Traducido por [Tosh]

BBK "Big Bro Killerz"

bigbrokill@hotmail.com

http://www.geocities.com/SiliconValley/Pines/7347/

________________ ___

| ____ \ ____ \ / /

| | | | | | | / /

| |___//| |___//|/ /

| ____ \| ____ \ /

| | \ \ | \ \ \

| | \ \| \ \ \

| |____| ||____| |\ \

|________/______/ \__\

Web Spoofing

Una Estafa en Internet

Edward W. Felten, Dirk Balfanz, Drew Dean, and Dan S. Wallach

Informe Tecnico 540-96

Departamento de Ciencias Informaticas, Universidad de Princeton

Introduccion

Este documento describe una ataque de seguridad en Internet que puede poner en peligro la privacidad de los usuarios de la World Wide Web y la integridad de sus datos.

El ataque puede ser llevado a cabo en los sistemas de hoy en dia, poniendo en peligro a los usuarios de los navegadores mas comunes, incluyendo el Netscape Navigator y el Microsoft Internet Explorer.

El Web Spoofing permite a un atacante crear una "copia sombra/shadow copy" de toda la World Wide Web. Los accesos a la Web shadow son encauzados por la maquina del atacante, permitiendo a este monitorizar todas y cada una de las actividades de la victima incluyendo las entradas de passwords o numeros de cuenta que haga este. El atacante puede tambien hacer que datos falsos o engañosos sean enviados a servidores Web en nombre de la victima, o a la victima en nombre de cualquier servidor Web. Resumiendo, el atacante observa y controla todo lo que la victima hace en el Web.

Hemos incluido una version de demostracion de este ataque.

Ataques Spoofing

En un ataque spoofing, el atacante crea un contexto engañoso para asi engañar a la victima de forma que haga una decision relacionada con la seguridad inapropiada. Un ataque spoofing es como una estafa: el atacante monta un mundo falso pero convincente alrededor de la victima. La victima hace algo que podria ser apropiado si el falso mundo fuese real. Desafortunadamente, las actividades que parecen razonables en el falso mundo podrian tener efectos desastrosos en el mundo real.

Los ataques spoofing son posibles tanto en el mundo fisico como en el electronico. Por ejemplo, ha habido varios incidentes en los que los criminales ponen maquinas expendedoras falsas, normalmente en areas publicas de grandes almacenes [1]. Las maquinas aceptan las tarjetas ATM y piden a la persona que meta su codigo PIN. Una vez que la maquina tiene el codigo PIN de la victima, puede o bien tragarse la tarjeta o "malfuncionar" y devolver la tarjeta. En cualquiera de los casos, los criminales tenian suficiente informacion para copiar la tarjeta de la victima y usar el duplicado. En estos ataques, la gente era engañada por el contexto que veian: la localizacion de las maquinas, su tamaño y peso, la forma en que estaban decoradas, y la apariencia de sus pantallas electronicas.

La gente que usa sistemas informaticos a menudo toma decisiones relacionadas con la seguridad basadas en indicaciones contextuales que ven. Por ejemplo, puedes decidir teclear tu numero de cuenta banacario por que crees que estas visitando la Web page de tu banco. Esta creencia puede surgir por que la pagina tiene un aspecto familiar, por que el URL del banco aparece en la linea de localizacion del navegador, o por otras razones.

Para apreciar el rango y severidad de posibles ataques spoofing, debemos profundizar en dos partes de la definicion de spoofing: decisiones relacionadas con la seguridad y contexto.

Decisiones relacionadas con la seguridad

Por "decisiones relacionadas con la seguridad", queremos decir cualquier decision que toma una persona que pueda llevar a resultados no deseados como una violacion de la privacidad o manejo no autorizado de datos. El decidir divulgar informacion sensible, como por ejemplo tecleando un password o un numero de cuenta, es un ejemplo de una decision relacionada con la seguridad. Elegir el aceptar bajar un documento es una decision relacionada con la seguridad, ya que en muchos casos un documento bajado es capaz de contener elementos maliciosos que dañan a la persona que recibe el documento [2].

Incluso la decision de aceptar la exactitud de informacion desplegada por tu ordenador puede tener relacion con la seguridad. Por ejemplo, si decides comprar una accion basada en informacion que recibes de un teletipo de acciones online, confias en que la informacion que proporciona el teletipo sea correcta. Si alguien pudiera presentarte precios de acciones incorrectos, podrian hacerte embarcar en una transaccion que de otro modo no hubieras hecho, y esto te podria costar dinero.

Contexto

Un navegador presenta muchos tipos de contexto de los que el usuario podria fiarse para tomar decisiones. El texto y los graficos de una pagina Web podrian dar una impresion sobre la procedencia de la pagina; por ejemplo, la presencia de un logo corporativo implica que la pagina se creo en una cierta corporacion.

La apariencia de un objeto podria sugerir una cierta impresion; por ejemplo, texto de color verde neon sobre un fondo morado probablemente venga de la revista Wired. Podrias pensar que estas tratando con una ventana contextual cuando lo que realmente estas viendo es simplemente un rectangulo con un borde y colores diferentes que las zonas de alrededor de la panatalla. Objetos graficos particulares como las file-open dialog boxes son immediatamente reconocidas como que tienen que tener un proposito. Los usuarios de Web experimentados reaccionan a dichas indicaciones de la misma forma que los conductores experimentados reaccionan a las señales de stop sin necesidad de leerlas.

Los nombres de los objetos pueden sugerir contextos. La gente a menudo deduce lo que hay en un archivo por su nombre. Es manual.docel texto de un manual de usuario? (Podria ser otra clase de documento, o podria no ser ni siquiera un documento.) Las URLs son otro ejemplo. Es MICR0S0FT.COMla direccion de una gran empresa de software? (Por un momento esa direccion apuntaba completamente a otro. Por cierto, los simbolos redondos de MICR0S0FT aqui son el numero cero, no la letra O.) Era dole96.org la campaña presidencial de 1996 de Bob Dole? (No lo era, apuntaba a un site de parodia).

La gente a menudo toma el contexto segun la fecha de los hechos. Si ocurren dos cosas al mismo tiempo, naturalmente piensas que estan relacionadas. Si haces click hacia la pagina de tu banco y aparece un cuadro de dialogo solicitando un nombre de usuario/password, naturalmente asumiras que debes teclear el nombre y password que usas para el banco. Si haces click en un link y comienza a bajarse immediatamente un documento, asumes que el documento venia del site cuyo link clickeaste. Cualquier suposicion podria ser incorrecta.

Si solo ves una ventana del navegador cuando ocurre un evento, podrias no darte cuenta de que el evento fue creado por otra ventana escondida detras de la que es visible.

Los diseñadores de entornos de usuario modernos emplean su tiempo intentando concebir indicaciones contextuales que hagan que la gente actue apropiadamente, incluso si no advierten explicitamente las indicaciones. Mientras esto es siempre beneficioso, puede hacerse peligroso cuando la gente esta acostumbrada a fiarse del contexto que no siempre es correcto.

TCP y DNS Spoofing

Otra clase de ataque spoofing, que no discutiremos aqui, engaña al software del usuario en una accion inapropiada presentandole informacion enagañosa [3]. Ejemplos de dichos ataques inclyen el TCP spoofing [4], en el que los paquetes de Internet son enviados con direcciones de vuelta falseadas, y el DNS spoofing [5], en el que el atacante falsea informacion acerca de que nombres de maquina corresponden a que direcciones de red. Estos otros ataques spoofing son bien conocidos, asi que no los discutiremos mas en detalle.

Web Spoofing

El Web spoofing es un tipo de estafa electronica en la que el atacante crea una convincente pero falsa copia de toda la World Wide Web. La Web falsa es como la real: tiene todas las mismas paginas y links. Sin embargo, el atacante controla la falsa Web, de manera que todo el trafico de red entre el navegador de la victima y la Web pasa por el atacante.

Consecuencias

Ya que el atacante puede observar o modificar cualquier dato que vaya de la victima a los servidores Web, como tambien controlar todo el trafico de vuelta de los servidores Web a la victima, el atacante tiene muchas posibilidades. Estas incluyen la vigilancia y el amaño de datos.

Vigilancia: El atacante puede observar pasivamente el trafico, anotando que paginas visita la victima y los contenidos de las mismas. Cuando la victima rellena un formulario, los datos introducidos son enviados a un servidor Web, de manera que el atacante puede anotar eso tambien, junto con la respuesta enviada por el servidor. Ya que la mayoria del comercio on-line se realiza por medio de formularios, esto significa que el atacante puede observar cualquier numero de cuenta o passwords que la victima meta.

Como veremos abajo, el atacante puede llevar a cabo la vigilancia incluso si la victima tiene una conexion "segura" (normalmente por medio de Secure Sockets Layer) al servidor, esto es, incluso si el navegador de la victima muestra el icono de conexion segura (normalmente una imagen de un candado o una llave).

Amaño: El atacante es tambien libre de modificar cualquiera de los datos que viajen en cualquiera de las direcciones entre la victima y el Web. El atacante puede modificar datos del formulario enviado por la victima. Por ejemplo, si la victima esta pidiendo un producto on-line, el atacante puede cambiar el numero del producto, la cantidad, o la direccion a que debe ser enviado.

El atacante puede tambien modificar los datos devueltos por un servidor Web, por ejemplo insertando material engañoso u ofensivo para engañar a la victima o para crear hostilidad entre la victima y el servidor.

Spoofing de toda la Red

Puedes pensar que es muy dificil para el atacante el trucar toda la World Wide Web, pero no lo es. El atacante no necesita guardar todo el contenido de la Red. Toda la Web esta disponible on-line; el servidor del atacante puede simplemente traer una pagina de la Web real cuando necesita proporcionar una copia de la pagina a la Web falsa.

Como Funciona el Ataque

La clave de este ataque es que el servidor Web del atacante se siente entre la victima y el resto de la Red. Este tipo de procedimiento se llama "ataque de hombre en medio" en la literatura de seguridad.

Renombramiento de URL

El primer truco del atacante consiste en reescribir todas las URLs de alguna pagina Web de manera que apunten al servidor del atacante en vez de hacia aquellos servidores reales. Asumiendo que el servidor del atacante este en la maquina www.attacker.org, el atacante reescribe una URL añadiendo http://www.attacker.org delante de la URL. Por ejemplo, http://home.net scape.comse convierte en:

http://www.attacker.org/http://home.netscape.com (La tecnica de renombramiento de URL ha sido usada para otras razones por otros dos Web sites, the Anonymizer y the Zippy filter. Mira la ultima pagina para detalles.)

La ilustracion 1 muestra lo que ocurre cuando la victima pide una pagina a traves de una de las URLs renombradas. El navegador de la victima pide la pagina desde www.attacker.org , ya que la URL comienza con http:// www.attacker.org. La notificacion de la URL le dice al servidor del atacante a que lugar de la Red ir para coger el documento verdadero.

_________________________________________________________________________

Figura 1: Un ejemplo de transaccion de Web durante un ataque de Web spoofing. La victima pide una pagina Web. Los siguientes pasos ocurren: (1) el navegador de la victima pide la pagina desde el servidor del atacante; (2) el servidor del atacante pide la pagina del servidor real; (3) el servidor real le da la pagina al servidor`del atacante; (4) el servidor del atacante reescribe la pagina; (5) el servidor del atacante le manda la version reescrita a a victima.

Una vez que el servidor del atacante ha pillado el documento real necesario para satisfacer el pedido, el atacante reescribe todas las URLs del documento del mismo modo especial empalmando http://www.atacker.org/ delante. Entonces el server del atacante le da la pagina reescrita al navegador de la victima.

Ya que todas las URLs de la pagina reescrita apuntan ahora a www.attacker.org, si la victima sigue un link de la nueva pagina, la pagina sera de nuevo pillada a traves del servidor del atacante. La victima continua atrapada en la Web falsa del atacante, y puede seguir links por siempre sin abandonarla.

Formularios

Si la victima rellena un formulario de una pagina de la Web falsa, el resultado parece que haber sido bien manejado. El spoofing de formularios funciona naturalmente ya que los formularios estan estrechamente integrados en los protocolos de Web basicos: los envios de formularios estan codificados en URLs y las respuestas son HTML ordinario. Ya que cualquier URL puede ser "spoofeada", los formularios tambien.

Cuando la victima envia un formulario, los datos enviados van al servidor del atacante. El servidor del atacante puede observar e incluso modificar los datos enviados, haciendo cualquier edicion maligna que se desee, antes de pasarlo al servidor real. El servidor del atacante puede tambien modificar los datos que vuelven como respuesta a el formulario enviado.

Las conexiones "Seguras" no ayudan

Una angustiosa propiedad de este ataque es que funciona incluso cuando la victima pide una pagina por medio de una conexion "segura". Si la victima hace un acceso de Web "seguro"(un acceso Web usando el Secure Sockets Layer) en una Web falsa, todo parecera normal: la pagina sera mostrada, y el indicador de conexion segura (normalmente una imagen de una candado o llave) se encendera.