Vulnerability Team

Mozilla ha bloqueado un add-on de Skype para Firefox, afirmando que ha causado más de 40.000 caídas del navegador la semana pasada y que ralentiza seriamente la carga de páginas.

Skype Toolbar, una extensión de Firefox que se presenta con la popular aplicación de llamadas telefónicas, ha sido añadida a la lista de Mozilla de add-ons prohibidos, han publicado en post desde la compañía.

“La actual versión de Skype Toolbar es una de las que más problemas han causado en Firefox 3.6.13 y ha estado implicada en casi 40.000 caídas de Firefox durante la semana pasada”, han declarado desde Mozilla. “Además, dependiendo de la versión que se esté usando de Skype Toolbar, los métodos que usa para detectar y hacer volver a los números de teléfono puede… afectar drásticamente a los tiempos de renderización de la página de un gran porcentaje de contenidos web”.

Los usuarios de Firefox pueden seguir utilizando Skype Toolbar, puesto que Mozilla sólo la ha bloqueado “levemente”, lo que significa que aunque ha deshabilitado el add-on, los usuarios pueden rehabilitar la extensión tras hacer clic en un mensaje de aviso.

Mozilla, en cualquier caso, está considerando bloquear “severamente” al add-on, según un mensaje publicado en Bugzilla, la base de datos de problemas de la compañía. Si lo hiciera, eso supondría la prohibición completa de Toolbar.

Skype Toolbar detecta números de teléfonos embebidos en páginas Web, luego hace que se pueda hacer clic en esos números, de modo que los usuarios puedan llamarlos más fácilmente con el programa de sobremesa de Skype. Este add-on se instala por defecto cuando la versión de sobremesa del software de voz sobre IP se instala en el equipo o se actualiza.

Mozilla ha declarado que ha tenido problemas a la hora de localizar desarrolladores de extensiones de Skype y que también ha sido un motivo para bloquear el add-on. “En las últimas dos semanas, hemos doblado nuestros esfuerzos para contactar con el equipo de extensiones de Skype y mucha gente de Skype nos ha dicho que contactarían con el equipo de extensiones por nosotros”, ha explicado Justin Scott, responsable de productos add-on de Mozilla. “Pero no hemos recibido respuesta de ellos”.

Por su parte, desde Skype no han querido hacer comentarios al respecto.

fuente: idg.es

Empezando la semana anunciabamos la aparición de Firesheep, un add-on the Firefox, que permite realizar hijacking de sessiones HTTP (Hypertext Transfer Protocol – en español, protocolo de transferencia de hipertexto). La técnica utilizada se basa en escanear una red inalámbrica no segura y secuestrar credenciales de inicio de sesión en sitios web, entre los cuales se encuentran Facebook, Twitter y Google entre otros tantos que permiten conexiones no seguras por parte de sus usuarios.

El hijacking es una técnica de ataque que se basa en el secuestro de conexiones de red, sesiones de usuario, servicios, modems y otros tantos tipos de servicios informáticos. Como es una técnica que se utiliza en tiempo real, es necesario que el atacante esté conectado a la misma red que el usuario para poder hacer uso de la misma.

Firesheep, el add-on desarrollado por Eric Butler, fue publicado en su blog personal, repercutiendo así en todo el mundo por la facilidad con la que permite acceder a las sesiones iniciadas mediante una conexión HTTP de reconocidos sitios web, como los mencionados anteriormente. Un día después de su publicación, Firesheep ya cuenta con más de 50.000 descargas, lo que resalta el impacto que este suceso puede tener en la seguridad de los usuarios. Su fácil instalación, uso y versiones para diferentes sistemas operativos son algunas de sus principales virtudes.

Al momento de loguearnos en un sitio web, es común que debamos ingresar nuestro usuario y contraseña, estos datos pueden ser cifrados utilizando HTTPS (Hypertext Transfer Protocol Secure), pero no así todo el resto del tráfico que generemos, una falla común en varios sitios web, que afecta a la seguridad de nuestros datos. Basándose en esto, Firesheep, utiliza esta falta de seguridad para secuestrar la cookie generada del usuario y tomar el control de su sesión. Utilizar una conexión mediante HTTPS solo para el login nos sigue dejando vulnerables a este ataque, debido a que el resto del trafico es a través de HTTP, con lo que un atacante puede hacer uso de la cookie que nos envía el servidor para secuestrar la sesión. Es de vital importancia entender que solo estaremos a salvo de esta herramienta si la conexión es en su totalidad realizada mediante el protocolo HTTPS.

Otro punto crítico que esto representa es que Firesheep es muy fácil de usar, lo que incrementa la amenaza a los usuarios. Un adolescente podría instalarlo en su computador y probarlo sin ningún problema. Su simplicidad y accesibilidad son dos de sus características más destacadas, lo que causan que la herramienta sea ampliamente utilizada. A esto hay que sumarle que es multiplataforma, actualmente cuenta con versiones para Mac OS X y Windows, con una versión para Linux en vías de desarrollo por parte de su autor. Queda más que claro que estamos hablando de una herramienta sencilla, al alcance de todos y disponible para diferentes versiones de Sistemas Operativos.

Debemos saber que para ser víctimas de Firesheep, el atacante debe estar conectado a la misma red inalámbrica que nosotros y el ataque ser efectuado en tiempo real (siempre y cuando no haya caducado la cookie enviada por el servidor o se haya cerrado la sesión). Contrariamente a esto, todo dispositivo conectado a una red inalámbrica podrían ser víctimas de este ataque, incluso dispositivos móviles o smartphones, lo que aumenta la exposición y peligrosidad de esta herramienta.

Como una primer medida de protección, sugerimos asegurarnos que al momento de iniciar sesión en un sitio web utilicemos una conexión segura, durante toda la conexión, siempre y cuando esto sea posible. Deberíamos intentar no conectarnos desde redes inseguras a excepción de que esto sea realmente necesario. En lo que respecta a como prevenirse de que una persona utilizando Firesheep secuestre nuestros datos, se pueden usar diferentes add-ons para nuestro navegador que fuerzan el uso de HTTPS.

Con la aparición de Firesheep es más que claro que el uso de una conexión segura durante toda la comunicación, es un requerimiento real con el que los sitios web deberían contar, y que su uso no debería ser postergado en servicios masivos que transfieren información confidencial. En los sitios que requieran validación de usuario y contraseña, implementar conexiones HTTPS durante toda la conexión es una alternativa muy viable en términos de seguridad. La principal barrera con la que contamos al momento de exponer nuestros datos en la web es siendo consientes de las amenazas existentes y contar con buenas prácticas para navegar en Internet. Las amenazas y fallas de seguridad siempre existieron y es posible que nunca dejen de hacerlo, es por ello debemos de estar actualizados en lo que respecta a materia de seguridad.

fuente: blogs.eset-la.com