Descubriendo claves en WiFi

Un amigo en la empresa donde me encuentro trabajando me dió algunos tips -por no decir que me enseñó- cómo descubrir claves WiFi. El tema requiere más paciencia que ciencia así que describiré el escenario.

Lo que aquí escribo es una constancia de las pruebas que realicé, no me hago responsable de nada ni por nadie. Las pruebas las realicé sobre kubuntu pero pueden funcionar con cualquier otra distro. Hay una distro que se llama Wifislax, está basada en Slackware sin embargo los programas que se usarán serán:

1. airmon-ng
2. aircrack-ng
3. airodump-ng
4. aireplay-ng

Todos estos programas se encuentran en aircrak-ng, para más información pueden descargar y leer desde aquí http://www.aircrack-ng.org/doku.php

Los pasos para descubrir claves es muy sencillo, aquí veremos un ejemplo paso por paso:

1. Paso inicial

Se debe cambiar el estado de la tarjeta de red wifi a modo MONITOR. En mi caso la tarjeta wifi es una Intel IPW2200 identificada como eth1 así que ejecuto:

airmon-ng start eth1

Debe observarse que el mensaje en pantalla indique que se tiene el modo monitor enable.

2. Descubriendo redes cercanas a las que posiblemente podamos conectarnos

Aquí pondré a escuchar y observar todas las redes e información relevante como ser, essid, bssid, channel y lo más importante el parámetro DATA. Sólo ejecuto lo siguiente:

airodump-ng eth1

En mi caso al hacer esto, apareció esta información:

CH  1 ][ Elapsed: 4 s ][ 2008-11-26 23:31

BSSID              PWR  Beacons    #Data, #/s  CH  MB  ENC  CIPHER AUTH ESSID

00:1B:FC:DD:51:2E  175        0        2    0   6  -1  WEP  WEP         <length:  0>
00:1E:58:C1:32:A9  174        2        0    0   6  54. WEP  WEP         <length:  0>
00:14:D1:37:01:F9  175        2        0    0   6  54  WEP  WEP         cra1
00:0B:B4:EE:B0:45  173        2        0    0   6  54  WEP  WEP         default
00:17:9A:62:E0:D9  176        2        0    0   6  54. WEP  WEP         Masterchecho Net
00:19:5B:DA:BA:CC  177        4        0    0   6  54. WEP  WEP         uzta
00:02:CF:95:5E:F8  176        4        0    0   6  54. WEP  WEP         Depto
00:1D:7E:44:E9:53  178        6        0    0   6  48  WEP  WEP         Seis
00:19:5B:D9:29:CE  184        5        1    0  11  54. WEP  WEP         redcasa
00:0F:CB:FC:3E:62  174        4        1    0   1  54. WEP  WEP         <length:  0>
00:02:CF:CC:9F:FA  194       13        9    4   6  54. WEP  WEP         cramos
00:1C:F0:3B:5D:81  183       13        0    0   6  54. WPA  TKIP   PSK  dlink
00:1B:FC:F1:E8:E4  185        7      120   52   6  48  WEP  WEP         jancab

BSSID              STATION            PWR   Rate  Lost  Packets  Probes

00:02:CF:CC:9F:FA  00:15:AF:7E:78:60  204  54-54    17        9

Observo que la conexión identificada con el essid jancab tiene en parámetro DATA mayor, es un buen indicio así que trabajaré con esa conexión.

3. Analizando la conexión:

Ejecutaré el siguiente comando para capturar la data sólo del enlace que deseo y almacenaré el tráfico capturado para un análisis posterior, este análisis se realizará con otro programa.

airodump-ng –ivs -w archivo_captura –channel 6 –bssid 00:1B:FC:F1:E8:E4

Es importante esperar que el campo data llegue a por lo menos 15,000. Esto puede demorar tiempo pero podemos generar tráfico inyectando paquetes con aireplay-ng. El sistema generará un archivo de nombre archivo_captura-01.ivs

4. Analizando la data captura

Ahora analizaré la data almacenada, si no logro obtener los resultados tendré que ejecutar nuevamente el paso anterior cuidando de borrar el archivo que contiene la data capturada para generar uno nuevo.

aircrack-ng archivo_captura-01.ivs

Aquí debo esperar un poco hasta que se muestre la clave o KEY. La clave se mostrará en el siguiente formato, por ejemplo: cb:c6:66:55:44

Al usar la clave obtenida se obvia los  :

Así de simple….

El miedo a ser evaluado

Como una de las últimas actividades en la implantación del proyecto que este sábado termina sugerí a gerencia se realizara la entrega de los diversos documentos al personal correspondiente, ello para asegurar que durante las pruebas del plan de continuidad de negocio el personal relevante y operativo responsable de ejecutar las actividades de recuperación sepan que hacer y qué políticas considerar dependiendo del evento.

Además propuse realizar un taller previo dirigido al personal con roles relevantes para asegurar el entendimiento y compromiso, con el personal operativo las charlas se realizaron ya hace un tiempo. El tema es que luego de la sugerencia todo estaba bién hasta que dije la palabra mágica -evaluación-. Entonces empezaron a surgir las objeciones por parte de algunos, comentarios como “La evaluación debe ser en otro momento”, “Hay que darle la seriedad del caso…” entre otras que no recuerdo.

Para dejar clara mi posición ya que en ese momento no se trataba de una sugerencia dije: “Bueno, que les parece si luego de la charla al personal relevante, luego de absolver las dudas y consultas del caso les paso una hoja con algunas preguntas, necesito verificar que han entendido”. La respuesta fue evidente, dijeron “SI”.

Yo hasta ahora no entiendo por qué la gente tiene miedo de ser evaluada, la evaluación para mí refleja entendimiento, conocimiento, además es un punto de medición para muchas cosas. Lo gracioso en la historia es que el titulo del papel a pasar luego de la charla debe ser: “Entendimiento de la charla” pero nunca usar la palabra evaluación.

Casos de la vida real…

Pasos que sigo para implementar un plan de continuidad de negocio

Durante algunas semanas vengo implantando un plan de continuidad de negocio en una importante empresa. El proceso lo separé por fases de las cuales ya terminé la primera faltando dos fases por completar. Estas fases de ejecución se estructuran de la siguiente manera:

Fase 01:

1. Reunión con el Oficial de seguridad de información para discutir y definir el alcance del plan de continuidad de negocio.
2. Identificación de procesos core business y sus subprocesos que serán contenidos en el plan. Es importante que la empresa haya formalizado los procesos y procedimientos. Yo ahora me encuentro con que la empresa no tiene esto formalizado, hace las cosas que aprendió en el tiempo, corrigió los errores que se presentaron en el camino pero no tiene esto formalizado, grave error y alto riesgo.
3. Identificación de nivel de riesgo en activos de información del área donde se ejecuta el proceso.
4. Identificación del nivel de riesgo en el proceso y subproceso.
5. Análisis del personal en las áreas respectivas, aquí considero importante identificar si los empleados tienen claro sus roles y responsabilidades -formalización- conocen las sanciones por incumplimiento y además aunque pareciera algo sin importancia saber si conocen quién es jefe inmediato superior. En anteriores experiencias comprobé que el personal de las oficinas sucursales no tiene claro o supone quién es el jefe inmediato superior.
6. Análisis de impacto en el negocio. Aquí se obtiene los datos más importantes a considerar en el plan.

Fase 02:

1. Desarrollo de la estrategia en base a los resultados anteriormente obtenidos.
2. Desarrollar las actividades de respuesta ante emergencia.
3. Implantar: ejecutar las actividades, realizar simulaciones y comprobar como salen las cosas.

Fase 03:

1. Charlas de capacitación / entrenamiento al personal de las áreas donde se ejecuta el proceso para que sepan que se espera de ellos ante una crisis e informarles sobre como actuar, qué procesos se priorizan y cuál es el plan de ejecución.
2. Comunicación con externos: medios de comunicación, bomberos, centros de salud / emergencia.

El tema de recuperación ante desastre es otro tema que debe considerarse, aquí es importante identificar riesgo tecnológico, procesos TI, servicios críticos entre otros aspectos que permitan que ante una emergencia los servicios TI esenciales no dejen de operar o que se repongan en un tiempo aceptable para la empresa.

El trabajo es y será interesante, sobre todo en aquellos momentos en que la empresa no se pone de acuerdo en como ejecutar algunas actividades. Es un problema cuando existe informalidad y no se tiene definido cómo hacer las cosas y quién es responsable de qué, pero es parte del trabajo. Las cosas saldrán bién, así lo deseo.

Conexión a celulares

Hoy mientras esperaba reunirme con una importante jefatura de la empresa donde me encuentro las posibilidades de matar el rato se acortaban, ya había paseado como cuy en tombola de un lado a otro, me había sentado a observar algunas cosas, mirar algunos puntos débiles que me parecieron pocos pero aún seguía esperando hasta que se me ocurrió sacar el cel y jugar un rato.

Luego de juguetear un rato con el cel y hacer una llamada para concretar una reunión de negocio en otra empresa se me ocurrió verificar algunas conexiones disponibles mediante el cel, grande fue mi sorpresa al ver que había algunas conexiones disponibles a las que teóricamente podría conectarme y una vez dentro ver contactos, agendas, fotos e información del dueño del cel. Siempre estoy en muchos lugares con bastante público -como hoy- algunos aeropuertos o estaciones de buses, pero nunca dentro del aburrimiento que implica esperar la hora de partir se me habia ocurrido ver que conexiones bluetooth había cerca mío, lo  máximo que hice en esos casos fue colgarme de alguna red que provee internet y empezar a chatear o lo que se me ocurra en ese momento.

Siempre tomo la precaución de inhabilitar la conexión bluetooh e infrarojo del cel, pero hoy sin proponermelo voy descubriendo dos nuevas conexiones, curiosamente las conexiones provienen de equipos LG, no he intentado conectarme ya que por un lado no me interesa ver que encuentro, pero sin lugar a dudas es un aspecto que muchos no consideramos -me incluyo- aun cuando mi trabajo trata sobre seguridad de información, es un dia interesante que aún no termina.

Plan de continuidad de negocio y un deseo por venir

La última actividad que vengo realizado trata sobre la implantación de un plan de gestión de continuidad de negocio, pero más que un plan lo que pretendo hacer es implantar un proceso de gestión de continuidad de negocio que permita a esta Organización elaborar nuevos planes, sin embargo escribirlo y pensarlo es bonito, la realidad es lo que cuenta asi que veamos lo que muestra la realidad.

1. El plan requiere la identificación de riesgo existente en los activos de información y procesos. La Organización cuenta con la metodología apropiada para realizar esta tarea sin embargo quién se supone es el OSI no continuó con el proceso. Motivo: Le dieron otro tipo de trabajo y terminó haciendo aquello que no le corresponde como OSI.

2. Los procesos denominados “core business” que se ejecutan no se encuentran formalizados. El procedimiento se aprendió en el camino, sin embargo la empresa crece y ya no es tan fácil controlar lo que antes se podía controlar. Yo veo fácil aprobar y cumplir sin embargo aquí observo que una vez aprobado, el documento sirve para satisfacer auditorías.

3. Si bién el objetivo de negocio “dediquemonos a ganar más dinero” es válido, lo importante es que se tenga claro el objetivo, aún así este objetivo requiere comunicación entre las áreas y hasta formalizar lo que se permite y no para “ganar dinero más dinero” y establecer qué es lo mínimo aceptable.

Las cosas van bién aunque empezaron con algunos días de más, logré armar y mejorar el análisis de impacto del negocio -BIA-  y  quedó como lo esperaba. Hoy tengo entrevista con una jefatura importante en la empresa y hasta ahora las cosas se van dando bién y deben continuar así.

El tema que tomará más tiempo será organizar a la gente o inducirlos a que ellos mismos se organicen, formalicen sus roles, responsabilidades y ejecuten las actividades que les corresponde cuando ocurra algún evento, el día de las pruebas será interesante ya que veré como se desenvuelve todo.

Hoy, no hay mucho que contar aunque si estuve haciendo varias cosas, tengo varias cosas en la cabeza que debo ordenar, cosas personales, lo que corresponde al trabajo, lo tengo todo ordenado y listo para cuando se necesite.

Casi me olvido de comentarlo, hace unos días una amiga, me escribe y me dice: “Que todos tus deseos se hagan realidad”, yo me puse a pensar si realmente ella quiere eso, lo digo porque uno de mis “deseos” es justo ella, asi que la pregunta es ¿Y si se me cumple, no se molestará?…

Curiosidades empresariales

Aquí describo una lista de “curiosidades” que pude observar en una empresa que visité hace muy poco:

1. Ventanas de madera hacia la calle sin reforzar, sólo tenian un picaporte. Motivo: El lugar es seguro, no hay delicuencia, no hay bares, no hay discoteca. Las ventanas dan directamente a los ambientes principales de la empresa.

2. Todas las estaciones de trabajo estan protegidas por clave, sin embargo todos los empleados conocen la clave de cada terminal incluido el terminal del gerente. Motivo: Debe existir uno.

3. El acceso al sistema de gestión se hace con el user y contraseña asignada al usuario pero también si deseas puedes ingresar con el usuario y contraseña del programador y acceder a todos los menú disponibles, manipular estados de cuentas y lo que se te ocurra. Motivo: Confianza compañeros.

4. Viene un cliente y desea anular una transaccion que habia hecho tiempo atrás, el cliente viene con un amigo quién dice aceptará que la transacción sea puesta a su nombre. La solución es fácil, entramos al sistema y solo reemplazamos el nombre del cliente por el del amigo, nos olvidamos de generar y anular historiales previamente generados. Motivo: Para eso tenemos tecnologia.

5. La empresa cuenta con un servicio mortuorio incluido dos cajones funebres nuevos y demas adornos para el muertito, claro, todo ello descansa entre papeles de importancia y caja fuerte. Este punto si es bastante curioso.

6. Es hora de instalar actualizaciones de software a cargo del personal de soporte, para facilitar el tema usaremos unas memorias usb que curiosamente parecen tener un programa adicional que no esta contemplado como parte de la instalacion. Motivo: el antivirus está actualizado.

7. El registro informatico muchas veces no concuerda con la libreta manual que la empresa da a los clientes y registra algunas interacciones realizadas. Motivo: la libretita parece ser más confiable.

8. La zona de servidores cuenta con un ups y extensiones que parecen apropiadas para soportar ademas de los equipos el calentador de agua para el cafecito. Motivo: Si se va la luz, aun tomaremos café.

Hora de descansar….