#bilbao12 fue el hashtag empleado durante el pasado evento Amazings Bilbao 2012, en el cual tomé parte tal y como os he contado en la entrada precedente. Concretamente, ésta es la charla que tuve el placer de impartir:
Y aquí están el resto de charlas. A modo de breve resumen, lo que hice fue demostrar qué fácil es lograr información de otro usuario en una red WiFi sin proteger. Para ello, el experimento que se hizo fue que la víctima ingresara su nombre y usuario en la página www.marca.com, y tal usuario y contraseña aparecen claramente capturados en el sniffer.
Esto no ocurre siempre, sino que con el diario se puede hacer debido a que tiene un sistema de contraseñas en texto plano, es decir, no tiene cifrado. Esta es la manera más sencilla de almacenar contraseñas en Internet. Si intentáramos hacer lo mismo con GMail, Hotmail, o cuentas de bancos, no se podría, ya que estas contraseñas sí que están cifradas. Incluso si la víctima se hubiera conectado a una red WiFi protegida con WPA/PSK, lo que hubiera aparecido en el sniffer hubiera estado cifrado.
Sin embargo, el almacenamiento de contraseñas en texto plano está prohibido, tal y como se recoge en este enlace. Concretamente, ARSYS e Interflora han sido sancionadas por este motivo. Por lo tanto, no me atrevo a asegurarlo con rotundidad, pero MARCA y otros muchos sitios, estarían cometiendo una falta. Esto lo comete... ¡hasta Google! Y es que las contraseñas de Android se almacenan también en texto plano, por lo que también son muy vulnerables.
Si hay alguien que piensa "bah, ¿con la contraseña del Marca qué vas a hacer?", le respondería que el 95% de los mortales usa la misma contraseña para todo, por lo que no es información inútil.
Los aeropuertos, centros de ciudad o centros financieros son los sitios favoritos por estos ladrones de información para actuar. Además, hay mucho vacío legal al respecto. Con mi charla intenté demostrar que YA no hace falta ser un experto en seguridad informática para hacer este tipo de actividades, sino que las herramientas son tan fáciles que cualquier persona puede usarlas fácilmente. Tan fáciles son, que hasta hay aplicaciones muy interesantes en Android que hacen cosas similares, aunque yo siempre preferiré el PC. Algunas apps son:
WiFi Pass, WiFi Analyzer, varias aquí, Shark for Root, herramientas de pentesting... entre otras muchas. Por otro lado, fijaos que casi la mitad de los españoles accede a redes abiertas con su smartphone. Parece que si vemos que algo es grat... ¡¡¡A POR ÉL!!! Véase si no, este experimento que me sorprendió mucho.
Lo grave no es robar ancho de banda, sino es más importante proteger la información. Se ha detectado un aumento de estos casos y ha sido denunciado por la policía. En todo esto todavía hay vacío legal, y la normativa la están tomando los jueces con sus decisiones. Pero fijaos qué curioso: una multa por dejar WiFi abierto.
Por rizar más el rizo, existe la técnica denominada wardriving. Consiste en coger una furgoneta, un portátil y moverse grandes distancias (por una ciudad, por ejemplo), buscando redes vulnerables y robando la información de las víctimas. Aunque ojo, que puedes tener muy mala suerte y robar la red a una persona que sí que sabe cómo dar un escarmiento a un ladrón.
Pero bueno, a pesar de contaros los distintos aspectos relacionados a capturar la red: ¿cómo nos podemos proteger?
Por último, os dejo con un curioso rap sobre auditoría de redes WiFi que vi.
Ya avisé qué iba a hacer durante la charla en la entrevista que me hizo Eva Caballero, del programa la Mecánica del Caracol (a partir del 17.30).
Con tantos enlaces como he puesto, espero que nadie me eche en cara que no puse interés en la charla XD. Hice lo que mejor pude y si tengo otras oportunidades, intentaré mejorar. Por cierto, esta entrada está dedicada a dos admirados de la blogosfera: @scientiajmln y @eugeniomanuel.
0 comentarios:
Publicar un comentario