Vulnerability Team

Thomas Roth, investigador alemán de seguridad, ha encontrado un uso innovador de la informática en la nube: romper las redes inalámbricas con contraseñas, como las que se encuentran en los hogares y las empresas más pequeñas.

Roth ha creado un programa que se ejecuta en el Elastic Cloud Computing (EC2) de Amazon y que utiliza la potencia de EC2 para ejecutar unas 400.000 posibles contraseñas por segundo, una cantidad asombrosa, hasta ahora desconocido fuera de los círculos de supercomputación.

Es decir, realmente no estamos ante un hack inteligente o elegante, ni se trata de un fallo de la tecnología de las redes inalámbricas. El software de Roth sólo genera millones de frases, las cifra y ve si permiten el acceso a la red.

Sin embargo, si empleamos los recursos teóricamente infinitos de la informática en la nube podríamos romper las contraseñas. Eso sí, la compra de los equipos necesarios para poder ejecutar esto costaría decenas de miles de dólares. Sin embargo, Roth considera que una contraseña inalámbrica típica se puede adivinar por el EC2 y su software en unos seis minutos, llevando a cabo una demostración en el área donde vive.

wifiRoth tiene la intención de hacer que su software a disposición del público, y en breve presentará su investigación en la conferencia Black Hat en Washington.

Además, Amazon prohíbe en sus condiciones de uso de EC2 el empleo de estos recursos para fines delictivos, aunque según una información de Reuters, Drew Herdener, portavoz de Amazon, habría declarado que si la herramienta de Roth se utiliza únicamente para propósitos de prueba, no hay problemas.

La intención de Roth es mostrar el sistema de protección WPA-PSK, utilizado normalmente por usuarios domésticos y pequeñas empresas, es inseguro. WPA-PSK establece una contraseña de hasta 63 caracteres (o 64 dígitos hexadecimales).

fuente: idg.es

Una vez más, la seguridad de las redes sociales ha sido puesta a prueba y ha fallado: el desarrollador Eric Butler ha creado Firesheep, una extensión para Firefox que permite a cualquier usuario que la instale entrar en las cuentas privadas de otras personas sin introducir una contraseña válida.

El funcionamiento de la extensión es bien simple: al instalar Firesheep en el navegador de Mozilla, el usuario tiene una barra nueva de herramientas con un botón que dice “empezar a capturar”. Al pincharlo, la aplicación monitorea el “aire” en busca de usuarios registrándose en webs inseguras. Cuando encuentra a alguien, nombre y foto aparecerán en la barra lateral, y con solo pinchar en ella se puede entrar en su cuenta.

El objetivo de Eric Butler al desarrollar esta aplicación es el de alertar de la inseguridad de acceder en lugares con wi-fi público a sitios web privados (como redes sociales, etc), y de la facilidad para que cualquier atacante acceda a la cuenta de un usuario.

Según Butler, se trata de “un problema muy conocido del que se ha hablado hasta la saciedad”, y que aún así “webs muy populares continúan fracasando en la protección de sus usuarios”. Y los sitios son realmente populares, ya que Butler nombra a Twitter, Wordpress, Facebook, Evernote, Dropbox, Amazon, Flickr y Yahoo. El desarrollador espera conseguir con esta extensión que todas estas webs se centren en mejorar la seguridad de sus usuarios.

fuente: itespresso.es