El Clon

No, no voy a hablar de este tipo de Clon

ni de este y para no cansarlos tampoco se trata de la novela El Clon.


El ultimo mes estuvo muy movido en Bs As con el tema de los skimmers y el clonado de tarjetas.


19/04/09
Bandas extranjeras vienen al país a clonar tarjetas
11/04/09
Detienen a dos búlgaros que clonaban tarjetas en cajeros
04/04/09
Clonaban tarjetas para los cajeros
05/03/2009
Escapan a los tiros dos estafadores de cajeros automáticos


Yo hable sobre el tema del chupacabras como lo llaman en Brasil a los equipos que extraen los datos de las bandas magneticas de las tarjetas, en este post.

Pero hoy encontré otros ejemplos de Skimming muy evolucionados, vean este :

Frente de acceso a la tarjeta :


Parte posterior :


Este dispositivo tiene la batería, una memoria flash y un port mini USB, además del lector de la banda.



En este link varios ejemplos mas sobre dispositivos de skimming :

ATM Card Skimming and PIN capturing Awareness Guide (PDF)


Vuelvo a repetir las recomendaciones :

Cuando utilicemos un cajero , verificar que el mismo no posea ningún tipo de modificación y no actuar de manera automática.

Observar el lector de entrada.

Observar el frente del cajero, prestar atención a las salientes que pudiera tener.

Tratar de sacar el dinero en cajeros que conozcamos.

En caso de notar alguna modificación dar aviso al banco, en gral los cajeros tienen una linea para comunicarse.



fuente : Reader Finds Card Skimmer On Bank ATM

Si no puedes hackearlo, llevate el server.

Si no puedes hackearlo, llevate el server.

Sun Tzu ( El arte de la guerra )

Vamos a hablar un poco de seguridad física.


Masked thieves storm into Chicago colocation (again!)

‘Ocean’s 11′ Data Center Robbery in London

Server theft knocks Peter Gabriel off the web

Violento robo de cajero automatico

El concepto de Prevención Criminal por medio del Diseño Ambiental Crime prevention through environmental design (CPTED) viene siendo implementado en los últimos 35 años.

La teoría del CPTED se basa en la posibilidad de reducir los posibles crímenes por medio de ciertas medidas de planificación y proyectos de las areas.

La teoría se basa en algunos principios básicos que deben ser seguidos por el personal responsable del proyecto de construcción.

Iluminación : La iluminación adecuada, diurna y nocturna mejora la sensación de seguridad y desmotiva la practica de delitos, dado que aumenta la capacidad de visión y en consecuencia la exposición de quien comete el delito.

Vigilancia Natural : Pensar las areas de manera que los usuarios tengan un campo de vision amplio. Un campo de visión amplio permite que mas personas puedan observar y esto aumentar la exposición de quien comete el delito.

Puntos de escondite: En las construcciones deben evitarse salientes o lugares que permitan se utilizarlos como escondites.

Previsión de movimientos : Construcciones que permiten predecir por donde las personas pasaran ( túneles, pasarelas ) combinados con poco campo de visión, aumentan el riesgo que se comentan delitos.

Uso mixto de areas : Mezclar areas residenciales junto con areas comerciales, permite una distribución de personas durante un rango amplio de horarios de manera de contar con vigilancia natural en varios momentos del dia.

Propiedad de territorio : Proyectar las areas para que existe una sensación de propiedad en las personas que las utilizan de manera de realizar el mantenimiento en forma compartida. El mantenimiento evita que las areas sufran vandalismo ante el abandono.

Señalización : Identificación clara de los lugares y de los caminos posibles transmite una sensación de seguridad, dando a los usuarios la sensación de que poseen rutas de escape fáciles y que recibirían ayuda tan pronto lo necesiten.



Mecanismos de protección

De la misma manera que en el ámbito lógico, en la seguridad física se utiliza el esquema de seguridad en profundidad, area originaria del concepto.



En el principio de defensa en capas tenemos mayor seguridad, implementando diferentes mecanismos de protección, aun menos eficientes, que un solo mecanismo de protección mucho mas avanzado.


Estos mecanismos en la seguridad física comprenden :

Defensa perimetral

Cercas
Paisajismo
Portones
Barreras vehiculares

Iluminación

Alarmas

Sensores de presencia

Por quiebra de circuito eléctrico
Interrupciónde haz de luz
Infrarrojo pasivo
Detector ultra-sonico
Dispositivode microondas

CCTV( Circuito Cerrado de TV )


Puntos de entrada

Los puntos de entrada son algo sumamente critico en la seguridad de un edificio, los mismos deben cumplir con un criterio de cuello de botella, minimizando los puntos por donde el paso de las personas es permitido de manera de contar con un control efectivo de la seguridad.

Paredes

Las paredes deben ser construidas de acuerdo a una serie de requisitos de manera de garantizar la seguridad de las instalaciones y de los usuarios. Los puntos básicos a tener en cuenta :

-Resistencia contra accesos no autorizados
-Proteccion fisica de personas
-Resistencia contra incendios

Las formas en las cuales las paredes son construidas impacta en la seguridad, en los lugares en los cuales la seguridad es mayor, las paredes deben tener cimientos y llegar al techo, a diferencia de las paredes "secas" o de mampostería que van del nivel del piso hasta el cielorraso.

Puertas

Las puertas son uno de los componente de seguridad mas utilizado en las construcciones.
Existen diversos tipos de puertas y su impacto en la seguridad de los bienes y de las personas, desde las comunes de batiente hasta las sofisticadas Mantrap o antitailgating.



Ventanas

Las ventanas de igual manera que las puertas deben cumplir ciertos requisitos para utilizarse en un ámbito seguro.

Tanto el tipo de marco como la fijación a las paredes debe ser verificado de manera de no facilitar la posibilidad de quitarlas.

Los tipos de vidrios utilizados impactan en la seguridad.

Vidrio normal --> Poca seguridad
Vidrio templado --> Mayor seguridad de los usuarios, no se astilla
Acrilico -->Mas resistente que el vidrio, pero inflamable
Policarbonato --> Mayor resistencia que el acrilico y menos inflamable
Vidrio con Policarbonato --> Para areas de alta seguridad, es antibala.

Cerraduras

Las cerraduras son el medio de acceso físico mas utilizado. Una gran cantidad puede ser abierta por personas con poco conocimiento y para las mas sofisticadas, personas bien capacitadas pueden lograrlo en un tiempo mayor.

Las cerraduras son en si, mas un dispositivo de retardo, que una protección definitiva.

En todo caso, el conjunto cerradura/acceso debe estar acompañado por la vigilancia de una circuito de CCTV.

La seguridad fisica comprende muchos mas puntos, pero ya es un post bastante grande, solamente voy a enumerarlos.

Controles y protecciones internas.

Energía electrica

UPS
Generador
Pararayo
Puesta a tierra
Estabilizadores
Antiestaticos

Suministro de Agua
Gas
Ventilación,
aire acondicionado
Proteccion contra incendios
Medios de backup
Control de Patrimonio


Los data center de IBM cumplen con todos estos puntos, uno de los que visite en Brasil ubicado en Campinas ( ) se puede ver en la siguiente imagen :


El punto 1 es el acceso al predio, allí las visitas deben identificarse con un documento el cual es retenido y cambiado por una tarjeta, la cual debe llevar en forma visible hasta la entrada al edificio que se encuentra en el punto 2.

Todas las visitas deben ser informadas con el suficiente tiempo.

En el punto dos se ingresa al edificio principal, en el cual las recepcionista cambian esta tarjeta por otra que identifica a la persona como Visita.

Alli es contactado por la persona de IBM que acompañara a la persona hasta los data centers que se encuentran en 3 durante toda la visita.

Para acceder a los data center ( son 3 bloques ) hay un guardia que anota los datos de la persona y revisa con un detector de metales a cada persona.

Una vez habilitado el ingreso, se ingresa por una puerta Antitailgating en la cual una persona ingresa parada y con los brazos a los costados.



Esta puerta gira y lo ubica dentro del area de servidores donde hay otro guardia de seguridad.

Una vez alli, uno se desplaza hasta el sitio donde estan los servers.


CPTED estrategies

Seguridad fisica de las tarjetas de credito

Viendo esto



Leyendo esto




Uno supone que esto es exclusividad de VISA


Pero en China venden estos hologramas




Mucho PCI DSS, pero esto es un descontrol :-)



Foto Visa : http://www.flickr.com/photos/steventom/64858289/

Fuente : http://www.f-secure.com/weblog/archives/00001651.html

Pueden los bancos olvidarse las puertas abiertas??? SI

Los bancos actualmente aplican diferentes medidas de seguridad, CCTV , guardias, puertas a prueba de tailgating.

Pero como sabemos, nada es 100% seguro y basta un error humano para que la cadena se corte.

Estos casos ocurrieron en UK , donde reinan los estandares, recordemos que la ISO 27001 proviene de la norma britanica BS 7799-2:2002.

En febrero de este año, un niño ingreso al banco durante la noche mientras sus padres sacaban dinerto de un cajero automatico. El rapaz de 5 años aviso a sus padres que el banco estaba abierto, algo que no ocurre generalmente los sabados.

De esto se dedujo que la puerta permaneció abierta por 19hs desde el viernes por la tarde.

La familia dia aviso a la policia, quienes solo recibieron esta alarma y no la que debería haber activado el sistema de CCTV al abrirse la puerta.



Un segundo caso ocurrio en oficinas del Low Fell Barclays's, supuestamente contratistas olvidaron cerrar las puertas las cuales permanecieron abiertas varias horas durante la noche.

Materia Oscura - Tamperprofing en Host Secure Module

En general cuando se habla de medidas de seguridad fisica, nos vienen a la mente la biometria, los circuitos cerrados de video, los dispositivos de on-time password, es decir equipos o dispositivos que vemos en peliculas o que tienen publicidad algun tipo de atencion en los medios.

Pero hay otros dispositivos que no son tan publicos y que hacemos uso a diario, estos son los HSM.

Esta la definicion de Wikipedia "Un HSM es un dispositivo criptográfico basado en hardware que genera, almacena y protege claves criptográficas y suele aportar aceleración hardware para operaciones criptográficas. Estos dispositivos pueden tener conectividad SCSI / IP u otras y aportar funcionalidad criptográfica de clave pública (PKI) de alto rendimiento que se efectúa dentro del propio hardware."

Estos dispositivos tiene medidas de seguridad antitampering muy avanzadas, son equipos utilizados en el campo militar y de transacciones comerciales como tarjetas de credito.
Cuando hacemos una compra con tarjeta, nuestro PIN es validado contra uno de estos equipos, los cuales desencriptan el PIN y lo validan contra el almacenado.

Los HSM los hay fisicos y logicos, pero en las aplicaciones criticas donde se necesite velocidad de procesamiento y las llaves de seguridad deben resguardarse celosamente, se utilizan los fisicos.

Este es el HSM Thales 8000


A medida que los codigos de encripcion fueron evolucionando la necesidad de preservalos fue evolucionando.

Con la aparicion de los sistemas multiusuario se vio la necesidad de preservar de los usuarios los codigos de seguridad, para esto se crearom los modulos autonomos de seguridad.

Basicamente consistian en el chip dentro de una caja de metal, la cual una vez abierta cortaba la energia con lo cual se borraba la informacion.

Esto por supuesto podia ser facilmente burlado, perforando el metal y viendo el dibujo de los circuitos.

Entonces la proxima evolucion fue llenar las cajas con resina epoxy, de esta manera si el equipo era violado, se veria a simple vista.

De todas maneras esto no protegia las claves ya que una persona con acceso al equipo, podia quitar la resina con un cuchillo y utilizar una analizador para ver en los bus del microprocesador como estaba formada la llave, algo que en el caso de RSA y DES es posible realizar.

Para evitar esto IBM creo un dispostivo antitampering consistente en un cable alrededor del procesador el cual si era dañado borraba la informacion.

En los equipos actuales esto se ve mejorado, grabando diferentes patrones de proteccion para eludir su desactivacion.

Otro ataque al cual se pueden ver expuestos los chips son en el caso de mantener la informacion en un solo lugar de la memoria, para evitar esto actualmente la informacion es movida de lugar en la memoria como en la salvapantallas de las PC's.
Incluso para protegerse de los ataques que consisten en bajar la temperatura de las memorias a menos de- 20 grados centrigrados para que no pierdan la informacion, los HSM detectan variaciones de temperatura y borran la informacion, otra proteccion que poseen es contra inspecciones de rayos X, para lo cual tienen sensores de radiacion.


Por supuesto que toda esta tecnologia de proteccion depende 100% de las politicas y procedimientos de seguridad.

Equipos con los cuales trabaje tienen tres tarjetas smart cards, las cuales estan en poder de tres personas diferentes, con una password por persona, para realizar el mantenimiento ( por ej. creacion de llaves ) se necesita la presencia de las tres personas, y un auditor quienes verificara que los procedimientos son seguidos correctamente.

Para activar los equipos se tienen dos llaves, las cuales se deben girar para cambiar el estado del equipo a modo de mantenimiento.

Si bien lo que se ve en la pelicula juegos de guerra no es lo que aca planteo, se puede tener una idea del procedimiento para activar un HSM. ( Dos personas como minimo, una llave en poder de cada una, codigos por separado )



Por supuesto el eslabon debil en la operacion fue el ser humano, tanto en esa parte de la pelicula, como durante todo el transcurso de la misma.

En los HSM tambien es la misma historia.

fuentes : http://www.cl.cam.ac.uk/~rnc1/descrack/ibm4758.html

Seguridad Fisica - El Chupacabras y no, no estan Scully y Mulder.

Chupacabras se le llama en Brazil a los dispositivos para clonar tarjetas de bancos (crédito o débito ).

Durante los últimos años la sofisticación de estos dispositivos va en aumento, lo cual esta obligando a los bancos a utilizar smart cards.

Estas imágenes son del método utilizado por una banda un par de años atras para capturar información de tarjetas y luego clonarlas.




Consejo : Cuando utilicemos un cajero , verificar que el mismo no poseea ningún tipo de modificación y no actuar de manera automática. ( Aunque realmente en el caso de arriba es muy difícil notar la diferencia a menos que seamos muy precavidos... )

Pci DSS tiene normas sobre los POS, pero no recuerdo haber leido sobre normativas relacionadas a Cajeros automáticos.

Fuente : http://www.euromilhoes.com/forum/showthread.php?t=3938

Seguridad Fisica - Lock Picking

Este post es un resumen de una excelente nota realizada en howstuffworks. Como ya hablamos en posts anteriores, lockpincking es el metodo de abrir cerraduras sin utilizar una llave. Esto es muy importante de tener en cuenta al momento de asegurar nuestros activos. Muchas veces vemos cadenas que son mucho mas fuertes que los candados que protegen el bien.

Muchos de nosotros estamos familiarizados con el manejo de cerraduras, de hecho diariamente interactuamos con varias diferentes y lo hacemos naturalmente. Ahora vamos a entender como funcionan, tomemos como ejemplo la mas comun de las cerraduras, la cerradura de tambor.

Lock Picking: Cerraduras de Cilindro

La funcion de este dispositivo es por medio de una llave, extender un cerrojo el cual se introduce en una abertura y permite trabar una puerta. Si no se cuenta con la llave con la combinacion correcta el dispotivo no permite abrir la puerta.

En las imagenes superiores vemos una cerradura de cilindro abierta y luego en la posicion de cierre.

Dentro del cilindro hay una especie de rompezabezas, que solo la llave correcta puede resolver.
La cerradura de tambor ( una de las mas faciles en abrir ) en general contiene una serie de pines
de diferente largo.

El tambor de pines normalmente se usa en cerraduras cilindricas. En este tipo de cerraduras, la caja exterior tiene agujero en el que se sitúa el tambor. Para abrir la cerradura, el tambor tiene que rotar.

El tambor tiene una ranura recta conocida como "ojo" de la cerradura, tecnicamente se llama "estría"; por un lado permite a la llave entrar al tambor, y por otro puede tener una leva o una palanca que active el mecanismo para abrir la cerradura. El "ojo" de la cerradura, frecuentemente tiene unos salientes que evita que los pines-llave (rojos) caigan, haciendo la cerradura más resistente a "forzarla". En el tambor hay una serie de agujeros verticales, típicamente cinco o seis. Éstos agujeros contienen pines de varias longitudes, que son redondeados para permitir a la llave deslizarse fácilmente.

Encima de cada pin-llave hay una serie de pines de control (azules), los cuales reciben una fuerza de un muelle que las empuja hacia abajo. Las cerraduras simples suelen tener sólo un pin de control por cada pin de la llave. Las cerraduras diseñadas para poder abrirse con varias llaves distintas, como un conjunto de cerraduras que se tienen una llave maestra, tienen un pin de control extra conocido como "pin espaciador".

Veamos como trabaja la cerradura en caso de insertar una llave incorrecta



Veamos como trabaja la cerradura en caso de insertar la llave correcta



Este simple dispositivo es muy efectivo, dado que los pins estan ocultos dentro de la cerradura, lo que hace mas dificil para la mayoria de las personas encontrar la combinacion correcta. Pero con practica y las herramientas adecuadas es posible resolver el problema.

Picking Pin-and-tumbler Locks

Entonces como vimos en el ejemplo anterior, el secreto para abrir la cerradura de tambor consiste en alinear los pins que descansan sobre los resortes en la posicion que permite girar el tambor.

Para hacer esto se utilizara un par de herramientas que permiten mover cada par en la posicion correcta.

Picks ( o ganzua ) - Son piezas de metal finas como alambres y que poseen una curvatura en el final. Son utilizadas para mover los pines de las cerraduras.

Tension wrench - Estas herramientas tienen diferentes tamaños y formas. Sirven para dar torsion y poder girar la cerradura una vez que se alinearon los pines.


El primer paso para abrir una cerradura es insertar la herramienta de tension y girarla en el sentido en que gira la llave.



Mientras se aplica presion en la cerradura, se inserta el Pick en la boca de la cerradura y se comienza a mover los pins. El objetivo es mover cada par de pins para que el pin inferior quede dentro del tambor. Cuando se consigue esto, el pin emite un "click" indicando que esta en la posicion correcta.

De esta manera se realizara el mismo proceso con cada par de pins, terminado este paso el tambor girara libremente.

Si bien conceptualmente el procedimiento es simple, en la realidad se requiere de mucha practica para conocer la presion a aplicar y los sonidos que emiten las cerraduras al momento de abrirse.

Llaves maestras

Algunas cerraduras estan diseñadas para abrirse con dos llaves diferentes, la llave normal abrira solo una cerradura en particular, mientras que la llave maestra abrira esta cerradura y otras mas.

En estas cerraduras, algunos pares de pines estan separados por un tercer pin, llamado Master Wafer o Spacer.

Cuando los tres pines se encuentran combiandos, hay dos posibles posiciones para que los pines pueden abrir la cerradura.

Ya lo postee anteriormente, pero lo agrego ya que me parece util para el post.
Como hacer lockpicks.




Fuente :

http://home.howstuffworks.com/lock-picking.htm
http://www.wikipedia.org

Teleduplicacion - Copiandote las llaves a 60mts de distancia

Veamos un poco de seguridad física.
Científicos de una Universidad de Ingeniería en California, desarrollaron un software que permite en forma automática duplicar una llave física a partir de una foto, independientemente del angulo en que fue tomada y aun si fue tomada desde una distancia mayor a 50mts.

El proyecto llamado Sneakey fue conducido con la idea de prevenir a la gente de no publicar fotos de llaves en lugares públicos. Por ejemplo como esta :


Para probarlo, estos émulos de Don Gato el celebre ladrón que aparece en Los simpsons.

Instalaron esta camara a unos 60mts de distancia, sobre el techo de la Universidad y tomaron fotos a las llaves que se encontraban sobre una mesa.

Con solamente tres intentos, lograron abrir todas las cerraduras que se propusieron. Una vez tomada la foto, el sistema tarda 30 segundos en calcular las diferentes formas de la combinación de la llave. Si la foto de la llave tiene un ángulo o esta sombreada, puede tomarles un poco mas de tiempo.

El proceso que mas tiempo les toma es cortar la llave. Lo cual hicieron con una máquina copiadora de llaves computarizada como la que aparece en la foto siguiente :


Las llaves que se encuentran hoy en el mercado son fáciles en decodificar, a cada valle o monte le corresponde un numero. Las que estan actualmente en el mercado tienen desde cuatro a seis numeros . Cuando son insertadas en una cerradura, estas marcas en las llaves , son alineadas con una serie de pins que permiten destrabar la cerradura.


El sistema fue desarrollado en Matlab, y por el momento no fue hecho publico.

Por lo tanto de ahora en mas, hay que cambiar estos llaveros :

Por estos otros, que tienen un precio accesible de U$S 300



Fuente : http://vision.ucsd.edu/~blaxton/sneakey.html

http://news.cnet.com/8301-17912_3-10079914-72.html?part=rss&subj=news&tag=2547-1009_3-0-20

Tiger Team

Tiger Team es un grupo especializado en probar que tan efectiva es una organizacion en proteger sus activos. Digamos que realizan una especie de PENTEST a toda escala, no solamente logica sino ademas fisica.

El termino es aplicado en el campo militar para describir al equipo cuyo proposito es probar la seguridad de las propias instalaciones y verificar las medidas de seguridad. Los miembros son profesionales que instalan evidencias de su accionar, por ejemplo dejando carteles con palabras como BOMBA en sitios de defensa criticos. En algunos casos, despues de tener exito en una de sus "visitas", personal de alto rango realizara un "security review" y encontrara la evidencia.

Tiger Team tambien era el nombre de un programa de television en EEUU del tipo reality show.



Cada episodio muestra a un equipo civil que realiza test de invasion y son contratados por organizaciones con el objetivo de probar sus vulnerabilidades. Estos test cubren todos los campos posibles, electronico, psicologico, tactico y fisico. Los ataques ejecutados sobre estas organizaciones incluyen ingenieria social, dumpster diving,hacking por wireles, hacking por cable y el acceso fisico a los edificios mediante diversas formas.

En el show siguiente, el TIGER TEAM fue contratado para verificar la seguridad de una joyeria exclusiva.

Es muy interesante ya que se puede ver la metodologia del PENTEST, utilizando todas las herramientas disponibles.