Cómo proteger OS X frente a ataques de ICMP redirect

Esta semana ha salido a la luz una herramienta para hacer un ataque, que aunque no es nuevo pone de manifiesto que es posible realizar un Man In The Middle con mensajes ICMP Redirect a diversas plataformas, entre las que se encuentran Android, iOS y OS X. El problema que sucede es que, a día de hoy, muchos usuarios de OS X son vulnerables a esto, aunque dispongan de la versión más moderna como OS X Mountain Lion & OS X Yosemite, y suponen un riesgo sobretodo si conectamos el equipo a una red insegura, como pudiera ser una Wi-Fi del centro comercial, supermecardo, etcétera.

Existe para ello una herramienta con la que podemos aprovecharnos de este fallo y realizar un Man In The Middle de manera sencilla. Para ver si somos vulnerables debemos abrir un terminal y escribir el siguiente comando sysctl net.inet.icmp.drop_redirect. Si la salida del comando es 0 somos vulnerables. Podemos cambiar esto en memoria para la sesión actual, por lo que los cambios no se harán permanentes, pero puede ser útil para realizar pruebas con este ataque. Para deshabilitarlo de manera volátil debemos ejecutar el siguiente comando sudo sysctl -w net.inet.icmp.drop_redirect=1. 

Figura 1: Deshabilitar ICMP Redirect

Para pruebas está bien, pero si queremos fortificar más nuestro OS X, lo ideal sería lanzar de manera persistente esta acción. Por ello debemos comprobar la existencia del fichero /etc/sysctl.conf, y en caso de no existir crearlo. Dentro del fichero debemos insertar la instrucción que se comentó anteriormente, net.inet.icmp.drop_redirect=1. Hay que tener en cuenta que puede haber otras directivas configuradas en el propio fichero.

Figura 2: sysctl.conf para deshabilitar de forma permanente ICMP Redirect

Esto también afecta a ICMPv6, así que si no usas IPv6 lo puedes deshabilitar en OS X. Hay que tener claro el alcance del ataque y los escenarios dónde podemos ser más vulnerables. Es difícil tener en mente siempre este tipo de cosas, por lo que se recomienda configurar de manera permanente la directiva y fortificar nuestro sistema OS X.