Es hora de desechar Skype ?

No creo conocer a nadie que se mueva en los ámbitos de la tecnología y que no sepa qué es Skype y/o lo haya usado. En pocas palabras, Skype es un servicio propietario de Voz sobre IP (VoIP) y una aplicación de software para su uso.

Este servicio permite a sus usuarios comunicación de voz y/o video, punto a punto, gratuita, entre clientes del software (Windows, OS X, Linux, iOS, Android, Blackberry, Symbian, etc.), e igualmente, comunicación de un cliente del software a un teléfono fijo o celular, en cualquier parte del mundo, por un costo reducido (comparado con el de la telefonía fija tradicional). Inclusive permite llamadas en el sentido opuesto, es decir, desde una linea fija, celular o cliente de software, a un número virtual asignado por Skype. Se estima que en 2010, Skype ya dominaba el 13% de las llamadas internacionales, en EE.UU.

Este proyecto fue una idea de varios desarrolladores de Estonia (mismos autores del famoso software peer-to-peer Kazaa), y que publicaron la primera versión beta de Skype en 2003.

Por las cosas de la vida, (básicamente explicadas en que Skype ofrece una amplia comodidad de comunicación entre cliente y/o teléfonos fijos y celulares, con o sin video, con costos reducidos (y en algunos costos, totalmente gratis), casi que desde cualquier lugar) esta empresa logró un crecimiento increíble, que ya en 2012 reportó 115 miles de millones de minutos de comunicación, en el trimestre Abril-Junio.

La seguridad de las comunicaciones en Skype siempre ha sido un tema delicado de conversación, y por años ha estado en mi mente. Desde su inicio, el pryecto ha tenido varios "temas" que producen escalofríos:

- El cifrado de datos siempre ha sido transparente para el usuario, y no es posible deshabilitarlo (al menos no por el usuario).
- Skype dice usar técnicas de cifrado documentadas y públicas (RSA para negociación de llaves, y AES para cifrar las comunicaciones). Sin embargo, es imposible verificar si están bien implementados, si se usan de forma completa o parcial, y/o si son usados todo el tiempo.
 - El sistema de registro de usuarios nuevos no tiene ningún control: Cualquiera puede crear en segundos una cuenta con cualquier nombre.
- En una entrevista, Kurt Sauer, CSO de Skype dijo "Proveemos una opción se gura de comunicación. No voy a decir si podemos escuchar las llamadas o no"
- Es conocido que una de las principales prioridades de la Free Software Foundation (FSF) desde hace años es el reemplazo de Skype
- Varios medios han expuesto que en las minutas de una reunión sobre "Interceptación Legal de Servicios Basados en IP" que se llevó a cabo en Junio 25 del 2008, oficiales de alto rango del Ministerio del Interior de Austria dijeron que "podían escuchar las comunicaciones por Skype sin problemas". Skype decidió no comentar al respecto, cuando fueron cuestionados sobre esta respuesta.
- En BlackHat Europa 2006, Philippe Biondi y Fabrice Desclaux expusieron en la presentación "Silver Needle in the Skype" (LINK) diversas preocupaciones al respecto, como:
  1) Skype genera tráfico aunque no está en uso (pings, relaying)
  2) Presenta actividad cifrada en puertos extraños
  3) Tiene actividad durante la noche
  4) El cifrado del tráfico hace imposible diferenciar tráfico normal de exfiltración de información
  5) El código contiene gran cantidad de protecciones
  6) El código contiene trucos anti-debugging
  7) El cifrado de grandes partes del código hace imposible identifiar si contiene un troyano, un backdoor o malware
  8) Es sospechoso el hecho de que un software que funciona bien de manera GRATUITA, venga de una empresa que no tenga relación con open-source
  9) Aparentemente, Skype tiene su propio "packer"
  10) Todos los clientes de Skype confían ciegamente en cualquier otro cliente de Skype


Si aún no están paranóicos con el uso de Skype al leer lo que expongo/resumo, les recomiendo leer totalmente el PDF de la presentación de Bondi y Desclaux (o ver el video).

Pero en el mundo de la tecnología nadie crece y sobrepasa a los grandes, ante de que los grandes lo compren (para incluirlo, mejorarlo o destruirlo) ... En 2011, Skype y todas sus tecnologías fueron comprados por Microsoft. En Enero de este año (2013), Microsoft declaró que lo usará para reemplazar a la línea del Windows Live Messenger, y que esta migración ocurrirá a partir del 8 de Abril próximo (en un mes exacto).

Desde que Skype es propiedad de Microsoft, estas otras preocupaciones adicionales han aparecido:
- En 2012, Skype incluyó updates automáticos, que el usuario no puede deshabilitar en algunos casos, para "proteger mejor a los usuarios de riesgos de seguridad".
- De acuerdo con un artículo del Washington Post de 2012, Skype "ha expandido su cooperación con agencias policiales para permitirles acceso a chats en línea y otra información de usuario". Este mismo artículo menciona a Skype realizando cambios para permitir a la policía acceso a las direcciones y números de tarjeta de crédito de los usuarios.
- En Noviembre de 2012, se reportó que Skype entregó información de un activista pro-Wikileaks a la compañía de seguridad privada iSIGHT, en Dallas (Texas), sin una orden judicial. La acusación era una supuesta falla a la Política de Privacidad de Skype.
- El 13 de Noviembre de 2012, un usuario ruso publicó una falla en la seguridad de Skype que permitía a cualquier persona tomar control de cualquier cuenta de Skype, conociendo solamente el nombre de usuario de la victima, siguiendo 7 sencillos pasos. Corrió el rumor de que la vulnerabilidad existió por meses, y ciertamente funcionó al menos doce (12) horas después de ser liberada públicamente.

En fin, creo que el punto va quedando claro. En mi experiencia, Skype es un software, por lo menos, sospechoso. Y ahora que está en las manos de Microsoft, constante compañero de batallas del gobierno de EE.UU., nada raro que Skype contenga un regalito, sino varios ...

Se preguntarán "Bueno, y si Skype presenta estos problemas, rumores, etc. hace años, porqué F4Lc0N no ha dejado de usarlo ? " ... Es cierto, sigo usándolo hasta la fecha por varias razones:
  1) Es muy cómodo. Un maestro de artes marciales alguna vez me dijo: "Si en una situación te sientes MUY cómodo, algo está mal ..."
  2) No ha habido opciones alternas fuertes: Hasta hace poco todas la opciones opensource a Skype parecían un simple teléfono IP por software, y aunque los que poseemos alguna habilidad técnica lo podemos hacer funcionar apropiadamente, no sería fácil convencer a familiares y amigos no-técnicos para que lo adoptaran.
  3) Corre en muchísimas plataformas. Las opciones que he visto no han ofrecido más que Windows/Linux, y algunos OS X. Casi ninguno ofrece una versión en plataformas móviles.
  4) Tengo un teléfono Skype. Si, un dispositivo de red físico en forma de teléfono, que solamente sirve para comunicarse a través de la red de Skype. No hay forma de hacerlo trabajar con nada más :(

Y entonces, qué hacemos ? Estamos destinados a ser propiedad de Microsoft y permitir que nuestra privacidad no exista, o sea una cosa del pasado ? NO ! Pienso que este es el momento de buscar opciones, escoger un líder open-source del mercado, y desde nuestras comunidades apoyarlo y empujarlo como opción principal con nuestros amigos y familiares. Seguramente habrá más de una opción (espero que Uds. recomienden muchas ! ), pero hasta el momento a mi me gusta Jitsi (http://www.jitsi.org/) que a la fecha corre en Windows, Linux, OS X y Android (experimental), pero que con seguridad de que al recibir más interés del público, sacarán versiones para iOS, Blackberry, etc ... Me gusta porque maneja cifrado comprobable, es open-source, interactúa con diferentes mecanismos de comunicación (Facebook, GTalk, ICQ, etc.), ofrece videoconferencia multipunto, y su interfaz es muy similar a la de Skype, entre otras capacidades.

Los invito a probar y proponer Jitsi y otras alternativas a Skype, que a largo plazo nos premitirán comunicarnos libremente, sin poner en riesgo nuestra privacidad, y sin entregar un espacio más de nuestras vidas a las grandes corporaciones o gobiernos ...



F4Lc0N
LowNoise Hacking Group
Colombia

Hacking Telmex VoIP

Hola a todos! de seguro el nombre de la entrada te llamo la atención, pero mas que allá de lo que te puedas imaginar nos basamos en investigaciones diarias para poder ofrecer conocimiento a todo Internet. recuerda que cada vez que lees "yo" o "nosotros" nos referimos a "alguien mas". ACLARO QUE ESTA GUIA SE REALIZA SOLO CON FINES EDUCATIVOS Y NUNCA PRETENDE VIOLAR NINGÚN TIPO DE LEY O IR EN CONTRA DE LAS POLÍTICAS DE NINGUNA COMPAÑÍA. LowNoiseHG no se hace responsable del uso que se le pueda dar a la información a continuación descrita.

ok, para empezar debo contextualizarlos en el tema de investigación, el cual se basa principalmente en telefonía IP o VozIP o VoIP como quieran llamarle.
la Voz IP tiene muchos protocolos para realizar el encapsulado y la transmisión de los datos IP, en este caso miraremos el protocolo SIP. (si no sabes de lo que hablo puedes leer un poco acá sobre SIP)

Bien, hemos utilizado Asterisk (ver mas info aca sobre asterisk) como nuestro servidor de voz IP
hemos realizado una configuración básica de extensión 1001 y hemos configurado un SoftPhone (google es tu mejor amigo =P ) todo se ha realizado sin problemas.
Verificando con nuestro amigo Wireshark (www.wireshark.org) vemos la trama SIP, la autenticación, etc.

Ahora nuestro objetivo, sabemos que telmex utiliza telefonía IP entonces aprovechando que tenemos servicio con esta ISP podemos verificar como se conecta!!!! manos a la obra...

vamos a la pagina www.telmexhogar.com.co ahí vemos un apartado que dice "Teléfono Virtual", hacemos click ahí y nos pide usuario y contraseña, o crear cuenta...
una vez realizados estos pasos podemos descargar nuestro SoftPhone y pedir nuestro código de autorización el cual se nos entregara via mail...

Ahora tenemos nuestro softphone, que al iniciar nos pedirá usuario y contraseña... una pantalla parecida a la que sigue:

En el campo usuario colocaremos nuestro numero telefónico con el formato XAAAAAAA donde X es el indicativo de la ciudad (ej. Bogotá 1, Bquilla 5, etc) y AAAAAAA son los 7 dígitos de su numero telefónico normal... para nuestro ejemplo utilizaremos en adelante el numero 18010101 (obvio es un numero ficticio)

Una vez indroducidos los datos damos click en conectar y si nuestro numero telefónico y código de autorización están bien entonces obtendremos nuestro teléfono virtual funcionando, pero para nuestra desgracia, Wireshark no ha capturado ninguna autenticación (#FAIL jejejeje adicto a twitter).

Desempaquetando el ejecutable del softphone obtenemos una url de conexión, que apunta a "sip.cable.net.co", que resuelve a las direcciones 200.118.0.41 y 200.118.0.42 las cuales SI aparecen en nuestra trama capturada con wireshark.

Tenemos otras direcciones 200.118.2.88 que resuelve inversamente a amon.cable.net.co (sera de administración? hum... interesante para futuras investigaciones).

Ok, como vemos trafico SSL pensamos en utilizar un stripper de SSL pero pensándolo bien necesitamos la llave privada para poder descifrarlo asi que utilizaremos un proxy, en este caso un software llamado "Fiddler" o "Fiddler Debugging Proxy" que nos permite ver el trafico que viaja en HTTP/HTTPS.

Iniciando Fiddler tenemos la captura de la trama a sip.cable.net.co

Si al iniciar nos sale una ventana anunciando un error con la validez del certificado del servidor damos OK. esto es porque el certificado SSL del servidor del telmex no esta firmado digitalmente por una CA valida, sino que esta firmado por ellos mismos. (SelfSigning SSL - recuerda, google es tu amigo =P ).

Dando doble click en la session "sip.cable.net.co" obtenemos en la sub-ventana inferior-derecha todos los datos que requerimos para usar nuestra cuenta VozIP con cualquier software SIP o Softphone.

Entonces tenemos:
- Display_name = 18010101
- username = 00018010101
- passoword = NuestraClaveSecreta (recordar que esta clave es diferente al código de autorización que telmex envia por correo para usar el softphone).
- authorization username = 18010101 (es el mismo display name)
- Domain: 190.144.159.138
- Proxy Domain: 190.144.159.138 (el mismo domain pero siempre toca escribirlo)

Ahora utilizaremos estos datos para configurar en un "iPhone 4" la aplicación "Bria" si ya se que es de pago pero para eso esta "Install0us 4" jejejejeje.

A continuación las capturas de pantalla del iphone de como debe ir configurado el Bria.

Luego en la parte avanzada configuramos los parametros de autorización y proxy.

Por ultimo en la pantalla inicial de configuración de la cuenta, habilitamos la cuenta y debe salir el status "Registered".

Listo!!! ya podemos realizar y recibir llamadas usando nuestro numero telefónico de telmex. muy útil cuando estamos fuera de la ciudad y no queremos perder nuestras llamadas.

Nota1: las llamadas se pueden realizar a través de la red de datos 3G pero hay que notar que la calidad de la llamada variará proporcionalmente a la calidad de ancho de banda que manejemos, yo por mi parte recomiendo usar una red wireless para que la llamada sea perfecta.

Nota2: Se puede utilizar cualquier software compatible con SIP como egika, linphone, Xlite (en el que se basa el softphone de telmex), entre otros.

Quedamos como siempre atentos a cualquier comentario y/o sugerencia al respecto... escribenos a info@lownoisehg.org con tus comentarios! o escribeme a kadmel@lownoisehg.org si tienes algun aporte acerca del tema.

K.