Es más, la inmensa mayoría de la gente, que encuentra un WIFI doméstico abierto, lo primero que piensa que se debe tratar del punto de acceso de una persona con muy conocimientos informáticos y que ni es consciente de la configuración de sus equipos, más aun cuando a este usuario el WiFi "le funciona".

Si bien es cierto que existen organizaciones o empresas que ofrecen acceso a Internet inalámbrico de forma gratuita (Mc Donalds, bibliotecas, u otros), el objetivo de este artículo es advertir sobre esos WiFi domésticos, que puede que no sean tan ingenuos como muchos piensan.

Quiero aclarar que el objetivo de este artículo no es dar unas lecciones de como securizar una red WiFi y las distintas vías de hacerlo con sus pros y contras.

Conectarse a una red WiFi es lo mismo que conectarse a la misma red que el propietario de la red WiFi. Es decir, si en una red normal (cableada) es posible compartir archivos entre los equipos, lanzar impresiones, ... una vez que un equipo se conecta a la red WiFi está teniendo exactamente el mismo acceso, esto es, es un equipo más.

Los que entienden este concepto muchas se ríen y piensan que el pobre infeliz es el propietario de la red WiFi por lo imprudente que es, pero la realidad es que existe la posibilidad de que la trampa sea al revés.

Una vez que estás conectado a una red WiFi que no gestionas tu, y que no conoces, el tráfico que generas podría ser analizado por el propietario de la red con fines maliciosos y de forma transparente. Esto es, todas las páginas visitas no seguras (no HTTPS) podrían ser filtradas y leídas, incluyendo tus usuarios y contraseñas.

En otras ocasiones, el propietario de la red, podría reenviarte a páginas falsas que se parecieran exactamente a las que tu sueles visitar, y de esa forma poder copiar tus datos. Si clonan la web de un banco, y montan esa web sobre un servidor seguro, estarían recogiendo tus credenciales de acceso, y ese usuario no sería consciente.

También podrían redirigir tu navegador a una página en la que te dicen que para acceder a Internet necesitas pinchar sobre un enlace, acción ésta que instalaría un troyano o botnet de los que toman control de tu ordenador y el usuario no ser consciente. Este tipo de comportamiento de reenviar a una página de "control" o de entrada, no es extraño, por que es el sistema que se usa en muchos hoteles y aeropuertos para vender el acceso a Internet mediante tickets o bonos.

Por otro lado, muchos de estos troyanos y/o botnets no son detectados por los antivirus del mercado, por lo que el usuario infectado no sería consciente y no tomaría medidas de ningún tipo. De hecho, la mayoría de los botnets no dañan el ordenador en el que residen, sino que están latentes en su interior esperando ser comandados desde el exterior para atacar servidores, enviar spam y otras actividades ilícitas.

A parte de lo "inconveniente" que puede ser que otros conozcan y manipulen toda tu actividad, al entrar dentro de su red también les facilita atacar directamente a tu máquina con el objetivo de robar información o infectarla.

Todos estos ataques o intrusiones pueden ser realizadas sin que la victima sea consciente en ningún momento de los mismos. Es más, la víctima se desconectará cuando termine pensando que ha disfrutado de acceso gratuito a costa de otro sin ser consciente de que le han robado sus usuarios y contraseñas.

Por lo tanto, la próxima vez que os conectéis a una red WiFi abierta desconocida, pensad dos veces las posibles consecuencias, y si vale la pena.

No digo que no sea posible conectarse a redes WiFi abiertas con las suficientes medidas de seguridad, ni que no puedas ofrecer acceso a Internet inalámbrico gratuito de forma segura para ti mismo pero esas medidas están fuera del alcance de este artículo

Lectura adicional:

• Redes Botnet: http://es.wikipedia.org/wiki/Botnet
• WiFi: http://es.wikipedia.org/wiki/Wifi
• Honeypot: http://es.wikipedia.org/wiki/Honeypot

Los detalles están aquí (en inglés o sucedáneo ).

Lo que si que es cierto es que dicho obstáculo me abrió los ojos al interesante mundo alternativo que existe para saltarse los catpchas. De hecho, algunas de las técnicas usadas pasan desde el procesamiento previo de las imágenes mediante aplicaciones como el ImageMagick y luego aplicaciones reconocedores de texto tipo OCR.

En el artículo de la Wikipedia versión inglesa, comentan algunas de las técnicas usadas y proyectos universitarios de reconocimiento de este tipo de patrones.

De lectura muy recomendable para los interesados en los procesos de automatización.

http://en.wikipedia.org/wiki/Captcha

Esto significa que cualquier aplicación maliciosa o de terceros podría acceder a nuestros datos y usarlos con fines no autorizados, incluso sería posible que se enviaran al exterior sin nosotros tener conocimiento.

Entrando en detalle, he encontrado que además del diccionario que incorpora el iPhone para la escritura predictiva, usa un diccionario adicional con los términos y palabras que usamos, es decir, un diccionario dinámico. El problema radica en que cada vez que introduzcamos nuestros datos personales en un formulario o aplicación también los está memorizando. Este diccionario dinámico se almacena (dentro del iPhone) en la ruta /private/var/root/Library/Keyboard con el nombre de dynamic-text.dat.

Otros ficheros de datos de aplicaciones también padecen del mismo problema, como por ejemplo la aplicación Navizon que almacena el usuario y la contraseña en un fichero XML en texto plano y sin encriptar. Y es muy posible que otras aplicaciones se comporten igual.

El problema no acaba aquí, porque cada vez que sincronizamos nuestro iPhone, todos estos datos se transfieren a nuestro PC y/o Mac y por lo tanto la exposición de nuestros datos sensibles es aun mayor, porque nuestras contraseñas y datos sensibles estarán accesibles por otro tipo de aplicaciones.

¿Cómo se arreglaría esto?

Para las aplicaciones de terceros (las que no vienen incluidas con iPhone) deberían usar funciones de encriptación para almacenar datos sensibles, como mínimo un básico MD5.

Para el diccionario dinámico del iPhone (aparte de quejarse a Apple Inc.) no se me ocurre ahora ninguna solución.

¿Es real el riesgo? ¿Qué podría pasar?

El riesgo siempre existe y es algo con lo que hay que contar, pero a día de hoy no todas las aplicaciones de terceros que nos instalamos en nuestro iPhone aportan el código fuente (por ejemplo Navizon), por lo que no podemos estudiar su comportamiento, y tampoco creo que todo el mundo tenga las ganas ni la capacidad de revisar el código fuente de una aplicación antes de instalarla.

Por lo tanto, en cualquier momento alguien podría coger el código fuente público de una aplicación como iFlickr que contiene toda la lógica para sacar algo de nuestro iPhone, modificar la aplicación para que se vaya a las carpetas que contienen los ficheros vulnerables y enviar esos datos a Rusia, Ucrania, o al vecino de al lado. Sobre todo, sabiendo esos ficheros siempre están en la misma ubicación y tienen el mismo nombre. Si a eso además, tenemos en cuenta que gran parte del tiempo el iPhone se conecta a Internet y ni nos solicita autorización ni sabemos lo que está entrando ni saliendo, nos encontramos con un panorama inquietante cuando menos.

¿Es entonces preocupante?

No es mi intención meterle miedo a nadie, pero yo diría que si, que una cuestión por lo que habría que preocuparse.

¿Se puede hacer algo?

En principio los consejos básicos análogos a cualquier sistema operativo:

• No instalar aplicaciones de dudosa procedencia.
• No seas el primero en probar la aplicación, espera que otros lo hagan y den su feedback.
• No introduzcas tus datos (usuarios y contraseñas) sobre productos o aplicaciones que no tengan un contrastado nivel de seguridad y garantías.

Por mi parte, como ya estoy trabajando en precisamente el acceso a los datos del iPhone y su sincronización, voy a trabajar en algunas utilidades para Windows y Mac OS X que permitan mitigar (o por lo menos detectar) estos escenarios. Tan pronto como tenga algo lo iré publicando en esta web.

Visto el “panorama” también enfocaré mis esfuerzos en investigar otras posibles vulnerabilidades de esta índole y sus vías de evitarlas/subsanarlas.

Fuentes (en inglés):

Symantec Security Response Weblog

Washingtonpost

Ese es el título de la noticia publicada en el ElPais.com. Rebuscando por Google me he encontrado con la misma noticia comentada en Barrapunto.st y además con todo lujo de detalles, donde parece que todas las pistas apuntan a Arsys. Obviamente, lo niega, pero la verdad es que los datos que han aportado y las "pistas" son de lo más sospechosas.

Y es que por lo visto los "hackers" no se han llevado las fotos del carnet identidad porque no las tenían en los servidores

Con el tiempo sabremos la verdad, al estilo de JFK...