Si eres de los que utiliza Google Chrome como navegador por defecto a diario en casa y el trabajo, te recomiendo que sigas leyendo.
-- Google Chrome Plugins - Password Alert
Google presenta una extensión para Google Chrome que te ayudará a protegerte frente a ataques de phishing que intentan conseguir tu contraseña de acceso a las cuentas de Google.
Alerta de protección de contraseña te ayuda a protegerte contra ataques de phishing by Google.
Alerta de protección de contraseña también intenta detectar páginas de inicio de sesión de Google falsas antes de que introduzcas tu contraseña. Para ello, Alerta de protección de contraseña comprueba el código HTML de cada página que visitas para verificar si se trata de una página de inicio de sesión de Google auténtica.
¿Qué protege?
Alerta de protección de contraseña no protege las ventanas de incógnito, las aplicaciones de Chrome ni las extensiones de Chrome. Tampoco protege contraseñas de servicios que no son de Google. Alerta de protección de contraseña solo funciona en el navegador Chrome si JavaScript está activado.
Protege las contraseñas de los servicios de Google frente a ataques que pretender robar y suplantar nuestra identidad digital.
Privacidad
¿Alerta de protección de contraseña guarda mi contraseña o mis pulsaciones de teclas?
No, Alerta de protección de contraseña no almacena ni tu contraseña ni tus pulsaciones de teclas. En su lugar, guarda una miniatura segura de tu contraseña y luego la compara con la miniatura de tus pulsaciones de teclas más recientes en Chrome.
¿Adónde envía datos Alerta de protección de contraseña?
Si usas Alerta de protección de contraseña en una cuenta de Gmail, no se enviará ningún dato de tu ordenador. Si un administrador de Google for Work elige implementar Alerta de protección de contraseña en tu dominio, el administrador recibirá alertas cuando se active Alerta de protección de contraseña
Download
Descarga e instala la Extensión para Google Chrome:
Como no puede ser de otra forma, en "Seguridad para Todos" iniciamos el año 2012 con energía y con las ultimas noticias en seguridad de la información.
WPS son las siglas de WiFi Protected Setup, protocolo utilizado para conectar dispositivos WiFi de forma segura sin necesidad de establecer complicados mecanismos de autenticación, simplemente los dispositivos se enlazan entre si con el conocimiento de un PIN, al estilo de las conexiones bluetooth.
WPS (Wi-Fi Protected Setup) es un estándar promovido por la Wi-Fi Alliance para la creación de redes WLAN
seguras. En otras palabras, WPS no es un mecanismo de seguridad por sí,
se trata de la definición de diversos mecanismos para facilitar la
configuración de una red WLAN segura con WPA2, pensados para minimizar la intervención del usuario en entornos domésticos o pequeñas oficinas (SOHO).
Concretamente, WPS define los mecanismos a través de los cuales los
diferentes dispositivos de la red obtienen las credenciales (SSID y PSK) necesarias para iniciar el proceso de autenticación. [Wikipedia(ES)]
¿Cómo funciona WPS?
Antes de explicar su funcionamiento conviene recordar el significado de los siguientes términos:
Roles de la arquitectura de comunicaciones WPS:
Registrar: dispositivo capaz de actuar como la autoridad para proporcionar el acceso y las credenciales a la red inalámbrica.
Enrollee: el dispositivo que solicita el acceso a la red inalámbrica y no posee configuración alguna.
Authenticator: normalmente es el propio AP (Access Point) que realiza la comunicación (Proxy) entre el Registrar y Enrollee.
La mayoría de los router inalámbricos vienen de fabrica con la opción WPS configurada y activada por defecto, algunos de los modelos son: Cisco/Linksys, Netgear, D-Link, Belkin, Buffalo, ZyXEL, e incluso el Livebox 2 (Orange).
El siguiente vídeo muestra como se realiza la conexión de un dispositivo al router Livebox2 utilizando WPS.
El protocolo WPS contempla al menos 4 formas diferentes de intercambio de credenciales y solicitud de autorización para acceso a la red inalámbrica, como son PIN, PBC, NFC y USB:
Método PIN: el usuario tiene que introducir un número PIN en la interfaz web que proporciona el AP (Access Point), este dato suele venir impreso en una etiqueta que tiene el propio AP/Router.
Método PBC: enlazar los dispositivos mediante la presión de un botón (físico o virtual (software)) tanto en el AP/Router como en el dispositivo que deseamos conectar a la red inalambrica. El AP suele disponer de un timeout (temporizador) trás pulsar el botón, durante el cuál se puede establecer la conexión mediante WPS.
¿Qué problema existe en usar WPS?
El investigador Stefan Viehböck ha detectado una vulnerabilidad en el proceso de autenticación que permite a un atacante reducir el número de intentos y comprobaciones en un ataque de fuerza bruta para descubrir el PIN / Password de acceso a la red que usa el AP en el protocolo WPS.
Se denomina ataque de fuerza bruta a la forma de recuperar una clave probando todas las combinaciones posibles hasta encontrar aquella que permite el acceso.[Wikipedia]
El ataque es posible, debido a que el protocolo WPS no implementa la posibilidad de limitar el número de intentos posibles. Además la vulnerabilidad detectada reduce el tiempo necesario para realizar este tipo de ataque, a un intervalo de tiempo de 4 a 10 horas.
Detalles técnicos
Para los más técnicos, os diré que la vulnerabilidad ha sido detectada en los mensajes EAP-NACK que envia el "Registrar" (AP) al cliente y/o dispositivo (Erollee) con la primera y segunda mitad del PIN, al iniciar una autenticación externa mediante código PIN.
Esta forma de autenticación reduce drasticamente el número de intentos necesarios para averiguar el PIN, reduciendo el número de 10^8 (100.000.000) a ~ 20.000.
¿Existe ataques prácticos?
No han tardado en aparecer herramientas capaces de aprovechar dicha vulnerabilidad y averiguar la contraseña de un router inalámbrico que tenga activado WPS.
Por ejemplo, la aplicación Reaver es una herramienta capaz de averiguar la clave WPA/2-PSK de cualquier Router que tenga activado el protocolo WPS.
La herramienta se encuentra en su versión 1.2 y esta disponible en google code reaver-wps.
Además el descubridor de la vulnerabilidad ha publicado en su blog un script en python como prueba de concepto (PoC) se puede descargar aqui.
Más información sobre la utilización e instalación de las herramientas en el siguiente enlace.
Mitigación / Solución
Por el momento, la solución más efectiva sería desactivar el protocolo WPS, ya que cualquier dispositivo certificado por la WiFi Alliance, contiene la vulnerabilidad explicada.
El problema es que no todos los dispositivos AP/Router permiten deshabilitar la función de WPS, como por ejemplo, el Router Livebox2 de Orange.
Si quereís hacer la prueba con el Livebox 2 de Orange, teneís que entrar en la interfaz de administración del Router (En el Navegador Web teclear http://192.168.1.1) y acceder a la configuración de red Wifi, tal y como se muestra en la siguiente imagen:
Algunos fabricante como por ejemplo: BELKIN, han puesto a disposición de sus usuarios un pequeño tutorial para deshabilitar WPS en sus dispositivos:
Abrir un navegador web.
Teclear la dirección IP del router. Ejemplo por defecto: http://192.168.1.1
Introducir el nombre de usario y contraseña.
Acceder al Menu de Wireless (Conexión Inalábrica) y dentro del menú a la opción de WPS.(esto puede variar de un modelo a otro).
Cambiar el estado de "habilitado" a "deshabilitado"
