Esta segunda semana ha sido muy intensa en el MOOC: tres tareas y un enigma. También ha sido muy provechosa pues he aprendido cosas nuevas, he obenido multitud de referencias útiles para mis clases y, sobre todo, me he divertido mucho. Aquí os dejo un repaso de lo que ha dado de sí la semana:
Tarea 2.1. Capturando tráfico con Wireshark.
Esta tarea me ha resultado sencilla de realizar pues ya conocía y había utilizado previamente este analizador de protocolos.
La propuesta de analizar (de manera guiada en base a preguntas) tramas de diferentes protocolos en función de la seguridad que ofrecen (telnet, SSL, ssh) me ha resultado interesante. He manejado una opción de Wireshark que desconocía “Follow TCP stream” que permite el análisis de tráfico de una manera “un poco más humana” y me ha resultado muy útil para resolver las cuestiones planteadas sin andar buscando por las tramas.
Por otra parte hay que señalar que el uso de este tipo de herramientas puede parecer muy sencillo y atractivo para obtener información pero resulta muy distinto probarlo en un entorno de laboratorio como lo hemos hecho nosotros a hacerlo en una red en producción y bien configurada.
Tarea 2.2. SQL Injection.
Este concepto era nuevo para mí. Lo conocía en modo teórico pero no había realizado nunca ninguna práctica. En ese sentido el conocimiento de la máquina DVWA y de la web de Computer Security Student ha sido todo un descubrimiento. Se puede aprender mucho ahí.
He realizado todas las pruebas propuestas y he quedado un tanto sorprendido de la importancia que tiene una buena programación de bases de datos y de la cantidad de información que se puede obtener cuando no se han tenido en cuenta los items de seguridad.
De cualquier forma no tengo claro que, en un entorno en producción, fuera del laboratorio, estas vulerabilidades sean tan sencillas de atacar aunque me imagino que todo será cuestión de investigación y tiempo, ¿no?
Esta tarea, por otra parte, me ha resultado esencial para conseguir resolver el Enigma.
Tarea 2.3. Debate sobre la ética del hacker.
Hemos participado en el debate abierto en el foro del MOOC sobre este tema y he querido también abrir mi aportación por si a alguien le interesa.
Es este un tema que me interesa particularmente y ya en 2006 leí una obra de referencia como es “La ética del hacker y el espíritu de la era de la información” de Pekka Himanen. Un libro de lectura casi obligatoria para quien esté interesado en estos temas.
Y finalmente… El Enigma!
Debo confesarlo, esta semana he estado enganchado al MOOC. El toque Star Wars que le han dado Miguel y compañía al MOOC desde el principio y la inclusión de la gamificación como metodología de esta semana ha hecho su efecto.
Debo confesarlo, me ha costado resolverlo, pero como diría Carlos Pouso: “Cuanto más difícil es el reto, mayor es el éxito“. Y he disfrutado mucho en el proceso y cuando ha aparecido la clave ante mis ojos y he conseguido desencriptar el mensaje descubriendo cual era el siguiente paso.
Partíamos de un mensaje encriptado donde estaban las instrucciones a seguir pero que había que desencriptar para leerlo.
Par ello nos daban la pista de que la clave de desencriptación estaba en una tabla de una base de datos de un servidor al que teníamos acceso. La tabla según la pista se llamaba “guestbook”. Mediante un ataque de SQL injection hemos descubierto la clave. Este punto ha sido el más complicado pues la sintaxis del comando para la inyección SQL no era trivial. Me imagino que a quien no está acostumbrado a programar o incluso a usar la terminal de línea de comandos le habrá costado un poco. Una vez obtenida la clave se desencripta el mensaje tal y como aprendimos la semana pasada y… a pedir audiencia al Consejo JEDI.
1 Pingback