Portada
mis comunidades
otras secciones
#1:
Ah! Muy bien todo, eh? Ya no se si los buenos días me los ha dado mi novia o Manolo. Todo correcto.
#13:
Que sensacionalista, todo ese spoofing de números ocurre a nivel de red interna, es decir, sólo se pueden modificar los paquetes y recalcular el saludo estando en la misma red, de ese modo si se puede hacer spoof.
Qué ganas de sacar donde no hay alarmando al personal, ahora la gente se va a pensar que le envian mensajes usando el número de su madre o algo cuando solo se puede a nivel interno...
En fins...
Qué ganas de sacar donde no hay alarmando al personal, ahora la gente se va a pensar que le envian mensajes usando el número de su madre o algo cuando solo se puede a nivel interno...
En fins...
#59:
#58 Si no sabes de lo que hablas, ¿qué te costará reconocerlo y asumir que estás equivocado? ¿Tan difícil es?
Venga, que hoy estoy generoso. Te lo explico con cartitas:
SPOOFING (lo que está pasando).
Yo mando una carta con remitente falso. A una chica le llega una carta que parece ser de su novio, pero es mentira, se la he mandado yo. En cuanto la chica conteste al novio no puedo hacer nada por controlarlo, va a llegar a su dirección de verdad así que confusiones aparte se dan cuenta del pufo.
En el caso que nos ocupa la confusión sería mayor, porque no estamos hablando de cartas, y se supone que nadie más que tu novio te puede mandar mensajes desde su teléfono. Pero en cualquier caso no controlas la comunicación.
MAN IN THE MIDDLE
Yo controlo la oficina de correos por completo. Cuando el novio mande una carta a la novia, pasa por mi oficina y yo la puedo leer y modificar si me da la gana. Cuando la novia conteste al novio, vuelve a pasar por mi oficina y puedo volver a leer y modificar la carta. Tantas veces como me de la gana, y sin que ninguno de los dos pueda hacer nada por evitarlo ni descubrir el engaño.
En el caso que nos ocupa es imposible, porque no has modificado más que el origen de un paquete. En realidad ni eres el origen real, ni has controlado un punto intermedio entre el novio y la novia jamás.
Que para hacer el spoofing instales un programa (proxy) que localmente capture el paquete para no tener que crearlo por completo, y sólo modificar los parámetros necesarios (lo mismo que girar la carta y poner a boli la dirección que te de la gana sin que la carta haya salido de tu casa en ningún momento) no quiere decir que haya un ataque MITM.
Man-In-Mis-Cojones-En-Vinagre. Y todos los votos de #13 deberían ser negativos, porque ahora está confundiendo a un montón de gente con información falsa. Yo no voto negativo porque no me gusta hacerlo, pero desde luego que no vendría de más una recfificación.
Venga, que hoy estoy generoso. Te lo explico con cartitas:
SPOOFING (lo que está pasando).
Yo mando una carta con remitente falso. A una chica le llega una carta que parece ser de su novio, pero es mentira, se la he mandado yo. En cuanto la chica conteste al novio no puedo hacer nada por controlarlo, va a llegar a su dirección de verdad así que confusiones aparte se dan cuenta del pufo.
En el caso que nos ocupa la confusión sería mayor, porque no estamos hablando de cartas, y se supone que nadie más que tu novio te puede mandar mensajes desde su teléfono. Pero en cualquier caso no controlas la comunicación.
MAN IN THE MIDDLE
Yo controlo la oficina de correos por completo. Cuando el novio mande una carta a la novia, pasa por mi oficina y yo la puedo leer y modificar si me da la gana. Cuando la novia conteste al novio, vuelve a pasar por mi oficina y puedo volver a leer y modificar la carta. Tantas veces como me de la gana, y sin que ninguno de los dos pueda hacer nada por evitarlo ni descubrir el engaño.
En el caso que nos ocupa es imposible, porque no has modificado más que el origen de un paquete. En realidad ni eres el origen real, ni has controlado un punto intermedio entre el novio y la novia jamás.
Que para hacer el spoofing instales un programa (proxy) que localmente capture el paquete para no tener que crearlo por completo, y sólo modificar los parámetros necesarios (lo mismo que girar la carta y poner a boli la dirección que te de la gana sin que la carta haya salido de tu casa en ningún momento) no quiere decir que haya un ataque MITM.
Man-In-Mis-Cojones-En-Vinagre. Y todos los votos de #13 deberían ser negativos, porque ahora está confundiendo a un montón de gente con información falsa. Yo no voto negativo porque no me gusta hacerlo, pero desde luego que no vendría de más una recfificación.
#25:
#13 No dice absolutamente nada de eso en la noticia, así que supongo que te lo has querido imaginar así.
1. Yo me mando un whatsapp desde mi móvil a otro móvil de mi propiedad.
2. En la red interna con un proxy cualquiera, intercepto y detengo momentáneamente ese paquete de datos.
3. Modifico la cabecera cambiando el contenido y el NÚMERO DE ORIGEN.
4. Permito que el mensaje de datos salga, ya modificado, hasta los servidores de Whatsapp.
5. El mensaje de datos llega al servidor de Whatsapp, donde gracias al fallo de seguridad, creerá que todos los parámetros del mensaje están correctamente introducidos.
6. El mensaje llega a la víctima, con número de origen falso y contenidos modificados.
No hay necesidad alguna de estar en la misma red, ni de hacer ataques MITM, ni leches en vinagre. ¿Estás seguro de lo que estás diciendo?
1. Yo me mando un whatsapp desde mi móvil a otro móvil de mi propiedad.
2. En la red interna con un proxy cualquiera, intercepto y detengo momentáneamente ese paquete de datos.
3. Modifico la cabecera cambiando el contenido y el NÚMERO DE ORIGEN.
4. Permito que el mensaje de datos salga, ya modificado, hasta los servidores de Whatsapp.
5. El mensaje de datos llega al servidor de Whatsapp, donde gracias al fallo de seguridad, creerá que todos los parámetros del mensaje están correctamente introducidos.
6. El mensaje llega a la víctima, con número de origen falso y contenidos modificados.
No hay necesidad alguna de estar en la misma red, ni de hacer ataques MITM, ni leches en vinagre. ¿Estás seguro de lo que estás diciendo?
Comentarios
Ah! Muy bien todo, eh? Ya no se si los buenos días me los ha dado mi novia o Manolo. Todo correcto.
#1 Si tu novia es Bibi Andersen no deberías preocuparte.
#4 Me parece de mal gusto el "chiste".
#5 ¿Es un chiste no? Es malo, pero es un chiste.
#7 y hay chistes de buen gusto, y de mal gusto.
#10 Qué haríamos nosotros sin la patrulla del humor para decirnos cuál es cuál.
#28 No creas, es algo bastante subjetivo, como el apio en la ensalada. Aquí puede opinar todo el mundo. Tu puedes decir: "pues yo creo que es de buen gusto" y todos a beber vino después. Sin drama ninguno. Ni patrullas. Por eso yo ni siquiera dije de qué tipo me parecía en #10 , y por eso #5 dijo "me parece". A él.
#5 Cuestión de gustos, a mí me ha hecho gracia. Y lo dice alguien que tiene absoluta adoración por Bibiana, pero una cosa no quita la otra.
Y la noticia es errónea que te cagas, eso es imposible, mirad lo que me dice el jefe:
#29 Cuéntaselo a ella, a ver si también le hace gracia que bromeen con su identidad de género. Y luego le dices que la adoras.
#1 Hola, soy Manolo. Los buenos días te los manda tu novia pero me encargó a mi hacerlo.
#1 ♪ ManoloManoloManoloManolo ♫ ...
Que sensacionalista, todo ese spoofing de números ocurre a nivel de red interna, es decir, sólo se pueden modificar los paquetes y recalcular el saludo estando en la misma red, de ese modo si se puede hacer spoof.
Qué ganas de sacar donde no hay alarmando al personal, ahora la gente se va a pensar que le envian mensajes usando el número de su madre o algo cuando solo se puede a nivel interno...
En fins...
#13 ¿podrias explicarte un poquillo mas eso de la red interna? ¿que tendrían que hacer para poder modificarme los mensajes previamente entonces?
#20 Esto es como lo de robarte la sesión del facebook, o otras tantas, solo funciona si estas en la misma red, por ejemplo conectado al mismo router wifi, y solo si el router usa WEP o nada. Con seguridad WPA creo que no se puede, aunque no estoy seguro ahora.
El cracker se hace pasar por el router y cuando te va a llegar un whatsapp, le llega a el cracker, lo modifica y te lo manda a ti. Si estás por 3G, 4G, etc esto no se puede hacer.
Moraleja, cuidado a que wifis te conectas
#33 ¿y tú también estás seguro de que no puede hacerse lo que dice #25 ? (sin estar conectado al mismo router)
#36 el dice en una red interna (una oficina por ejemplo), todos están conectados al mismo router
#38
dice #13 que
" sólo se pueden modificar los paquetes y recalcular el saludo estando en la misma red"
y #25 que
"No hay necesidad alguna de estar en la misma red, ni de hacer ataques MITM, ni leches en vinagre."
¿estás seguro de que no puede hacerse lo que dice éste último?
#37 #39 Y dale, que no. En la noticia no pone nada de una red Interna. Yo he hablado de red interna para explicar cómo funciona y distinguir tu red de la de Whatsapp.
El "proxy" del que hablo es cualquier programa que se ponga entre el origen y el destino de la conexión, como Burp hace con las conexiones del navegador. Igual que con Burp capturas las peticiones HTTP que salen del navegador antes de llegar al servidor, para así ver por ejemplo si el servidor controla que no hayas modificado los parámetros por el camino, los investigadores hacen lo propio con los paquetes de Whatsapp.
1. Tu móvil envía un paquete de datos.
2. Su proxy lo intercepta, cambia los parámetros, recalcula la información necesaria, y permite que siga su camino hasta los servidores de whatsapp.
3. En los servidores de Whatsapp no se detecta ninguna modificación.
4. El mensaje llega a la víctima como un mensaje real, esté donde esté.
PD: http://www.portswigger.net/burp/
PD2: No es un MITM a la usanza porque no es que tengas que conseguir ponerte en medio de dos personas que no lo saben. Simplemente te pones en medio en tu propia conexión en un entorno propio bajo tu control.
#20 por red interna me refiero a una red local o VPN, por ejemplo, que tanto victima como atacante estén en la misma WiFi, si tu estás en barcelona usando la red 4G y yo en madrid desde el wifi de mi casa (o 4g también) no puedo hacerte nada de nada.
justo con un proxy. Dime si no, de qué manera eres capaz de interceptar los datos, si no puedes controlar la red?#21 Mucho nazi de la seguridad, el open source y el hacer de todo un terrorista cuando la mayoría usamos el whatsapp para quedar a tomar unas cervezas o algo así, a mí personalmente me da igual que espíen mis conversaciones, lo único que van a ver son fotos de gatetes y chorradas varias que hablamso en el grupo, pero no van a ver ni una sola tarjéta de crédito, etc y quien de esos datos por cualquier red social/servicio de mensajería es un total incauto.
#24 y qué tiene que ver eso con lo que yo he dicho?
#25 te cito porque tú mismo te has contestado, y, añado la prueba.
"No dice absolutamente nada de eso en la noticia, así que supongo que te lo has querido imaginar así.
1. Yo me mando un whatsapp desde mi móvil a otro móvil de mi propiedad.
2. En la red interna con un proxy cualquiera, intercepto y detengo momentáneamente ese paquete de datos.
3. Modifico la cabecera cambiando el contenido y el NÚMERO DE ORIGEN.
4. Permito que el mensaje de datos salga, ya modificado, hasta los servidores de Whatsapp.
5. El mensaje de datos llega al servidor de Whatsapp, donde gracias al fallo de seguridad, creerá que todos los parámetros del mensaje están correctamente introducidos.
6. El mensaje llega a la víctima, con número de origen falso y contenidos modificados.
No hay necesidad alguna de estar en la misma red, ni de hacer ataques MITM, ni leches en vinagre. ¿Estás seguro de lo que estás diciendo?"
Aquí tienes la prueba:
Yo no digo que sea imposible realizarlo de manera global, es muy probable que sea una opción, lo que me refiero es que en éste artículo utilizan una herramienta que necesita de conexión a algún tipo de red interna, y, en concreto, utilizan la herramienta xcode en un mac, por lo que ni siquiera son dos teléfonos físicos en distintos puntos, es un teléfono virtual y una consola, a saber que hay de real en eso fuera del testing, nada más.
#30 Exacto, qué obsesión tiene la gente de desprestigiar una aplicación por su seguridad utilizando métodos que sirven para cualquier aplicación en cualquier dispositivo programado en cualquier lenguaje y bajo cualquier protocolo??
Me recuerda a cuando dijeron que [b]El sensor de huellas del iPhone tiene un fallo gordísimo de seguridad permitiendo desbloquear el dispositivo sin utilizar los dedos del propietario[/b] y añadían que "Para esto, basta con tener un trozo de celofán o un papel con una huella del propietario" coño, es que eso no es un fallo de seguridad, ¡Claro que va a leer una huella en un papel! ¡¡¡No deja de ser la huella del propietario!!! Es como si yo abro la puerta de tu casa con un molde de tus llaves, si, cierto es que no son tus llaves, pero coño la culpa no es del fabricante de la puerta, es que tengo un molde de tus llaves!
#39 Arriba explicado está.
#43
En #13 dijiste
"ahora la gente se va a pensar que le envian mensajes usando el número de su madre o algo cuando solo se puede a nivel interno"
Ahora reculas y dices
"Yo no digo que sea imposible realizarlo de manera global, es muy probable que sea una opción, lo que me refiero es que en éste artículo utilizan una herramienta "
Que viene a ser decir: "según lo que dice el artículo no estoy seguro de que se pueda hacer sin que sea a nivel interno... pensaba que no, pero es muy probable que se pueda... sí, probablemente se pueda enviar mensajes usando el número de su madre"
#46 A ver, que lo que me refiero (a ver si así lo entiendes) es que, como en todo en la informática no hay nada 100% seguro, y ni tú ni yo sabemos si la NSA o si algún comedoritos en su garaje tiene una herramienta para poder hacerlo; Lo que intento decir, es que NO ES TAN FÁCIL como lo pintan en el artículo, no que sea imposible, porque no hay nada imposible en informática.
#44 Si no sabes qué es un MITM es tu problema, macho.
https://en.wikipedia.org/wiki/Man-in-the-middle_attack
The man-in-the-middle attack (often abbreviated MITM, MitM, MIM, MiM, MITMA) in cryptography and computer security is a form of active eavesdropping in which the attacker makes independent connections with the victims and relays messages between them, making them believe that they are talking directly to each other over a private connection, when in fact the entire conversation is controlled by the attacker. The attacker must be able to intercept all messages going between the two victims and inject new ones.
MITM: Me consigo colar entre la conversación de dos personas, de tal forma que piensan que están hablando entre ellas, cuando están hablando conmigo y yo estoy redirigiendo los mensajes, pudiendo leer y modificar lo que me de la gana.
A B (Ellos conversan el uno con el otro)
A YO B (Ellos conversan conmigo sin saberlo)
Usar un proxy para interceptar y modificar paquetes que tú mismo has generado, no es un MITM. LLámalo IP SPOOFING con números de teléfono en paquetes de Whatsapp. Así es como ellos mismo lo están mencionando: Whatsapp Spoofing.
https://en.wikipedia.org/wiki/IP_address_spoofing
YO (SPOOFEO LOS DATOS) -------------------> WHATSAPP SERVER -----------------> VÍCTIMA.
#43 Aquí tienes la prueba: justo con un proxy. Dime si no, de qué manera eres capaz de interceptar los datos, si no puedes controlar la red?
Si no sabes de lo que hablas, no sé para qué sigues dando vueltas.
El concepto "controlar la red" tiene sentido cuando un atacante necesita "controlar una red" que no es la suya propia. En este caso no hay necesidad alguna de controlar una red de terceros, el atacante lo puede hacer en su propia red. En su ordenador propio y esté donde esté. Tan sólo tiene que asegurarse de que el paquete salga modificado hacia el servidor de Whatsapp.
#47 Es trivial:
1. Mandar mensajes desde el ordenador: cualquier emulador (Bluestacks/Emuladores para Linux/etc)
2. Interceptar el mensaje en tu propio ordenador: cualquier proxy local.
3. Modificar las cabeceras: han descubierto el método.
4. Play and enjoy (estés en tu casa, en una wifi universitaria, pública, 3G, o donde te de la real gana, y estando la víctima donde le de la gana estar)
¿En qué parte de la historia necesitas hacerte con el control de no sé qué red?
#45 #52 O sea que según vosotros esto no es un MITM (ahora con la coletilla de "clásico") porque un MITM solo se da cuando A y B se comunican y tú no eres ni A ni B, ¿no?
. Sé perfectamente lo que es un MITM, gracias #52, pero o me estoy perdiendo algo más, o me acabáis de confirmar que sí es un MITM :-P.
En este caso el MITM os lo estáis haciendo a vosotros mismos, a vuestro propio cliente de whatsapp, si lo queréis ver así...
#53 Claro, qué sabrá la Wikipedia (enlace que pone #52) y la humanidad sobre lo que es MITM... tú lo sabes perfectamente y lo que digas tú es lo que vale.
#54 Te agradecería que además de citarme wikipedia como fuente primaria me dijeras qué parte de mi mensaje es incorrecto y por qué.
#55 Tu mensaje es incorrecto exactamente en dos cosas:
1. No es un MITM.
2. Es mentira que sepas lo que es un ataque MITM.
#56 Según lo que explica #25 estás usando un proxy para cambiar unas cabeceras. ¿No es eso poner algo en medio?
#58 Si no sabes de lo que hablas, ¿qué te costará reconocerlo y asumir que estás equivocado? ¿Tan difícil es?
Venga, que hoy estoy generoso. Te lo explico con cartitas:
SPOOFING (lo que está pasando).
Yo mando una carta con remitente falso. A una chica le llega una carta que parece ser de su novio, pero es mentira, se la he mandado yo. En cuanto la chica conteste al novio no puedo hacer nada por controlarlo, va a llegar a su dirección de verdad así que confusiones aparte se dan cuenta del pufo.
En el caso que nos ocupa la confusión sería mayor, porque no estamos hablando de cartas, y se supone que nadie más que tu novio te puede mandar mensajes desde su teléfono. Pero en cualquier caso no controlas la comunicación.
MAN IN THE MIDDLE
Yo controlo la oficina de correos por completo. Cuando el novio mande una carta a la novia, pasa por mi oficina y yo la puedo leer y modificar si me da la gana. Cuando la novia conteste al novio, vuelve a pasar por mi oficina y puedo volver a leer y modificar la carta. Tantas veces como me de la gana, y sin que ninguno de los dos pueda hacer nada por evitarlo ni descubrir el engaño.
En el caso que nos ocupa es imposible, porque no has modificado más que el origen de un paquete. En realidad ni eres el origen real, ni has controlado un punto intermedio entre el novio y la novia jamás.
Que para hacer el spoofing instales un programa (proxy) que localmente capture el paquete para no tener que crearlo por completo, y sólo modificar los parámetros necesarios (lo mismo que girar la carta y poner a boli la dirección que te de la gana sin que la carta haya salido de tu casa en ningún momento) no quiere decir que haya un ataque MITM.
Man-In-Mis-Cojones-En-Vinagre. Y todos los votos de #13 deberían ser negativos, porque ahora está confundiendo a un montón de gente con información falsa. Yo no voto negativo porque no me gusta hacerlo, pero desde luego que no vendría de más una recfificación.
#58 Puedes considerar que estás en el medio de tu cliente whatsapp y el servidor. Pero no estás en el medio de la comunicación que has creado, si el servidor whatsapp quiere mandarle algo al verdadero A, no lo vas a recibir tu. Cuando haces un MITM entre dos puntos, todo lo que se comuniquen esos dos puntos pasa por ti.
El objetivo no es que Whatsapp crea que tu terminal es el de otra persona y que el terminal de la otra persona crea que el tuyo es el servidor de Whatsapp, simplemente envías un mensaje con el remitente cambiado, lo cual por cierto, me parece una chorrada de implementación.
Es que ni siquiera hace falta un proxy para hacerlo, basta un cliente modificado.
#61 Gracias, por fin una contestación a lo que planteo, de forma coherente y sin soberbia. Al final todo se resume en mi comentario de #44: yo considero que poner un proxy en medio que modifique paquetes es MITM, y otros no. Fin.
#62 Al final todo se resume a que no te apeas de la burra aunque no conozcas el tema del que estás hablando. Tú consideras que poner un proxy en medio que modifique paquetes es un MITM porque no sabes lo que es un MITM. Y no, la definición de MITM no varía según el momento o el interés personal de cada uno. La definición de MITM es muy clara.
https://es.wikipedia.org/wiki/Ataque_man_in_the_middle
https://en.wikipedia.org/wiki/Man-in-the-middle_attack
Un ataque man-in-the-middle es un ataque en el que el enemigo adquiere la capacidad de leer, insertar y modificar a voluntad, los mensajes entre dos partes sin que ninguna de ellas conozca que el enlace entre ellos ha sido violado. El atacante debe ser capaz de observar e interceptar mensajes entre las dos víctimas.
[...]is a form of active eavesdropping in which the attacker makes independent connections with the victims and relays messages between them, making them believe that they are talking directly to each other over a private connection, when in fact the entire conversation is controlled by the attacker. The attacker must be able to intercept all messages going between the two victims and inject new ones[...]
¿Admitir que estás equivocado? ¿En España? ¿Y encima en Internet? Sí hombre, y qué más...
#63 ¿Admitir que puedes estar equivocado cuando alguien te lleva la contraria en Internet? ¿En España? ¿Para qué, si cuando hablas en la vida real de estas cosas estás rodeado de gente que no lo entiende y te da la razón automáticamente? No puedes estar equivocado...
Venga, ¡a sacar pecho en lugar de argumentar!
#65 Venga, ¡a sacar pecho en vez de argumentar!
A un lado, personas que explican exactamente cómo funciona un MITM, las características exactas necesarias para que se considere así, y que te enlazan a la definición de la Wikipedia en Español e Inglés para que no tengas dudas. A ese mismo lado, los propios investigadores que llaman al ataque SPOOFING de Whatsapp y no hablan de MITM por ningún lado.
A otro lado, una persona que se limita a decir tonterías (medio MITM), sin enlazar a fuentes, ni dar ningún tipo de soporte argumental a su idea más allá del "pues yo creo que" y usar votos negativos.
Queda bastante claro quien argumenta, y quien simplemente está quedando en el más absoluto de los ridículos por hablar de algo de lo que no tiene ni puñetera idea.
#68 Se hace saber que a partir de ahora, todos los tipos de ataques que requieren de un proxy local para explotar vulnerabilidades web pasan a llamarse MEDIO-MITM by mdotg. Se lo comunicaré a los de Burp
Van a cambiar la pestaña "Intercept" por "Medio-MITM" -> http://portswigger.net/screenshots/proxy_1.png
#69 Macho, no te cansas, ¿eh? Deberías llamarte BrasaDigital a este paso...
Que sí, que ya lo he entendido y que dije ya que "Fin" y que para ti la perra gorda.
Este sí que es mi último comentario aquí.
#62 Si por usar un proxy esto es un MITM, un MITM real entonces es una orgía porque tenemos A y B que son las víctimas, C que es el hacker, los programas de C y si te place todos los routers entre A y B.
Man = hombre.
No, esto no es un MITM por todas las razones que ya te explicaron.
En un MITM tenemos al menos dos víctimas y un delincuente en medio de las dos. ¿Me puedes decir donde están aquí las dos víctimas y el delincuente en medio? A lo mejor el proxy es un delincuente que está engañando al hacker y a la víctima, no sé.
#53 Es una suplantación de identidad, tu estás mandando mensajes diciendo ser otro y está colando.
Para que sea un MITM A tendría que mandar algo a B, tu capturarlo al vuelo, modificarlo y que llegase a B modificado sin que se enterase. No es el caso, tu no estás en medio de nada, tu estás desde otro punto por el que no pasa la comunicación entre A y B haciendo perrerías. Es posible que ni siquiera haya comunicación entre A y B.
Man in the middle es como el juego del teléfono estropeado. Hay una cadena del emisor al receptor y un eslabón se mete en medio para trastocar la comunicación.
#47. Veamos:
"y ni tú ni yo sabemos si la NSA o si algún comedoritos en su garaje tiene una herramienta para poder hacerlo"
En el artículo te están enseñando la herramienta, sabemos que existe.
"es que NO ES TAN FÁCIL como lo pintan en el artículo"
Una vez descubierta la vulnerabilidad, no es que sea fácil explotarla, es que es trivial... Has visto los programitas para hacer jailbreak de los iphones? esos que dándole a un botón funcionan... por detrás hacen cosas más jodidas que este exploit de whatsapp.
"como en todo en la informática no hay nada 100% seguro" "no que sea imposible, porque no hay nada imposible en informática."
Esta es la forma más homeopática posible de hablar de la informática... te falta decir que "a ti te funciona"
#43, tiene que ver que no entendiste cuál es uno de los problemas que esto plantea y lo clasificaste como sensacionalista y alarmista a pesar de estar perfectamente explicado en el artículo.
Te lo copié literalmente y te puse un ejemplo a ver si así, un poquito más digerido, conseguías entenderlo.
#43 Con respecto a lo que le contestas a BrisaDigital y lo de la red:
Tú estás en la red de tu casa en España conectado al whatsapp con tu teléfono, la vícitima está en Japón conectado por 4G.
Tu teléfono se conecta a la red de tu casa vía wifi, por tanto la conexión es tu teléfono -> tu router -> servidores whatsapp -> Japón -> teléfono de la víctima.
Tú envías un mensaje desde tu teléfono, el mensaje llega a tu router como es normal, pues ahí lo paras, lo modificas y lo liberas para que modificado siga su camino hacia los servidores de whatsapp, Japón y por último el teléfono de la víctima.
Así no es necesario que los dos estén en la misma red, ni siquiera en el mismo país.
#13 Esto, amigo, es la pelea de todos los días. Y menos mal que alguien mas piensa como yo... Alarmismo y amarillismo simplemente por montar el pollo.
#13, "Pruebas prefabricadas para sustentar causas judiciales, extorsiones o simplemente bromas de mal gusto. El caso es que se trata de una vulnerabilidad peligrosa a muchos niveles y que alimenta un debate de lo más candente: ¿debe un juez admitir como prueba mensajes de WhatsApp? San Emeterio y Sánchez tienen clara su respuesta: un NO rotundo y contundente."
Si en el whatsapp de tu ex aparecen varios mensajes tuyos amenzándole de muerte y te denuncia, date por bien jodido, aunque tú no los hayas mandado.
#23 #24
Sí, creo que un buen abogado podría probarlo.
(pero si te toca uno malo lo mismo estás jodido, supongo)
Con apoyo técnico, no sólo teórico sino quizá práctico... por ejemplo, presentando como prueba de la defensa un mensaje no delictivo, no de amenazas ni nada de eso, enviado por una persona fallecida sobre un número de lotería de hoy... que es evidente que nadie puede enviar el mes pasado, ni mucho menos alguien ya fallecido.
#32 No se... tal vez bastaría presentar como prueba cientos de publicaciones en internet que hablarán de esto. Recuerda que no hace falta demostrar que se falsificó un mensaje sino que es posible hacerlo. Siendo posible, la prueba pasa a ser dudosa.
#13 No dice absolutamente nada de eso en la noticia, así que supongo que te lo has querido imaginar así.
1. Yo me mando un whatsapp desde mi móvil a otro móvil de mi propiedad.
2. En la red interna con un proxy cualquiera, intercepto y detengo momentáneamente ese paquete de datos.
3. Modifico la cabecera cambiando el contenido y el NÚMERO DE ORIGEN.
4. Permito que el mensaje de datos salga, ya modificado, hasta los servidores de Whatsapp.
5. El mensaje de datos llega al servidor de Whatsapp, donde gracias al fallo de seguridad, creerá que todos los parámetros del mensaje están correctamente introducidos.
6. El mensaje llega a la víctima, con número de origen falso y contenidos modificados.
No hay necesidad alguna de estar en la misma red, ni de hacer ataques MITM, ni leches en vinagre. ¿Estás seguro de lo que estás diciendo?
#25 vale en ese caso el proxy es el MITM. ese caso que pones es un poco especial, porque alguien tiene que modificar el proxie, con lo que es todavía más complejo de que suceda. Yo creo que lo que se ve en el vídeo es un MITM.
#25 Si poner un proxy y modificar una cabecera no es hacer MITM, entonces dime qué es MITM
#44 Man In The Middle (hombre en medio) es que cuando otros 2 se comunican un atacante en medio de ambos hace algo...
En este caso de #25 el proxy (intermediario) lo pone el atacante no para cambiar cosas de la comunicación de otros 2 sino para interceptar un mensaje suyo y poder mirarlo y modificarlo, y luego eso modificado lo mete en la red de Whatsapp... con lo cual falsea sin ser MITM o, al menos, no el MITM clásico
#13 Además, técnicamente es posible aplicar este principio mediante MITM a diez mil protocolos y aplicaciones. Empezando por el email.
Por cierto, los privados de Facebook eran facilísimos de falsificar al menos hace unos meses, y "nadie" pensó en "pasarse a Telegram"...
Luis. Lo entiendo. Sé fuerte. Mañana te llamaré. Un abrazo
Y este ejemplo al azar?: " te dicen que les acompañes a comisaría. Una vez allí, te enteras de que te acusan de chantajear a varias mujeres para que se acuesten contigo. Por lo visto, tienen mensajes tuyos enviados a través de WhatsApp que lo demuestran."
Espero que esto sea lo que parece. Que pronto se van a hacer públicas algunas conversaciones de whatsapp que implican a algún político conservador".
#2 Esto tiene otras repercusiones porque se puede usar al contrario. Hace unos años se descubrió que MD5 no era totalmente seguro. Resulta que en Australia las cámaras de tráfico usaban MD5 para validar que las fotos de las multas no habían sido alteradas. Un abogado logró que se invalidaran multas alegando que MD5 no es seguro.
Con esto de whatsapp se puede hacer exactamente lo mismo. Ahora que se sabe que es vulnerable, un mensaje de whatsapp no se puede usar como prueba en contra de nadie porque el abogado fácilmente puede demostrar que podría haber sido alterado.
De estas cosas son especialistas en "Sálvame"
Esto o algo muy similar ya fue comentado en 'Mundo Hacker' de Discovery MAX. http://www.mundohacker.es/
Me parece que era este: http://www.mundohacker.es/programas/wifi.aspx#.Ux2Xj_tkbhI
La pregunta no es si se puede modificar, el email también se puede falsificar, la pregunta es si deja rastro... un email falso se puede rastrear hasta un servidor de correo falso y asunto arreglado. El problema sería que en whatsapp se pudiera enviar un mensaje falso y no se pudiera rastrear de ninguna forma.
(y no he podido leer la noticia así que si lo aclaran en ella podéis meteros conmigo por comentar sin leer)
Telegram?
Telegram.
#9
-Dueño del "facebook ruso"?
-Ok, Surespot.
Que el whatsapp es la aplicación más cutre e insegura posible ya lo sabe cualquiera que tenga un poquito de interés.
Y el creador fue un "joven jaquer", me desñoclo.
#12 jajajaja cierto... Supuestamente era de un selecto club de los juanquers más juanquers del mundo mundial
Esto simplemente podría ser una muestra de que criticar y romper un sistema es más fácil que hacer un buen sistema seguro... aunque, realmente no creo que sea tan difícil: basta usar TLS ... Https o similares.
Y, viéndolo de otra forma, quizá por eso quería que el sistema fuera débil, para poder cotillear y para que los que sepan de tecnología tengan una ventaja... si crease un sistema que da al usuario el poder para comunicarse de forma totalmente segura entonces ni él no podría cotillear... pero esto tampoco creo que sea. Podría haber hecho un sistema que se comunique de forma segura con un servidor de Whatsapp y Whatsapp seguiría teniendo el poder para cotillear. Me inclino a pensar más bien que lo hizo así por pereza / rapidez de desarrollo y por coste/rendimiento ... un sistema seguro cuesta más hacerlo, y no sólo cuesta esfuerzo y tiempo sino también en rapidez y dinero para servidores (posiblemente el doble)... Para algo que das gratis a millones de personas, el comerte tú mayores gastos en servidores es algo que seguramente muchos no harían aunque sepan cómo hacerlo.
Cuidado, hay alguien de la NSA perdiendo el tiempo para que no sepas que tu novia es en realidad un camionero llamado Paco. No te creas nada, los Illuminati vigilan las fotos de tus borracheras en Facebook.
¡Estoy salvado!¡Estoy salvado!
Ayer mi novia no se creyó lo de que MariPuri es mi prima...anda que mandarme una foto en bolas(mira que se lo tengo prohibido)...probaré con la tecnica del jackeo este.
Rajoy acaba de encontrar la coartada perfecta para sus wasups con Barcenas...
http://www.periodistadigital.com/imagenes/2013/07/14/sms.jpg
#14 Bien, pero eso son SMS.
#17 coño, es verdad
Y luego leemos noticias como que la policía no puede leer las conversaciones por whatsapp, mientras que las llamadas y SMS si...
Madre mía con la de pirados que hay por el mundo... Lo ponen como fácil pero a mi me parece imposible aunque mi torpeza puede ayudar a eso... De todas formas qué peligro!!!!
Cualquiera que haya intentado automatizar su android para leer y mandar whatsapps usando solo la voz ya sabría esto. La base de datos no está encriptada y se puede acceder y modificar datos a tu antojo tanto de las conversaciones existentes cómo de los mensajes salientes.
A ver, yo no soy ningún experto en la materia, pero yo "sin querer" me ha pasado eso con el Titanium Backup, restauro un Whatsapp de otro móvil, vuelvo a verificar Whatsapp con mi cuenta y me dice que hay mensajes antiguos, que si deseo restaurarlos, le digo que sí y entonces me encuentro que me aparecen conversaciones de la otra cuenta de Whatsapp como si realmente las hubiera hecho con la principal mía... A veces, he hecho esto para quedarme con mi novia y enseñarle conversaciones con su hermana
Ya tengo excusa para cuando escriba barbaridades borracho.
Mañana me voy a ir a casa de mi acosada favorita y le voy a poner un proxy diciéndole que mejorará su red, así le interceptaré todos sus mensajes, seguro que me deja, jijiji.
O mejor, me colaré en su casa en plan NSA.
Total, que esto mismo sirve para el mail, skype, facebook, whatsapp. telegram, line, etc.. etc...
Yo lo único que veo es una increíble campaña de desprestigiacion total contra Whatsapp desde hace unas semanas o meses para aquí. Mucho dinero y mucho interés en que caiga Whatsapp y deje paso a otros que quieren que su parte del pastel sea más grande.
Y todo ello impulsado por que los animales sin escrúpulos de Whatsapp han decidido cobrar por su trabajo, los muy peseteros!!! 89 centimos al año por una aplicación que solo uso todos los días!!! es que estamos lokos??? Qué será lo próximo ???
#64 Para mail no exactamente, desde hace tiempo los servidores se validan la ip y una firma entre sí para comprobar que realmente el mensaje es del remitente, no es obligatorio y no lo hacen todos, pero existe la alerta y a mayores si no se sigue probablemente te marquen el correo como SPAM o Wpotencialmente peligrosoW. Por ejemplo, si te mando un email como pepito@hotmail.com desde mi PC de casa, van a saltar las alarmas, mi PC no es un servidor de correo de hotmail.com y hay algo raro ahí...
Luego lo que dices de que se puede hacer lo mismo con Skype, Line, Telegram, Facebook... pues, no se, podías poner algún enlace o algo. Lo dudo mucho... ¿El servidor de Skype/Telegram/Facebook te admite un mensaje enviado desde tu sesión que diga que el que lo envía es otro?
A ver, es un fallo muy tonto y grave, de hecho, casi ni me lo creo de Whatsapp ¿Me logueo con mi cuenta y luego puedo decirle al servidor que los mensajes que envío desde esa sesión son de otro cualquiera?
Yo vengo notando últimamente una cierta campaña de defensa casi visceral a Whatsapp. Probablemente de gente que ha decidido pagar por su servicio y no quiere sentirse estafado, ni que sea la miseria esa de 80 céntimos.
#67 Yo lo he dicho en referencia a los muchos mensajes que dicen que este tipo de ataque sirve para muchisimos protocolos y aplicaciones. Y si, es una chorrada de ataque, no tienes mas que contestar a la persona en cuestion y descubrir que alguien se ha hecho pasar por esa persona.
En cuanto a lo de la campaña, no creo que ningún usuario o grupo de usuarios promueva ningún tipo de campaña, por menos de 1 € al año se va a hacer campaña de ningún tipo ??? si apenas nos movemos cuando nos recortan libertades, sueldos, derechos, etc....
La campaña a la que me refiero yo está promovida (según mis especulaciones) por las mismas compañias que han hecho Line y Telegram, es de cajón !!!!
Yo si veo que la mayoría de mis contactos usan Line me pasare a Line, si la mayoría usa Telegram pos me pasaré a Telegram. De momento estoy contento con Whatsapp, no me importa en absoluto pagar una miseria por una app que uso todos los dias, igual que no me importaría pagar por cosas originales en vez de conseguir la copia pirata si tienen un precio razonable (para mi el cine a mas de 4 o 5 euros no es razonable, mejor me bajo la peli, me he ido por las ramas... jejeje .