InfoLinux

Lunes, 13 de febrero de 2006

SECURIZANDO IMAGENIO

Versión PDF:

Dificultad (Sobre 5):

Veremos cómo configurar nuestro router de Telefónica, tanto en Linux como en Windows, para evitar que los vecinos u otros atacantes, nos roben ancho de banda, puedan ver Imagenio por la cara, o peor aún, naveguen en Internet con nuestra identidad.

ÍNDICE:

1. Motivaciones del atacante
2. Barreras preliminares
3. Habilitando WPA-PSK
4. Configurando nuestro adaptador inalámbrico (En Windows y Linux) para WPA. En concreto una IPW2200 b/g

MOTIVACIONES DEL ATACANTE:

Recientemente instalaron en mi casa Imagenio de Telefónica, como muchos ya sabréis, viene con WEP por defecto (de hecho la clave se encuentra escrita en la parte de abajo del router, y solamente varía en unos dígitos intermedios con otros routers de Telefónica).
Lo cual hace demasiado fácil que un atacante con unos conocimientos mínimos, pueda:

1. Robarnos ancho de banda
2. Acceder a la configuración del router
3. Ver Imagenio en el ordenador.
4. Navegar en Internet con nuestra identidad

Como estoy estudiando fuera de mi ciudad natal, Burgos, tuve que esperar a este fin de semana, para poder enfretarme al asunto de dar seguridad a mi red inalámbrica familiar. Voy a explicar los pasos que he dado, los manuales que referencio, están realizados en Windows, pero del mismo modo se pueden usar para Linux, simplemente con otro browser diferente.

BARRERAS PRELIMINARES:

Como barreras preliminares contra un atacante dispuse las siguientes:


1. 1.- Cambiar el ESSID por defecto y deshabilitar el broadcasting:
   Las redes Imagenio tienen un nombre de red, que comienza siempre por WLAN_ y ofrecen algo más que simple ancho de banda. Esto aumenta el interés del atacante. Así que lo primero es cambiar el nombre de red o ESSID. Si deshabilitamos el broadcasting nuestro nombre de red no será visible en un escaneo con Windows (lo que significa que no será visible para un atacante, siempre y cuando este use Windows, ya que Linux es capaz de detectar este tipo de redes escondidas). En este caso será necesario configurar el ESSID manualmente.


2. 2.- Cambiar la contraseña del router por defecto:
   Esta es aún más importante. El router de Telefónica, tiene como nombre de usuario:1234 y contraseña:1234 por defecto. Yo mismo he comprobado en redes cercanas, la facilidad de acceder al router, con todo lo que esto conlleva. Por favor, un poco de ética, y nunca tocar nada, sino sabéis de qué se trata.


3. 3.- Desactivar DHCP:
   Esta es una barrera más, para desanimar al atacante. Consiste en no proporcionale en una dirección por defecto. Normalmente se le añade el poner la IP del gateway en una dirección no estándar, como puede ser 192.168.1.1 , por lo que en este caso no nos servirá de mucho, ya que no podremos cambiar la IP, ya que el router se encuentra en red con el deco, y la configuración es demasiado compleja. Por lo que este paso, resulta opcional, y puede interesar no llevarlo a cabo, por comodidad.


4. 4.- Filtrado de direcciones MAC:
   Como ya sabemos, las medidas 3 y 4, no son impedimentos reales en un ataque.
   Todos estos pasos vienen recogidos en un manual ilustrado que encontré de ADSLAyuda, y que seguro viene genial a los indecisos, principiantes e inseguros.
   

HABILITANDO WPA-PSK:

Estas son simples obstáculos, salvables por un atacante. Ahora pasemos a la acción, vamos a habilitar la más sencilla de las configuraciones más seguras que WEP, WPA-PSK. Sobre qué es WPA-PSK, hay mucho escrito en la red, documentación técnica y detallada, así que no entraré en materia.

¿Por qué digo que es la más fácil? Porque las demás necesitan un servidor RADIUS, esto a mí particularmente no me parece muy difícil de configurar, digo esto porque en varios sitios en Internet se pueden leer posts que dicen que estos sistemas sólo se encuentran en empresas,pymes...

1. 1.- Habilitando WPA-PSK:
   Esto también lo he encontrado totalmente detallado en otro manual de ADSLAyuda. Cabe decir que WPA-PSK, es un protocolo también inseguro, pero no tanto como WEP, y limitaremos el rango posible de atacantes a usuarios avanzados, que normalmente usan sus conocimientos de forma ética.

CONFIGURAR EL ADAPTADOR INALÁMBRICO:

Lo que no viene bien explicado, es cómo configurar nuestros adaptadores inalámbricos, para que accedan a la red.

1. 1.- En Windows:
   Para ello usaré el propio configurador de redes inalámbricas de Windows XP. Debemos ir a Panel de Control >> Conexiones de red >> Botón derecho sobre Redes inalámbricas >> Propiedades >> Ir a la pestaña redes inalámbricas >> Seleccionar nuestra red >> Dar al botón inferior Propiedades.
   Nos saldrá la siguiente ventana, que debemos configurar como se describe en la imagen.
   
   


O bien, actualizar la lista de redes, clickar en la nuestra (siempre y cuando no escondiéramos el SSID) y en contraseña escribir nuestro psk.

Dificultad especial (Sobre 5):


2. 2.- En Linux:
   En muchos foros de seguridad inalámbrica o Linux sin cables, se explica cómo debemos asociarnos a nuestra red si tiene WEP. Pero en muy pocos sitios se hace referencia a cómo lograrlo con WPA. Ahora veremos el método para conseguirlo detallado paso a paso.
   La instalación está hecha en una Ubuntu Breezy 5.10 con una tarjeta inalámbrica IPW2200 B/G.
   
   Necesitaremos el paquete wpasupplicant. Antes de nada, conviene comprobar que nuestra tarjeta o driver es compatible con este demonio. Este es un programa, que en el momento en que escribo estas líneas, está en fase beta, aunque funcione de manera bastante estable.
   
   Lo instalaré con el gestor de paquetes apt. Para ello, abrimos una consola:
   
   

   sudo apt-get install wpasupplicant

   En otras distribuciones, podremos usar diferentes gestores de paquetes: emerge, yum... o también bajarnos los binarios y compilarlos en nuestra máquina, esto es a gusto del lector.
   1.- Después necesitaremos generar nuestro psk válido:
   
   

   wpa_passphrase "SSID o nombre de red" "nuestra clave"

   Nos devolverá algo similar a lo siguiente:
   
   

   network={
   ssid="El nombre de red que pusiste"
   #psk="La clave que pusiste"
   psk=15671de34216d794948baa03b0
   f3d9a0564763f698fbb716c75ccfcb5f6197aa
   }

   Es esta sarta de números y letras la que nos interesa. Copiamos el psk.
   
   2.- Ahora editaremos el archivo wpa_supplicant.conf. Debería encontrarse en /etc/wpa_supplicant.conf , de no hacerlo, siempre podremos usar el comando find o locate para encontrar la ruta del fichero.
   Lo editamos con nuestro editor preferido, en mi caso VI, aunque para principiantes resulta mucho más sencillo gedit, como root, por supuesto.
   
   

   sudo gedit /etc/wpa_supplicant.conf

   Ahora debemos colocar lo siguiente en nuestro fichero:
   
   

   ap_scan=2
   network={
   ssid="Tu nombre de red"
   key_mgmt=WPA-PSK
   proto=WPA
   pairwise=TKIP
   group=TKIP
   psk=15671de34216d794948baa03b0f3
   d9a0564763f698fbb716c75ccfcb5f6
   }

   Es en psk donde pondremos lo que acabamos de copiar, el resto del fichero se deja tal cual viene por defecto.
   Si tenemos el SSID oculto, tendremos que cambiar el valor Scan_ssid=1.
   
   3.- Ahora ya está todo listo, así que vamos a asociarnos y autenticarnos frente a la red. Para ello escribiremos:
   
   

   sudo wpa_supplicant -i ath0 -c /etc/wpa_supplicant.conf -d -D madwifi -w

   En mi caso que uso una ipw2200 b/g, el comando quedaría así:
   
   

   sudo wpa_supplicant -i eth1 -c /etc/wpa_supplicant.conf -d -D ipw -w

   Después de este comando, el paquete wpasupplicant nos informará de los pasos que esté llevando a cabo. Si no consigue conectar, nos informará de los motivos, es recomendable, comprobar que:
   
   
   
   
   1. Es necesario tener una versión reciente del driver, que tenga la posibilidad de WPA incorporada. Si nuestro driver no soporta WPA probablemente obtengamos algo una línea que diga:
      
      

      ioctl[IPW_IOCTL_WPA_SUPPLICANT]: Invalid argument

   2. Comprobar todos los pasos anteriores, tener especial cuidado en no confundirse en los datos al generar el psk.
   Después deberemos pedir una ip por DHCP con:
   
   

   dhclient eth1

   Y si lo tenemos puesto en modo manual, como root:
   
   

   ifconfig eth1 inet 192.168.1.5 # La IP estática en la red
   ifconfig eth1 up
   route add default gw 192.168.1.1 #La IP del router

Podéis encontrar más material interesante sobre el router Zyxel 660 HW de Telefónica, en ADSLAyuda: Manuales sobre cómo configurar el DDNS para montar un servidor, NATear puertos, actualizar firmware...

Espero, que este manual, os sirva para securizar vuestra red, y evitar posibles gorrones. Si tenéis alguna duda, posteadla como comentario, y espero poder ayudaros.
Si os interesan manuales como este, o información relativa a algo sobre Linux sin cables, dejad un comentario al respecto.

Hasta la próxima

PUBLICADO EN:


1. El sitio especializado en seguridad Shell Security, publicaba el 16 de febrero de 2006, una noticia sobre este manual (con más de 4000 visitas).


2. Error500, publicaba en su recopilatorio de blogs semanal XXXIII, un enlace recomendando este blog.

Por: Miguel Araujo | Wireless | Comentarios (5) | Referencias (3)