Blog de Matias Katz Info de IT para la gente Comun, Info Comun para la gente de IT

IP Versión 6, el futuro de la Seguridad Informática

Domingo, 17 hs. Me voy con mi laptop a algún bar lindo. La prendo, tengo mi backtrack (Novedades sobre el tema, tienen nuevo sitio y hace 15 días sacaron la versión 4) listo para trabajar.

Para empezar, hasta que llega la moza, me conecto a la red WiFi y escaneo toda comunicación en texto plano que el resto de los clientes en el bar estén efectuando. Logro conseguir un par de credenciales de poco valor, pero no me preocupo porque ese no es el motivo principal de mi visita al bar.

Empiezo a tipear y posiciono mi ataque a donde sea que el viento me lleve. El viento me lleva hacia las puertas del sitio web de la empresa X (el nombre es irrelevante, obviamente ). Comienzo a buscar formas de poder ingresar a su red. Voy a tardar un poco en lograrlo, pero no tengo apuro (la moza todavía ni me trajo mi café. Es domingo, estamos todos muy tranquilos).

Luego de un rato largo (ya me había terminado mi café para ese momento), encuentro un agujero en la infraestructura informática de esta empresa que me permite ejecutar un exploit. Lo ejecuto, consigo una consola de comandos en uno de sus servidores de perímetro. Las credenciales locales con las que pude entrar a este equipo me permiten llegar al root folder donde se aloja el Website principal de la empresa. Edito su archivo Index.html y agrego un espacio al comienzo del título del sitio. Es sutíl, pero cumple.

Cierro la conexión, apago mi laptop, pago el café y me voy contento, ya que pude disfrutar un domingo con café y hacking, 2 de mis mayores pasiones.

Que pasa del otro lado del mostrador?

Supongamos que la empresa X tiene un muy buen equipo de seguridad informática (no los juzguen por tener ese agujero en su perímetro, somos todos humanos) y tienen implementado un buen sistema de logs. Supongamos también que leen los logs que guardan. Bueno, suponiendo todo eso (y siendo altamente optimistas):

1) Empiezan a atar cabos y llegan a rastrear mi conexión ilegal.

2) Revisando logs ven toda mi actividad (era domingo, no tenía ganas de ir reventando logs)

3) Llegan a la modificación del archivo. Lo corrigen.

4) Analizan como hice para meterme y encuentran la vulnerabilidad que lo permitió

5) Piden autorización a la gerencia, levantan un ticket y parchean los servidores que lo necesiten

6) Sepultan el tema para siempre o tratan de castigar al atacante, contactando al ISP al que le corresponde la IP pública de donde se perpetuó el ataque.

7) El ISP les dice que dicha IP corresponde al cliente Y, ubicado en la calle Z. (No es tan así, pero para resumirlo...)

8 ) Llegan al domicilio y ven que es un bar, que tiene un movimiento de unos 1000 clientes diarios. Entran y buscan al gerente, quien les dice que no entiende lo que es un sistema de logs (obviamente, es gerente de un bar) y que no puede darle la información que le piden.

9) El administrador de seguridad de la empresa X le pide permiso al gerente del bar para entrar en la configuración de su router de perímetro. El gerente se despertó de buen humor y se lo permite. El administrador se encuentra con que el router (que tiene un valor al público de U$S 60) recibe del ISP una única IP, y hace un típico NATeo con las terminales conectadas en su red. No sólo eso, sino que el equipo no guarda más que las últimas 6 horas de logs.

10) Caso cerrado. El atacante está muy relajado mirando la tele. Por suerte el daño fue prácticamente nulo. Por suerte...

Habiendo finalizado esta Situación Hipotética (si, hipotético... Realmente me creían capaz de hacer eso?), les pregunto:

Cómo se podría haber mitigado esto?

Simple: IP Versión 6.

La delegación de IPs no debería recaer sobre un pobre router de perímetro de U$S 60 de valor.

Si se instaurara la IPV6 como standard, los ISP podrían entregar IPs diferentes a CADA terminal conectada a sus servicios, haciendo la auditoría 100% más fácil y efectiva.

Si, es verdad, igualmente se puede lograr un nivel de anonimato bastante alto; solo basta spoofear mi MAC o usar una VM, etc. etc.  Todo eso es verdadero. Pero, utilizando IPV6 brindada directamente desde el ISP, el proceso de log y trackeo de un ataque sería totalmente diferente.

Imaginen una botnet, donde las PC zombies pertenecen a una empresa J (me quedé sin letras). Gracias a los logs del ISP, se podría averiguar específicamente cuales de las PC de esa empresa están infectadas, y si eso se concatena con un buen procedimiento de logs a nivel local, se podría inclusive averiguar si hubo consentimiento o no por parte del usuario, y lograr notables avances en cualquier investigación.

Si en la situación hipotética que conté antes, yo hubiese tenido una IPV6 delegada directamente del ISP, podrían existir logs de mis actividades previas y posteriores al ataque, podría individualizarse mi comportamiento del que haya tenido el resto de la clientela al momento de mi ataque, y el bar se evitaría problemas legales.

La IPV6 se creó para solucionar un problema de disponibilidad. el NATeo congeló su desarrollo. Ahora, la IPV6 sería una implementación clave en la mitigación de fraudes y delitos informáticos.