Tor esta enfermo

La mitad de Internet cayó víctima de la mayor amenaza, Heartbleed bug y la red más popular de anonimato en linea Tor tampoco están a salvo de este bug.

Tor es uno de los mejores programas gratuitos disponibles para privacidad, funciona en una red de servidores donados que le permite a la gente comunicarse de forma anónima en Internet mediante una serie de nodos que está diseñada para proveer anonimato a los usuarios y evitar la censura en Internet. 

Cuando se usa el software Tor, nuestra dirección IP permanece oculta y parece que nuestra conexión viniera de una dirección IP de un nodo Tor de salida, el cual puede estar en cualquier parte del mundo. Un nodo retrasmisor de salida es el último retrasmisor por el cual el tráfico cifrado Tor pasa antes de alcanzar su destino.

Pero alguno de esos nodos Tor de salida están funcionando en servidores con la versión afectada de OpenSSL instalada, la cual es vulnerable a la crítica falla Heartbleed. Esto implica que un atacante puede tomar la información oculta de la red Tor que actualmente es restringida por el servicio Tor, haciendo que ya no sea un servicio de anonimato.

Heartbleed es una falla crítica en las implementación de OpenSSL para la extensión heartbeat de TLS/DTLS, que permite a los atacantes leer partes de la memoria del servidor afectado, potencialmente revelando información del usuario en texto claro, que el servidor no intentó revelar.

Explotando Heartbleed en los nodos afectados, cualquiera podría encontrar información interna relacionada con la red Tor que podría comprometer la seguridad y privacidad de la red por completo.

En respuesta a esta amenaza, el líder del Proyecto Tor y también el co-desarrollador de Tor Roger Dingledine, han rechazado 380 nodos vulnerables sugiriendo en la lista de correo de Tor que los nodos de salida que corren versiones vulnerables de OpenSSL serán bloqueados en la red. 

"Si los otros operadores de autoridad del directorio hacen lo mismo, perderemos cerca del 12% de la capacidad de salida y 12% de la capacidad de guardia," escribió en la lista de correo del software.


Tor promete anonimato a sus usuarios de la red, mediante la utilización de proxis para pasar tráfico cifrado desde el origen hacia el destino, pero la falla de heartbleed le da a todos los hackers el privilegio de explotar un nodo de salida vulnerable para poder obtener datos de tráfico, y así exponer a sus usuarios en Internet.

La primera lista de nodos de salida rechazados es publicada por Dingledine y enfatizó que a los nodos afectados no se les permitirá volver a la red incluso después de ser actualizados.

"Pensé por un momento acerca de conservar actualizada mi lista de huellas (por ejemplo eliminando la linea !reject [rechazar] una vez que hubieran actualizado su openssl), pero por otro lado, si siguieron siendo vulnerables ayer, no deseo esta clave de identidad en la red Tor incluso después que hayan actualizado su OpenSSL," escribió Dingledine.


El servicio Tor también es blanco de la agencia de inteligencia NSA de EEUU, revela un documento clasificado de la NSA titulado ‘Tor Stinks’(Tor apesta) filtrado por Edward Snowden. El documento muestra el interés de la NSA en rastrear todos los usuarios de Tor y monitorear su tráfico.

También las reciente denuncia sobre la agencia utilizando la falla Heartbleed desde años para reunir información sugiere que la agencia podría haberla usado para rastrear a los usuarios de Tor. Aunque la NSA niega esas afirmaciones de explotación del bug Heartbleed con el propósito de obtener ningun tipo de información.

Fuente:
The hacker new

Detenido hacker que aprovecho heartbleed

16 de Abril del 2014

Las autoridades canadienses han anunciado la detención de un joven de 19 años, acusado de ser el primer hacker en aprovechar el fallo Heartbleed, que afecta a páginas web y que permite extraer datos que en un primer momento parecía confidenciales.
La semana pasada se produjo un robo de datos de 900 ciudadanos canadienses de la Canadian Revenue Agency, aprovechando el fallo Heartbleed y antes de que las autoridades pudieran parchear la web. Como consecuencia, los atacantes tuvieron acceso a información financiera sensible. Tras varios días de investigación durante los cuales las autoridades canadienses han seguido la pista del atacante, finalmente han dado con él en Londres (London), pero no la capital británica, sino el que está situado en Ontario, Canadá. Se trata del un joven de 19 años, Stephen Arthuro Solis-Reyes, que se enfrenta a los siguientes cargos, según el Calgary Herald: "Uso no autorizado de un ordenador" y "travesuras en relación a datos".
OTTAWA - La policía ha acusado a un hombre de 19 años de edad, de Londres , Ontario , en relación con la pérdida de datos de los contribuyentes de la web de la Agencia de Ingresos de Canadá . . Stephen Arthuro Solís -Reyes fue detenido en su residencia el martes y está acusado de un uso no autorizado de una computadora y el mal en relación a los datos, la Real Policía Montada , dijo el miércoles . Una búsqueda en la residencia resultó en la incautación de los equipos informáticos . Solís -Reyes es un estudiante de ciencias de la computación en la Universidad de Western , un portavoz de la universidad dijo . Está programado para comparecer ante el tribunal en Ottawa el 17 de julio . La Agencia de Ingresos de Canadá se vio obligado a cerrar su sitio web accesible al público el viernes como el mundo se enteró del error informático Heartbleed , una vulnerabilidad de la seguridad global de Internet no habían sido descubiertos . Otros sitios informáticos del gobierno también se tomaron temporalmente fuera de servicio durante el fin de semana 
Heartbleed ha sido definido por los expertos como el mayor fallo de seguridad de Internet hasta la fecha. Aunque se descubrió la semana pasada, el 'bug' ha existido durante los dos últimos años y ha afectado a los sistemas de encriptación OpenSSL, con lo que afecta, según han estimado, hasta a dos tercios de Internet.

Fuentes: http://www.europapress.es/portaltic/internet/noticia-detenido-primer-hacker-aprovecho-heartbleed-joven-19-anos-20140416225344.html http://www.calgaryherald.com/news/national/Police+charge+Heartbleed+privacy+breach+Canada+Revenue/9744952/story.html

Metasploit vulnerabilidad de Heartbleed

La semana ha empezado fuerte en el mundo de la seguridad, la aparición de la vulnerabilidad conocida como Heartbleed ha generado mucha expectación y preocupación por partes iguales. Que tu servidor donde tus usuarios y operaciones de éstos se realizan en Internet esté expuesto a un dumpeo continuo de parte de la memoria del proceso que se encarga de la parte criptográfica y seguridad no es plato de buen gusto. Esto es lo que ha ocurrido esta semana, Heartbleed ha provocado el caos, ya que según muchos analistas más del 60% de los servidores con SSL podían ser comprometidos por utilizar OpenSSL en versiones vulnerables. 
El miércoles me levanté con la implementación del módulo de esta vulnerabilidad para Metasploit, y tuve que probarlo. En el github podemos encontrar este módulo preparado para descargarse y probarse. El módulo es de tipo auxiliary, por lo que recordaros que se asume como funcionalidad extra, no relacionada con la explotación de vulnerabilidades, pero útiles en cualquier pentesting.

Descargar exploit:

Cita:

https://github.com/rapid7/metasploit-fra...rtbleed.rb

[OpenSSL TLS Heartbeat Extension - Memory Disclosure - Multiple SSL/TLS versions]

http://www.exploit-db.com/exploits/32764/

Tras descargar el rb, o clonando todo el framework como uno decida, pues podremos configurar el módulo tras arrancar msfconsole. Las opciones que disponemos en este módulo son las siguientes.

Simplemente hay que configurar el parámetro RHOSTS con el dominio o dirección IP del sitio vulnerable. Se puede probar con otros servicios, por lo que el puerto es totalmente configurable. La gente se ha centrado en HTTPS, pero hay que recordar que existen otros servicios como el correo que también puede ser vulnerable ya que también pueden utilizar OpenSSL. Por último, enseñar como funciona el módulo dónde se nos dice si el sitio es vulnerable a esta crítica vulnerabilidad.

Desangrando el corazón de OpenSSL (CVE-2014-0160)

El 7 de Abril se publicó una vulnerabilidad en OpenSSL 1.0.1 que permitiría a un atacante obtener 64Kb de memoria. Pueden parecer pocos, pero aseguro que en dicha sección de memoria se pueden encontrar credenciales, cookies de sesión, claves privadas, etc, de los clientes y servidores conectados al servidor vulnerable. El aluvión de tweets referentes a este tema fue masivo, han sido unas navidades anticipadas con un regalo en forma de vulnerabilidad que permite ser explotada en cualquier servicio vulnerable expuesto sin apenas ser detectado.

Cita:https://cve.mitre.org/cgi-bin/cvename.cg...-2014-0160

Impacto tras explotación

Cita:La información que se podría obtener sería la siguiente:

1.Claves privadas

2.Usuarios y contraseñas utilizadas en servicios vulnerables

3.Información sensible utilizada por servicios vulnerables

4.Direcciones de memoria y su contenido que podría permitir evadir mecanismos de mitigación ante exploits.

¿Mi servidor es vulnerable?

Rápidamente, comenzaron a publicarse herramientas que permitían tanto comprobar si un servidor es vulnerable, tanto como para obtener la información tras su explotación.

El caso más sonado fue el de Yahoo.com, cuya página de autenticación de usuarios login.yahoo.com ha sido vulnerable durante un día entero, corriendo imágenes de su explotación como la pólvora en redes sociales, mostrándose usuarios y contraseñas (en caso de encontrarse conectados en el momento del análisis).

Cómo corregir esta vulnerabilidad

Lo primero y más importante, actualizar la librería OpenSSL a una versión no vulnerable, a partir de la 1.0.1g. También se recomienda encarecidamente regenerar toda aquella información afectada, claves de usuarios, claves privadas... Esta tarea puede ser ardua y suponer un esfuerzo considerable, pero nadie nos asegura si, durante el período hasta la actualización de nuestros servicios vulnerables, pudiera haberse explotado este fallo para obtener de manera masiva información sensible.

Otro método para su corrección consiste en deshabilitar el soporte de Heartbeat en OpenSSL, recompilándolo con la opción -DOPENSSL_NO_HEARTBEATS

En este enlace del GIT de openssl se pueden ver las modificaciones realizadas sobre los ficheros d1_both.c y t1_lib.c que solventarían esta grave vulnerabilidad.

¿Qué páginas se encuentran afectadas?

Se ha puesto a disposición de todos un listado del TOP 1000 portales web según el ranking de ALEXA, mostrando si son vulnerables o no. El listado corresponde con el estado de dichas webs durante la tarde de ayer cuando fue confeccionada tras la ejecución de la herramienta de comprobación de manera masiva.

Muchas páginas de proyectos importantes, como Cloudflare que lo indica en un post dentro de su blog, tuvieron constancia de la vulnerabilidad una semana antes de su publicación, teniendo tiempo para corregir la vulnerabilidad en sus servidores. Otros muchos, parece que han hecho caso omiso aún habiendo tenido el privilegio de haber sido informados (ya que todo ha seguido las normas del responsible disclosure).

Existe una página considerada "oficial" de Heartbleed dedicada a intentar responder todas las preguntas referentes a esta vulnerabilidad: http://heartbleed.com.

Fuente:

http://www.securitybydefault.com/2014/04/desangrando-el-corazon-de-openssl-cve.html