lunes, julio 05, 2010

Crackear conexiones VPN PPTP MS-CHAPv2 (III de III)

***********************************************************************************************
- Crackear conexiones VPN PPTP con MS-CHAPv2 (I de III)
- Crackear conexiones VPN PPTP con MS-CHAPv2 (II de III)
- Crackear conexiones VPN PPTP con MS-CHAPv2 (III de III)
Autores: Juan Luis G. Rambla MS MVP Security & Chema Alonso
***********************************************************************************************

Ataque con asleap + ettercap paso a paso (continuación)

Antes del inicio de la comunicación, se comprueba que el único mecanismo de autenticación admitido por el cliente es MS-CHAP v2. Sería factible un ataque adicional en la que tanto el cliente como el servidos admitieran MS-CHAP y MS-CHAP v2generando una degradación de la autenticación a MS-CHAP v1, que es más sencillo. En el mismo, aunque la negociación cliente-servidor determinará que la mejor autenticación sería MS-CHAP v2 un atacante en medio podría re-negociar la comunicación entre ambos extremos para degradarlo a MS-CHAP, más vulnerable.


Figura 6: Selección de autenticación MS-CHAP v2

Al mismo tiempo que se produce el proceso de autenticación el atacante está recibiendo los datos del proceso de autenticación.


Figura 7: Conexión PPTP establecida

La información obtenida por Ettercap con los datos correspondientes a la autenticación del usuario administrator, se recogen en la Figura 8. En ella se ven los datos correspondientes al desafío y la respuesta derivada del hash NT de la contraseña de este usuario. En este caso la passrord es admin. No es utilizado en esta circunstancia el hash Lan Manager que, como se puede ver, aparece relleno con ceros.


Figura 8: Captura Hashes. Challenge y Response del usuario administrator

Crackeo de la password

Los datos recuperados se pueden utilizar para la realización del ataque de diccionario, con los ficheros creados previamente con Genkeys. Para ello además del fichero de hash y el de índice, se proporcionan los datos de desafío y respuesta tal y como pueden ver en la siguiente figura.


Figura 9: Ataque offline a la autenticación con asleap

Evidentemente la contraseña empleada, admin, es lo suficientemente débil para el ataque sea eficaz en poco tiempo. Otros tipos de contraseñas requerirían un esfuerzo desmesurado para obtenerlas.

Conclusiones

Los requistios de seguridad sobre las conexiones VPN son cada día mayores, así que para evitar esta debilidad se pueden utilizar la siguientes soluciones:

- PPTP-MSCHAPv2 con una contraseña robusta: Si no se puede cambiar la tecnología, debe utilizarse una contraseña que sea de gran longitud y complejidad para evitar ataques de diccionario o fuerza bruta. Intentar utilizar passphrases en lugar de passswords cortas.

- PPTP-EAP-TLS o PEAP-MSChapv2 [TLS-EAP-MSCHAPv2]: Otras alternativas para fortificar el proceso de negociación de credenciales es el uso de certificados digitales en el proceso de autenticación de usuarios [EAP-TLS] o cifrar el canal con TLS antes de la negociación de autenticación [Protected-EAP -> PEAP. Cunado se usa MSCHAPv2 después se llama PEAP-MSCHAPv2 o es también llamado TLS-EAP-MSCHAPv2].

- L2TP/IPSec: Para evitar la interceptación del tráfico que se genera en el momento de la negociación de la autenticación se puede utilizar IPSec (no IPSec-PSK) para cifrar y autenticar las máquinas.

- SSTP (Secure Socket Tunneling Prococol): Si hay problemas con la apertura de puertos en las conexiones desde hoteles, se puede utilizar el sistema SSTP, que cifra y autentica todo el tráfico con HTTP-s. En las máquinas clientes Windows está de serie desde Windows Vista Service Pack 1.

- DirectAccess: Establece VPNs utilizando IPv6, viene de serie con Windows Server 2008 R2 y Windows 7.

- EndPoint Security: En el caso de querer una VPN que protega al servidor y la red central contra la conexión de máquinas inseguras, desprotegidas o no válida, se pueden implementar soluciones como MS Forefront Unified Access Gateway UAG 2010 que implementa soluciones de comprobación de la salud del cliente y de redes de cuarentena, permitiendo establecer diferentes niveles de conexión. MS Forefront UAG 2010 también implementa Direct Access.

***********************************************************************************************
- Crackear conexiones VPN PPTP con MS-CHAPv2 (I de III)
- Crackear conexiones VPN PPTP con MS-CHAPv2 (II de III)
- Crackear conexiones VPN PPTP con MS-CHAPv2 (III de III)
Autores: Juan Luis G. Rambla MS MVP Security & Chema Alonso
***********************************************************************************************

4 comentarios:

Anónimo dijo...

cuando eso se hace con una aplicacion de calidad como OpenVPN usas "diffie hellman" para el intercambio :D, aunque nunca se esta a salvo en un MIMT.

Anónimo dijo...

"Tunneling Prococol" fixed :P.

Saludos chemita

ramandi dijo...

A mí me resultó útil el script chap2asleap:
http://g0tmi1k.blogspot.com/2010/03/script-chap2asleappy.html

Parece que el ettercap ya realiza esos cálculos, pero si tienes una captura de red éste script te da los parámetros que necesitas para asleap.

Saludos!

Unknown dijo...

El mitm va entre el servidor VPN y la gateway ? O entre el cliente que se conecta a la VPN y la VPN ?

Entrada destacada

10 maneras de sacarle el jugo a tu cuenta de @MyPublicInbox si eres un Perfil Público

Cuando doy una charla a algún amigo, conocido, o a un grupo de personas que quieren conocer MyPublicInbox , siempre se acaban sorprendiendo ...

Entradas populares