Un investigador ha descubierto un fallo de seguridad en la aplicación de Gmail para Android que permite la modificación de los datos originales de un mensaje enviado, que podría beneficiar sobre todo a los ciberdelincuentes, ya que permitiría el envío de un mensaje haciendo uso de una dirección concreta y posteriormente modificar esta para que el usuario crea que procede de otra.
Que soberana soplapollez. Mostrar datos ficticios como dirección de envío de un correo es algo trivial.
Hagan una pequeña prueba, es totalmente segura:
- Escojan un destinatario que puedan comprobar, por ejemplo FulanezDeTal@gmail.com
- usen una herramienta DNS-Loockup para averiguar el servidor de correo entrante para la direccion, gmail sería -> http://mxtoolbox.com/SuperTool.aspx?action=mx%3agmail.com&run=toolpage
- Se elije un servidor de correo entrante, por ejemplo - gmail-smtp-in.l.google.com
- Abrir un terminal TELNET, si es windows (por ejemplo) escribir en la linea de comandos de MSDOS lo siguiente (-> es lo que esribimos nosotros y telnet gmail-smtp-in.l.google.com 25 [Enter]
HELO me[Enter]
MAIL FROM: [Enter]
RCPT TO: [Enter]
DATA[Enter]
Subject: esto es un correo[Enter]
-> [Enter]
-> esto es el cuerpo del texto ¡¡Insidiash!![Enter]
-> [Enter].[Enter]
QUIT[Enter]
#1 Esto (dicen que) se da sólo en la app de gmail para android, así que ha de ser un poco más complicado que lo que comentas, que cantaría en las cabeceras.
#3#4 Exacto, y Google ha contestado que es un error trivial y no piensan arreglarlo pues aunque la mayoría de clientes de correo no permite cambiar el remitente y se usa siempre el de la cuenta de correo configurada hay algunos clientes de correo que si permiten manipular las cabeceras al enviar o pluggins para hacerlo, incluso se puede hacer a mano como muestro, por lo que no es un problema de seguridad, si te quieren enviar un correo fraudulento pueden hacerlo de mil maneras, tanto da que ahora haya 1001.
#1 No has leido bien el articulo o está mal escrito. En el articulo ya dice lo que tu comentas,"Para realizar este ataque los ciberdelincuentes necesitan al menos disponer de dos elementos básicos: Un servidor SMTP funcional" ese seria tu caso, no lo necesitan ahora, sino habitualemnte se usa eso como tu explicas. Lo que han descubierto es como hacerlo desde la propia app de gmail que no está pensada para eso logicamente y ese es el fallo que abre esa app a ese uso indebido.
Comentarios
Que soberana soplapollez. Mostrar datos ficticios como dirección de envío de un correo es algo trivial.
Hagan una pequeña prueba, es totalmente segura:
- Escojan un destinatario que puedan comprobar, por ejemplo FulanezDeTal@gmail.com
- usen una herramienta DNS-Loockup para averiguar el servidor de correo entrante para la direccion, gmail sería -> http://mxtoolbox.com/SuperTool.aspx?action=mx%3agmail.com&run=toolpage
- Se elije un servidor de correo entrante, por ejemplo - gmail-smtp-in.l.google.com
- Abrir un terminal TELNET, si es windows (por ejemplo) escribir en la linea de comandos de MSDOS lo siguiente (-> es lo que esribimos nosotros y telnet gmail-smtp-in.l.google.com 25 [Enter]
HELO me[Enter]
MAIL FROM: [Enter]
RCPT TO: [Enter]
DATA[Enter]
Subject: esto es un correo[Enter]
-> [Enter]
-> esto es el cuerpo del texto ¡¡Insidiash!![Enter]
-> [Enter].[Enter]
QUIT[Enter]
#1 Totalemente de acuerdo.
Telnet al puerto 25
maquinaria.com25
helo asocial@asocial.com
> pleased to meet asocial@asocial.com
mail from: rajoy@victima.com
> administrador@victima.com ....sender is valid
data:
> Enter mail, end with "." on a line by itself
Estimado Sr. Capullo:......
> Mail accepted
quit:
> connection is closed
#1 Esto (dicen que) se da sólo en la app de gmail para android, así que ha de ser un poco más complicado que lo que comentas, que cantaría en las cabeceras.
Por otro lado, me apunto lo del telnet.
#3 #4 Exacto, y Google ha contestado que es un error trivial y no piensan arreglarlo pues aunque la mayoría de clientes de correo no permite cambiar el remitente y se usa siempre el de la cuenta de correo configurada hay algunos clientes de correo que si permiten manipular las cabeceras al enviar o pluggins para hacerlo, incluso se puede hacer a mano como muestro, por lo que no es un problema de seguridad, si te quieren enviar un correo fraudulento pueden hacerlo de mil maneras, tanto da que ahora haya 1001.
#3 El cliente de gmail y todos los clientes smtp lo que hace entre bambalinas para mandar un email es usar los comandos que indica #1.
#1 No has leido bien el articulo o está mal escrito. En el articulo ya dice lo que tu comentas,"Para realizar este ataque los ciberdelincuentes necesitan al menos disponer de dos elementos básicos: Un servidor SMTP funcional" ese seria tu caso, no lo necesitan ahora, sino habitualemnte se usa eso como tu explicas. Lo que han descubierto es como hacerlo desde la propia app de gmail que no está pensada para eso logicamente y ese es el fallo que abre esa app a ese uso indebido.