Iloo

https://iloo.wordpress.com

Archivos por Etiqueta: internet

Web Applications Security: Coteor (1)

Tengo esta entrada pendiente desde hace un par de años este tema es bastante delicado y esta relacionado al acceso a los equipos modem ADSL proporcionados por Coteor.

Pero contando un poco la historia, después de firmar el contrato de Internet ADSL y esperar un día viene a mi hogar la persona encargada de la instalación del modem, esta persona instala y configura el dispositivo, después le pregunto si podría darme el acceso al modem (ZyXEL P-660HN-T1A) para poder realizar algunas configuraciones extras, cambiar el SSID, contraseñas, hablitar servicios HTTP, FTP, etc, tal persona me indica que no puede darme ese dato y si necesito algún servicio extra tendría que contactarme con Coteor y ellos analizarían el tema.

Una vez se retira el técnico procedo a obtener la contraseña de acceso al router, tal contraseña no es algo difícil de obtener, se pueden obtener las contraseñas de todos los routers entregados por Coteor.

Luego usando nmap se puede realizar un mapeo, de los equipos conectados en la red:

nmap -sP 200.110.51.1-255

*Mapeando solo el ultimo octeto.

Y se obtiene una respuesta de este tipo:

Nmap scan report for 200.110.51.3
Host is up (0.076s latency).
Nmap scan report for 200.110.51.9
Host is up (0.085s latency).
Nmap scan report for 200.110.51.13
Host is up (0.078s latency).
Nmap scan report for 200.110.51.14
...

Probando la dirección 200.110.51.14:

coteor1

Y en la mayoría de los hosts se tendrá el mismo resultado, probando con la contraseña:

coteor2

Y también se tiene la contraseña de la red wireless:

coteor3

Esto no sucedería si Coteor brindara la contraseña de acceso al modem ya que en este caso sería el usuario el responsable de la seguridad de su red, responsable de usar una contraseña segura para su modem, pero como este no es el caso, Coteor sería el único responsable de la seguridad de las redes de los usuarios.

Anuncios

Tigo: un mes más

Hoy por fin vinieron a “instalar” el Internet ADSL de Coteor, lamentablemente un día después del plazo para poder cancelar mi suscripción a tigo, ahora no queda más que esperar hasta el próximo 25.

Una pequeña reseña de esto, ya que puede parecer un tanto curioso.

  • Vienen dos personas supuestamente a “instalar” el Internet, evidentemente no hay que instalar nada, trajeron el Router un ZyXEL, lo conectaron y sus frases: “ya esta todo instalado, llame a este número para que venga el técnico a configurarlo”. o.O
  • Con mis conocimientos básicos podría haber dicho muchas cosas con esto, pero generalmente me gusta escuchar a los técnicos y personal de soporte técnico, a veces me intriga saber el tipo de capacitación que tuvieron porque no son muy lógicas las cosas que señalan.
  • Llamo al número señalado (e indico de nuevo mis datos), una hora después viene el técnico encargado de la configuración (un persona de unos 40 años, soy malo para calcular la edad de las personas, tal vez sea un poco mayor), me alegra ver que no es un tipo arrogante.
  • Me pide los datos para la red (SSID, contraseña), pregunto: puedo cambiar luego esos datos ?; responde: no puede, tiene que llamarnos si quiere hacer algún cambio; pregunto: y si quiero usar algunos servicios como ssh, restricciones de MAC, abrir puertos del Router (al que el llama modem) ?; responde (dudando y después de una larga pausa): nos llama y desde la central habilitaremos todos los servicios que requiera. Me alegra ver que no es un tipo arrogante.
  • Después de mucho tiempo (más de una hora) yo sigo callado “trabajando” y dejo al técnico hacer el suyo, recuerdo (que hace dos años mas o menos) un amigo configuraba sus equipos agregando las direcciones DNS de Coteor y nada más, indico esto al técnico, no me hace caso (tal vez no me escucho),  repito ahora con más insistencia, el, dudando hace lo que digo y listo, trabajo concluido. Me alegra ver que no es un tipo arrogante.

Una pequeña historia aunque hay muchas cosas más que ocurrieron, le indique que los cifrados no son completamente seguros, sobre las direcciones DNS, el servidor DHCP; más que todo respondiendo a algunas interrogantes que el tenía, incluso me pregunto si no era catedrático de alguna universidad, hasta ahora me pregunto porque lo habrá dicho…

Tigo: me tiene atrapado

No por el “excelente” servicio, simplemente no hay otra alternativa.

En esta ciudad uno puede acceder  a Internet mediante las siguientes “empresas”:

  • Nuevatel o Viva (3.5G).
  • Entel (ADSL, 4G).
  • Coteor (ADSL).
  • Tigo (3G).

En primer lugar el servicio de Internet móvil 3G y familia deja mucho que desear, al menos aquí, la velocidad es muy variable y no se cuenta con una IP propia.

Ahora solo queda ADSL de Entel y Coteor.

Ojala fuera tan fácil de ir y contratar un plan pero no, en las dos empresas me dijeron lo siguiente:

  • Entel: se encuentran saturados y no es posible acceder a su servicio ADSL.
  • Coteor: igualmente se encuentran saturados por lo menos aquí me dijeron que estarán así entre esta y una semana más.

Ojala para la próxima semana pueda cambiar de servicio… me voy a poner a rezar.

Tigo: la velocidad de mal en peor

La verdad tigo Bolivia es un desastre (al menos el servicio de Internet),con eso digo todo (es posible que surja algún comentario, aunque no lo creo, defendiendo a capa y espada a esta empresa), la velocidad de mal en peor, el soporte diciendo las mismas idioteces. Aunque en Bolivia ninguna empresa ofrece un buen servicio de conexión a Internet, a pesar de que el costo de contratar un servicio de este tipo no es nada barato.

Ahora tengo una conexión 3G  que apenas sobrepasa los 10 KB/s (el doble de mi antiguo dial-up), y el soporte (800-17-8000) me dice lo siguiente:

  • Cambie el tipo de conexión (solo 3G, preferente 3G, etc)… y usted ni siquiera sabe para que sirve eso.
  • Cambie el puerto donde se conecta el modem… claro el puerto USB esta demasiado congestionado hay que dejarlo descansar.
  • Reinicie el equipo… el equipo también tiene que descansar.
  • No es nuestro problema, le recomendamos que revise sus equipos… y ustedes deberían revisarse el cerebro!
  • Nosotros le garantizamos un mínimo de 64 KB/s… y entonces porque tengo 10 KB/s ?
  • Es debido a la zona donde vive, a dos cuadras de usted el servicio es mejor… haberlo dicho antes, voy a mover toda mi casa buscando su señal.
  • Debido a la insuficiencia eléctrica de las portátiles en los puertos USB es que su modem se corta, le recomendamos que use una PC de escritorio… vaya y yo que leí que los puertos USB son seguros y optimizan la energía.

Y cuando todo eso no funciona me mandan a sus oficinas para revisar el problema de mi modem, y el encargado (que ni siquiera sabe la diferencia entre KB/s y kbps) me dice lo siguiente:

  • El modem solo esta diseñado para navegar… osea no puedo hacer videconferencias, ni ver vídeos, osea solo puedo navegar.
  • Nosotros le ofrecemos un máximos de 256 KB/s… y eso es el nominal o real?  o.O
  • El modem se conecta normalmente… lea mis labios el problema es la velocidad!

Creo que no tengo de otra, solo rezar para que el próximo sábado pueda contratar un mejor servicio.

Haber si para la próxima voy añadiendo los nombres de estas personas.

Web Applications Security: www.coteor.net.bo (1)

Este post no es tanto una prueba de seguridad más bien la notificación de un bug de seguridad bueno uno enorme, inicialmente intente comunicar de esto a la empresa, pero no encuentro ningún correo de contacto en su sitio (o_O), ni tampoco en la guía telefónica y eso que esta empresa brinda el servicio de Internet, telefonía, cable, etc, bueno ya lo dice su nombre Cooperativa de Telecomunicaciones Oruro (www.coteor.net.bo).

Pero vayamos al grano el bug o agujero de seguridad se encuentra en la aplicación para el seguimiento de horas en el servicio dial-up (si, la empresa ofrece servicio dial-up, y a precios demasiado altos y ni siquiera cuenta con un plan ilimitado), la aplicación encargada del registro se llama Orion (o al menos eso supongo) desarrollada por la empresa Solintec (cosa que también supongo, por el nombre de la dirección y los banner’s) y se encuentra en http://orion.coteor.net.bo/orion/usuarios/

La cosa es que esta aplicación genera logs en una dirección que cualquier persona tiene acceso, estos log’s se generan cada hora durante todo el día, y almacenan información delicada de las cuentas (nombre de usuario y contraseña a demás que no están codificadas ni cifradas) también información de la persona que se conecta (línea telefónica, fecha y hora).

Se puede apreciar todo esto en la imagen anterior (ojo que los datos ya no sirven ya que todos son de las tarjetas prepago del mes de enero, tal vez alguien pueda hacer un generador de cuentas y contraseñas XD)

Ya con estos datos y un programa para ocultar o cambiar el id telefónico uno ya podría empezar a usar la cuenta de acceso a internet de otro usuario (aunque sea dial-up).

Algunos datos interesantes que se pueden encontrar (a parte de los datos de acceso) son:

  • Cuentas de administrador, obvios: admin y administrador con sus respectivas contraseñas.
  • También para las personas que tienen contratado un plan estos datos son los mismos que se usan para acceder las cuentas de correo electrónico.
  • Siempre hay personas despistadas que ingresan sus datos de otros correos por ejemplo: hotmail, yahoo, gmail cosa que no ingresa ya que es otro servidor de correo pero estos datos son almacenados por la aplicación y guardados en los archivos log’s.

La recomendación es clara, arreglar el bug de la aplicación ya que los datos (privados) de toda una ciudad son visibles a cualquier persona que de con la dirección donde se almacenan estos datos.