Búsqueda de Temas

domingo, 10 de febrero de 2008

Hackear Gmail y Yahoo mail con sidejacking

En agosto pasado, un investigador de seguridad y CEO de la compañía Errata Security demostró qué fácil resultaba acceder a información potencialmente seria de un usuario. Su ténica (llamada sidejacking) intercepta los cookies de una sesión ID desde una señal WiFi y es usada para una serie de propósitos, incluyendo enviar y recibir emails. Ahora es posible hackear Gmail.


Este tipo de ataque se realizar luego de que el usuario final ha iniciado sesión de manera segura en un servicio. Virualmente todas las compañías proveen un portal de login seguro, pero muchas de ellas no aseguran la conexión luego de éste, lo cual expone al usuario final a ser potencialmente hackeado como se ha descrito anteriormente. Durante su demostración en tiempo real, Graham dijo que los usuarios de Google Mail podrían cambiar a la dirección https://mail.google.com y asegurar así su período de sesión de esa snooping.

De acuerdo con Graham, el código del Javascript de Google hace peticiones HTTP epor detrás usando una vía XMLHttpRequest. Por defeceto, estos pedidos son "encriptados SSL" pero si el SSL falla, el estado varía a un modo no encriptado. Cuando un usuario intenta conectarse a un hotspot WiFi, Google Mail intenta conectarlos tanto si el SSL está activado o desactivado. Aún si el intento falla, las cookies de ID de inicio de sesión aún se mantienen transmitiéndole información al router, y puede luego ser capturado por cualquier sentado en un lugar cercano con un conjunto de programas apropiadamente configurados.

Graham mismo referencia a Google Mail como un ejemplo de este problema y cómo es que se puede hackear Gmail, pero está lejos de ser el único sitio afectado, y la alternativa https:// que ofrece sigue siendo mejor a la que puedes encontrar en otras webs. Facebook, Myspace y Yahoo mail son todas afectadas por esta vulnerabilidad, así como otras páginas "Web 2.0". Graham explica que la solución a esta vulnerabilidad es encriptar completamente la sesión del usuario como lo hacen las instituciones financieras, en lugar de cifrar sólo un login de la página para que así tengan éxito, los productos como Google Mail, obviamente, no puede deshacerse de nuevo del modo sin SSL al intentar conectarse.

Graham finaliza diciéndonos que Gmail es actualmente un producto fundamentalmente inseguro, pero la situación en su conjunto es, evidentemente, inferior a la ideal. Si la cantidad de usuarios conectados vía Wifi continúa en aumento, este tipo de fallas de seguridad harán que una gran cantidad de compañías y usuarios de la tecnología inalámbrica se vean atemorizados y dejen de usarlas.

Enlace: Gmail | Vía: Ars Technica

Contáctame