Blog de Matias Katz Hablamos un poco de seguridad?

Esta vez, Goliat ganó

A las 4 AM del día de hoy, el dominio "matiaskatz.com" dejó de estar en funcionamiento.

Nadie, absolutamente nadie me avisó del problema. Ni el hosting, ni el registrar. Nadie. Si yo no hubiese intentado acceder al blog esta mañana para postear sobre el Día Internacional de IPv6, jamás me habría enterado.

La cuestión es que tanto el acceso web como el ingreso de mails quedó inhabilitado. Todo el mundo que quiso entrar al blog hoy, no pudo. Todo el mundo que quiso escribirme, recibió un "delivery failure" desde su servidor de correo electrónico.

Luego de comenzar la indagación (es decir, abrir un ticket de soporte en el hosting) comenzó mi "preocupación/enojo/bronca por impotencia" sobre el tema. Cómo puede ser que un dominio entero quede deshabilitado?? Ni siquiera los DNS respondían a los requests, era como si el dominio no existiese.

Recién pude obtener el primer indicio de información a las 15 hs, 11 horas después del inicio del problema:

Alumnos, ex-alumnos, amigos, colegas, y público en general que sigue mis clases y charlas, blog, twitter y demás, conoce del sitio de phishing que tenía en mi website como PoC (prueba de concepto) con motivos de concientización:

El sitio era muy similar a la pantalla de login de Gmail, con algunas diferencias. Al ingresar el usuario las credenciales en el sitio, era automáticamente redirigido a la siguiente pantalla:

El sitio alertaba al usuario de que había sido víctima de phishing, y aclaraba que las credenciales no habían sido guardadas. Esto era cierto, el sitio era una simple demostración de las técnicas de phishing.

Sobre mi ticket de soporte elevado, recibo un mail de mi proveedor de hosting con un forward de un email enviado por Google diciendo lo siguiente:

Google Trust & Safety wrote:

Hello,

Dear Abuse Team:

Notice of DOMAIN hosted on your service used for FRAUD/PHISHING:

Domain:MatiasKatz.com
Full URL: http://www.matiaskatz.com/gmail/
IP:190.183.60.137
Target of Attack:gmail
Abuse Detected: 6/6/2011
Based on our investigation, the website is reported unauthorized and
unrelated to Google or any of its
products or services, and likely constitutes an unauthorized attempt
to collect Google user credentials.

In order to protect users from being misled or victimized, we request
that you remove the domain from the DNS and lock it against future
changes by the perpetrators.

We also ask that you take the following actions wherever relevant or
possible:

- Please provide us with a tar/zip file of the source code for this
website, so that we may analyze it to help prevent further attacks
- If any customer data has been captured that is stored on your
systems or equipment, please send us that data so that the customers
to whom that data relates can be notified and steps taken to protect
their sensitive information
- Please provide a copy of any records you maintain that indicate the
name, contact information, method of payment or similar information
that may be useful in helping learn the identity and location of the
customer for whom the website has been operated

Please investigate this report and take appropriate action. If you
have any questions, please direct them in a reply to this email
Sincerely,

Google Trust & Safety

Resumiendo, el mail de Google decía que encontraron un sitio que podría estar realizando tareas de phishing a nombre de la empresa y que por eso le pedían a mi proveedor de hosting lo siguiente:

• Deshabilitar completamente el dominio
• Entregar el código fuente del sitio web en cuestion
• Entregar información sobre nombre, contacto y tarjeta de crédito sobre el titular de la cuenta (yo)

Paralelamente, Google se contactó con mi Registrar y ordenó lo mismo. Mi Registrar acató las órdenes de Google al pie de la letra y me deshabilitó por completo el acceso al dominio, sin darme ningún tipo de notificación, advertencia, consulta, pedido de confirmación ni derecho a réplica:

Me tomó 4 horas y una conversación telefónica de 1 hora con USA (que nadie jamás me reembolsará) el resolver la situación. Tuve que eliminar el sitio sospechoso y escribirle un email a Google pidiendo disculpas de mis hechos. Y de los daños y perjuicios de tener mi website deshabilitado durante un día entero, y cientos de mails de terceros habiendo sido rebotados.... Nadie se hará cargo.

En resumen... Goliat es fuerte. Si, es bueno en lo que hace y nos simplifica y ayuda la vida en Internet. Pero también demuestra que puede hacer lo que le plazca con nosotros, sin que tengamos derecho a defendernos.

Cierro este post con una frase de Gerald Ford, comúnmente mal atribuída a Thomas Jefferson:

"Government big enough to supply everything you need is big enough to take everything you have. The course of history shows that as a government grows, liberty decreases."

"Un gobierno lo suficienemente grande como para darte todo lo que necesitas, es suficientemente grande como para sacarte todo lo que tienes. El curso de la historia nos muestra que a medida que un gobierno crece, la libertad decrece"

Saludos,