Un tipo manda un mensaje a su propio móvil desde otro y, antes de que llegue, lo modifica con el ordenador. Cambia el emisor y el número de teléfono. Ahora parece que lo ha enviado otra persona. La que él elija. Y no hay forma de demostrar que se trata de un mensaje falso. Imagínate la de trastadas que pueden hacerse con no muy buenas intenciones…
|
etiquetas: whatsapp , falsificar , mensajes , chat , mensajería instantánea
Espero que esto sea lo que parece. Que pronto se van a hacer públicas algunas conversaciones de whatsapp que implican a algún político conservador".
Telegram.
-Dueño del "facebook ruso"?
-Ok, Surespot.
Y el creador fue un "joven jaquer", me desñoclo.
Qué ganas de sacar donde no hay alarmando al personal, ahora la gente se va a pensar que le envian mensajes usando el número de su madre o algo cuando solo se puede a nivel interno...
En fins...
www.periodistadigital.com/imagenes/2013/07/14/sms.jpg
Ayer mi novia no se creyó lo de que MariPuri es mi prima...anda que mandarme una foto en bolas(mira que se lo tengo prohibido)...probaré con la tecnica del jackeo este.
Con esto de whatsapp se puede hacer exactamente lo mismo. Ahora que se sabe que es vulnerable, un mensaje de whatsapp no se puede usar como prueba en contra de nadie porque el abogado fácilmente puede demostrar que podría haber sido alterado.
Si en el whatsapp de tu ex aparecen varios mensajes tuyos amenzándole de muerte y te denuncia, date por bien jodido, aunque tú no los hayas mandado.
1. Yo me mando un whatsapp desde mi móvil a otro móvil de mi propiedad.
2. En la red interna con un proxy cualquiera, intercepto y detengo momentáneamente ese paquete de datos.
3. Modifico la cabecera cambiando el contenido y el NÚMERO DE ORIGEN.
4. Permito que el mensaje de datos salga, ya modificado, hasta los servidores de Whatsapp.
5. El mensaje de datos llega al servidor de Whatsapp, donde gracias al fallo de seguridad, creerá que todos los parámetros del mensaje están correctamente introducidos.
6. El mensaje llega a la víctima, con número de origen falso y contenidos modificados.
No hay necesidad alguna de estar en la misma red, ni de hacer ataques MITM, ni leches en vinagre. ¿Estás seguro de lo que estás diciendo?
Esto simplemente podría ser una muestra de que criticar y romper un sistema es más fácil que hacer un buen sistema seguro... aunque, realmente no creo que sea tan difícil: basta usar TLS ... Https o similares.
Y, viéndolo de otra forma, quizá por eso quería que el sistema fuera débil, para poder cotillear y para que los que sepan de tecnología tengan una ventaja... si crease un sistema que da al usuario el poder para comunicarse de forma totalmente segura entonces ni él no podría cotillear... pero esto tampoco creo que sea. Podría haber hecho un sistema que se comunique de forma segura con un servidor de Whatsapp y Whatsapp seguiría teniendo el poder para cotillear. Me inclino a pensar más bien que lo hizo así por pereza / rapidez de desarrollo y por coste/rendimiento ... un sistema seguro cuesta más hacerlo, y no sólo cuesta esfuerzo y tiempo sino también en rapidez y dinero para servidores (posiblemente el doble)... Para algo que das gratis a millones de personas, el comerte tú mayores gastos en servidores es algo que seguramente muchos no harían aunque sepan cómo hacerlo.
Y la noticia es errónea que te cagas, eso es imposible, mirad lo que me dice el jefe:
Por cierto, los privados de Facebook eran facilísimos de falsificar al menos hace unos meses, y "nadie" pensó en "pasarse a Telegram"...
Sí, creo que un buen abogado podría probarlo.
(pero si te toca uno malo lo mismo estás jodido, supongo)
Con apoyo técnico, no sólo teórico sino quizá práctico... por ejemplo, presentando como prueba de la defensa un mensaje no delictivo, no de amenazas ni nada de eso, enviado por una persona fallecida sobre un número de lotería de hoy... que es evidente que nadie puede enviar el mes pasado, ni mucho menos alguien ya fallecido.
El cracker se hace pasar por el router y cuando te va a llegar un whatsapp, le llega a el cracker, lo modifica y te lo manda a ti. Si estás por 3G, 4G, etc esto no se puede hacer.
Moraleja, cuidado a que wifis te conectas
(y no he podido leer la noticia así que si lo aclaran en ella podéis meteros conmigo por comentar sin leer)
dice #13 que
" sólo se pueden modificar los paquetes y recalcular el saludo estando en la misma red"
y #25 que
"No hay necesidad alguna de estar en la misma red, ni de hacer ataques MITM, ni leches en vinagre."
¿estás seguro de que no puede hacerse lo que dice éste último?
El "proxy" del que hablo es cualquier programa que se ponga entre el origen y el destino de la conexión, como Burp hace con las conexiones del navegador. Igual que con Burp capturas las peticiones HTTP que salen del navegador antes de llegar al servidor, para así ver por ejemplo si el servidor controla que no hayas modificado los parámetros por el camino, los investigadores hacen lo propio con los paquetes de Whatsapp.
1. Tu móvil envía un paquete de datos.
2. Su proxy lo intercepta, cambia los parámetros, recalcula la información necesaria, y permite que siga su camino hasta los servidores de whatsapp.
3. En los servidores de Whatsapp no se detecta ninguna modificación.
4. El mensaje llega a la víctima como un mensaje real, esté donde esté.
PD: www.portswigger.net/burp/
PD2: No es un MITM a la usanza porque no es que tengas que conseguir ponerte en medio de dos personas que no lo saben. Simplemente te pones en medio en tu propia conexión en un entorno propio bajo tu control.
#21 Mucho nazi de la seguridad, el open source y el hacer de todo un terrorista cuando la mayoría usamos el whatsapp para quedar a tomar unas cervezas o algo así, a mí personalmente me da igual que espíen mis conversaciones, lo único que van a ver son fotos de gatetes y chorradas varias que hablamso en el grupo, pero no van a ver ni una sola tarjéta de crédito, etc y quien de esos datos por cualquier red social/servicio de mensajería es un total incauto.
#24 y qué tiene que ver eso con lo que yo he dicho?
#25 te cito porque tú mismo te has contestado, y, añado la prueba.
"No dice absolutamente nada de eso en la noticia, así que supongo que te lo has querido imaginar así.
1. Yo me mando un whatsapp desde mi móvil a otro móvil de mi propiedad.
2. En la red interna con un proxy cualquiera, intercepto y detengo momentáneamente ese paquete de datos.
3. Modifico la cabecera cambiando el contenido y el NÚMERO DE ORIGEN.
4. Permito que el mensaje de datos salga, ya modificado, hasta los servidores de Whatsapp.
5. El mensaje de datos llega al servidor de Whatsapp, donde gracias al fallo de seguridad, creerá que todos los parámetros del mensaje están correctamente introducidos.
6. El mensaje llega a la víctima, con número de origen falso y contenidos modificados.
No hay necesidad alguna de estar en la misma red, ni de hacer ataques MITM, ni leches en vinagre. ¿Estás seguro de lo que estás diciendo?"
Aquí tienes la prueba: www.youtube.com/watch?v=QIJPp7CWC50 justo con un proxy. Dime si no, de qué manera eres capaz de interceptar los datos, si no puedes controlar la red?
Yo no digo que sea imposible realizarlo de manera global, es muy probable que sea una opción, lo que me refiero es que en éste artículo utilizan una herramienta que necesita de conexión a algún tipo de red interna, y, en concreto, utilizan la herramienta xcode en un mac, por lo que ni siquiera son dos teléfonos físicos en distintos puntos, es un teléfono virtual y una consola, a saber que hay de real en eso fuera del testing, nada más.
#30 Exacto, qué obsesión tiene la gente de desprestigiar una aplicación por su seguridad utilizando métodos que sirven para cualquier aplicación en cualquier dispositivo programado en cualquier lenguaje y bajo cualquier protocolo??
Me recuerda a cuando dijeron que [b]El sensor de huellas del iPhone tiene un fallo gordísimo de seguridad permitiendo desbloquear el dispositivo sin utilizar los dedos del propietario[/b] y añadían que "Para esto, basta con tener un trozo de celofán o un papel con una huella del propietario" coño, es que eso no es un fallo de seguridad, ¡Claro que va a leer una huella en un papel! ¡¡¡No deja de ser la huella del propietario!!! Es como si yo abro la puerta de tu casa con un molde de tus llaves, si, cierto es que no son tus llaves, pero coño la culpa no es del fabricante de la puerta, es que tengo un molde de tus llaves!
#39 Arriba explicado está.
En este caso de #25 el proxy (intermediario) lo pone el atacante no para cambiar cosas de la comunicación de otros 2 sino para interceptar un mensaje suyo y poder mirarlo y modificarlo, y luego eso modificado lo mete en la red de Whatsapp... con lo cual falsea sin ser MITM o, al menos, no el MITM clásico
En #13 dijiste
"ahora la gente se va a pensar que le envian mensajes usando el número de su madre o algo cuando solo se puede a nivel interno"
Ahora reculas y dices
"Yo no digo que sea imposible realizarlo de manera global, es muy probable que sea una opción, lo que me refiero es que en éste artículo utilizan una herramienta "
Que viene a ser decir: "según lo que dice el artículo no estoy seguro de que se pueda hacer sin que sea a nivel interno... pensaba que no, pero es muy probable que se pueda... sí, probablemente se pueda enviar mensajes usando el número de su madre"
Te lo copié literalmente y te puse un ejemplo a ver si así, un poquito más digerido, conseguías entenderlo.
O mejor, me colaré en su casa en plan NSA.
Tú estás en la red de tu casa en España conectado al whatsapp con tu teléfono, la vícitima está en Japón conectado por 4G.
Tu teléfono se conecta a la red de tu casa vía wifi, por tanto la conexión es tu teléfono -> tu router -> servidores whatsapp -> Japón -> teléfono de la víctima.
Tú envías un mensaje desde tu teléfono, el mensaje llega a tu router como es normal, pues ahí lo paras, lo modificas y lo liberas para que modificado siga su camino hacia los servidores de whatsapp, Japón y por último el teléfono de la víctima.
Así no es necesario que los dos estén en la misma red, ni siquiera en el mismo país.
en.wikipedia.org/wiki/Man-in-the-middle_attack
The man-in-the-middle attack (often abbreviated MITM, MitM, MIM, MiM, MITMA) in cryptography and computer security is a form of active eavesdropping in which the attacker makes independent connections with the victims and relays messages between them, making them believe that they are talking directly to each other over a private connection, when in fact the entire conversation is controlled by the attacker. The attacker must be able to intercept all messages going between the two victims and inject new ones.
MITM: Me consigo colar entre la conversación de dos personas, de tal forma que piensan que están hablando entre ellas, cuando están hablando conmigo y yo estoy redirigiendo los mensajes, pudiendo leer y modificar lo que me de la gana.
A <----------------------------------> B (Ellos conversan el uno con el otro)
A <-------------> YO <---------------> B (Ellos conversan conmigo sin saberlo)
Usar un proxy para interceptar y modificar paquetes que tú mismo has generado, no es un MITM. LLámalo IP SPOOFING con números de teléfono en paquetes de Whatsapp. Así es como ellos mismo lo están mencionando: Whatsapp Spoofing.
en.wikipedia.org/wiki/IP_address_spoofing
YO (SPOOFEO LOS DATOS) -------------------> WHATSAPP SERVER -----------------> VÍCTIMA.
#43 Aquí tienes la prueba: www.youtube.com/watch?v=QIJPp7CWC50 justo con un proxy. Dime si no, de qué manera eres capaz de interceptar los datos, si no puedes controlar la red?
Si no sabes de lo que hablas, no sé para qué sigues dando vueltas.
El concepto "controlar la red" tiene sentido cuando un atacante necesita "controlar una red" que no es la suya propia. En este caso no hay necesidad alguna de controlar una red de terceros, el atacante lo puede hacer en su propia red. En su ordenador propio y esté donde esté. Tan sólo tiene que asegurarse de que el paquete salga modificado hacia el servidor de Whatsapp.
#47 Es trivial:
1. Mandar mensajes desde el ordenador: cualquier emulador (Bluestacks/Emuladores para Linux/etc)
2. Interceptar el mensaje en tu propio ordenador: cualquier proxy local.
3. Modificar las cabeceras: han descubierto el método.
4. Play and enjoy (estés en tu casa, en una wifi universitaria, pública, 3G, o donde te de la real gana, y estando la víctima donde le de la gana estar)
¿En qué parte de la historia necesitas hacerte con el control de no sé qué red?
En este caso el MITM os lo estáis haciendo a vosotros mismos, a vuestro propio cliente de whatsapp, si lo queréis ver así...
Edit: Y si tienes un cliente que lo hace de serie, sin proxy, entonces ahí me callo y no es MITM, es una feature de whatsapp . O "medio" MITM.
Para que sea un MITM A tendría que mandar algo a B, tu capturarlo al vuelo, modificarlo y que llegase a B modificado sin que se enterase. No es el caso, tu no estás en medio de nada, tu estás desde otro punto por el que no pasa la comunicación entre A y B haciendo perrerías. Es posible que ni siquiera haya comunicación entre A y B.
Man in the middle es como el juego del teléfono estropeado. Hay una cadena del emisor al receptor y un eslabón se mete en medio para trastocar la comunicación.
1. No es un MITM.
2. Es mentira que sepas lo que es un ataque MITM.
Edit: #57 OK, ahora lo tengo mucho más claro.
Venga, que hoy estoy generoso. Te lo explico con cartitas:
SPOOFING (lo que está pasando).
Yo mando una carta con remitente falso. A una chica le llega una carta que parece ser de su novio, pero es mentira, se la he mandado yo. En cuanto la chica conteste al novio no puedo hacer nada por controlarlo, va a llegar a su dirección de verdad así que confusiones aparte se dan cuenta del pufo.
En el caso que nos ocupa la confusión sería mayor, porque no estamos hablando de cartas, y se supone que nadie más que tu novio te puede mandar mensajes desde su teléfono. Pero en cualquier caso no controlas la comunicación.
MAN IN THE MIDDLE
Yo controlo la oficina de correos por completo. Cuando el novio mande una carta a la novia, pasa por mi oficina y yo la puedo leer y modificar si me da la gana. Cuando la novia conteste al novio, vuelve a pasar por mi oficina y puedo volver a leer y modificar la carta. Tantas veces como me de la gana, y sin que ninguno de los dos pueda hacer nada por evitarlo ni descubrir el engaño.
En el caso que nos ocupa es imposible, porque no has modificado más que el origen de un paquete. En realidad ni eres el origen real, ni has controlado un punto intermedio entre el novio y la novia jamás.
Que para hacer el spoofing instales un programa (proxy) que localmente capture el paquete para no tener que crearlo por completo, y sólo modificar los parámetros necesarios (lo mismo que girar la carta y poner a boli la dirección que te de la gana sin que la carta haya salido de tu casa en ningún momento) no quiere decir que haya un ataque MITM.
Man-In-Mis-Cojones-En-Vinagre. Y todos los votos de #13 deberían ser negativos, porque ahora está confundiendo a un montón de gente con información falsa. Yo no voto negativo porque no me gusta hacerlo, pero desde luego que no vendría de más una recfificación.
El objetivo no es que Whatsapp crea que tu terminal es el de otra persona y que el terminal de la otra persona crea que el tuyo es el servidor de Whatsapp, simplemente envías un mensaje con el remitente cambiado, lo cual por cierto, me parece una chorrada de implementación.
Es que ni siquiera hace falta un proxy para hacerlo, basta un cliente modificado.
es.wikipedia.org/wiki/Ataque_man_in_the_middle
en.wikipedia.org/wiki/Man-in-the-middle_attack
Un ataque man-in-the-middle es un ataque en el que el enemigo adquiere la capacidad de leer, insertar y modificar a voluntad, los mensajes entre dos partes sin que ninguna de ellas conozca que el enlace entre ellos ha sido violado. El atacante debe ser capaz de observar e interceptar mensajes entre las dos víctimas.
[...]is a form of active eavesdropping in which the attacker makes independent connections with the victims and relays messages between them, making them believe that they are talking directly to each other over a private connection, when in fact the entire conversation is controlled by the attacker. The attacker must be able to intercept all messages going between the two victims and inject new ones[...]
¿Admitir que estás equivocado? ¿En España? ¿Y encima en Internet? Sí hombre, y qué más...
Yo lo único que veo es una increíble campaña de desprestigiacion total contra Whatsapp desde hace unas semanas o meses para aquí. Mucho dinero y mucho interés en que caiga Whatsapp y deje paso a otros que quieren que su parte del pastel sea más grande.
Y todo ello impulsado por que los animales sin escrúpulos de Whatsapp han decidido cobrar por su trabajo, los muy peseteros!!! 89 centimos al año por una aplicación que solo uso todos los días!!! es que estamos lokos??? Qué será lo próximo ???
Venga, ¡a sacar pecho en lugar de argumentar!
"y ni tú ni yo sabemos si la NSA o si algún comedoritos en su garaje tiene una herramienta para poder hacerlo"
En el artículo te están enseñando la herramienta, sabemos que existe.
"es que NO ES TAN FÁCIL como lo pintan en el artículo"
Una vez descubierta la vulnerabilidad, no es que sea fácil explotarla, es que es trivial... Has visto los programitas para hacer jailbreak de los iphones? esos que dándole a un botón funcionan... por detrás hacen cosas más jodidas que este exploit de whatsapp.
"como en todo en la informática no hay nada 100% seguro" "no que sea imposible, porque no hay nada imposible en informática."
Esta es la forma más homeopática posible de hablar de la informática... te falta decir que "a ti te funciona"
Luego lo que dices de que se puede hacer lo mismo con Skype, Line, Telegram, Facebook... pues, no se, podías poner algún enlace o algo. Lo dudo mucho... ¿El servidor de Skype/Telegram/Facebook te admite un mensaje enviado desde tu sesión que diga que el que lo envía es otro?
A ver, es un fallo muy tonto y grave, de hecho, casi ni me lo creo de Whatsapp ¿Me logueo con mi cuenta y luego puedo decirle al servidor que los mensajes que envío desde esa sesión son de otro cualquiera?
Yo vengo notando últimamente una cierta campaña de defensa casi visceral a Whatsapp. Probablemente de gente que ha decidido pagar por su servicio y no quiere sentirse estafado, ni que sea la miseria esa de 80 céntimos.
Man = hombre.
No, esto no es un MITM por todas las razones que ya te explicaron.
En un MITM tenemos al menos dos víctimas y un delincuente en medio de las dos. ¿Me puedes decir donde están aquí las dos víctimas y el delincuente en medio? A lo mejor el proxy es un delincuente que está engañando al hacker y a la víctima, no sé.
A un lado, personas que explican exactamente cómo funciona un MITM, las características exactas necesarias para que se considere así, y que te enlazan a la definición de la Wikipedia en Español e Inglés para que no tengas dudas. A ese mismo lado, los propios investigadores que llaman al ataque SPOOFING de Whatsapp y no hablan de MITM por ningún lado.
A otro lado, una persona que se limita a decir tonterías (medio MITM), sin enlazar a fuentes, ni dar ningún tipo de soporte argumental a su idea más allá del "pues yo creo que" y usar votos negativos.
Queda bastante claro quien argumenta, y quien simplemente está quedando en el más absoluto de los ridículos por hablar de algo de lo que no tiene ni puñetera idea.
#68 Se hace saber que a partir de ahora, todos los tipos de ataques que requieren de un proxy local para explotar vulnerabilidades web pasan a llamarse MEDIO-MITM by mdotg. Se lo comunicaré a los de Burp
Van a cambiar la pestaña "Intercept" por "Medio-MITM" -> portswigger.net/screenshots/proxy_1.png
Que sí, que ya lo he entendido y que dije ya que "Fin" y que para ti la perra gorda.
Este sí que es mi último comentario aquí.
En cuanto a lo de la campaña, no creo que ningún usuario o grupo de usuarios promueva ningún tipo de campaña, por menos de 1 € al año se va a hacer campaña de ningún tipo ??? si apenas nos movemos cuando nos recortan libertades, sueldos, derechos, etc....
La campaña a la que me refiero yo está promovida (según mis especulaciones) por las mismas compañias que han hecho Line y Telegram, es de cajón !!!!
Yo si veo que la mayoría de mis contactos usan Line me pasare a Line, si la mayoría usa Telegram pos me pasaré a Telegram. De momento estoy contento con Whatsapp, no me importa en absoluto pagar una miseria por una app que uso todos los dias, igual que no me importaría pagar por cosas originales en vez de conseguir la copia pirata si tienen un precio razonable (para mi el cine a mas de 4 o 5 euros no es razonable, mejor me bajo la peli, me he ido por las ramas... jejeje .