¿Deseas hackear? Mac OS X Lion y LDAP te lo permiten

Lion - Supergatito!

Mac OSX Lion es el último grito de la moda en los usuarios de computadoras Apple Mac y por supuesto, es un sistema operativo con una gran cantidad de features nuevas utilidades pero la explotación de bugs de forma totalmente “legal” se lleva la corona.

Recientemente se descubrió un bug en el protocolo de autenticación LDAP que permite a los usuarios del flamante Mac OSX Lion hacer uso de cualquier recurso o servicio en la red sin la necesidad de proporcionar una contraseña válida.

Estos informes ya datan de hace un par de meses y se esperaba que la actualización de Mac OSX 10.7 a la 10.7.1 solucionara este problema. No lo hizo.

Ya han habido un sinfín de reportes de este problema y sin embargo, la empresa de Cuppertino no ha hecho nada por solucionarlo y al día de hoy no se tienen mas novedades al respecto.

¿Soy vulnerable?
¡Por supuesto que si! Siempre y cuando seas usuario de cualquier sistema operativo que no sea Mac OSX Lion ya que los malditos Apple Fan Boys no son los afectados por este bug sino todo lo contrario. Pueden hacer uso ilimitado de los recursos de cualquier red sin poseer la clave para el mismo. EN TU CARA LINUX!

Esto no significa que podrás colgarte de redes wireless sin tener la clave. Pero una vez que estés en una red, podrás acceder a carpetas compartidas, impresoras y cualquier recurso de red simplemente con poner cualquier clave en caso que nos la solicite.

Cómo evitar o saltear el baneo de nuestra PS3

Gatito con su PS3

Muchos usuarios que han hecho jailbreak a la PS3 se han visto en un problema interesante (grave, importante y con ganas de romperle el culo a patadas a Sony) luego de notar que sus equipos han sido baneados de la Play Station Network por ser detectados como “ilegales”. Incluso Sony tomó acciones legales contra GeoHot por lograr el jailbreak del equipo y debido a esto podemos ver un gracioso mensaje en su web oficial.

Pero siempre hay una luz al final de túnel y es que, la comunidad de desarrolladores encontró la manera de saltear el baneo a las PS3 y poder jugar online sin problemas. Ya habíamos visto algo similar para hackear el PSN de la PS3 aunque solo podíamos correr algunos juegos.

Se trata de un sistema que funciona al día de hoy pero que probablemente sea “solucionado” por Sony en cuestión de semanas, bien vía actualización de firmware o mediante políticas nuevas en sus servidores.

Se necesita el programa Charles 3.5.1 / 3.5.2, que podés bajar de manera legal desde su web (versión de prueba). Es un programa que evalúa y rectifica el tráfico web de manera inteligente.

Es necesario disponer del certificado CA24.cer instalado y para eso necesitamos realizar unos pasos previos en una PS3 con cfw/jailbreak 3.55 (en este enlace te explicamos como hacerle jailbreak).

Descargar http://www.megaupload.com/?d=4UJZ0A1O
Instalación:
1. Instalamos dev_blind.pkg en tu PS3 (usando una memoria USB)
2. iniciamos dev_blind y deja que monte la flash
3. Abrimos Comgenie File Manager en el PS3
4. Vamos a la ruta /dev_blind/data/cert
5. Hacemos una copia de seguridad del nuestro por las dudas.
6. Renombramos el archivo CA24.cer original a CA24.cer.backup y lo copiamos a una memoria USB7.
7. Copiamos el archivo modificado CA24.cer en la ruta /dev_blind/data/cert/CA24.cer
8. Ahora nos vamos a Configurar el acceso a internet de nuestra PS3
9. Le ponemos IP automática y seteamos manualmente los DNS
10. Ponemos el DNS PRIMARIO del PS3 con el mismo IP de tu computadora (ej.192.168.1.2)
11. El DNS SECUNDARIO del PS3 lo cargamos con la puerta de enlace de nuestro router (ej.192.168.1.1)
12. Reiniciamos el PS3 (MUY Importante)

Una vez instalado el archivo de certificado, ya podemos utilizar el programa Charles en el PC que hará de proxy para la consola y parcheará en tiempo real el ID de la misma.

El programa Charles es muy sencillo de utilizar, es un programa que hace un bypass de la información desde la PS3 hasta los servidores mediante un PC. Se puede cambiar la ID de la consola en tiempo real y de manera particular en este caso un ID EN BLANCO permite jugar on-line en consolas previamente baneadas. Abrimos la aplicación y comenzamos con Start recording… La primera vez que la consola pida conectar nos saldrá un aviso en Charles al que le daremos click en ACEPTAR.

Luego debemos crear una regla en el programa y nos debería quedar de esta forma:

Específicamente tenemos que crear en el campo MATCH, la antigua console id y en REPLACE el console id que quieras poner, en nuestro caso tenemos que dejarlo en blanco.

Con esto, supuestamente anularíamos el ban de nuestra PS3.

La importancia de saber elegir tus passwords

Esto no es una ciencia nueva, ni siquiera es un consejo que debiera estar dándose todo el tiempo aunque por desgracia, es muy normal que las personas posean una misma clave para todo o casi todo los servicios que utilizan ya sea a través de Internet, telefonía o la propia vida financiera.

click para ver en tamaño completo

Que una persona con poca noción de la seguridad informática lo haga, vaya y pase. Pero esta persona es un colega de toda la vida quien me dió varias lecciones de seguridad informática desde que yo era apenas un estudiante de escuela primaria.

Aruel Angel (apodo de mi colega) es un experto en seguridad informática y me ha enseñado muchísimo. Una de sus premisas siempre fue la de utilizar diferentes claves para los servicios que usamos y es así que compartió esta guía para que la publique en el blog. Lo siguiente, fue escrito por él para ElPlog.com;

Elección de claves
Antes que nada debemos revisar la importancia del servicio que estamos usando y asignarle una contraseña, para esto podemos asignar una escala del 1 al 10 en la importancia de los servicios que usemos. Por ejemplo, “Cuenta Bancaria: 10″.
De esta forma, podrán utilizar las típicas claves que usan a menudo. Muchas mujeres tienen la costumbre de usar claves alfanuméricas como “pepito17031974″ o variables similares, muchas de ellas, muy fáciles de adivinar como el número de documento, fechas de nacimiento (el 90% de las mujeres usa una fecha en sus claves) o nombres de personas y mascotas.

Suponiendo que nuestra clave es una fecha, podremos usar nuestra escala de la siguiente manera y con esto, dar un valor agregado a la seguridad de nuestras cuentas.
Escala 1 al 4
Cuentas asociadas a una red social como Facebook, Twitter, Badoo, Tagged, HI5, etcétera; son cuentas de importancia media/baja dado que no almacenan datos importantes como números de tarjetas de crédito, datos financieros o claves de importancia asociada como la de nuestro correo electrónico de cabecera. La importancia del 1 al 4 es según el criterio de quien la use. Clave sugerida: 17031974_UaC_1

Escala 4 al 6
Correo electrónico secundario, cuentas de difusión como Twitter y demás; Esta escala es obviamente tan flexible como la anterior y los ejemplos son solo para darnos una idea. Claro que cada usuario dará la importancia que necesite a sus respectivas cuentas. Clave sugerida: 17031974_Ca6_4

Escala 6 al 8
Subiendo el grado de seguridad en nuestra escala, ya podremos añadir números o caracteres que nos resulten conocidos pero sin perder la noción de nuestra clave original. Esto nos servirá para seleccionar claves mucho mas seguras en el futuro y de paso, agilizar nuestra mente como un ejercicio que nos permita recordar contraseñas cada vez mas complejas. Clave sugerida: 17031974_Sa8_8_15123456 (a esta clave le podemos agregar un número de teléfono).

Escala del 8 al 10
Servicios financieros, datos bancarios, tarjetas de crédito, cuentas de hosting. Cada uno es libre de aplicar estas escalas a su criterio. Por mi parte solo estoy dando ejemplos muy burdos de cómo podrías aplicarla a tu vida cotidiana pero es importante establecer un orden de importancia para resguardar nuestros datos. Clave sugerida: 17031974_Oa10_15123456_torino (y podemos agregar el nombre de nuestra mascota, nuestro domicilio, etcétera).

Una clave extremadamente fuerte y simple de recordar es por ejemplo, nuestra frase de cabecera. Podríamos utilizar las primeras letras de cada palabra de la frase y añadir algún dato extra de nuestra preferencia. Tomemos por ejemplo la famosa frase de Pablo Neruda “Puedo escribir los versos más tristes esta noche” y nos quedaría algo como PELVMTEN y a su vez agregar nuestra fecha de nacimiento junto a nuestra escala; PELVMTEN_17031974_Ca6_4_torino. De esta forma logramos una clave lo suficientemente compleja para que no sea descubierta ni siquiera por los sistemas de brute force que suelen ser usados para romper nuestras contraseñas.

Repito. La escala es apenas un burdo ejemplo. Uno puede aplicar su propia escala siempre y cuando mantenga un orden de importancia respecto a cuan relevantes son los datos que desea proteger.

Un saludo, Aruel Angel

Ya hubo un grave incidente de seguridad aquella vez que Geelbe.com fue hackeado y muchos de sus usuarios tuvieron un problema aún mas importante cuando los “hackers” se dieron cuenta que las claves de Geelbe eran las mismas que utilizaban en otros servicios como redes sociales o cuentas de email.

Espero que esto al menos te sirva como ejemplo para que el día en que seas hackeado, no sea porque fuiste tan animal de usar la misma clave en todo.