OpenSSH vulnerable a ataques de fuerza bruta

Una nueva vulnerabilidad en el protocolo de autenticación interactiva de OpenSSH podría permitir el uso de fuerza bruta para adivinar la contraseña.

Aunque normalmente OpenSSH permite de tres a seis intentos de inicio de sesión antes de cerrar la conexión, el investigador Kingcope publicó una vulnerabilidad que permitiría saltarse esta limitante, ya que existe una ventana de unos 2 minutos durante la cual un atacante podría probar por lo menos 10.000 contraseñas distintas antes de que el software cierre la conexión. Aparentemente esto es debido a que es posible abrir 10.000 ventanas de dispositivos de inicio de sesión interactivo a través de teclado y OpenSSH ejecutará la solicitud sin problemas y estaría aceptando contraseñas hasta que el número de dispositivos especificados sea excedido.

Se ha publicado una prueba de concepto que funciona con una versión de OpenSSH para FreeBSD publicada en el 2007, pero aparentemente funciona con la última versión de OpenSSH la cual es la 6.9.

Aunque aparentemente es una vulnerabilidad bastante grave, cuyo potencial de explotación es amplio, los investigadores dicen que la mayoría de los servicios que usan OpenSSH publicado hacia Internet, usan autenticación con llaves criptográficas, en cuyo caso es improbable la explotación de esta falla.

Como recomendación, para aquellos que no estén usando llaves criptográficas para autenticación, deberían pensar en usarlas, y los que ya las usan, verificar la robustez de la clave, siendo recomendada una longitud mínima de 2.048 bits. Además, se debe proteger la clave privada con una contraseña fuerte. Otra forma de mitigar el fallo es usar la limitación de velocidad para evitar la inyección de 10.000 contraseñas en dos minutos.

Aunque aún no se han pronunciado por el parche, se espera que OpenSSH lo arregle en poco tiempo. Se recomienda actualizar a la brevedad aunque uses autenticación por pareja de llaves, pues los delincuentes siempre encuentran formas innovadoras de usar estos bugs.

Investigadores encuentran técnica para omitir la pantalla de bloqueo del iPhone

Los investigadores de la empresa de seguridad MDSEC han encontrado una manera de evitar LockScreen del iPhone usando sólo unos pocos cientos de dólares en equipo. La pantalla de bloqueo típicamente deja como ladrillo al teléfono después de 10 malas conjeturas y ha demostrado ser difícil de pasar por alto en los teléfonos sin jailbreak, pero MDSEC ha encontrado una manera de apagar el teléfono antes de que se registre una suposición incorrecta, lo que permite conjeturas efectivamente ilimitadas. Apple parece haber actualizado para proteger contra el fallo en iOS 8.1.1, pero cualquier iPhones ejecutan 8.1 o una versión anterior todavía se verá afectada.

El sistema de MDSEC trabaja buscando cambios minúsculos en la pantalla del iPhone, lo que indica una notificación de errónea contraseña durante una fracción de segundo antes que el contador telefónico registre una suposición equivocada. Una vez que el sistema detecta el cambio de pantalla, se corta el suministro de energía, apagando el teléfono antes de que se cuenta la suposición equivocada. Si se hace bien, se permite a los atacantes desplazarse por todos los 10.000 posibles códigos de acceso sin bloquear el teléfono, y así eficazmente vulnerando la seguridad del iPhone.

Se requiere de mucha habilidad para lograr eso, particularmente en la obtención de la fuente de alimentación. Apagar el dispositivo rápidamente significa crear grietas al abrir el dispositivo y desconectar físicamente la batería para poner todo en la alimentación USB. El proceso de apagado también significa que cada conjetura toma unos 40 segundos, por lo que el ciclo a través de todos 10,000 llevaría en el mejor de los casos una semana, lo que dará a los usuarios tiempo suficiente para desencadenar la función de apagado del teléfono. Aún así, es ladrones plausibles podrían probar el enfoque como una manera de evitar el LockScreen, simplemente debido a la recompensa sustancial cuando el sistema tiene éxito.

En términos más generales, es una señal de cómo puede ser una investigación seguridad exigente. La única vulnerabilidad aquí está en el orden de los procesos, mostrando que un código de acceso ha fallado un par de pasos antes de que el sistema interno añade la suposición incorrecta en su contador. Esa pausa de segundo fue suficiente para dar MDSEC una abertura, lo que lleva a una forma excepcionalmente elaborada para evitar el LockScreen.

Fuente: The Verge