Geekotic

La baja actividad en este weblog de pacotilla delata, además de que a lo mejor me estoy rascando mucho, otra realidad de mi temporada sabática en la bobósfera (término que por cierto ya se quedó anticuado, ahora debería ser algo como socialmierdósfera o similar): Ni me acuerdo a veces de que existía algo que se llamaban feeds. Pero cuando a veces le regalo mi valioso tiempo (ok…) a la lectura de un buen artículo, me encuentro a veces con perlas muy interesantes, como la reseña de dos interesantes charlas de seguridad dadas en la última Black Hat realizada por su majestad el Maligno. Mientras que de una de ellas, la nueva vulnerabilidad que afecta a WPA2 (hasta el momento el protocolo más seguro para conectarse por Wi-Fi) se explayó oportunamente Alejandro de SpamLoco, a mí me llamó poderosamente la atención la otra que, en honor a la verdad, aunque utiliza dos conceptos que ya son conocidos desde hace un buen tiempo no deja de preocupar un poquito.

Para exponerlo en semi-nardo-geek-criollo, nuestro muchacho, un tal Samy Kamkar, en primer lugar logra, mediante un ataque XSS que afecta a los routers inalámbricos del gigante estadounidense Verizon, obtener la MAC address de la interfaz inalámbrica de dichos equipos sólo con conseguir que la víctima detrás de uno de estos acceda a un sitio que dispare la vulnerabilidad, siendo el único requisito necesario que lo haga desde un navegador que haya sido previamente autenticado con la interfaz web de administración de su router. Mediante la misma vulnerabilidad también se envía este dato al atacante, para luego pasar a la fase 2.

La segunda parte es, al menos para mí, una que me resulta preocupante por ser algo que casi todos conocemos y pocos pensamos que se podría usar de esta forma, aunque sí nos sospechábamos que algún día se nos volvería en contra. Se trata ni más ni menos que de la infame base de datos mundial que Google mantiene donde asocia con una coordenada geográfica toda red Wi-Fi que hayan detectado en sus innumerables incursiones para mapear al mundo. En su charla sugestivamente intitulada How I met your girlfriend nuestro amigo Samy explica como descubrió, examinando de qué manera funciona el protocolo de geolocalización que utiliza Firefox y otros navegadores, como cuando Google Maps intenta establecer nuestra ubicación uno de los parámetros que utiliza para conseguirlo es fijarse en la red inalámbrica a la que estamos conectados (si este fuese el caso) y consultar su localización en su inmensa base. El parámetro que identifica a cada red no es desde ya su nombre, sino sería un verdadero despropósito con tantas llamadas linksys, netgear y similares, sino que como ya bien lo saben o se lo imaginan a estas alturas se trata del dato que fue extraído en el paso anterior: La MAC Address, la dirección física del adaptador inalámbrico del router, la cual como con toda interfaz de red es un valor único e irrepetible de fábrica. De esta forma el ataque completo consigue ubicar geográficamente a la víctima con una asombrosa y atemorizante precisión, y sin necesitar de un GPS o la red de telefonía celular.

En su sitio de muestra del xploit Samy nos muestra como con tan sólo ingresar la MAC de cualquier red Wi-Fi obtenemos enseguida no sólo unas coordenadas, la cual muy amablemente nos exhibe en Google Maps, sino datos más directos, como País, Ciudad, Calle y hasta la Altura, generalmente con un rango de error de una cuadra. Uno a veces no suele preocuparse por estas cosas porque cree que sólo ocurren en países del primer mundo donde ya a estas alturas cada ciudadano cuente sin saberlo con una sonda anal de rastreo, pero fue grande mi sorpresa al verificar que Google sabe donde vive mi Wi-Fi.

Lo más peligroso de toda esta cuestión radica en que, mientras la mayoría de los routers permiten desde su configuración cambiar la dirección física del adaptador WAN, o sea el que se conecta a Internet a través de, por ejemplo, el cablemódem o módem ADSL, no conozco ninguno que permita hacerlo con la del adaptador WLAN. La única vía posible de evitar quedar escrachados en este caso radicará en poder utilizar un router movido por Linux, desde cuya línea de comandos se puede realizar este cambio con relativa facilidad.

¿Creen que pueden estar a salvo de las implicancias de que Google sepa donde vive nuestro router tan sólo porque no es uno de Verizon? Puede que lo quieran pensar otra vez, todos los días surgen nuevas formas de extraer mediante el navegador información del equipo en el que este corre…

Creyeron que se habían librado de ellas, pero volvieron de las tinieblas para perseguirlos a todos. Con ustedes la primer Duda Existencial 2010.

Continue reading

El invento no tan in invento que hizo que el niño Zuckerberg no tuviera que preocuparse más por su futuro económico dio bastante que hablar en las últimas semanas, y siempre alrededor de un mismo tema: Facebook y sus constantes abusos a la privacidad de sus usuarios, que a estas alturas pueden equipararse a la franja de población mundial que tiene acceso a Internet.

Por un lado algunos tuvimos bien presente la propuesta de QuitFacebookToday.com, un sitio que proponía a modo de protesta que todos los que se hayan decidido o convencido de dejar a la red social más grande se den de baja en un mismo día, que fue el pasado 31 de Mayo. Algo más de 36 mil usuarios se comprometieron a abandonarlo para siempre, pero, qué son 36 mil al lado de los 400 millones que la f más famosa de la red alega poseer?

Y déjenme ser bien sincero acá, yo estuve muy cerca de ser uno de esos 36 mil y pico, y más cuando los nuevos controles de privacidad aparecieron repentinamente en mi cuenta, sintiéndome empernado y víctima del cuento del tío una vez más. Hasta llegué a borrar fotos familiares de mi perfil y todo (aún sabiendo que posiblemente Facebook se las guarde para siempre) y a avisar a amigos de mi próxima despedida, preparando todo para el 31. ¿Qué pasó entonces? Para empezar me olvidé y se me pasó la fecha, y aquí pueden culpar al sitio organizador del éxodo masivo el cual no tenía un formulario funcional al momento de dejar mi email para que me lo recuerde; por otro lado estuve a punto de hacerlo igual cuando me acordé, pero hay que admitirlo, la adicción es muy fuerte, y más cuando se ve que es más fuerte en tus amigos. ¿Qué sentido tiene ir a una red social que nadie usa? Es el mismo motivo por el que por años hemos usado MSN/Windows Live Messenger y no Jabber; porque todas las chichis están en el primero. Y ahora todas, absolutamente todas, tienen su cuentita para que Zucker-boy pueda chusmear las fotos de una distinta cada día sin repetir jamás en toda su vida.

Y mientras no me decidía si despedirme para siempre de las invitaciones de aplicaciones al pedo y los estados delirantes que no dicen nada, me encontré con ReclaimPrivacy.org, un sitio que permite afinar de una forma simple la configuración de privacidad de Facebook, incluso para quienes se marean en ella y no saben que tocar. Para eso sólo debemos ingresar al sitio y arrastrar el botón gris que el mismo presenta hasta nuestra barra de marcadores, para luego accionarlo cuando ingresemos a la página principal de controles de privacidad. Al accionar el botón Scan for Privacy, un script chequeará todos los parámetros de nuestra cuenta para avisarnos si existen ítems de nuestra cuenta que estén demasiado expuestos, y nos ofrecerá el link correspondiente para ir directamente a la página de Facebook donde puede cambiarse. Una vez reajustada la privacidad a nuestros deseos, podemos volver a realizar un escaneo para estar seguros.

Este botón funciona sin problemas tanto en Firefox como en Opera según pude probar, aunque en este último aparece un poco fuera de lugar en la página, por lo que puede traer algunos problemas a la hora de arrastrarlo a una barra; de todas es probable que trabaje en cualquier navegador moderno. Y no puedo más que reconocer su utilidad, ya que encontró unos sectores de mi perfil que estaban “demasiado compartidos”, y que, entre tantos cambios adrede a los controles de privacidad por parte de Facebook, increíblemente había perdido de vista.

Pero hay lugar para lo extraño y todo: Incluso antes de ponerme a jugar con ReclaimPrivacy.org noté sorprendentemente que mi página de perfil no cargaba más desde un navegador que no estuviese con la sesión iniciada en otra cuenta.

¿Debemos realmente dejarlo antes de que guarde suficiente como para destruirnos? ¿Es una locura, un suicidio social, y debemos seguir usándolo? Tal vez las dos ideas son exageradas por igual, creo que estamos tan jugados como lo podemos estar dejando nuestras fotos y pensares en cualquier otro sitio que no controlamos (ok, tal vez un poquito más), y el mejor consejo para quien quiera seguir usándolo será reducir el grado de exposición: Menos fotos intimas y familiares, menos pensamientos sin pasar por el filtro de la sensatez, y cuidarnos de la misma forma que lo haríamos en un salón lleno de gente. Y si no nos importa nada porque estamos rejugados, no tenemos ni una profesión por la que nos pueda preocupar lo que salga en nuestro perfil, y nunca vamos a levantar cabeza, bueno, matensé ahí…

Casi en coincidencia, y como para amplificar toda la bronca que Guillermo Mayoraz nos contaba sobre el abuso a los clientes de telefonía celular en su post Si ya sos cliente no nos servís, hoy tuve una de esas revelaciones, que, al igual que las que nos dan los manochantas, nos cagan, nos cuestan plata, pero de todo eso algo aprendemos. Pero permítanme que les haga una breve cronología de lo sucedido hace algunas horas en mi vida:

19:00 hs: Sabiendo que tenía el crédito vencido en mi banda ancha prepaga de Movistar, realizo una carga virtual desde un quiosco justo antes de acudir a una cita que me demoraría una hora, para tener la certeza de que transcurrida esta podría contar con el crédito para conectarme desde algún café en caso que no funcione el Wi-Fi. Como había promoción para duplicar a partir de los $30 AR, cargo esa exacta cantidad, con lo que en teoría pasaba a tener cargada en mi línea prepaga $60 AR + lo que me quedara del crédito anterior vencido, según lo que calculaba alrededor de unos $10 AR.

20:00 hs: Termina mi cita y parto raudo a un café para utilizar mi netbook. Lamentablemente no hay ninguna red inalámbrica abierta con una calidad de conexión usable, por lo que me decido a usar parte de ese crédito cargado anteriormente para conectarme a través del 3G de Movistar. Inmediatamente noto que la conexión es un auténtico desastre, con redes de mensajería que nunca se terminan de autenticar, páginas que ni comienzan a cargarse, y demás. Pingueando a google.com llegué a obtener tiempos de 12 segundos. Aún así, sigo intentando, desconectándome y volviendo a conectarme cada tanto a ver si en una de esas “engancha” (algo que ya sea por la casualidad o no, me ha sucedido varias veces) y empieza a tener un ancho de banda mínimamente aceptable. Sigo sin suerte, reintentando una y otra vez.

20:30 hs aprox.: Ya totalmente frustrado por no poder hacer nada luego de tantos reintentos, dejo el 3G de Movistar a un lado y vuelvo a intentar conectarme por el Wi-Fi del café en el que estaba, que andaba deplorable pero aún así era un poco menos peor que el servicio de Vomistar. Me sigo frustrando porque aún así no me sirve para conectarme a nada.

20:50 hs aprox: Ahora frustrado nuevamente con el Wi-Fi, vuelvo a intentar con el 3G, a ver si por causalidad “se arregló”. Descubro que directamente se corta la conexión ni bien realizada, como lo haría si tuviera la cuenta cancelada por falta de pago o de crédito. Consulto el crédito por SMS y me dice que no tengo crédito ni para consultar el crédito. (?) Algo olía muy mal y no era el pedo que me acababa de tirar (los de uno siempre huelen bien).

Horas más tarde: En la tranquilidad de mi hogar vuelvo a comprobar el mismo comportamiento que claramente me indica que estaba inexplicablemente sin crédito en la línea donde se me deberían haber acreditado al menos $60 AR y cuyo servicio prácticamente no pude usar, por lo que no pueden cobrarme por un tráfico que no sucedió. O eso creía. Inmediatamente llamo al número de atención al cliente exclusivo para servicios de banda ancha móvil de la empresa, donde me atiende uno de sus drones de soporte al que le cuento más o menos con detalles todo lo anterior. Me explica que efectivamente el monto cargado fue acreditado, pero que a su vez fue completamente consumido, terminándose alrededor de las 20:30 hs. Le explico, ya enfatizando lo que había relatado antes, que eso tenía que ser imposible porque el servicio no me funcionó para nada y por tanto no se me podía haber consumido todo ese crédito en un tráfico prácticamente inexistente. La callcenter girl me intenta marear con un truco de aficionado diciéndome que no se factura por tiempo sino por crédito (MBs a determinado valor según la carga y/o plan), para luego darme vuelta todo e insinuarme lo contrario. Yo le explico más de una vez que si el servicio se cobra por Megabyte transferido, cosa que es así a menos que se contraten uno de esos packs de navegación por un día, jamás se me podría haber comido el crédito en 30 minutos en los que no pude ni enviar un maldito email con sólo texto. Luego me aconsejó varias veces que opte por uno de estos planes de navegación por un día para “maximizar mi crédito de navegación” y se ofreció a regalarme $10 AR para que pueda usarlo en la contratación de uno de estos packs; aún así tuvimos unos cuantos minutos de conversación de teléfono descompuesto, ya que con $10 no me iba a arreglar haber desperdiciado más de $60 sumado al tiempo también perdido.

Finalmente, y como obviamente no iba a poder arrancarle ningún testimonio que me dejara satisfecho, acepté su ofrecimiento de los $10 y la despaché. Y aprendí mi lección. ¿Cuál es esa lección?

Movistar Argentina te cobra el tráfico aunque este no llegue a destino y se pierda. Me puedo llegar a imaginar que esto a lo mejor se trata de una maniobra abusiva común entre todos los operadores, similares a cobrar por los minutos que suena el celular cuando se atiende o a cobrar por el chequeo de saldo. Y recordé una vez, hace 2 años aproximadamente, en la que tuve un problema llamativamente similar, sólo que en vez de tratarse de un chip 3G para conectar una netbook era una Pocket PC que a través de Bluetooth pretendía conectarse al EDGE de un celular. Misma historia: Una hora reintentando sin poder conectarse a nada, para luego descubrir que me habían desaparecido $40 recién cargados.

Todo esto me lleva a sacar esta inequívoca conclusión: Movistar (y tal vez otras operadoras) tienen el “medidor de tráfico” podríamos decir “entre la antena y el chip”. No importa si esos paquetes IP nunca salieron de la red de Movistar para alcanzar al servidor al que iban destinados, por el sólo hecho de haber sido emitidos por nuestra terminal o modem es suficiente para ser debitados de nuestro crédito. Y es así como podemos patinarnos un crédito que podría habernos durado semanas en una hora perdida de frustración al no poder conectarnos, donde, encima, nos cobran por ella.

El consejo no puede ser más claro: Si de una forma u otra necesitan contar con uno de estos abusivos y estafadores servicios, lo ideal es, ni bien verifican a la primera que la conexión no sirve para nada en ese momento, abandonar todo reintento y pensar en otra opción como puede ser ir a un lugar donde haya un hotspot Wi-Fi funcional. No seguir reintentando pensando que a lo mejor en la siguiente conecta bien y zafamos, que sería un pensamiento de índole similar al adicto al juego que no deja de apostar porque está seguro que en la próxima gana. Y acá es como en los casinos, la banca siempre gana.

Y si esto no es como para ir en patota entre todos los millones de usuarios y empalar a sus gerentes, no sé que otra cosa lo pueda ser, nos están cobrando por algo que ni siquiera funciona, incluso nos cobran más cuanto menos funciona, porque reintentamos y enviamos más tráfico continuamente que nunca llega a destino.

Como ven, realmente el rango de utilidad de las conexiones de datos ofrecidas por nuestras usureras operadoras se reduce, por culpa de su pésima calidad, a un extremo en el que no queda más que preguntarse si de verdad tiene algún sentido pagar por ellas. Yo por lo pronto lo voy a ir pensando.

Si hay una categoría de software para el Windows Geek que es variada y con muchas opciones, esa es la del control remoto. Desde el básico VNC original pasando por todos sus forks, o incluso el antaño ídolo de los ‘90 PCAnywhere, con el paso del tiempo la oferta en las formas de poder controlar una PC con Windows a la distancia no hizo más que crecer, llegando a un punto donde el mismo Microsoft reutilizó su Terminal Server para el mismo fin en la versión para estaciones de trabajo de su sistema operativo. Y más allá de que hay algunos mejores que otros en factores como velocidad, estabilidad o utilidades, existe un elemento a considerar que en muchos casos resulta de similar o mayor importancia que los anteriores, pero del que pocas veces veremos hablar al respecto por una serie de prejuicios: Ocultabilidad.

Para empezar, que conste que cuando digo esta palabra no me refiero al empleo de avanzadas y malignas técnicas dignas de rootkits para ocultar los procesos y conexiones pertinentes en el sistema, sino al simple hecho de que la aplicación en sí no anuncie con bombos y platillos al Usuario Frente A La Pantalla (de ahora en más UFALP) que la computadora en la que está trabajando acaba de ser accedida remotamente. Toda aplicación de control remoto que se precie anunciará su presencia y estado, casi indefectiblemente, con un llamativo icono en la bandeja del sistema, que convenientemente cambiará de aspecto y/o mostrará un mensaje de información acorde en caso de que Windows resulte abordado por extranjeros.

Pero, antes de que algún aprendiz de cacker nos tire por la cabeza con el “problema de seguridad” que significaría que el UFALP desconozca que están accediendo a su equipo, reflexionemos primero sobre los casos en los que este esquema se hace conveniente y hasta necesario, y sus implicaciones prácticamente nulas en cuanto a la seguridad propiamente dicha.

Continue reading