Publicamente Confidencial

introducción : “ ¿Por que de a dos?”

Este articulo lo hemos escrito en conjunto, ya que los dos aportamos lo necesario para descubrir, inspeccionar y discriminar la información que sirve, de la que no.

En principio vamos a hablar de un problema generalizado. Pero como el ser humano no puede objetar una generalidad sin haber puesto un ejemplo practico de donde partir : vamos a pasar tan superfluamente sobre esta “teoria”, que al ver la practica te acordaras de ella.

Teoria : “¿vulnerabilidad o descuido?”

Una vulnerabilidad, antes de ser propiamente eso, era un descuido.
Por ejemplo: Si siempre el señor A deja la puerta abierta de su casa cuando entra el auto, ese descuido se convierte en vulnerabilidad, cuando ese patrón se ve representado en todas las veces que A entro el auto.
Es por eso, que hay una lista de vulnerabilidades no solo para los que cometen dicho error, sino para los que usan ese descuido en forma de “servicio” : asp, php, apache, IIS, oracle, SQL.(Como ejemplo enumeramos servicios de hosting) etc, etc.
En la realidad si compras algo roto, con la garantía te lo cambian o te lo arreglan, pero en Internet no se puede hacer eso ya que los clientes cuando adquieren un servicio o un producto, no tienen conocimiento tal como para poder encontrar descuidos o errores. No obstante hay casos que un usuario novato “descuidadamente encuentra un descuido”.
Pero hablando a groso modo, ningún usuario normal de un servicio se contacta con dicha empresa si dio la casualidad que dicho cliente encontró un error: por la sencilla razón que supone que si él encontró ese descuido, las posibilidades de que otros las encuentre (y encima que tal vez las use para con él), son pocas.

Una vez que ya sabemos algunas diferencias, podemos decir que lo que vamos a comentar objetivamente es un descuido y que a raíz de eso, pueden surgir muchas vulnerabilidades y hasta el propio descuido se puede convertir en vulnerabilidad.

.::Detalles: Un panel de control de soporte tecnico tiene conexion hacia la nube mas peligrosa que existe. La nube del internet.::.

.::Comienzo::.

Las computadoras tienen en su interior informacion que puede o no ser privada. Si uno quiere que esta informacion este visible hacia internet, osea que sea "publica" tiene que hacer una acl en el fw o en el router en si que diga que tal ip va a salir. Obviamente se crea el nat estatico correspondiente y luego basta con que la gente sepa la ip o el host para poder entrar. Ahora bien si tomamos esta medida en una de nuestras computadoras, estamos dando por entendido que la maquina va a ser publica y queremos que asi sea por mas que pongamos una autenticacion, la maquina ESTA EN INTERNET. El concepto de "estar" significa que "permanece en un lugar" y el concepto de ser significa "existir" por ende, ESA MAQUINA ESTA EN INTERNET Y EXISTE EN TAL LUGAR. Por ende seria confuso decir que poniendo autenticacion ya no seria publica porque sabemos que "esta" asi como tambien sabemos lo que "es".
La autenticacion se pone cuando queremos que el publico se convierta en privado y es un error y contradiccion hacer esto puesto que el publico es publico siempre, por ende el privado no deberia existir. Para explicarlo de otra manera : Si queremos que nuestra informacion sea privada pero en un lugar publico siemplemente creamos un tunel, ya sea una vpn o bien que el cliente tenga un certificado valido para ver dicha pagina. LA AUTENTICACION en un lugar publico, no tiene sentido. Salvo que sea privado. Por ejemplo www.pepito.com/adskjaslkdjaslkdjaslkdjlaksjdklasjdkl Al poner esa direccion entramos a un sector donde nos pide usuario y password, pero esa direccon solo la sabe quien quiere ingresar, es injusto innecesario y egocentrico poner en una pagina un "ingrese usuario y password para poder modificar la pagina". Ojo, no hablamos de los tipicos usuarios y password de gente que tal vez pago por el servicio porque es un publico que si bien sigue siendo publico tiene acceso a informacion confidencial y no de que LA INFORMACION CONFIDENCIAL ES TODA LA PAGINA. Para entender este prologo vamos a comentar esta falla.

Se ha encontrado en uno de los proveedores mas importantes de la Argentina, que el panel de control de los de soporte tecnico y atencion al cliente estan visibles a internet. Es una maquina que no deberia estar porque nadie, NADIE tiene derecho desde afuera a ver y modificar los usuarios, password, datos, facturacion, pagos, o lo que sea de nosotros, los clientes. Si eso se hace que sea desde adentro como debe ser. Seguramente la PUA(Politica de Uso Aceptable) habla sobre esto, pero ¿quien le va a dar importancia?

Pide usuario y password, es verdad pero ya explicamos que no hay ningun tipo de informacion sobre que es privado, simplemente es un usuario y password dentro del aire de internet. Es como ir caminando y pasar por un semaforo que tiene un boton para ponerse en rojo. ¿Alguien explico que es legal apretarlo? Simplemente esta ahi, uno deduce despues si esta bien o no.
El usuario "prueba" se usa comunmente cuando se da un acceso por tiempo limitado a los clientes o a personas exclusivas, tan solo con probar "prueba" de usuario y de password "prueba", estaremos dentro de la pagina PUBLICA. Esta autenticacion es generica, justamente se esta "probando el servicio".
Dentro de esta pagina, podemos ver cualquier password que querramos que sea @empresa, cualquier dato de los clientes, la facturacion de los mismos, podemos dar de alta o de baja un usuario, sacar un mail de varios mb, ver informacion sensible sobre la empresa, en fin, MILLARES DE COSAS MAS. Cualquiera puede hacer un script y rapidamente tener esos datos al instante.
De todos modos si ese usuario y password no anduviesen, tienen un javascript que informa cuando un usuario es erroneo, por lo tanto faltaria simplemente el password. Alguien que use ese proveedor(50% de la gente) puede aprovechar su conexion para poder tener menos saltos(menos routers) por los cuales pasar para poder saltarse la autenticacion DE LA PAGINA PUBLICA.
Como dije antes, si querrian que esto no se viera, se hace de otra forma, cifrando la conexion por medio de certificados, haciendo una vpn, poniendo una direccion secreta, etc.

En fin, este es un gran fallo de un isp reconocido por ser amigo de superman.

Si van a sacar fotos, haganselo a la prima, pero haganlo con flash.