O’Horo fue pedir acceso a un foro privado de discusión en LinkedIn creado por los trabajadores de la compañía. El moderador del grupo le concedió la entrada sin siquiera revisar un directorio de la empresa para confirmar su identidad. “Ahora tenía una audiencia de 1,000 empleados de la compañía. En el muro del grupo publiqué un enlace que pretendía ser una página de registro en versión beta para un nuevo proyecto. En dos días obtuve 87 hits – 40% de ellos desde dentro de la red corporativa,” cuenta.

O’Horo fue desenmascarado tres días después de su ataque en LinkedIn: un empleado avispado descubrió que él no trabajaba en la empresa y dio la voz de alarma. Pero el daño ya había sido expuesto.

“Les sorprendió que ese grupo existiera”, comenta O’Horo sobre la respuesta de su clienta al reporte de vulnerabilidad. “No se trataba de un grupo formal de la compañía, nadie lo supervisaba ni había políticas que cubrieran ese aspecto de su presencia social. La gente a cargo de la seguridad de la información no sabía que existía”.

Los hackers, sin embargo, ni siquiera tienen que esforzarse tanto para aprovechar la mina que les ofrece LinkedIn. Los usuarios del sitio muestran abiertamente muchos datos valiosos.

En la conferencia de seguridad DefCon celebrada el verano pasado, un grupo de hackers de “ingeniería social” organizó un juego en el cual los participantes tenían que engañar a los empleados de más de una docena de compañías importantes (entre ellas Apple, AT&T, Calmar y United Airlines) para que revelaran información corporativa confidencial. El recurso más usado, aparte de Google, fue LinkedIn.

Algunas personas divulgaron en sus perfiles información técnica específica sobre la infraestructura de su empleador, mientras que otros ofrecían detalles que podían ser utilizados para ataques furtivos. Por ejemplo: si sabes los nombres de los colegas de tu víctima, puedes fácilmente falsear un email para que parezca que lo envía uno de ellos.

LinkedIn, por su parte, dice que exhorta a los usuarios para que piensen con cuidado la información que eligen publicar. “Les recomendamos a los miembros conectar sólo con las personas que conocen y confían. Por supuesto, todos los internautas deberían estar conscientes del hecho de que hay personas malas que desafortunadamente recurren a cosas como los ataques phishing, y las personas deberían aplicar el sentido común y las herramientas disponibles para asegurarse de no caer presas”, explica el portavoz de la compañía, Richard George.

Empero, la vulnerabilidad de LinkedIn está indisociablemente unida a su crecimiento. Al presente, el sitio tiene 150 millones de usuarios (casi el doble de los que tenía hace un año). Y conforme su base de datos es más rica, su valor crece tanto para los miembros como para quienes quieren embaucarlos.

El experto en seguridad Rob Rachwald monitorea con regularidad las conversaciones en los sitios y foros donde se reúnen los hackers para intercambiar tips. Y la relevancia de LinkedIn es cada vez mayor, dice. Para ilustrar el punto, recolectó una serie de mensajes publicados en el sitio HackForums.net. Una persona pedía que alguien penetrara en una cuenta LinkedIn específica, mientras que otros anunciaban que tenían “verdaderas conexiones LinkedIn” a la venta.

“Los hackers van a donde va la gente. Cuando Facebook crecía, allí iban. A medida que LinkedIn crece, allí es a donde van”.

 

Fuente:

cnnexpansion.com