Select Page
Dia mundial de la contraseña

Dia mundial de la contraseña

En el marco del Día Mundial de la Contraseña 2025, resulta crucial reflexionar sobre dos desafíos persistentes en el ámbito de la ciberseguridad: la permanencia de las contraseñas como principal método de autenticación y el agotamiento de los usuarios frente a las crecientes exigencias de seguridad.

Primero, las contraseñas siguen siendo la norma. A pesar del empuje de nuevas tecnologías, más del 58% de los usuarios aún utiliza combinaciones de nombre de usuario y contraseña para sus cuentas personales, y el 54% en entornos corporativos, según el informe global de Yubico 2024. A esto se suma que el 60% de las personas admite reutilizar contraseñas en distintos servicios, y un preocupante 13% declara usar la misma en todas sus cuentas, como señala una encuesta de JumpCloud. Este patrón de comportamiento se mantiene a pesar de los reiterados avisos de seguridad y los incidentes de filtraciones masivas que afectan a millones de usuarios cada año.

Segundo, la mayoría de los usuarios comunes se ven superados por las exigencias y recomendaciones de seguridad. Pedirles que creen claves únicas, largas, alfanuméricas, que las cambien regularmente y activen factores múltiples de autenticación termina siendo, en muchos casos, contraproducente. La sobrecarga cognitiva los empuja a adoptar prácticas poco seguras como escribir contraseñas en papel o usar combinaciones fácilmente adivinables. Un estudio de Security.org muestra que el 70% de los estadounidenses se siente abrumado por la cantidad de contraseñas que debe gestionar, y apenas un 36% ha adoptado gestores de contraseñas, a pesar de su efectividad.

En medio de esta discusión, aparece como solución definitiva el salto al modelo passwordless, con tecnologías específicas como passkeys. Sin embargo, a pesar del creciente entusiasmo por esta tecnología como alternativa segura y sin contraseñas, la realidad actual muestra que su adopción aún está en etapas iniciales. Según un informe de la FIDO Alliance, aunque el 74% de los consumidores están familiarizados con las passkeys, solo el 38% las habilita siempre que es posible. Además, aunque el 93.43% de los dispositivos son técnicamente compatibles con passkeys, su implementación efectiva en plataformas y servicios sigue siendo limitada. ​

Por otro lado, en el ámbito empresarial, un estudio de HID Global revela que el 87% de las organizaciones han implementado o están en proceso de implementar passkeys. Sin embargo, este despliegue se centra principalmente en usuarios con acceso a datos sensibles, y solo el 21% de las empresas planea una implementación total. Las principales barreras incluyen la complejidad, los costos y la falta de claridad sobre cómo proceder. ​

Esto significa que, la implementación de mecanismos de passwordless como passkeys, depende de que los responsables de las aplicaciones lo adopten e implementen. Pero….

Desde el punto de vista de los usuarios, mientras tengan que acceder a sitios o aplicaciones que usen las contraseñas tradicionales están obligados a utilizar el antiguo método.

En resumen, aunque las passkeys representan un avance significativo hacia una autenticación más segura y conveniente, su adopción masiva aún enfrenta desafíos técnicos y de usabilidad. Por lo tanto, en los próximos cinco años, es probable que las contraseñas sigan siendo una parte integral de la autenticación digital.

Por eso, se considera que durante el período de transición hacia el “passwordless total”, la solución de compromiso más efectiva hoy consiste la utilización de gestores de contraseñas pero pensados para usuarios finales. Es decir, con un alto nivel de seguridad pero lo más transparente posibles. Estos sistemas alivian la carga del usuario, permiten generar claves robustas y únicas, y pueden integrarse fácilmente con navegadores y dispositivos móviles. Lo importante es que cuenten con altos estándares de seguridad, como cifrado de extremo a extremo, autenticación biométrica y arquitectura de conocimiento cero y almacenamiento seguro que evite un único punto de falla. En un contexto donde las amenazas se automatizan y la fatiga del usuario es cada vez mayor, hacer de la seguridad algo invisible pero robusto es el mejor camino posible.

El futuro indudablemente va a ser passwordless, pero en el presente, gestionar bien las contraseñas sigue siendo esencial.

Ciberataque a SMS

Ciberataque a SMS

pasó desapercibida interceptación de 30.000 mensajes de textos

Los atacantes lograron interceptar en tiempo real más de 30.000 mensajes de textos y permitieron la apropiación masiva de cuentas.

Un reciente ciberataque a la empresa internacional Sondeos Global, un proveedor de servicios SMS en Argentina, Chile y Uruguay, dejó en evidencia una de las debilidades más graves en los sistemas actuales de autenticación: la utilización de mensajes de texto como segundo factor de autenticación.

Los atacantes comprometieron los servidores que manejan el protocolo SMPP (Short Message Peer-to-Peer) un protocolo de nivel de aplicación que se utiliza para intercambiar mensajes de texto (SMS) entre aplicaciones y centros de mensajes (SMSCs).

De esta forma, los atacantes lograron interceptar en tiempo real más de 30.000 mensajes, muchos de ellos conteniendo códigos de segundo factor de autenticación del tipo OTP (One-Time-Password) enviados por empresas de tecnología, banca, servicios públicos y redes sociales.

Entre las plataformas afectadas se encuentran Google, Apple, Telegram, Facebook, Instagram, WhatsApp, Mercado Libre, Microsoft y muchas más. Estos servicios suelen enviar códigos por SMS como segundo factor de autenticación como parte de sus procesos de autenticación en dos pasos.

Sin embargo, existen dos factores que hacen que este esquema sea especialmente vulnerable. El primero es que la arquitectura del sistema hace que el mensaje de texto (SMS) atraviese múltiples intermediarios antes de llegar al usuario final. El segundo, que el mensaje se envía en texto plano, es decir sin cifrar.

En el caso de Sondeos Global, el ataque no solo fue efectivo, sino que pasó desapercibido durante semanas, permitiendo la apropiación masiva de cuentas sin necesidad de que las víctimas hicieran clic en enlaces o instalarán malware.

Un grupo de investigadores especializados detectaron incluso bots que automatizaban la interceptación de estos códigos y facilitaban el acceso a cuentas personales, especialmente de Telegram. Lo más preocupante es que muchas de las víctimas aplicaban buenas prácticas de seguridad: no tenían dispositivos infectados ni utilizaban contraseñas débiles, lo que demuestra que la falla estaba en el canal de comunicación mismo.

Como conclusión, queda claro que el uso de SMS como segundo factor de autenticación debe considerarse obsoleto y peligroso. Existen métodos mucho más seguros y fáciles de usar, como las aplicaciones de autenticación (Google Authenticator, Microsoft Authenticator, IBM Verify, etc.), dispositivos físicos de seguridad tipo FIDO o la utilización de passkeys basadas en biometría implementadas en dispositivos de confianza.

Todos estos métodos se basan en un concepto fundamental del que el SMS carece, no viajan por la red, sino que se generan en el dispositivo de confianza, usualmente el celular del usuario. De esta forma es imposible interceptar miles de contraseñas de segundo factor de forma centralizada como ocurrió con el ataque a Sondeos Global.

En todos los casos, el mensaje es el mismo: proteger los accesos con un segundo factor sigue siendo fundamental, pero el canal elegido para ese segundo factor debe ser robusto. Hoy, el SMS claramente no lo es.

Nota: Gracias Ámbito Financiero por darle un espacio a mi columna de opinión.

Liderazgo cuántico

Liderazgo cuántico

Sorprende el avance en tecnologías cuánticas en China. Esto ha puesto a dicho país en posición de liderazgo cuántico, específicamente en lo que se refiere a distribución de claves por medios cuánticos.

En notas anteriores (Jugando con qubits parte 1, parte 2 y parte 3) hablaba sobre los avances en computación cuántica en los últimos años, y de cómo las principales empresas tecnológicas de Estados Unidos se están sacando los ojos por lograr la Supremacía Cuántica.

En la charla de la Eko 2020 (Keep calm and play with qubits) nos preguntábamos con Luciano qué estarían haciendo los chinos en la materia. En ese momento se contaba con poca información sobre el grado de desarrollo de la cuántica china.

Sin embargo, de acuerdo con las últimas noticias, hoy podemos decir que están mucho más avanzados que el resto del mundo en algunas de las ramas cuánticas, específicamente en comunicación y distribución de claves por medios cuánticas. En occidente, compañías como IBM, Google o Microsoft están invirtiendo enormes sumas de dinero en tecnologías cuánticas. Esto no es diferente en el caso de China, donde empresas como Alibaba, Baidu y Tencent son los principales inversores en cuántica en el gigante de oriente.

QKD:

Ya mencionamos QKD en Jugando con qubits parte 1. La sigla significa Quantum key distribution, o Distribución de claves por medios cuánticos. Esta tecnología permite distribuir a emisor y receptor de un mensaje una clave codificada en qubits que hace casi imposible que un interceptor pueda intentar leerla sin que sea detectado.

Dos de las limitaciones más importantes de esta tecnología son: 1) la distancia a la que se pueden enviar las claves y 2) el costo del equipamiento que pueda lograrlo.

Es en el punto 1) donde los chinos parecen estar muy por delante del resto del mundo. El 29 de julio pasado, China anunció que su último nano satélite cuántico había sido lanzado y se encuentra en órbita y  operativo. El propósito de dicho satélite, desarrollado por la Universidad de Ciencia y Tecnología de China (USTC) es el de llevar a cabo experimentos de QKD con estaciones en tierra.

Los desarrollos de QKD hasta el momento, dependen del medio en el que se efectúe la transmisión. Respecto a las distancias, se logró una comunicación a 300m al aire libre en un experimento llevado a cabo en 2021 por el Indian Space Research Organization. Por otra parte, con el predecesor del nanosatélite chino denominado Micius, se lograron comunicaciones hasta 7500 km. Con el Micius se efectuó la primer video llamada “cuántica segura” en 2016.

Liderazgo cuántico

Fig 1. – Diagrama del satélite Micius (cortesía http://www.china.org.cn)

Es importante aclarar lo que esto significa. La denominada “llamada cuántica” no es más que una llamada de video convencional encriptada con algún algoritmo de cifrado simétrico, normalmente AES. Sólo que con una clave generada por medios cuánticos y enviada desde los satélites a emisor y receptor (Alice y Bob…) volviéndose imposible para quien quiera interceptar esa clave (Eve) hacerlo sin alterar la misma, y sin que Alice y Bob se den cuenta.

Debido a la decoherencia, es muy difícil que una vez que se entrelazan qubits, éstos permanezcan en ese estado por mucho tiempo o a lo largo de grandes distancias si lo hacen en instalaciones en tierra. Esto se debe a la contaminación de radiación y a la presencia de átomos con los que chocan los qubits en su camino.

Uno de los avances chinos en esta tecnología, consiste en utilizar satélites para generar qubits a base de fotones, que son altamente resistentes a la decoherencia. De esta forma, se envían qubits enlazados desde el espacio, con mucha menor interferencia y donde sólo sus estados se degradan al ingresar en la atmósfera. De esta forma, los chinos dieron un importante paso en la creación de lo que llaman una “Internet segura”, que se logra enviando desde el espacio, claves generadas cuánticamente a emisor y receptor de un mensaje.

La tecnología cuántica se china se viene desarrollando muy fuertemente desde la llegada de quien se considera el padre de la cuántica en dicho país, Jian-Wei Pan. quien ha predicho que en los próximos 5 años se producirá un avance disruptivo en estas tecnologías.

Nota por Carlos Benitez

Carlos Benitez es un reconocido experto en seguridad de la información.

Hackeando máquinas air-gapped con la USB Rubber Ducky

Hackeando máquinas air-gapped con la USB Rubber Ducky

 …cuando no nos queda otra…

Supongamos que tenemos acceso físico por unas cuantas horas a un equipo Windows hardenizado que queremos ownear. Un ejemplo de esto es cuando el equipo es del tipo air-gapped. Eso significa que está en modo stand-alone sin conexión a ninguna red. El plan habitual de pruebas, sería:

  1. entrar con algún usuario no privilegiado al que tenegamos acceso,
  2. comprobar los parches y actualizaciones aplicadas,
  3. encontrar vulnerabilidades,
  4. copiar o descargar algunas herramientas de seguridad o exploits,
  5. con ellas, escalar privilegios, romper protecciones,
  6. y convertirse en admin… bingo!

Pero ¿qué se puede hacer si el equipo está mucho más hardenizado de lo esperado? Por ejemplo, con todas esta condiciones: 

    • Hardware: OTS
    • Gabinete: Cerrado y sellado
    • Dispositivos de red: deshabilitados
    • Dispositivos de almacenamiento USB: deshabilitados
    • Dispositivos de red USB: desactivados
    • Dispositivo de booteo externo: desactivado
    • BIOS: protegida con password (que no tenemos)
    • Sistema operativo: Windows 10 (aunque también podrían ser otros…)
    • Servicios de red: deshabilitados

¿Qué es lo que sí tenemos?

    • Acceso físico al equipo por varias horas
    • Se puede bootear el sistema en Safe Mode
    • El usuario que bootea en Safe Mode tiene powershell habilitado
    • Dispositivos USB HID: habilitados

En estas condiciones, no es posible copiar nada, ni desde un pendrive ni por red. Entonces, en teoría no se podría ejecutar nada fuera de lo que ya está instalado en la máquina.

Ok, pero lo que sí se puede hacer es tipear…

Digamos que se descubre que el sistema es vulnerable. Y se está en posesión de un archivo .exe (recuerden que en este caso estamos en Windows) de un exploit de esa vulnerabilidad para ejecutarlo dentro de la máquina. ¿Cómo se pasa el archivo .exe a la máquina hardenizada para que se pueda ejecutar? ¿y sólo tipeando…?

 

 

USB Rubber Ducky

Bueno, aquí es donde entra la USB Rubber Ducky.
Con este dispositivo es posible programar y emular miles de tecleos en lugar de tipearlos manualmente.
Pero lo que en teoría no se puede escribir en forma directa con un teclado, es un archivo binario.

USB RUbber Ducky
Fig. 1. USB Rubber Ducky

Bueno, después de investigar un poco y probar mucho, se logró usar la USB Rubber Ducky para transferir ejecutables y otros binarios a una máquina en la que sólo es posible tipear.

En la seccion Tutoriales les dejo las dos versiones del tutorial para que jueguen, en Castellano y en Inglés.

Si lo hacen, por favor cuenten cómo les fue @ch4r1i3b.

Espero que les sirva.

Hasta la próxima!

 

 

Nota por Carlos Benitez

Carlos Benitez es un reconocido experto en seguridad de la información.

Y otra vez el ganador es: Signal!

Y otra vez el ganador es: Signal!

Un conjunto de vulnerabilidades descubiertas en Telegram recientemente, vuelve a demostrar que Signal es el mensajero más seguro.

Hace unos dos meses, escribí esta nota en la que analizaba la privacidad y la seguridad de las tres aplicaciones de mensajería más populares:Whatsapp, Telegram y Signal. Se ve que el análisis gustó, ya que 3 días después Clarín publico esta nota.

Mi veredicto en ese momento fue que Signal se llevaba todos los premios. Lo que ocurre de nuevo, es que un grupo de investigadores de la ETH Zürich (Escuela Politécnica Federal de Zúrich), más precisamente el Grupo de Criptografía Aplicada de dicha universidad, descubrió 4 vulnerabilidades en el protocolo de transmisión de Telegram. Esto agrega serias vulnerabilidades a una de las aplicaciones analizadas y refuerza la idea de que Signal sigue siendo el ganador de la batalla… al menos por ahora.

 

MTProto

El protocolo en cuestión es el MTProto. un protocolo de cifrado tanto de datos como de transmisión creado para Telegram por Nikolái Dúrov. Este protocolo fue creado para mejorar la seguridad del protocolo XMPP incorporando capacidades multisesión y multiplataforma. El protocolo es abierto. fue anunciado en 2013 y forma parte de la aplicación Telegram.

 

Criptoanálisis

El grupo mencionado de la universidad ETH Zúrich, efectuó un análisis del mismo que fue publicado durante el presente mes. En el mismo anuncian ‘buenas’ y ‘malas’ noticias. Las buenas son que demostraron que “(el protocolo) consigue seguridad en un modelo de canal seguro bidireccional adecuado, aunque bajo supuestos no estudiados“. Indica demás que “…este modelo en sí mismo avanza el estado del arte de los canales seguros.

Las malas son que hallaron 4 vulnerabilidades mediante las cuales se puede atacar la comunicación de Telegram de diferentes formas, algunas triviales y algunas muy complejas de implementar.

Vuln #1: crime-pizza

Esta vulnerabilidad consiste en alterar la secuencia de los mensajes enviados. Se la llamó crime-pizza porque utilizaron como ejemplo burdo el que un usuario haya enviado el mensaje {“I say yes to”, “all the pizza”, “I say no to”, “all the crimes”} y si alguien alterara su secuencia, el receptor podría leer {“I say yes to”, “all the crimes”, “I say no to”, “all the pizza”}.

Vuln #2: cliente o servidor?

Otra de las vulnerabilidades consiste en descubrir, dados dos  mensajes, cuál fue cifrado en el server y cuál en el cliente.

Vuln #3: descifrar mensajes

Esta vulnerabilidad es casi imposible de explotar. Sin embargo, de poder hacerse permitiría en teoría descifrar mensajes enviados por Telegram.

Vuln #4: MITM

Otra vulnerabilidad casi imposible de explotar como la anterior ya que requiere (como la anterior) enviar millones de mensajes y analizar las respuesta. Sin embargo, otra vez en forma teórica, sería posible interceptar la negociación de claves entre cliente y servidor y hacerse pasar por el servidor.

 

Whatsapp vs. Telegram vs. Signal

Las vulnerabilidades halladas no tienen aún CVEs que se sumarían a Telegram. De hecho no son estrictamente de Telegram, sino del protocolo con el que funciona Telegram, es decir MTProto. Sin embargo, podríamos regenerar el gráfico de la nota anterior, agregando 4 vulnerabilidades nuevas a Telegram. Por lo que quedaría de esta forma:

 

Vulnerabilidades Whatsapp vs. Telegram vs. Signal

 

Y desde el punto de vista de seguridad… el ganador es…… otra vez Signal!

 

Update del 6-sept-2021

Como para seguir en esta linea, Kaspersky acaba de publicar en su blog una nota con los mismos conceptos.

 

 

Nota por Carlos Benitez

Carlos Benitez es un reconocido experto en seguridad de la información.

Kali 2021.2 + RPi 4: una pareja perfecta

Kali 2021.2 + RPi 4: una pareja perfecta

La unión de la última versión de Kali (2021.2) con la última versión de la Rapsberry Pi (4 Model B) crean la pareja perfecta para tener un dispositivo portátil de pentest.

Todos los profesionales de seguridad necesitamos, en algún momento, desplegar un dispositivo portátil que nos permita probar o analizar vulnerabilidades. Una de las opciones más lógicas es la de usar mini motherboards. Hoy en día existen muchas SBC’s (Single Board Computers) en el mercado. La mayoría de ellas se basan en procesadores ARM. Para la gran mayoría de ellas, existen diferentes distros de Linux, incluyendo Kali.

 

Experimentos

Si bien he experimentado con algunas otras, la placa que más suelo usar es la Raspberry Pi. Ya escribí sobre algunos experimentos que hice basándome en la RPi. Además de este trabajo, experimenté probando diferentes usos.

Uno de ellos fue el de reemplazar la notebook en un viaje, con algún dispositivo más pequeño y liviano que pudiera entrar el el bolsillo de la mochila. Este es uno de los kits que usé.

 

Kit de viaje con la RPi3

Fig. 1 – Mini set de viaje con la RPi3 😉

Ustedes dirán que falta el display, si! obvio! pero hoy en día no encontré hoteles donde no hay aun televisor con entrada HDMI… Así que si bien sólo la podía usar en el hotel, tenía toda la potencia de un Linux en el bolsillo.

Otro de mis experimentos fue el de instalar el Kali completo en la RPi 3. Bueno, se puede, pero no es muy fácil de usar. Recuerden que esta versión, aún la Model B, viene con un máximo de 1GB de RAM. Esto hace que sea algo difícil hacer correr las X. Entonces, si además cargamos alguna aplicación pesada, se vuelve imposible. Memory exhaust por todos lados o, en el mejor de los casos, tiempos de respuesta larguísimos. En especial si la dejamos conectada en un sitio remoto, y queremos acceder a las X vía VNC.

 

Openvas

Ustedes se preguntarán, qué aplicación necesito sí o sí correr en este hardware sobre las X? Bueno, una de ellas es el Openvas. Los que lo instalaron saben lo quisquilloso que es respecto al acceso remoto. Y si tienen que resolver algo rápido, no pueden estar días instalando, desinstalando y cambiando configuraciones para que funcione.

Por si les interesa, les paso una alternativa para no utilizar el Openvas desde un browser en la misma RPi, sino usando por SSH los comandos de línea del Openvas: el OMP. Como verán, correr un scan desde OMP es un chino. Pero si no hay otra forma de hacerlo, es una solución posible.

 

Raspberri Pi 4 Model B

Respecto a las limitaciones de hardware, todo se solucionó con la Raspberri Pi 4. El modelo salió a fines de 2018 y con una característica fundamental, la máxima configuración de RAM pasó de los humildes 1GB a 4GB. Además de muchas otras mejoras, en este modelo sí se podían correr aplicaciones un poco más pesadas. Y como verán, mi kit de viaje no cambió mucho…

Kit de viaje con la RPi3

Fig. 2 – Mini set de viaje con la RPi4 😉

El salto final, hasta hoy, obvio… se dió con la Raspberry Pi 4 Model B. En este caso, la máxima configuración de RAM con la que se puede comprar la placa es de 8GB. Ahora sí!

La empresa, además, apostó a una nueva mejora con la Raspberry Pi 400. Un modelo en el que implantan la RPI4 Model B en un case de teclado logrando esto:

Kit de viaje con la RPi3

Fig. 3 – Nuevo modelo: RPi400

El lado oscuro

Dependiendo de cómo la vayamos a usar y dónde la vayamos a instalar físicamente, una característica que obligatoriamente debemos tener en cuenta para esta versión es la temperatura. En términos simples, la RPi4 calienta. Es que es pura lógica, una gran velocidad viene con un gran consumo de energía, por lo tanto de disipación de calor.

Es por eso que los mejores gabinetes incluyen coolers, además de ser de aluminio para poder disipar mejor el calor. Yo tengo una Flirc case que, la verdad que disipa bastante bien. En la ofi también probamos la Argon One, que además de disipar bien, viene con un adaptador para sacar todos los conectores por detrás y convierte las 2 salidas de video de mini HDMI a HDMI.

 

Kali 2021.2

Es muy interesante que este año, todavía no llegamos a la mitad, y ya se liberaron dos versiones, Kali 2021.1 en febrero pasado y Kali 2021.2 el 1 de junio último.

Siendo la distro de seguridad más usada, se puede encontrar que hay versiones de Kali para muchas plataformas:

Kit de viaje con la RPi3

Fig. 5 – Plataformas de Kali.

 

La que ahora nos interesa en particular es la de ARM:

Kit de viaje con la RPi3

Fig. 6 – Descargar Kali para ARM.

Esta versión viene con muchas mejoras en general, pero particularmente las que me interesan son las relacionadas con la RPi.

Kit de viaje con la RPi3

Fig. 7 – Mejoras de Kali 2021.2 relacionadas con la Raspberry Pi.

 

Una de las que quiero destacar es la de kalipi-config. Si bien hasta ahora existía un raspi-config portado a Kali, estaba bastante limitado y se perdían muchas configuraciones del hardware en esta herramienta. El haber incorporado el raspi-config en forma nativa, nos da muchas más posibilidades.

La otra mejora que incorporan, es la configuración para displays TFT. No se si usar este tipo de displays es muy útil en este tipo de aplicaciones, pero bueno, la posibilidad está.

 

A probar!

Lo que yo veo como más interesante es que ahora la RPi tiene verdaderamente una potencia superior. Por un lado, la Raspberry Pi 4 Model B es bastante más rápida que la Raspberry Pi 3 Model B. Acá pueden ver los benchmarks. Por otro lado, el incremenetar la memoria máxima de 1GB a 8GB ya va dando otras posibilidades interesantes.

Por el lado de Kali 2021.2 para ARM, al mejorar los drivers para el hardware, juran que su performance sobre RPi subió 1500%… y que el booteo inicial pasó de 20 minutos a 15 segundos…

Bueno, esta pareja parece prometer, así que no queda otra que probar. Trataré de hacer algunas pruebas y pasaré los resultados como update de esta nota.

Hasta la próxima!

 

Nota por Carlos Benitez

Carlos Benitez es un reconocido experto en seguridad de la información.