Decenas de aplicaciones de iOS inseguras en la AppStore

Decenas de aplicaciones de iOS, populares, son vulnerables a la interceptación de datos protegidos por el protocolo TLS. De estas aplicaciones decenas, alrededor de 75, no utilizan buenas prácticas para proteger los datos de los usuarios. Esto es, sin duda, una afirmación o noticia grave, ya que impacta en el manejo de los datos de los usuarios y algo que deberá ser revisado. La noticia ha sido puesta en conocimeinto para el público por los investigadroes de Sudo Security Group, los cuales descubrieron este hecho inesperado para muchos.

Algunas aplicaciones de iOS en la AppStore habían sido implementadas con carencias en el cifrado y sus comunicaciones, pudiendo ser vulnerables a ataques de man in the middle. Las aplicaciones podrían ser engañadas por un certificado falso enviado por un proxy, permitiendo que su seguridad de la capa de transporte pueda ser descifrada y visualizada a medida que se envía el tráfico hacia Internet.

Figura 1: Generación de certificado con OWASP ZAP

El descubrimiento fue inicialmente el resultado del análisis realizado por los investigadores de la empresa. A través del uso de un servicio que realiza un análisis estático de binaios de aplicaciones de la App Store. El presidente de la empresa Sudo verificó que las aplicaciones descubiertas por el sistema eran vulnerables en el laboratorio, utilizando para ello un proxy de red configurado con su propio certificado. Esta es una práctica que en muchas auditorías se utiliza y que para muchos no es nuevo, pero impacta ver como las aplicaciones más populares no utilizan Certificate Pinning para mejorar la seguridad de los usuarios.

ZAP, Burp & Charles: 3 Proxies para pentesting en OS X

En el día a día del pentester seguramente tenga que hacer uso de los proxies. Seguramente conozcas estos tres tipos de proxies, Burp o ZAP son altamente conocidos en la comunidad de seguridad. En algunas ocasiones nos han preguntando por este tipo de software y su compatibilidad con OS X, por lo que hoy os traemos 3 proxies totalmente compatibles con OS X y que pueden ayudaros en vuestras auditorias y pentesting. 

El primero del que hablaremos es Burp Suite, quizá uno de los más populares debido al potencial que proporciona al usuario. La gente de Burp considera la herramienta como una plataforma de security testing para aplicaciones web, trabajando con varias herramientas a la vez bajo la misma plataforma. Tiene diferentes versiones, una gratuita y otra de pago. En su versión gratuita se limita el uso del Intruder, Scanner o el Analyzer, por lo que si te dedicas profesionalmente a esto te recomendamos la versión profesional. 

Figura 1: Burp  Suite

El segundo es ZAProxy, el cual es gratuito y pertenece al proyecto OWASP. El proyecto está mantenido por cientos de voluntarios alrededor del mundo. ZAProxy puede encontrar automáticamente vulnerabilidades en aplicaciones web mientras los desarrolladores testean sus aplicaciones. Además, puede ser utilizado por pentesters.

Figura 2: OWASP ZAProxy

El tercero es Charles, un proxy multiplataforma bastante potente, flexible y sencillo de utilizar. Tiene versiones para Windows u OSX y permite realizar pruebas de seguridad de forma sencilla. Tiene características interesantes como soporte para SSL y HTTPS, organiza las peticiones, cookies, headers y respuestas y registra todo el tráfico entre el navegador e Internet.

Figura 3: Charles Proxy

Como se puede ver son tres proxies interesantes y potentes que os ayudarán en vuestras auditorias o pruebas de seguridad en el proceso de desarrollo. ¿Cuál eliges?

Entrar en la red TOR de la Deep Web con Mac OS X

Como con cualquier otro sistema operativo, para entrar en la red TOR - una de las redes que forman parte de la llamada Deep Web - es necesario contar con un cliente instalado en el equipo. Este cliente de navegación junto con un navegador empaquetado se pueden descargar del proyecto Tor Browser, que viene junto todo para que sea fácil entrar en la red TOR.

Elige la versión de Tor Browser que se adapte a tu sistema operativo - soporta Mac OS X Snow Leopard, Lion y Mountain Lion de 32 y 64 bits - , y descárgala. Cuando vayas a ejecutarla, si tienes OS X Mountain Lion, lo más probable es que la protección para ejecución de software no firmado que proporciona GateKeeper. Si quieres que funcione el paquete deberás bajar este nivel de seguridad.

Figura 1: Opciones de seguridad de GateKeeper en OS X Mountain Lion

Te recomendamos que una vez termines de navegar por la Deep Web vuelvas a activar la protección de GateKeeper para evitar situaciones no deseables con software malicioso.

Cuando arranque Tor Browser, aparecerá el cliente de Vidalia, donde se podrán configurar opciones de conexión especiales. Cuando termine de establecer los túneles SSL con la red TOR, aparecerá la opción de Connected, lo que significará que ya estás en la red. El nodo al que te conectas sí que conoce tu dirección IP original, así que se fuera un nodo malicioso estaría teniendo acceso a todo tu contenido y sabría quién eres

Figura 2: Opciones de configuración de Vidalia Control Panel

Ahora ya puedes abrir el navegador Tor Browser y comprobar que estás dentro de la red, como se puede comprobar, con una dirección IP que corresponde a alguno de los nodos que forman TOR en ese momento.

Figura 3: Tor Browser

Si quieres ver cuántos servidores forman la red TOR en estos momentos, puedes ir al cliente de Vidalia y dar a la opción de View the Network, donde te aparecerá la lista de todos los servidores que en ese momento están dados de alta como válidos. Alguno de ellos puede estar controlado, así que ten cuidado.

Figura 4: Servidores de la red TOR en estos momentos

Una vez dentro, para encontrar la información que se oculta en los dominios .onion puedes utilizar varias técnicas. Aquí te dejamos algunas de ellas:

1.- Utilizar los buscadores de la Deep Web TOR: No son demasiado buenos indexando y mostrando resultados, pero son un inicio.  Torch [http://xmh57jrzrnw6insl.onion/] o The Abyss [http://nstmo7lvh4l32epo.onion/] son algunas de las alternativas.

Figura 5: Búsquea en la red TOR con Torch

2.- Utilizar el buscador de Onion.to: Este buscador está accesible desde la web normal, y no es necesario tener un cliente TOR para ver qué hay en TOR.

Figura 6: El buscador y Proxy Onion.to conecta los dominios .onion con la web normal

3.- Busca los intercambios de links: En sitios como Pastebin se producen intercambios de enlaces con las últimas direcciones publicadas en la red TOR, así que puede ser una buena opción ver qué se ha compartido por allí.

Figura 7: Listas de Pastebin con dominios .onion

En cualquier caso, cuando visites esta red desde tu OS X toma ciertas precauciones. Usa el navegador TOR Browser actualizado, ten un antimalware con protección en tiempo real, cuando termines asegúrate de borrar todo lo que hayas descargado en la caché. Si usas otro navegador, procura utilizar el modo de navegación anónimo y no tener cargado en él ni Java ni ningún otro plugin. Si te bajas algún fichero analízalo antes y si tienes dudas, envíalo a Virus Total. Y recuerda, la red TOR está vigilada, así que si haces algo malo, puede que tengas problemas con la justicia.

Cambiar las puntuaciones de Game Center con trampas

Muchos usuarios en Game Center aparecen con puntuaciones imposibles - al menos jugando a muchos de los juegos - donde el valor más grande que aparece es el 9.223.372.036.844.775.807, que corresponde con el valor máximo posible para un entero sin signo. Esto se hace por medio de una manipulación en el cliente de las peticiones, ya que es el propio juego el que envía este valor al panel de control de puntuaciones.

En HackPlayers han hecho la demostración con el juego Cut The Rope, y para ello es tan sencillo como instalar el certificado utilizado por la aplicación proxy de auditoria que utilices - en su caso lo hacen con Burp Proxy, por lo que tienen que instalar el certificado de PortSwigger - y modificar la petición que envía el juego al terminar la partida. La petición de Cut The Rope es la siguiente:

POST /WebObjects/GKGameStatsService.woa/wa/submitScores HTTP/1.1
Host: service.gc.apple.com
User-Agent: gamed/4.10.17.1.6.13.5.2.1 (iPhone4,1; 6.1.2; 10B146; GameKit-781.18)
Accept-Language: en-us
Accept-Encoding: gzip, deflate
Accept: */*
Some-Cookies: have been removed to make this shorter
Content-Type: application/x-apple-plist
Connection: keep-alive
Proxy-Connection: keep-alive
x-gk-bundle-version: 2.1
Content-Length: 473
x-gk-bundle-id: com.chillingo.cuttherope

<?xml version=”1.0″ encoding=”UTF-8″?>
<!DOCTYPE plist PUBLIC “-//Apple//DTD PLIST 1.0//EN” “http://www.apple.com/DTDs/PropertyList-1.0.dtd”>
<plist version=”1.0″>
<dict>

<key>scores</key>
<array>
<dict>
<key>category</key>
<string>1432673794</string>
<key>context</key>
<integer>0</integer>
<key>score-value</key>
<integer>12345</integer>
<key>timestamp</key>
<integer>1361998342937</integer>
</dict>
</array>

</dict>
</plist>

Como se puede ver, hay que modificar el valor score-value, y lo que se obtendrá en el Game Center es lo que nos muestran en la siguiente captura.

Figura 1: Modificación de la puntuación en Cut The Rope

Un truco sencillo basado en un esquema de man in the middle que sin duda utilizan los cheaters para pelearse o para amañar concursos que se hagan en base a puntuaciones del Game Center. Tenedlo en cuenta.

OSX Mountain Lion 10.8.1: Sin security bugs conocidos

Fiel a su costumbre de dejar a los administradores de sistemas que permanezcan intranquilos durante el fin de semana, el pasado viernes 23 de Agosto, Apple puso a disposición pública OS X Mountain Lion 10.8.1, una actualización muy pequeña de tamaño que ha sido publicada sin información de security bugs, aunque sí con mejoras que impactan en el funcionamiento de los equipos Mac en las redes de una empresa o la seguridad de la plataforma, con mejoras en 802.1x.

A través de Mac App Store la actualización ocupa apenas 7.28 MB, mientras que en descarga directa desde la web el tamaño del fichero de instalación es de 24.2 MB. En la información disponible de la actualización en la Knowledge Base HT5418 se habla de la siguientes mejoras, que como puede verse también afectan a la seguridad del sistema.

Figura 1: Descripción de OSX Mountain Lion 10.8.1

- Arregla un fallo en el Asistente de Migración que hacía fallar a esta función.
- Mejora la compatibilidad con Exchange.
- Arregla un problema con iMessage que no enviaba los mensajes.
- Arregla un problema con la reproducción de audio en monitores Thunderbolt.
- Arregla un problema en el uso de Pinyin.
- Arregla un fallo en la conexión a servidores SMB con nombres muy largos.
- Soluciona un fallo que hacía que Apple Safari 6 no se lanzara cuando se utiliza PAC (Proxy Automatic Configuration).
- Mejora los sistemas de autenticación 802.1x con el uso de credenciales de Active Directory.

Algunos de estos fallos han tenido bastante impacto en el día a día de muchos clientes, por lo que aunque Apple no ha publicado ningún CVE solucionado, ha sacado esta actualización en menos de un mes del lanzamiento del sistema.

Proxifier para encaminamiento de sockets

Una de las prácticas más habituales a la hora de realizar actividades que se desea que no sean registradas con la dirección IP personal es la utilización de proxys anónimos. Un servidor proxy es un servicio intermedio entre el cliente y el servidor destino que se encargará de reenviar la petición contra el servidor siendo ellos los que realicen la conexión y, por tanto, siendo su dirección IP la que quedará registrada en los ficheros de log de actividad.

Por desgracia no todas las aplicaciones soportan el uso de servidores proxy, por lo que es necesario utilizar alguna herramienta de proxyficación, es decir, que intercepte las peticiones antes de salir del equipo y las modifique para poder enviarlas a un servidor proxy.

Este proceso de proxyficación supone también un cambio de puerto de conexión de la aplicación, ya que del equipo cliente al servidor proxy se utilizará un puerto de conexión diferente, lo que puede permitir saltar restricciones en firewall corporativos.

En SeguridadApple hemos realizado un análisis del software Proxifier que se trata de una pequeña aplicación de apenas 1MB que intercepta todas las conexiones TCP del sistema Mac OS X canalizándolas a través de uno o varios servidores proxy.

Configuración de los servidores Proxy a utilizar

Una vez instalada la herramienta, el primer paso es configurar la lista de servidores proxy a utilizar. Para configurar esta lista se debe acceder a ‘Options / Proxy settings’. En esta nueva ventana se podrán añadir tantos servidores como se desee, haciendo clic en el botón ‘add’.

Existen diferentes formatos para los sockets, en función de la API de intercambio de mensajes que utilicen. Proxyfier permite trabajar con serviores proxy que utilicen Socks 4, Socks 5 y Proxy Https. Los servidores proxy que se configuren serán utilizados secuencialmente, saltandose aquellos que no estén funcionando en un determinado momento. De esta forma se consigue una tolerancia a fallos que intenta hacer un poco más placentero el servicio.

Interceptación de comunicaciones: Reglas de proxyficación

A partir del momento en que se configuren los servidores proxy, Profixier interceptará automáticamente cualquier tipo de conexión TCP, quedando esta anonimizada. En la imagen siguiente se puede ver la lista de aplicaciones que están siendo proxyficadas.

Si se desea que una aplicación en concreto no sea interceptada y realice las conexiones sin pasar por ‘Proxifier’ es posible configurarlo mediante una regla de proxyficacion en ‘Options / Proxification rules’. En esta ventana de configuración se nos ofrece la posibilidad de crear nuevas reglas para indicar que aplicaciones deben ser interceptadas y cuáles no en función del programa, las direcciones IP de conexión o los puertos utilizados.

Utilización de proxyfier con la red TOR

Esta configuración de reglas es muy importante ya que permite crear reglas de proxyficación para servidores locales, como puede ser una red Tor, Privoxy, BurpSuite, etc... Para ello se debería añadir el servidor local a la lista de servidores proxy y añadir una regla de proxyficación que envíe todo el tráfico por ese servidor proxy. Como se desea enviar todo el tráfico, entonces basta con crear la regla sin ninguna restricción.

Con esta herramienta, junto con la configuración del cliente TOR en tu Mac OS, podrás navegar y utilizar cualquier herramienta en Internet de forma anónima.

Navegación anónima con la red TOR en Mac OS X

La red TOR es la gran conocida tanto por los ‘chicos malos’ de internet como por los usuarios que desean navegar anónimamente. Esta red consiste en un conjunto de servidores proxy, lamados repetidores, repartidos por todo el mundo, y entre los cuales se establecen conexiones seguras a través de SSL.

De este modo, si se tiene instalado y configurado adecuadamente el cliente ‘Tor’, cuando realizamos una conexión contra un servidor mediante esta red, utilizaremos una cadena de repetidores, resultándole al servidor prácticamente imposible obtener la dirección IP que realizó la petición original.

Además, para dificultar el rastreo de conexiones, el cliente Tor cambia la estructura de la cadena de repetidores, de tal modo que prácticamente cada petición que realicemos se enviará con una dirección IP distinta y desde una localización geográfica distinta.

La configuración del cliente Tor es muy sencilla y funciona perfectamente en Mac OS X. Una vez descargado y ejecutado el cliente TOR para Mac OS X se abrirá el panel de control. Cuando se nos muestre el mensaje ‘Connected to the Tor network!’, querrá decir que ya nos hemos autenticado y podemos empezar a usar la red.

El último paso es configurar nuestras aplicaciones para que utilicen la red Tor. Para ello es necesario establecer en elas que utilicen los puertos 8118, para aplicaciones que realicen conexiones http/https, y 9050, para el resto de conexiones.

Para ello, accederemos a ‘Preferences / Network / Advances / Proxies ‘, y configuraremos las conexiones de ‘WebProxy’ y ‘Secure Web Proxy’ para que utilicen la dirección 127.0.0.1:8118, como se ve a continuación.

Para comprobar nuestro anonimato en la red, podemos acceder a http://www.ip2location.com. Esta web ofrece una pequeña aplicación que muestra la procedencia de una determinada petición. Como se puede ver en nuestro ejemplo, estamos llegando desde Alemania.

Tal vez sea útil ocultar quién eres y de dónde vienes en algunos momentos. Tor es tu herramienta.