Yuzi download

La historia que os voy a contar es un ejemplo de cómo los detalles de seguridad en las tecnologías pueden acabar por tumbar muchas de las conclusiones que damos por ciertas usándolas. En el caso de hoy, voy a hablaros otra vez de algo que muchos ya saben que es inseguro, pero que sin embargo es parte fundamental de nuestras vidas hoy en día, las señales GPS que reciben nuestros dispositivos. De hoy va la historia en la que ha estado trabajando el investigador español JAEP Erratum y que os voy a explicar.

Las señales GPS las utilizamos en todos los servicios de navegación que llevan nuestros dispositivos, desde los servicios como Waze, Google Maps, Apple Maps o TomTom, hasta los detectores de radares de velocidad que se venden y van en cualquier lugar del coche para avisar al conductor de un posible control oculto en la carretera. Pero no solo eso, se utilizan en servicios de las redes sociales, en publicidad dirigida, en el mundo de los juegos, etc...

Esta señal GPS, como hemos visto muchas veces, se puede falsificar fácilmente en el terminal por el dueño del mismo, por lo que algunos servicios podrían ser abusados. Este fue el ejemplo del caso de Tinder, lo que permite a una persona localizar a otra en cualquier lugar del mundo, ligar con todo un país o perseguir a una víctima con una especie de drone de vigilancia. También, manipulando la señal en el terminal podría afectar a la validez legal de los de certificación digital de fotografías tomadas en una ubicación, como en el caso de Stamphoto, pero esto, como vamos a ver, también se puede hacer remotamente con un ataque de SDR-RTL.

Las tecnologías de SDR (Software Defined Radio) permiten a un atacante emitir y escuchar señales en frecuencias del espectro utilizadas por diferentes tecnologías que dan soporte a comunicaciones de toda índole y son una pieza clave en el Hacking de Comunicaciones Móviles. Como ya vimos, un ejemplo sencillo es utilizar un sistema SDR-RTL para poder escuchar las conversaciones GSM y hasta poder capturar los mensajes SMS que se envían por la red. Esto, podría ser utilizado para robar cuentas de de servicios de Internet protegidas por mensajes SMS si el atacante está cerca de la antena por la que la víctima va a recibir la comunicación.

Ataques GPS Spoofing con SDR

También se pueden atacar otro tipo de señales, como las del mundo IoT - de las que podremos hablar largo y tendido en otros artículos, pero hoy, como os podéis imaginar por el cariz que lleva la historia, las señales de las que hay que hablar son las de GPS, que no están cifradas ni protegidas. Esto permite que cualquier atacante que esté cerca tuya pueda inyectarte una señal falsa GPS en el terminal, mandando tu dispositivo GPS a cualquier ubicación del mundo y, lo que es peor, a cualquier fecha.

Esto es porque la señal GPS también se utiliza en muchos terminales para configurar la fecha y la hora - como por ejemplo los dispositivos iOS -. En esta conferencia impartida en DefCON 23 podéis ver todos los ataques SDR contra GPS que se pueden realizar. 36 minutos de learn&fun.

Manipular la fecha y la hora vía GPS de un terminal iPhone puede hacer que todas las apps que tenga un sistema empiecen a fallar, dejen de funcionar, o comprometan a una persona a la que un atacante puede situar en un lugar y una fecha concreta ante los ojos de un analista forense que tire de herramientas para analizar los datos de un terminal.

Ataques GPS Spoofing con SDR a iPhone

En este vídeo hecho por JAEP Erratum se puede ver cómo remotamente, un atacante puede enviar señales falsas GPS a una víctima con su iPhone - utilizando la herramienta sdr-gps-sim y tenerla paseando por Barcelona, París o cualquier lugar del mundo.

Por supuesto, este ataque afectaría a cualquier servicio de certificación de ubicaciones GPS, o a los sistemas sociales - podrías tener a tu amigo adicto Tinder toda una noche buscando pareja con chicas del otro lado del mundo -, o en el caso de iOS 5 la señal GPS también se podía cambiar desde las señales 2G/Edge/GPRS, y esto producía un efecto muy curioso en iPad e iPhone, ya que se engañaba al sistema y te permitía acceder a las fotografías sin desbloquear la pantalla del terminal.

¿Te imaginas que alguien desde un puente de una autopista justo antes de una salida se pusiera a enviar señales GPS que situaran a los coches desplazados 300 metros? Podríamos estar hablando de la generación de un problema serio, ya que todos los conductores podrían sufrir una distracción de alto peligro. Pero es que se puede hacer que el terminal iPhone deje de funcionar con todas su apps. Por ejemplo, en este otro vídeo de JAEP Erratum se puede ver cómo enviar a cualquier iPhone al futuro. En concreto, al 16 de Agosto del año 2029, justo al lado del Santiago Bernabéu en la bella ciudad de Madrid - supongo que para ver algún partido del Real Madrid -.

Dicho esto, ya hay muchas iniciativas para cambiar los sistemas GPS por sistemas más robustos en los que los terminales clientes validen a los emisores de la señal GPS, y hay medidas de contención para detectar señales falsas en los sistemas operativos de los smartphones, pero la realidad es que como se puede ver, a día de hoy las cosas están como están.

Saludos Malignos!

En los últimos tiempos he estado recibiendo correos electrónicos procedentes de una nueva red para profesionales que se llamaba Branded.me. A simple vista - y sin haberla probado aún - intenta buscarse un hueco en el espacio profesional que ahora ocupa Linkedin ya que está orientada crear conexiones para el mundo laboral. Los correos que he estado recibiendo me han ido llegando con avisos de contactos míos que ya se habían dado de alta en ella, y al final decidí ir a ver - al menos - la web de la red social.

Cuando llegué allí, vi que para darte de alta puedes utilizar uno de los ID Providers que más cuota de mercado han conseguido en la red que, como podéis ver en la imagen, son Facebook, Twitter, Google o darte de alta con tu propia cuenta. Microsoft no ha entrado en los planes iniciales de esta red y, por supuesto, tampoco Linkedin.

Como en cualquier otra web, puedes también utilizar tu correo electrónico y hacerte una cuenta desde cero, pero para muchos usuarios es más cómodo usar una de las identidades que ya tienen creadas en otras redes sociales y que la nueva web tome los datos que sean necesarios para dar de alta la cuenta del ID Provider. Es decir, que te des de alta tu nueva cuenta en Branded.me con tu cuenta Twitter y tome de ella los datos que necesite, o hacerlo con la cuenta Facebook, o con la cuenta de Google. Al final, ¿qué necesita Branded.me saber de mí para hacer el login en su red? Esa es la pregunta que quise responder.

Si has seguido con atención la serie de artículos de Sappo: Spear Apps to Steal OAuth Tokens, sabrás que este tipo de altas con ID Providers se basa en la aprobación de un un Token OAuth que lleva asociados una serie de permisos de SCOPE. Con esos permisos, la app - en este caso Branded.me - podrá hacer determinadas acciones en tus cuentas del ID Provider, es decir, podrá hacer determinadas cosas tu Facebook, tu Twitter o tu Google. ¿Y qué SCOPE pide para cada una de las cuentas?

Pues para Facebook pide acceso a datos personales tuyos, como tu nombre, tu fecha de cumpleaños, tu historial de trabajo, de estudios, dónde vives o tu lista de amigos. Datos tuyos y contactos para expandir la red. Como se puede ver, Facebook deja claro que con ese token OAuth la aplicación de Branded.me no podrá postear en tu time-line ni un solo post, pero probablemente podrá spamear a los amigos que tengas en tu cuenta. Una técnica común de Growth Hacking para cualquier servicio tipo red social.

Si miramos el caso en el que, en lugar de darte de alta con tu cuenta Facebook, te dieras de alta con tu cuenta Google, puedes ver que lo que pide es distinto. En este caso el Token OAuth solicita una lista de SCOPE que le da acceso a tu dirección de correo electrónico e información básica de tu perfil. Es decir, no tiene acceso a lista de contactos ni a los mensajes de correo electrónico, ni a enviar, ni recibir ningún mensaje de correo electrónico.

Por último, si miramos lo que se pide cuando decides darte de alta con tu cuenta Twitter, podemos ver que los permisos que van en el SCOPE List asociados al token OAuth le permiten a Branded.me publicar mensajes en tu time-line de Twitter. Es decir, que si has elegido darte de alta en Branded.me, ellos pueden publicar los mensajes que deseen a través de tu cuenta de Twitter además de actualizar tu perfil.

Esta es una de las cosas que muchas aplicaciones conectadas a tu cuenta Twitter solicitan y por ello un hacker creo un plugin de Latch para Twitter llamado "Twlatch" que evita que se te escapen este tipo de mensajes no controlados por culpa de que esos tokens OAuth que has concedido se vuelvan maliciosos. Este vídeo explica su funcionamiento y puesta en marcha en solo 2 minutos.

Lo más curioso de todo esto es que, dependiendo de cuál sea el ID Provider que elijas para darte de alta en un nuevo sistema, los datos y los riesgos son completamente distintos, así que revisa antes con cuidado qué quiere hacer con tu token OAuth en cada caso, para luego no llevarte sorpresas indeseadas. Hablando en concreto de Branded.me siempre puedes de alta con una dirección de correo electrónico de un dominio que controles tú y listo.

Saludos Malignos!