Seguridad en el uso de dispositivos móviles y portátiles

Transcripción

1 Seguridad en el uso de dispositivos móviles y portátiles Juan Carlos Rodríguez jcrodriguez@s21sec.com Confidencialidad, Integridad y Disponibilidad Confidencialidad, integridad y disponibilidad de la información gestionada desde dispositivos móviles. DISPONIBILIDAD CONFIDENCIALIDAD INTEGRIDAD

2 Dispositivos móviles En la actualidad utilizamos a diario una gran variedad de dispositivos móviles capaces de almacenar y gestionar información. Su portabilidad, y reducido tamaño permiten su transporte con facilidad, y por ello son más vulnerables a ser olvidados, perdido o robados. Confidencialidad de la Información La información contenida cada día es mayor y más diversa: Documentos laborales y privados. Fotografías y Videos personales. Mensajes de correo privados. Información sobre cuentas bancarias Reservas de viajes. Cómo protegemos el acceso a toda esta información personal y laboral?

3 Control acceso a portátiles En ordenadores portátiles, se confía en el proceso de autenticación ofrecido por el S.O. Es infranqueable esta barrera? Control acceso a portátiles Si tenemos acceso físico al equipo, es posible acceder al sistema de archivos sin conocer las credenciales de acceso. En sistemas Windows: Es posible iniciar el equipo desde un diskette con DOS y a continuación ejecutar utilidades como NTFSDOS para montar el sistema de archivos NTFS. Podemos arrancar el equipo con una distribución CD_LIVE_Linux y mediante utilidades existentes, cambiar la contraseña de la cuenta administrador. En sistemas Linux: Podemos arrancar el equipo con otra distribución CD_LIVE_Linux montar la partición original y editar el fichero /etc/shadow para modificar la contraseña del administrador

4 Confidencialidad de la Información Una vez obtenido el acceso como administrador descubrir el resto de contraseñas es cuestión de tiempo Ejemplo de programa de crackeo de contraseñas por fuerza bruta. Confidencialidad de la Información Si se utiliza la opción de recordar contraseñas, podemos obtenerlas fácilmente instalando el programa adecuado. Ejemplo programa SnadBoy s Revelation Cuenta usuario en Outlook

5 Confidencialidad de la Información Cómo podemos proteger entonces información confidencial? Utilizando la criptografía para cifrar la información mediante técnicas y algoritmos independientes de la autenticación del sistema operativo. Confidencialidad de la Información Algoritmos de Cifrado Simétricos La misma clave y algoritmo para codificar y decodificar Clave simétrica o secreta Algoritmo simétrico Internet Algoritmo simétrico Texto en claro Criptograma Criptograma Texto en claro Clave Canal seguro Clave Toda la seguridad se basa en la confidencialidad de la clave

6 Confidencialidad de la Información Algoritmos de Cifrado Asimétricos Claves relacionadas diferentes para codificar y decodificar Clave pública Clave privada Algoritmo asimétrico Internet Algoritmo asimétrico Texto en claro Criptograma Criptograma Texto en claro Clave pública Clave privada Confidencialidad de la Información PROBLEMAS Combinación de los dos métodos de cifrado Algoritmos simétricos Algoritmos asimétricos Distribución de claves Lentitud de codificación Misma clave para mucha información Simétricos para codificar Facilita el criptoanálisis SOLUCIÓN Claves: diferentes en cada sesión Asimétricos para transmitir claves de sesión

7 Confidencialidad de la Información Windows 2000/2003/XP incluye el sistema EFS (Encryption File System): Cifra el contenido de carpetas y ficheros de forma transparente para el usuario No solicita ninguna contraseña para el cifrado, se apoya en la cuenta de usuario utilizada para iniciar sesión. Confidencialidad de la Información Características del Sistema EFS La carpeta se cifra con una clave simétrica generada al azar. Se crean un par de llaves (publica/privada) para el usuario enviadas en forma de un certificado digital autofirmado (salvo que exista una PKI de empresa) Este certificado es dependiente del sid del usuario (W2000) o de la contraseña (XP). La clave simétrica anterior se cifra con la llave pública del usuario + la llave pública del agente de recuperación de archivos cifrados (administrador). Limitaciones Si el usuario inicia sesión con su cuenta y password el acceso es transparente. Si se fuerza el cambio de contraseña del usuario!!se pierde el acceso a las carpetas cifradas!! Si se copia un archivo cifrado a una partición no NTFS!!el archivo pierde el cifrado!!

8 Confidencialidad de la Información Aviso de Seguridad al forzar el cambio de contraseña de un usuario Confidencialidad de la Información Existen diversos programas que permiten aplicar técnicas de cifrado a carpetas y ficheros. AxCrypt (Cifrado simétrico) TrueCrypt (monta volúmenes cifrados) PGP/GPG (cifrado, firma y montaje de volúmenes cifrados)

9 Confidencialidad de la Información El programa AxCrypt, se integra en el explorador de archivos. TrueCrypt Confidencialidad de la Información Permite el cifrado de particiones y/o dispositivos externos Permite la creación de volúmenes cifrados (host-file) Es posible crear volúmenes ocultos. Permite crear un disco o dispositivo con la configuración. Los volúmenes pueden ser montados como R/O

10 Confidencialidad de la Información TrueCrypt, Ejemplo de acceso a un volumen cifrado Cifrado de llave Pública PGP, (Pretty Good Privacity) Disponible tanto para plataforma Windows como Linux Utiliza la criptografía de llave pública/privada Permite el cifrado y firmado de documentos Permite montar volúmenes cifrados Se integra con los programas de correo mas habituales

11 Cifrado de llave Pública PGP, Generación y gestión de llaves Incluye las opciones de: Generar un nuevo par de llaves (New Key) Importar o exportar llaves (Import/Export) Firmar (aprobar) llaves importadas (Sign) Seleccionar la llave a utilizar predeterminada (Default Key) Revocar una llave (Revoke) Añadir nombre,foto o certificado a una llave (Add) Cifrado de llave Pública PGP, Busqueda y envio de llaves públicas Permite: Enviar una llave por (Mail Recipient) Enviarla a un servidor (Domain Server) Enviarla a servidores públicos en Internet (ldap:// )

12 Cifrado de llave Pública PGP, Cifrado de Información Permite el cifrado de un archivo desde el Explorador Del contenido del portapapeles Del contenido de la ventana actual Ocultar información, Esteganografía Práctica utilizada para ocultar la información confidencial. La técnica más habitual consiste en ocultar una información dentro de otra. (por ej. Un fichero de texto dentro de una imagen).

13 Ocultar información, Esteganografía En los sistemas Windows con particiones NTFS la técnica de streaming permite ocultar un fichero dentro de otro. Borrado Irrecuperable de información Cuando en nuestro equipo se almacenan documentos confidenciales Estamos seguro que cuando los borramos o dejamos de utilizarlos no son recuperables? Sistemas como Windows proveen de la papelera de reciclaje para la recuperación de ficheros borrados accidentalmente En general, los programas de ofimática crean copias temporales de los archivos con los que estamos trabajando. Los S.O. trabajan con memoria virtual volcando temporalmente contenido del disco a RAM y viceversa. Existen utilidades capaces de recuperar información directamente de los sectores del disco.

14 Borrado de información confidencial Es necesario sobreescribir múltiples veces con datos aleatorios el contenido de los ficheros que deseamos eliminar. Proteger la utilización de contraseñas Si utilizamos nuestro equipo en un lugar que no es de absoluta confianza, (un hotel, un cybercafe, ) debemos evitar la utilización de aplicaciones que requieran la identificación mediante la usuario y password sin tomar precauciones especiales para evitar su captura. Es recomendable la utilización de programas que almacenan estos pares de valores, de manera que no sea necesario teclearlos y así no ser capturados por keyloggers o videocámaras.

15 Proteger la utilización de contraseñas La utilización de una contraseña maestra abre el acceso al área protegida donde se almacenan el resto de contraseñas así como información confidencial. El acceso posterior a los servicios se realiza de forma automática y no es necesario teclear la identificación. Proteger la utilización de contraseñas Este tipo de programas pueden ser lanzados desde soportes externos como pendrives USB o tarjetas SD con opción de autoejecución. Para mayor seguridad el dispositivo externo puede contar con medidas de control de acceso específicas como contraseña para acceso a zona privada o incluso utilización de biometria.

16 Seguridad de las comunicaciones inalámbricas Es posible establecer comunicaciones inalámbricas WIFI con ordenadores portátiles y PDA desde hoteles, aeropuertos, centros comerciales, El pago por este servicio suele ser elevado, y por ello encontrar un Punto de Acceso abierto sin contraseña es tentador, pero Cómo podemos estar seguros de la honradez de esta conexión? Cómo sabemos que esta conexión no es un cebo para capturar el tráfico que enviamos? PDA s y Teléfonos móviles La utilización de las PDA y móviles de última generación brinda la oportunidad de acercar la ofimática y las comunicaciones a la palma de la mano. En estos dispositivos frecuentemente se almacena información confidencial, contactos de clientes, proveedores, contraseñas, Cómo se protege todo este contenido?

17 PDA s y Teléfonos móviles El primer acceso al dispositivo requiere introducir un PIN secreto, pero Y si olvidamos o perdemos el dispositivo ya conectado? Tenemos bloqueado con contraseña el dispositivo tras un tiempo de inactividad? Resulta cómodo trabajar de esta manera? Seguridad de PDA s y móviles Debemos almacenar en lugar seguro!no en nuestra cartera! Los datos de identificación del dispositivo como: El PIN y PUK de la tarjeta SIM El numero de IMEI del dispositivo El código de seguridad que bloquea/desbloquea el terminal. Configurar el terminal para evitar que pueda ser utilizado con otra tarjeta SIM diferente. Proteger inactividad mediante contraseña. No copiar la agenda al teléfono si no se aplican las medidas anteriores. Si es posible utilizar programas para el cifrado de información.

18 Cifrado de información Solución de cifrado personal para PDA con S.O. Pocket PC Control de acceso y cifrado de PDA s Solución cifrado empresarial

19 Conexiones bluetooth Permiten la conexión inalámbrica y el intercambio de información entre dispositivos compatibles. Muy utilizado para conectar otros dispositivos (auriculares, manos libres, GPS, ) a móviles y PDA s. Activado y en la mayoría de las configuraciones permite que el dispositivo sea descubierto y pueda intentarse una conexión. Ataques a conexiones Bluetooth Ataques a los primeros terminales con implementaciones incorrectas de los fabricantes BlueSnarf: Extraer archivos del teléfono BlueBug: Acceso a lo comandos AT HeloMoto: Acceso a comandos AT (solo en antiguos terminales Motorola) Ataques a equipos actuales - Motorola V80 - Motorola V800 - Nokia 6310i - Nokia Nokia 8910i - Ericsson T39 - Ericsson R520m - Ericsson T68 - Siemens S55 - Siemens SX1 - Sony Ericsson T68i - Sony Ericsson T610 - Sony Ericsson T630 - Sony Ericsson Z600 - Sony Ericsson Z1010 BlueLine: Engañar al usuario para que acepte la conexión BlueMacSpoofing: suplantar la MAC de un equipo de confianza. BTCrack: Crackear el PIN y la clave de enlace de la conexión

20 Recomendaciones seguridad BlueTooth Desactivar Bluetooth mientras no se utiliza Si es necesario configurar el modo de no descubrimiento No aceptar conexiones de equipos desconocidos Rechazar intentos de emparejamiento No aceptar archivos de equipos desconocidos Aunque parezca que provienen de un hot spot comercial Eliminar entrada de emparejamiento sin utilizar Suplantar la MAC_ADRR es trivial Se pueden robar claves de enlace por ingeniería social Gracias por su atención