Upload
rootedcon
View
440
Download
0
Embed Size (px)
DESCRIPTION
Citation preview
1Rooted CON 2014 6-7-8 Marzo // 6-7-8 March
Skype Sin Levita
Un Análisis de Seguridad y Privacidad
2Rooted CON 2014 6-7-8 Marzo // 6-7-8 March
Skype, repaso rápido
Skype es tanto un servicio propietario de voz-sobre-Internet como una aplicación software.
Creada en 2003. Propiedad de Microsoft desde Mayo del 2011.
Llamadas de voz y vídeo Skype-a-Skype, SkypeOut, SkypeIn, Mensajería Instantánea, envío de ficheros, pantalla compartida, SMS, video llamadas en grupo.
Ampliamente usado, tanto a nivel personal como profesional.
3Rooted CON 2014 6-7-8 Marzo // 6-7-8 March
¿Qué hacía a Skype diferente?
Privacidad, como consecuencia de su diseño global.
Comunicaciones híbridas peer-to-peer & cliente-servidor (supernodos)
"Because of Skype's peer-to-peer architecture and proprietary encryption techniques, Skype would not be able to comply with such a request.” [en relación a las peticiones de intercepción legal]
Protocolo Evasivo y con capacidades de auto-recuperación
4Rooted CON 2014 6-7-8 Marzo // 6-7-8 March
Arquitecura de Skype: Supernodes
Los Supernodos de Skype– Los clientes Skype con suficiente ancho de banda,
capacidad de procesamiento y que cumplieran otros requisitos, podían convertirse en “supernodos” de Skype.
– Los supernodos intercambiaban datos empleando protocolos peer-to-peer.
– En cualquier momento unos ~48K clientes hacían de “supernodos”.
– 800 usuarios / supernodo
En este momento sólo servidores de Microsoft pueden convertirse en supernodos– +10K cajas Linux– +4K usuarios / supernodo
5Rooted CON 2014 6-7-8 Marzo // 6-7-8 March
Cifrado de Skype
La documentación relativa a los mecanismos de cifrado y transporte empleados por Skype es inexacta, está anticuada o, simplemente, no existe.
Security by obscurity is not security at all.
Si Microsoft ha modificado la arquitectura de supernodos, habrá dejado el cifrado cómo estaba?
6Rooted CON 2014 6-7-8 Marzo // 6-7-8 March
Skype en la red:¡Vamos a echarle un ojo!
Skype v. 6.14 (351)
Security Analytics (Solera)
port-mirror
7Rooted CON 2014 6-7-8 Marzo // 6-7-8 March
¡Vamos a echarle un ojo!
8Rooted CON 2014 6-7-8 Marzo // 6-7-8 March
¡Vamos a echarle un ojo!
9Rooted CON 2014 6-7-8 Marzo // 6-7-8 March
¡Vamos a echarle un ojo!
10Rooted CON 2014 6-7-8 Marzo // 6-7-8 March
¡Vamos a echarle un ojo!
Social Networking
Web Ads/Analytics
Social Networking
Social Networking
Web Ads/Analytics
Web Ads/Analytics
Web Ads/Analytics
Web Ads/Analytics
Web Ads/AnalyticsWeb Ads/Analytics
Web Ads/Analytics Web Ads/Analytics
11Rooted CON 2014 6-7-8 Marzo // 6-7-8 March
Primera Ronda de Comentarios
Comentario #1: El cifrado propietario de Skype habría sido reemplazado por SSL.
Comentario #2: La mensajería instantánea de Skype está empleando los servidores del Menssenger de Microsoft
Comentario #3: La prolífica actividad asociada a sitios categorizados como Web Ads/Analytics sugiere que los usuarios de Skype se están convirtiendo en productos, lo que incrementa la preocupación por la privacidad.
12Rooted CON 2014 6-7-8 Marzo // 6-7-8 March
Skype Sin Levita
¿Prodía el cliente software de Skype ser objeto de un SSL MITM?
Veamos hasta donde podemos bajar por la madriguera del conejo…
13Rooted CON 2014 6-7-8 Marzo // 6-7-8 March
SSL MITM de Skype
Skype v. 6.11
Security Analytics (Solera)
SSL Visibility
Herramientas:2 cuentas de prueba de Skype con las que jugar.SSL Visibility de Blue CoatUn dispositivo de captura de paquetes conectado a la salida en claro del SSL Visibility – Blue Coat Security Analytics (preferiblemente)Certificado de CA Intermedia generado con una CA privada.– Importarlo en el SSL Visibility (MITM) como CA de firmas– Importarlo en el portátil como una CA de confianza
14Rooted CON 2014 6-7-8 Marzo // 6-7-8 March
SSL MITM de Skype: ¡Funciona!
15Rooted CON 2014 6-7-8 Marzo // 6-7-8 March
SSL MITM de Skype: ¡Funciona!
16Rooted CON 2014 6-7-8 Marzo // 6-7-8 March
Consideraciones de Seguridad y Privaciad
El cliente Skype ni informa de que está usando SSL ni muestras los certificados que en uso.
El Cliente Skype usa el almacén de certificados del sistema operativo.– De otro modo no hubiera sido posible hacer un
MITM SSL con una CA intermedia privada.– El sistema de SSL Visibiliy hace un MITM SSL re-
firmando la cadena de certificados SSL original del servidor con su propio certificado de CA.
17Rooted CON 2014 6-7-8 Marzo // 6-7-8 March
Consideraciones de Seguridad y Privaciad
Esto hace al cliente de Skype más vulnerable que otras aplicaciones que llevan embebido su propio almacén de certificados.
Si el SO del usuario confía en el nuevo CA, no tendría una forma de saber que sus conversaciones han sido interceptadas un dispositivos de inspección SSL.
No habría más que inyectar un certificado de CA privada en el almacén de certificados del PC del usuario.
18Rooted CON 2014 6-7-8 Marzo // 6-7-8 March
Skype Sin LevitaSkype login en claro
Nombre de usuario
“uic”: user identification code? Hash del password del usuario?
Versión del cliente de Skype
19Rooted CON 2014 6-7-8 Marzo // 6-7-8 March
Skype Sin LevitaSkype login en claro
Cogen el hostname del PC
20Rooted CON 2014 6-7-8 Marzo // 6-7-8 March
Skype Sin LevitaChat de Skype en claro
21Rooted CON 2014 6-7-8 Marzo // 6-7-8 March
Skype Sin LevitaChat de Skype en claro
22Rooted CON 2014 6-7-8 Marzo // 6-7-8 March
Skype Sin LevitaChat de Skype en Claro
23Rooted CON 2014 6-7-8 Marzo // 6-7-8 March
Trabajo en curso
Skype Sin Levitatransferencia de ficheros en claro
Cuando se transfiere un fichero, podemos ver en claro lo que parece ser el canal de control
Estamos trabajando en la descodificación/reconstrucción del canal de datos
24Rooted CON 2014 6-7-8 Marzo // 6-7-8 March
Consideraciones de Privacidad & Seguridad…el montón de cosas que Skype se baja…
25Rooted CON 2014 6-7-8 Marzo // 6-7-8 March
Consideraciones de Privacidad & Seguridad…el montón de cosas que Skype se baja…
26Rooted CON 2014 6-7-8 Marzo // 6-7-8 March
Consideraciones de Privacidad & Seguridad…el montón de cosas que Skype se baja…
27Rooted CON 2014 6-7-8 Marzo // 6-7-8 March
ConclusionesDesde los puntos de vista de seguridad y privacidad, Skype ha perdido buena parte de lo que le hacía único.
El cifrado propietario ha sido reemplazado por SSL.
Hace uso (en silencio) del almacen de certificados del sistema operativo.
Para que un tercero pueda llevar a cabo un SSL MITM sólo sería necesario inyectar un certificado de CA como confiable al almacén de certificados del SO.
Todo el tráfico de Skype puede interceptarse y descifrarse, para lo bueno y para lo malo.
Es posible inyectar código malicioso escondido entre el montón de JavaScripts que Skype se descarga de Internet, y que Skype lo ejecute.