Inseguridad de redes inalámbricas

Advierten del riesgo de secuestro del correo Web en redes Wi-fi

Según un artículo publicado esta semana en BBCNews, expertos en seguridad afirman que el uso de los puntos de acceso gratuitos de las redes públicas inalámbricas es cada vez más arriesgado.

Los expertos demostraron cómo una serie de nuevas herramientas facilitan el robo de los datos de la cuenta, señala Robert Graham, de Errata Security. La estrategia consiste en robar durante el ataque los archivos de identificación conocidos como cookies, lo que permite a los hackers hacerse pasar por sus víctimas. De este modo, obtienen acceso a los mensajes de correo electrónico o a páginas personales de la víctima en espacios como MySpace o Facebook.

Antes de la demostración, en la que se practicó el secuestro en vivo y en directo de una cuenta de correo de Google (GMail), se pensaba que muchos sitios eran seguros porque encriptaban los datos enviados y recibidos durante el proceso de login. Sin embargo, Graham llevó a cabo su ataque sobre las cookies no encriptadas, diminutos archivos de texto que numerosos sitios utilizan para identificar a los usuarios que acceden con cierta regularidad.

Las herramientas creadas por Graham, observan el tráfico que entra y sale de los puntos de acceso de las redes públicas inalámbricas y permiten a los atacantes captar las coockies.

Utilizando estas cookies un atacante puede hacerse pasar por una víctima y disfrutará casi del mismo nivel de acceso a una cuenta que su propio dueño.
Por supuesto, existen algunas defensas frente a este ataque, señala Graham.
Por ejemplo, en la mayoría de los casos los atacantes no podrán cambiar la clave y hacerse con la cuenta definitivamente, ya que la mayor parte de los sitios piden que se reintroduzca la clave antigua antes de permitir el cambio.

Según Graham, también hay servicios de correo Web, como GMail, que permiten a los usuarios encriptar todos los datos que reciben y envían.

Graham reveló sus descubrimientos durante el congreso Black Hat, en las Vegas; un congreso que reúne a profesionales de la seguridad de todo el mundo para intercambiar información acerca de los últimos logros y futuras vulnerabilidades.
Según afirmó, Errata hará públicas las herramientas de ataque, poniéndolas en su página Web para que cualquiera pueda descargarlas.

Fuente: BBC News