Eliminando Archivos y Carpetas de forma Segura con SDelete

En esta ocasion les comentare sobre otra herramienta desarrollada por Mark Russinovich de Systernals: SDelete (Secure Delete). Como su nombre lo indica, esta herramienta nos permite borrar de forma segura archivos o carpetas, y cuando digo de forma segura me refiero a que no pueden ser recuperados utilizando programas de recuperacion de datos ya que SDelete se encarga de sobreescribir los sectores utilizados por el archivo en el disco con unos (1) o ceros (0).

Cuando eliminamos un archivos o carpeta de la papelera de reciclaje, el sistema operativo no lo elimina inmediatamente, el archivo es marcado como eliminado y no puede ser accedido por el usuario, pero la informacion del archivo aun reside en el disco duro. Al ser marcados como borrados, el sistema de archivos puede entonces en cualquier momento utilizar el espacio fisico (sectores) que esta utilizando este archivo o carpeta eliminado para almacenar nuevos archivos. Por esta razon es que, si tenemos un archivo con informacion confidencial el cual queremos eliminar de un disco de forma tal que este no pueda ser recuperado, se debe borrar sobreescribiendo los sectores que este utiliza de "1" o "0" y esto es precisamente lo que hace SDelete. La forma de uso de SDelete es super sencilla, no requiere instalacion ya que como las demas herramientas de Mark Russinovich es un archvo ejecutable el cual podemos copiar en cualquier parte de nuestro disco (por ejemplo en C:\tools\) y luego agregar esa ruta en el PATH para asi poder invocarlo desde cualquier ubicacion en una ventana de comandos. Si queremos por ejemplo eliminar la carpeta "C:\carpeta" solo tenemos que hacer lo siguiente:

C:\sdelete -s carpeta

La opcion -s le indica a SDelete que debe hacer una eliminacion recursiva, o sea, que eliminara el folder "carpeta" y todos los archivos y sub-carpetas que se encuentren dentro de esta. Para mas informacion sobre esta como funciona esta herramienta y para su descarga pueden hacer clic en este link. Espero que esta informacion les haya resultado util.

Saltando Restricciones de Proxies con UltraSurf

Recientemente me encontré en el trabajo con el problema citado en el encabezado de este post. Nos dimos cuenta que un usuario se las había arreglado para saltarse las restricciones impuestas por el proxy, o sea, podía acceder a sitios bloqueados por la política de la compañía como Facebook, Hi5, Webmessenger, en fin, paginas de baraje. Al conectarme al equipo del usuario (usando VNC) pude comprobar que realmente el usuario se estaba saltando las restricciones porque estaba en sitios que él no tenia permitido acceder. Inmediatamente trate de averiguar cómo se las había arreglado para hacerlo y hacerlo en mis narices (eso fue lo que más me molesto). Genere entonces un reporte de acceso para ver si el proxy (usamos Squid 2.6) me mostraba las conexiones de ese usuario y así hacerme una idea de cómo lo había hecho, pero no me presento los sitios que él estaba accediendo en el momento, por lo que pensé que entonces él estaba pasando por encima del Proxy, pero como?? El Firewall (IPtables) tiene reglas que no permite el acceso directo hacia Internet, o sea, la única forma de salir hacia Internet es haciéndolo a través del Proxy, el cual él se estaba saltando.

Me sentí un poco frustrado, se está conectando a Internet en mis narices y no veo como!!?? Prácticamente lo veía riéndose de mi: "Ja, El Tipo de Informática cree que puede evitar que revise mi feisbuk" lo imaginaba pensando. Bueno, mientras sigo indagando entre IPTables y Squid continuo con su escritorio abierto en una ventana de VNC, entonces me fijo que cuando el cerro el navegador cerro también una aplicación la cual no pude ver bien en el momento. Convenientemente él iba saliendo a almorzar así que tendría su computadora disponible para buscar el programa sin que él se diera cuenta (no quería que el supiera que lo estaba investigando, quería que se diera cuenta cuando su método ya no le funcionara). Cuando busco en los programas instalados no veo nada sospechoso, así que pensé: bueno, si el pudo conseguir ese programa y ponerlo a correr sin que nos enterásemos, seguro que no lo va a tener tan obvio". Mire bien la barra de inicio para ver los últimos programas abiertos y encontré un shortcut a una carpeta llamada "New Folder" que me pareció sospechoso, pensé que quizás dentro de este se encontraría el programa, hice clic encima de él y abrió el "UltraSurf", el muy sabio había cambiado el icono del shortcut para que pareciera una inofensiva carpeta.

El muy oidiado UltraSurf en plena accion

Una vez el programa carga inmediatamente abre el navegador y ya se puede entrar a cualquier sitio sin las restricciones del proxy. Ok, ya habia encontrado el programa pero todavía no sabía cómo hacia para conectarse al Internet. Lo primero que hice fue tumbar por un momento el Proxy (la mayoría de usuarios estaban almorzando así que nadie lo noto) para ver si todavía así se conectaba lo cual efectivamente hizo que el programa se desconectara. Esto me indico que el programa si utilizaba el proxy para conectarse a Internet. Luego de Googlear un poco sobre cómo funciona este programita me entere de que este utiliza túneles SSL para conectarse con servidores proxy en Internet y entonces entendí el porque mi proxy lo dejaba pasar. Otra cosa que hace UltraSurf es que abre en el equipo del usuario el puerto TCP 9666 y configura el Internet Explorer para que utilice como proxy la dirección 127.0.0.1:9666, o sea, se usaba así mismo como proxy y el a su vez utilizaba el proxy de la red para gestionar la conexión.

Los Web Proxys trabajan capturando las solicitudes de sitios Web de los usuarios y conectándose ellos al Web server requerido en lugar del usuario, luego entrega al usuario la pagina solicitada. El usuario nunca hace una conexión directa con el sitio, quien hace la conexión al sitio web es el proxy. Es decir, el proxy es un intermediario entre el usuario interno de la red y un servidor web externo. Al estar en medio de la conexión entre el usuario y el servidor web, el proxy puede ver el contenido de los paquetes, como origen, dominio de destino, usuario que hace la solicitud, contenido del sitio web, etc., y en base a esto aplicar las restricciones especificadas. Esto aplica para el protocolo HTTP y otras aplicaciones, pero no para el protocolo HTTPS que no es más que HTTP sobre SSL. Al utilizar SSL el proxy no puede modificar el paquete, o sea, no puede ponerse en medio de la conexión, y debe dejar que el usuario negocie una conexión segura con el servidor de destino (utilizando el método http "CONNECT"). Así que al establecerse la conexión (o túnel) entre el usuario y el servidor el proxy no puede intervenir ni ver el contenido de los paquetes ya que estos son encriptados. Por esta razón el UltraSurf podía conectarse a Internet porque hace conexiones SSL con servidores en Internet.

Bloqueando UltraSurf con Squid

Para evitar estas conexiones lo que hice fue limitar los sitios en los que se pueden establecer conexiones SSL, podría también buscar el listado de servidores que utiliza UltraSurf y bloquearlos pero este no sería un método muy efectivo, ya que en tal caso bloquearía solo al UltraSurf y otro programa similar podría funcionar utilizando el mismo método. Generalmente HTTPS solo se utiliza para Internet Banking y algunas otras aplicaciones Web, afortunadamente ya tenía una lista con estos sitios creada, una especie de "Whitelist", así que lo que hice fue permitir conexiones HTTPS solo a los sitios de este listado. Para hacer esto en Squid, se hace lo siguiente:

#Creacion del ACL para el metodo CONNECT
acl CONNECT method CONNECT

# ACL que contiene los sitios Web permitidos para HTTPS
acl sitios-https url_regex "/ruta-al-listado-de-sitios.txt"

# Regla que permitira conexiones HTTPS solo a los sitios del listado creado arriba
http_access allow CONNECT sitios-https
http_access deny CONNECT all

Luego de insertar estas líneas y refrescar la configuración del squid (/etc/init.d/squid reload) UltraSurf ya no podía conectarse a sus servidores en Internet, y por ende el usuario ya no podría saltarse las restricciones (adiós feisbuk!). Pero todavía tenía pendiente el asunto de que este programa modificaba la configuración de Proxy que por GPO habíamos configurado en las computadoras. Tenemos una política de grupo (GPO) que configura el Internet Explorer para utilizar nuestro Proxy y no permite que los usuarios cambien esta opción, pero aparentemente esta política solo esconde la opción de "Connection" en las opciones del Internet explorer, pero estas podrían ser modificadas por el usuario utilizando algún script, como lo hace el UltraSurf. Así que pensé en modificar los permisos de la clave del registro de Windows que maneja la configuración de proxy del Internet Explorer, esta se encuentra en:

HKEY_USERS\SID-DEL-USUARIO\Software\Microsoft\CurrentVersion\Internet Settings

Para modificar los permisos de esta clave solo tenemos que abrir el Editor del Registro (start-->run-->regedit.exe), movernos hasta la clave especificada, hacer clic derecho encima y seleccionar "Permissions". Por defecto el usuario tendrá "Full Control" sobre esta clave, si le cambiamos este y solo le dejamos el permiso "Read" el UltraSurf no podrá modificar la configuración de proxy de Internet explorer, por lo que tendrá obligatoriamente que utilizar el proxy Interno. Así que aunque el programa llegue a conectarse a sus proxies en Internet, el usuario no podrá utilizarlo porque el Internet Explorer continuara siempre viendo solo a nuestro Proxy interno. Bueno, hasta aqui el post de hoy. Espero que este les haya servido de ayuda, mas a administradores de sistemas que a usuarios queriendo violar las politicas de su compañia o universidad (nada bueno sale de eso, creanme). Como siempre espero no haberles hecho perder su tiempo leyendome, habiendo tantos buenos blogs en la red para leer, pero nada, gracias por pasar por aquí.

Default Password en Routers ADSL

Hoy en día la mayoría de nosotros nos conectamos a Internet utilizando un Router ADSL que nos provee nuestro ISP. En nuestro país prácticamente en su mayoría las conexiones a Internet ADSL son suplidas por la misma compania, y generalmente, independientemente del modelo y marca del router, todos utilizan el mismo usuario y password para acceder al site de administración del router. Cuando los usuarios reciben sus routers para su conexión ADSL, solo se les instruye a conectar el router a la corriente y conectar la línea telefónica a este. Cuando el Router se conecta a Internet, en la mayoría de los casos, el sitio de administración de este queda expuesto a todo internet, ya que solo habría que poner la dirección externa que recibió el router desde el ISP, insertar el usuario y el password "default" del router y tendremos acceso a la administración del Router.

Bueno, y cual es el problema de que alguien entre a este site? preguntaran algunos usuarios. La gran mayoría de estos routers permiten hacer NAT hacia la red interna del cliente, o como generalmente le llaman en estos equipos "Comparticion de juegos y Aplicaciones". Con esta opcion podemos mapear cualquier puerto externo del router hacia una computadora conectada al equipo, incluso algunos equipos nos permiten asignar la IP externa del router a una computadora, lo cual mapearia todos los puertos hacia el equipo seleccionado.

Menu configuracion "Comparticion Juegos y Aplicaciones"

Una vez se configura el NAT hacia el equipo interno, este queda completamente expuesto a Internet y a cualquier ataque que se puede lanzar hacia este.

Identificando la IP externa del Router

Ahora bien, algunos podrían argumentar que para esto se requiere la dirección externa del Router y que esta varia cada vez que se reinicia el equipo. Bueno, lo primero es que esas direcciones se pueden conseguir haciendo un simple escaneo de puertos a los rangos de direcciones IP que asigna el ISP. Cualquier programa de escaneo de puertos puede ayudar en esto, por ejemplo, si utilizamos Nmap con el siguiente comando podemos buscar dentro del mismo rango de IP en que se encuentra nuestro router, digamos 66.98.33.xx, todos los equipos que tengan el puerto 80 abierto, o sea, equipos que están corriendo un Web server que generalmente serán routers ADSL.

C:\nmap xx.xx.xx.50-200 -p80 -sS

Nmap nos devolverá entonces todas las direcciones IP que encuentre en este rango que estén corriendo un Web server, luego entonces podemos intentar acceder a estos utilizando el "default password" que generalmente viene con el router. Otra forma en que la IP externa de nuestro router se puede conseguir es a través del envío de emails. Pongamos el caso de un email que enviamos a alguien o a un grupo de personas (tipo "envíaselo a todos tu contactos o no tendrás suerte en el amor"). La persona que recibe este email puede revisar los "headers" de ese mensaje y buscar el campo "X-Originating-IP" el cual presenta la dirección IP desde donde se envió el mensaje, que es la IP externa de nuestro Router (esta podría ser una buena razón para no reenviar tanto pps's). Para conseguir esto solo tenemos que hacer clic derecho encima de un mensaje en nuestra bandeja de entrada, veremos una opción llamada "ver código fuente del mensaje", esto nos abrirá una ventana donde se nos mostraran todos los "headers" del mensaje y aquí encontraremos el campo "X-Originating-IP":

Pero esto no solo se consigue a traves de hotmail u otros servicios de webmails, tambien cuando recibimos un emails a traves de un cliente como Microsoft Outlook o Mozilla Thunderbird podemos revisar los headers y conseguir la IP de la persona que nos envia dicho mensaje. En Outlook el procedimiento es parecido: hacemos clic derecho encima del mensaje y seleccionamos "Message Options", esto nos traera la siguiente ventana:

Como se puede ver en el cuadro anterior, dentro de los Headers en uno de los campos "Received" encontramos la IP desde donde salio el email. Pero no solo los usuarios caseros dejan sus routers con el password default, muuuchas companias que tienen conexion a Internet ADSL tienen sus routers abiertos hacia el internet y con el password default. Por ejemplo, el cuadro anterior pertenece a un email que recibi hace poco de una compania que ofrece entrenamientos en el area de TI, y lo mas interesante, entrenamientos de "Seguridad de Informacion"!!!

Protegiendo nuestros Routers ADSL

Generalmente, no podremos evitar que nuestra IP externa se pueda obtener de las formas antes mencionadas (a menos que utilicemos la red TOR), pero el hecho no es solo esconder nuestra IP, es proteger el acceso al router. Para esto podemos hacer los siguiente:

1) Lo primero que se debe hacer es cambiar el password por defecto por un password fuerte nuestro (siguiendo las mejores practicas para la creacion de password), y si es posible tambien cambiar el nombre de usuario.

2) Otra medida muy importante que podemos (y debemos) tomar es habilitar la funcion "Firewall" que trae la mayoria de estos equipos. Esta funcion generalmente evita que se acceda al site de administracion de Router desde la interface WAN (o desde el lado de Intenet), de esta forma aunque se inserte el usuario y el password validos para el equipo no se podra acceder a administrar el equipo.

Bueno, hasta aqui mi post, esperando como siempre que esta información les sea de provecho y que no hayan perdido su tiempo leyendome.