Instructor: En las
conferencias anteriores, aprendimos cómo detectar ataques de falsificación de
ARP mediante el análisis manual de las tablas de ARP.
También aprendimos cómo instalar herramientas
como Xarp para detectar automáticamente los ataques de falsificación de ARP
sin tener que verificar manualmente las tablas
de ARP
e incluso aprendimos cómo detectar otras actividades sospechosas utilizando Wireshark.
Ahora, esto es realmente bueno pero aún tiene algunos problemas.
En primer lugar, solo estamos hablando de detección, por lo
que incluso cuando detectamos que alguien
está interceptando la conexión, realmente no podemos
hacer mucho, todo lo
que podemos hacer es simplemente desconectarnos de la
red, tal vez cambiar su contraseña si podemos , si
estamos en la red a algo que es más
difícil o si se trata de
una red pública como un aeropuerto, un hotel o una
red universitaria, entonces todo lo que podemos hacer es
simplemente desconectarnos y usar una red
diferente porque podemos cambiar su contraseña
El otro problema con los
métodos anteriores, como dije, son solo métodos de
detección, por lo tanto, solo funcionarán si el objetivo
logra convertirse en el hombre en el medio usando la suplantación de ARP.
Pero, ¿qué pasa si
alguien puede interceptar la conexión usando otro método?
Por ejemplo, si alguien está ejecutando un punto de acceso falso, como te
mostré antes, ¿y te
has conectado a este punto de acceso falso?
O si se conectó a un hotel, una universidad,
una red Wi-Fi pública, una red de cafés y
el administrador de esa
red en realidad está recopilando datos o alguien o
un pirata informático obtuvo acceso a la computadora del administrador
y nuevamente está analizando los datos porque
por defecto, en redes falsas y
en cualquier red, el administrador
puede ver el tráfico porque el tráfico
tendrá que pasar a través de su servidor
o enrutador.
Entonces, los métodos de
detección que te mostré antes ni siquiera funcionarán en contra de esto.
Por lo tanto, en esta conferencia, quiero discutir
dos soluciones a este problema, por lo que la idea
es usar estas soluciones si descubre que
está siendo atacado o si se está conectando a
una red que no es de su
propiedad y que no administra.
Entonces, si se está conectando a una
red universitaria, a una red de aeropuertos, a
una red de cafés
o a cualquier otra red sobre la que usted no tenga control.
La solución a todo
esto es cifrar su tráfico.
Si encripta su tráfico,
realmente no nos importa si alguien puede interceptar
este tráfico porque nuestro
tráfico estará encriptado, por lo tanto, será
un galimatías
y no será útil para nadie
que esté interceptando nuestro tráfico.
Por lo tanto, hay varias formas
de hacerlo y explicaré cómo funcionan a medida que avanzamos.
Déjame mostrarte esto en acción.
Aquí mismo, ya estoy ejecutando Bettercap
y, como pueden ver, ya está obteniendo información.
Y aquí está mi objetivo y ya
estamos en Vulnweb
y si hacemos clic en algo solo para
mostrarte, verás que el dominio se detectará aquí.
Y luego, iniciemos sesión rápidamente.
Verá que este intento de inicio de sesión se detectará,
por lo que tenemos el
nombre de usuario admin y la contraseña es testtesttest
Nuevamente, si lo intentamos, solo abriré una nueva pestaña
e iré a Stack Overflow, verás que se cargará a
través de HTTP, no hTTPS, así que de nuevo, si sigo
adelante e inicio de sesión, podré
para iniciar sesión y detectar la contraseña y
el método HSTS que le mostré anteriormente,
nuevamente funcionará y podremos omitir eso y robar
la contraseña.
Entonces, esta máquina Kali
puede interceptar todos los datos que
se envían desde y hacia mi máquina Windows aquí.
Entonces, el primer método para prevenir estos ataques y
no nos importa si
estamos siendo atacados, nuevamente, no estoy ejecutando Xarp, no
estoy administrando mis tablas ARP, no me importa si alguien intercepta mis datos.
Lo que haré es instalar
un complemento en mi navegador llamado HTTPS Everywhere.
Así que lo instalaré en Firefox.
Incluiré su enlace en los recursos de esta conferencia,
pero hay un equivalente de este
complemento para la mayoría de los navegadores como Chrome y otros.
Todo lo que tenemos que hacer es simplemente hacer clic en Agregar
a Firefox o Agregar al navegador, sea cual sea el navegador que utilice.
Vamos a hacer clic en Agregar aquí.
Y eso es todo, el complemento se agrega aquí.
Como puede ver, voy a hacer clic en Aceptar
y podemos administrarlo aquí desde su icono en la esquina superior derecha.
Entonces, como puede ver aquí ahora, está
desactivado y si hago
clic en este, activaré este
complemento y, básicamente, lo que hará
este complemento, puede pensar que agrega soporte HSTS a más sitios web,
más o menos para cualquier sitio web que
use HTTPS.
Por lo tanto,
por ejemplo, cuando intento acceder al desbordamiento
de la pila aquí,
pude degradarlo porque mi navegador no
sabe que este sitio web debe cargarse a través
de HTTPS y Bettercap estaba degradando las solicitudes HTTPS a HTTP como lo
expliqué en conferencias anteriores .
Lo que hará este
complemento, similar a HSTS, tiene una lista de sitios
web que admiten
HTTPS y, por lo tanto, cuando intentemos degradar la conexión HTTPS de
este sitio web a una conexión HTTP,
le dirá al navegador que no,
no lo haga. y
lo actualizará nuevamente a una conexión HTTPS.
Déjame mostrarte.
Solo voy a eliminar el
historial y cargaré Stack Overflow nuevamente y
perfecto, como puedes
ver, se está cargando con HTTPS aquí.
Por lo tanto, ahora si voy e inicio sesión, mi
información se cifrará y, por lo tanto, el hacker no podrá
ver mi nombre de usuario y contraseña.
Eso es muy,
muy bueno, pero no perfecto.
Déjame decirte por qué no es perfecto.
En primer lugar, si volvemos a un sitio web HTTP,
de nuevo similar a lo que tenemos aquí en
Vulnweb, así que solo
voy a cerrar sesión y volveremos a iniciar sesión con otra contraseña.
Voy a poner la contraseña ahora en 1234567890.
Iniciaremos sesión
y si volvemos aquí a los registros,
hasta abajo, verá que aún podemos detectar el nombre
de usuario y la contraseña.
Por lo tanto, este complemento es realmente bueno para los
sitios web que admiten HTTPS.
Nos obligará a cargar HTTPS en sitios web que admitan
HTTPS, pero si
accede a un sitio web que solo usa HTTP como Vulnweb, sé
que no hay muchos sitios web que
lo hagan, pero aún existen,
así que si accede a alguno sitio web que
usa solo HTTP, entonces ese sitio web todavía está abierto para el
hacker.
Para que el hacker pueda ver esta
información, podrá robar nombres de usuario y contraseñas.
Si les envía nombres de usuario y contraseñas.
No solo eso, sino que también podrán
reemplazar las descargas, servirle actualizaciones falsas o
inyectar código JavaScript como hemos visto antes y
engancharlo a Beef.
HTTPS Everywhere tampoco impide que el hacker vea los
sitios web a los que accede
y ejecuta ataques de falsificación de DNS.
Deja que te enseñe.
Entonces si solo voy a Bing. com, por ejemplo,
y luego vamos a duckduckgo. com, tenga en cuenta
que HTTPS Everywhere todavía funciona y
vayamos a la máquina hacker y solo miremos
nuestros registros.
Como puede ver, todavía podemos ver que nuestro objetivo
fue a DuckDuckGo, podemos ver que el objetivo fue a Google.
Podemos ver que el objetivo fue a Bing, por
lo que aún podemos ver los nombres de
dominio, pero podemos ver los datos que
se envían porque se cifrarán
con HTTPS, por lo que todavía hay algunos datos que el pirata informático puede obtener.
Si desea llevar su seguridad al siguiente nivel
y cifrar completamente todo lo que envía y recibe, entonces
debería pensar en usar una VPN.
Por lo tanto, en
la próxima conferencia, te explicaré qué es una VPN, cómo funciona
y cómo puede protegernos de los piratas
informáticos o de cualquier persona que intercepte nuestra conexión.