Español | English
rss facebook linkedin Twitter

Switches: los grandes olvidados I

Siempre ocurre, cada vez que hago una auditoría interna, donde el alcance de la misma es toda la red del cliente en cuestión o al menos un amplio abanico de sistemas y dispositivos de red, la mayor fuente de vulnerabilidades son estos últimos.

No estoy seguro de si existe un desconocimiento sobre las vulnerabilidades existentes a este nivel o una despreocupación por las mismas. En una serie de posts voy a intentar reflejar los peligros existentes, especialmente orientados a los administradores de estos dispositivos y a aquellas personas que toman las decisiones de utilizar tal o cual protocolo.

Quiero hacer notar que la gran mayoría de estas vulnerabilidades son a nivel 2 del modelo OSI y son problemas en el propio diseño del protocolo, no obstante, también existen vulnerabilidades a nivel de aplicación.

En este POST voy a empezar con dos de los fallos que más estoy encontrando, a pesar de ser muy antiguos:

Usuarios y claves por defecto

Si, esta vulnerabilidad, ya usada por el Chaos Computer Club cuando hackeaba ordenadores VAX para el Komitet Gosudárstvennoy Bezopásnosti (KGB) a principio de los 80, aun sigue afectando a nuestras empresas, da igual el tamaño.

La forma de explotar esta vulnerabilidad es fácil, o bien buscas listas de contraseñas por defecto (hay algunas muy buenas por internet) o, la forma más segura, vas a la web del fabricante y te bajas el manual del dispositivo. En el mismo, al documentar la instalación del dispositivo en cuestión seguro que te viene la contraseña que hay que usar para conectarse por primera vez y configurarlo.

Protocolo SNMP versión 1

Este protocolo (SNMP, Simple Network Management Protocol) es evidentemente conocido por todos los administradores de red, nos simplifica la configuración del dispositivo (permiso de escritura), y nos proporciona datos sobre el mismo así como su estado en un momento actual (permiso de lectura). Existen numerosos programas de administración de redes que implementan SNMP para ayudarnos en estas tareas.

Sin entrar en detalle en la descripción del protocolo, diré que se basa consultar (leer) unas OIDs (Object IDentifier) para obtener información sobre el dispositivo (depende del OID te proporciona un dato u otro) o modificar (escribir) el valor de estos OIDs para cambiar la configuración. Para controlar si se tiene o no permiso para leer o leer/escribir, se utilizan las llamadas comunidades, estas comunidades hacen las funciones de contraseñas aunque técnicamente hablando no es la realidad. Otro dato fundamental es que este protocolo funciona sobre UDP.

En sí, usar este protocolo ya lo incluimos como vulnerabilidad en nuestros informes:

  • El protocolo funciona en texto claro, por lo que, es susceptible de ser capturado. Con la información que contiene (la comunidad, e IP de origen de un paquete) ya tenemos datos suficientes como para acceder a información del dispositivo (si la comunidad es solo de lectura) e incluso para modificar su configuración (si la comunidad es de lectura/escritura).
  • Muchas configuraciones filtran la IP desde la cual se pueden hacer consultas SNMP como medida de seguridad. Bueno, al ser UDP y cada comando es solo una línea, hacer IP spoofing del mismo para saltarse esta protección es algo trivial para cualquier auditor
  • El acceso a la configuración de un sistema por este método suele ser más o menos reducido, pero algunos dispositivos, como los Cisco, permiten además acceder (y modificar) profundamente la misma, llegando a poder leer o modificar las contraseñas y listas de acceso, permitiendo así la intrusión. Otros sistemas, como algunas Solaris permiten ya directamente la ejecución de comandos, MS Windows lista usuarios, etc etc etc…

Estos fallos son a nivel aplicación, en POSTs posteriores bajaremos al nivel 2. Nos vemos!

Leonardo Nve

S21sec Auditoría

2 comentarios:

FREE YOUR MIND dijo...
Este comentario ha sido eliminado por un administrador del blog.
Ariel M. Liguori de Gottig dijo...

Generalmente muchos descuidan los switches, a mi me dirán paranoico pero estoy seguro que jamás me olvido de ellos, no por aplicado sino porque muchas veces los he utilizado con propósitos "educativos", un switch es la puerta sin cerrojo para un insider (del cual es muy difícil escapar), otra cosa que muchos no ven es la _in_seguridad de protocolos de ruteo dinámico y demás, en una auditoría tenemos que tener MUCHAS cosas en cuenta, aunque soy despistado los switches no se me olvidan. Por cierto para los que se los olvidan prueben el yersinia y dejaran de olvidarlo, jaja.
Saludos


(+34 902 222 521)


24 horas / 7 días a la semana



© Copyright S21sec 2013 - Todos los derechos reservados


login