Alberto Cita - Skype Sin Levita. Un análisis de seguridad y privacidad [Rooted CON 2014]
Upcoming SlideShare
Loading in...5
×

Like this? Share it with your network

Share

Alberto Cita - Skype Sin Levita. Un análisis de seguridad y privacidad [Rooted CON 2014]

  • 443 views
Uploaded on

 

More in: Technology
  • Full Name Full Name Comment goes here.
    Are you sure you want to
    Your message goes here
    Be the first to comment
    Be the first to like this
No Downloads

Views

Total Views
443
On Slideshare
443
From Embeds
0
Number of Embeds
0

Actions

Shares
Downloads
3
Comments
0
Likes
0

Embeds 0

No embeds

Report content

Flagged as inappropriate Flag as inappropriate
Flag as inappropriate

Select your reason for flagging this presentation as inappropriate.

Cancel
    No notes for slide
  • Microsoft issued a patent application for Legal Intercept Technology by mid-2011Skype made CALEA compliantMicrosoft Patent Applicationhttp://appft1.uspto.gov/netacgi/nph-Parser?Sect1=PTO2&Sect2=HITOFF&u=%2Fnetahtml%2FPTO%2Fsearch-adv.html&r=1&f=G&l=50&d=PG01&p=1&S1=20110153809&OS=20110153809&RS=20110153809Skype pasa de estemodo a ser CALEA compliant - Communications Assistance for Law Enforcement Act-, quehace a lasempresas de tecnologías de la comunicaciónpuedansercontroladas, siemprepormotivos de seguridad y de estado.

Transcript

  • 1. 1 Rooted CON 2014 6-7-8 Marzo // 6-7-8 March Skype Sin Levita Un Análisis de Seguridad y Privacidad
  • 2. 2 Rooted CON 2014 6-7-8 Marzo // 6-7-8 March Skype, repaso rápido Skype es tanto un servicio propietario de voz- sobre-Internet como una aplicación software. Creada en 2003. Propiedad de Microsoft desde Mayo del 2011. Llamadas de voz y vídeo Skype-a-Skype, SkypeOut, SkypeIn, Mensajería Instantánea, envío de ficheros, pantalla compartida, SMS, video llamadas en grupo. Ampliamente usado, tanto a nivel personal como profesional.
  • 3. 3 Rooted CON 2014 6-7-8 Marzo // 6-7-8 March ¿Qué hacía a Skype diferente? Privacidad, como consecuencia de su diseño global. Comunicaciones híbridas peer-to-peer & cliente- servidor (supernodos) "Because of Skype's peer-to-peer architecture and proprietary encryption techniques, Skype would not be able to comply with such a request.” [en relación a las peticiones de intercepción legal] Protocolo Evasivo y con capacidades de auto- recuperación
  • 4. 4 Rooted CON 2014 6-7-8 Marzo // 6-7-8 March Arquitecura de Skype: Supernodes Los Supernodos de Skype – Los clientes Skype con suficiente ancho de banda, capacidad de procesamiento y que cumplieran otros requisitos, podían convertirse en “supernodos” de Skype. – Los supernodos intercambiaban datos empleando protocolos peer-to-peer. – En cualquier momento unos ~48K clientes hacían de “supernodos”. – 800 usuarios / supernodo En este momento sólo servidores de Microsoft pueden convertirse en supernodos – +10K cajas Linux – +4K usuarios / supernodo
  • 5. 5 Rooted CON 2014 6-7-8 Marzo // 6-7-8 March Cifrado de Skype La documentación relativa a los mecanismos de cifrado y transporte empleados por Skype es inexacta, está anticuada o, simplemente, no existe. Security by obscurity is not security at all. Si Microsoft ha modificado la arquitectura de supernodos, habrá dejado el cifrado cómo estaba?
  • 6. 6 Rooted CON 2014 6-7-8 Marzo // 6-7-8 March Skype en la red: ¡Vamos a echarle un ojo! Skype v. 6.14 (351) Security Analytics (Solera) port-mirror
  • 7. 7 Rooted CON 2014 6-7-8 Marzo // 6-7-8 March ¡Vamos a echarle un ojo!
  • 8. 8 Rooted CON 2014 6-7-8 Marzo // 6-7-8 March ¡Vamos a echarle un ojo!
  • 9. 9 Rooted CON 2014 6-7-8 Marzo // 6-7-8 March ¡Vamos a echarle un ojo!
  • 10. 10 Rooted CON 2014 6-7-8 Marzo // 6-7-8 March ¡Vamos a echarle un ojo! Social Networking Web Ads/Analytics Social Networking Social Networking Web Ads/Analytics Web Ads/Analytics Web Ads/Analytics Web Ads/Analytics Web Ads/Analytics Web Ads/Analytics Web Ads/Analytics Web Ads/Analytics
  • 11. 11 Rooted CON 2014 6-7-8 Marzo // 6-7-8 March Primera Ronda de Comentarios Comentario #1: El cifrado propietario de Skype habría sido reemplazado por SSL. Comentario #2: La mensajería instantánea de Skype está empleando los servidores del Menssenger de Microsoft Comentario #3: La prolífica actividad asociada a sitios categorizados como Web Ads/Analytics sugiere que los usuarios de Skype se están convirtiendo en productos, lo que incrementa la preocupación por la privacidad.
  • 12. 12 Rooted CON 2014 6-7-8 Marzo // 6-7-8 March Skype Sin Levita ¿Prodía el cliente software de Skype ser objeto de un SSL MITM? Veamos hasta donde podemos bajar por la madriguera del conejo…
  • 13. 13 Rooted CON 2014 6-7-8 Marzo // 6-7-8 March SSL MITM de Skype Skype v. 6.11 Security Analytics (Solera) SSL Visibility Herramientas: 2 cuentas de prueba de Skype con las que jugar. SSL Visibility de Blue Coat Un dispositivo de captura de paquetes conectado a la salida en claro del SSL Visibility – Blue Coat Security Analytics (preferiblemente) Certificado de CA Intermedia generado con una CA privada. – Importarlo en el SSL Visibility (MITM) como CA de firmas – Importarlo en el portátil como una CA de confianza
  • 14. 14 Rooted CON 2014 6-7-8 Marzo // 6-7-8 March SSL MITM de Skype: ¡Funciona!
  • 15. 15 Rooted CON 2014 6-7-8 Marzo // 6-7-8 March SSL MITM de Skype: ¡Funciona!
  • 16. 16 Rooted CON 2014 6-7-8 Marzo // 6-7-8 March Consideraciones de Seguridad y Privaciad El cliente Skype ni informa de que está usando SSL ni muestras los certificados que en uso. El Cliente Skype usa el almacén de certificados del sistema operativo. – De otro modo no hubiera sido posible hacer un MITM SSL con una CA intermedia privada. – El sistema de SSL Visibiliy hace un MITM SSL re- firmando la cadena de certificados SSL original del servidor con su propio certificado de CA.
  • 17. 17 Rooted CON 2014 6-7-8 Marzo // 6-7-8 March Consideraciones de Seguridad y Privaciad Esto hace al cliente de Skype más vulnerable que otras aplicaciones que llevan embebido su propio almacén de certificados. Si el SO del usuario confía en el nuevo CA, no tendría una forma de saber que sus conversaciones han sido interceptadas un dispositivos de inspección SSL. No habría más que inyectar un certificado de CA privada en el almacén de certificados del PC del usuario.
  • 18. 18 Rooted CON 2014 6-7-8 Marzo // 6-7-8 March Skype Sin Levita Skype login en claro Nombre de usuario “uic”: user identification code? Hash del password del usuario? Versión del cliente de Skype
  • 19. 19 Rooted CON 2014 6-7-8 Marzo // 6-7-8 March Skype Sin Levita Skype login en claro Cogen el hostname del PC
  • 20. 20 Rooted CON 2014 6-7-8 Marzo // 6-7-8 March Skype Sin Levita Chat de Skype en claro
  • 21. 21 Rooted CON 2014 6-7-8 Marzo // 6-7-8 March Skype Sin Levita Chat de Skype en claro
  • 22. 22 Rooted CON 2014 6-7-8 Marzo // 6-7-8 March Skype Sin Levita Chat de Skype en Claro
  • 23. 23 Rooted CON 2014 6-7-8 Marzo // 6-7-8 March Skype Sin Levita transferencia de ficheros en claro Cuando se transfiere un fichero, podemos ver en claro lo que parece ser el canal de control Estamos trabajando en la descodificación/reconstrucción del canal de datos
  • 24. 24 Rooted CON 2014 6-7-8 Marzo // 6-7-8 March Consideraciones de Privacidad & Seguridad …el montón de cosas que Skype se baja…
  • 25. 25 Rooted CON 2014 6-7-8 Marzo // 6-7-8 March Consideraciones de Privacidad & Seguridad …el montón de cosas que Skype se baja…
  • 26. 26 Rooted CON 2014 6-7-8 Marzo // 6-7-8 March Consideraciones de Privacidad & Seguridad …el montón de cosas que Skype se baja…
  • 27. 27 Rooted CON 2014 6-7-8 Marzo // 6-7-8 March Conclusiones Desde los puntos de vista de seguridad y privacidad, Skype ha perdido buena parte de lo que le hacía único. El cifrado propietario ha sido reemplazado por SSL. Hace uso (en silencio) del almacen de certificados del sistema operativo. Para que un tercero pueda llevar a cabo un SSL MITM sólo sería necesario inyectar un certificado de CA como confiable al almacén de certificados del SO. Todo el tráfico de Skype puede interceptarse y descifrarse, para lo bueno y para lo malo. Es posible inyectar código malicioso escondido entre el montón de JavaScripts que Skype se descarga de Internet, y que Skype lo ejecute.