¿estoy seguro si uso TOR ante un ataque MITM en mi propia WLAN?

[monofeo]

Hola, querida comunidad hacker!. Trataré de ser breve y conciso.

Soy nuevo en el foro y bastante noobato en el tema del hacking, he leído mucho y sé como funciona un ataque APR Spoof/Poisoning, en definitiva como hacer un MITM, lo tengo claro. Mis dudas surgen a partir de la lectura de los paquetes esnifados, situación que no he llegado a practicar lo suficiente, creo.

Cuando navego en google y hago mis búsquedas no hay forma de ver lo que he buscado, gracias creo al cifrado SSL/TLS que ofrece dicha web, pero si hago mis búsquedas en otras webs que no ofrecen este cifrado, como por ejemplo taringa xDD (no se asusten, es un ejemplo), todas las búsquedas y los títulos de los enlaces que visito son claramente visibles. Ahora bien:
Si visito estas webs sin cifrado SSL/TLS, a través de TOR, y con un snifer del tipo Wireshark, los paquetes que normalmente sin TOR aparecían como HTTP y que eran fácilmente reconocibles, creo que pasan a ser del tipo TCP y mucho más difíciles de leer.

Mis dudas son las siguientes:
¿Navegando con TOR, es mas difícil, o imposible, que alguien desde mi propia WiFi pueda saber los enlaces que visito o las búsquedas que hago en sitios no seguros?
¿Mas incluso que con una simple extensión como HTTPS everywhere?
¿sería lo mismo si usara un proxy?

Muchas gracias de antemano, me ha costado redactarlo para que fuera minimamente entendible, asi que tomenlo con calma y sean buenos conmigo. Un fuerte abrazo!

[AlbertoBSD]

Una no es cifrado ssh, es ssl y/o tls

El simple hecho de usar tor no es seguro, los exit nodes de la red de tor pueden no tener buenas intenciones.

Sobre el trafico de la red wireless local si alguien grabo.toda tu sesion desde el comienzo es posible que pueda decifrarlo offline.

Si quieres estar seguro que no te snifeen busca como realizar un tunnel ssh (si ahora si es ssh) y usa una conexion alterna como salida a internet.

Yo uso y puedo conectarme a el desde el trabajo o desde wireless publicos y me funciona de maravilla


Saludos.

[monofeo]

Hola, primero que nada agradezco tu respuesta y el tiempo que te ha tomado, gracias.
Segundo, si hablo en 2a persona (de tu a tu) discúlpenme no me refiero únicamente a AlbertoBSD, cualquiera puede ser de ayuda, gracias!!.
Tercero, tengo la intención de finalizar el post con un resumen de conclusiones para facilitar la compresión una vez dé por zanjado el asunto.

Ahora si, aya voy:

Disculpa mi confusión al poner ssh en vez de ssl/tls, aunque hayas entendido que me refería a https, trataré de no repetir el mismo error y lo editaré a continuación.

Los exit nodes no son un aspecto que me preocupe actualmente, pues no me suelo loguear en la tor-net a ninguna cuenta que realmente me importe. y el anonimato, bueno, es un tema aparte y no me quiero alargar demasiado.

Ahora bien:
He estado buscando unas 2 horas (poco tiempo) toda la información que he podido sobre los túneles SSH, eso sí, como tu bien has dicho, necesitaría una conexión alterna para crear dicho túnel, cosa de la que no dispongo, y en cualquier caso, seguro que haciendo MITM en la red alterna tendrían nuevamente el conocimiento de todo, aunque no es el caso porque no dispongo de red alterna.
La opción de usar SSL en cualquier sitio tampoco me genera confianza, dado que tengo entendido que también podrían descifrarlo offline con herramientas como SSLstrip, aunque estoy seguro de que si uso TOR + SSL en todo sitio, complicaría las cosas a quien intentara descifrar la sesión entera.

Dado que me produce mucha intriga eso que has dicho de que si capturan toda la sesión TOR desde el inicio podrían descifrarlo online, te agradecería que me orientases, pues no sabría como realizar una búsqueda sobre dicho tema. me disculparás si te increpo demasiado, tengo gran imaginación y una curiosidad aún mas grande.

Entiendo que vos se conecta a Internet usando dicho protocolo y programa/s SSH cuando está en redes públicas/ajenas (yo mismo lo haría), pero en mi caso la duda es para mi red privada(por ello decía que no tenía acceso a una red alternativa).

POR ULTIMO, y para finalizar:
Como alternativa a los tuneles SSH, Tengo en mente usar algún tipo de red VPN gratuita dado que alquilar algún equipo de tipo hosting donde poder instalar los programas SSH necesarios y además profundizar en mi aprendizaje sobre el mundo de las redes, estaría fuera de mi alcance económico y por tanto me declinaría por las VPN ->gratuitas<-, que si además, lo combino con TOR y SSL everywhere supongo que me ofrecería la protección que yo busco.

Les recuerdo, que no soy un gran experto en redes, por eso, dada mi conclusión, me gustaría saber la opinión de algún usuario más avanzado.

Pido disculpas por alargarme más de lo que yo deseaba y doy las gracias de corazón a quien me preste su tiempo y ayuda. Sin más, un fuerte abrazo, de alguien que se toma su privacidad/seguridad apasionadamente.

PD: voy a tratar de resumir todo en tres breves preguntas:

1º Si estoy en una red pública/ajena y me conecto a través de un túnel SSH a mi red privada(IP dinámica y por tanto debo usar un servicio DNS Dinámico), pero el atacante estuviese en mi red privada ¿dicho atacante vería la navegación sin cifrar, cierto?
(me parece mas fácil, privado y seguro montar el túnel en un servidor comercial pero... money rules)

2ºen caso de que capturasen mi sesión TOR desde el comienzo ¿Como podrían descifrar offline mi sesión tor? (nombre de herramienta como la citada SSLstrip? o nombre del ataque (esto es lo de menos pero es para buscar info ya que me da mucha curiosidad) )

3º y ultimo me sirve una VPN -> gratuita <-como sustituto del túnel SSH?

REPITO MI AGRADECIMIENTO A QUIEN ME PRESTE SU AYUDA/TIEMPO!!!

[engel lex]

1- si, aunque el tunel ssh se hace con un pc y nada entre afuera y ese pudiera ser analizable, la conexión entre ese pc y afuera si es analizable... esto sería facilmente resolvuble usando un vpn en ese pc servidor

2- la si capturan las sesion tor es inutil intentar descifrar... la cosa es que el nodo de salida ve todo el trafico a internet porque es quien dscifra todo para que viaje por la red (por lo menos hasta donde corresponde, lo que esté en ssl sigue en ssl), realmente el romper las sesiones https no es facil, es poco viable y depende vulnerabilidades de la implementación de seguridad en paginas especificas (normalmente lo que busca sslstrip es cambiarte el https por http, pero por la forma actual de funcionamiento de la web es basicamente inutil

3- es lo mismo, pero tu no sabes quien está detras de esa vpn ni por qué... nadie da nada de gratis... especialmente cuando necesita pagar servidores

[AlbertoBSD]

Basicamente aolo si las web implementan alguna versión vulnerable o un cifrado debil se podria hacer algo aun asi al parecer me equivoque y solo es en tiempo real y no offline como mencione. 

http://blog.segu-info.com.ar/2015/05/logjam-nueva-vulnerabilidad-critica-en.html?m=1

De ahi en mas si lo que te preocupa es tu trafico wireless podrias instalar el tunnel ssh en tu misma red local. Yo en mi conexcion alterna es la casa de mis padres tengo ahi un router linksys linux y tiene ssh. Y cuando voy a la casa de mis padres aunque use el wifi de la casa uso el ssh tunneling aun estando en la red local.

Claro que costaria algo el router adicional con ssh pero es algun gadget que te serviria a la larga.

Saludos

[monofeo]

Hola de nuevo, comento ahora por cuestiones de trabajo (que no me dejan tiempo libre).
Gracias a ambos por la ayuda prestada, ya casi puedo dar el tema por zanjado, aunque me gustaría plantear un final y ya me diréis si me equivoco o estoy en lo cierto.
Si me alargo explicando/preguntando algo, es porque me gusta ser claro y aveces no es facil...

Aya voy:

Entiendo que tanto la sesión TOR y las conexiones VPN, como una correcta implementación SSL/TLS (HTTPS) en las webs visitadas, son seguras a efectos prácticos (dentro de mi red local/LAN).
Ahora bien, los exit nodes de TOR y los "dueños" del servicio VPN, pueden o no ser confiables, pero dado que mi duda era más cercana (redes eth0 y wlan0), doy el tema por zanjado y dichos servicios por seguros ante un sniffer cercano a mí(dentro de la red local/LAN ).

No conozco a los que están detrás de las webs, exit nodes de TOR ni de las VPN, ni ellos a mí, así que mientras no use logins para temas serios, no me preocupa, para temas serios usaría SSL/TLS(HTTPS) y solo VPN, SSH o TOR en casos concretos en que este mucho mas seguro de que me puedan "espiar", o necesite anonimato(TOR), ya sea redes publicas/de trabajo/ajenas y para sitios que no implementen dicho cifrado SSL/TLS(HTTPS) en las situaciones comentadas.

Basicamente solo si las web implementan alguna versión vulnerable o un cifrado debil se podria hacer algo aun asi al parecer me equivoque y solo es en tiempo real y no offline como mencione. 

http://blog.segu-info.com.ar/2015/05/logjam-nueva-vulnerabilidad-critica-en.html?m=1

Muy interesante el enlace y los que contiene, ¿sabes donde ver que versión de HTTPS usa cada página?¿y cuantos bits de cifrado usa cada versión de SSL? por ejemplo SSL es hasta la versión 3.0 y a partir de la 3.1 en adelante sería TLS, pero no encuentro de cuantos bits sería el cifrado de cada versión (aún si nadie lo sabe, indagaré hasta encontrarlo, no malgastéis tiempo si no lo sabéis de antemano ya buscaré yo, gracias!!).

De ahi en mas si lo que te preocupa es tu trafico wireless podrias instalar el tunnel ssh en tu misma red local. Yo en mi conexcion alterna es la casa de mis padres tengo ahi un router linksys linux y tiene ssh. Y cuando voy a la casa de mis padres aunque use el wifi de la casa uso el ssh tunneling aun estando en la red local.

Claro que costaria algo el router adicional con ssh pero es algun gadget que te serviria a la larga.

Esto me ha llamado la atención, tenía entendido que el túnel SSH se realizaba de la siguiente manera:
Seguro(Petición cliente SSH-> ruter publico/ajeno -> internet -> router privado/propio -> PC con servidor SSH)
Inseguro(petición desde PC con servidor SSH->router privado/propio->internet->web o destino de la petición -> de nuevo mi router privado -> servidor SSH)
Seguro(servidor SSH-> router privado/propio -> internet -> router público/ajeno->Cliente SSH)

Y por tanto entendía que si se tiene acceso al router/red privada, se podría acceder a los datos, pero si dices que el servidor SSH sería el mismo router, ya me parece que la seguridad és total. Corregidme si me equivoco, porque si es así como yo creo, me compro un router SSH.

Muchas gracias a todos! de verdad, he venido por esta duda y me voy aprendiendo mucho más de lo que pensaba. Gracias, un abrazo!

PD: elhacker.net no usa SSL/TLS(HTTPS), cierto? ni con HTTPS everywhere en googlechrome...  sabéis a que se debe? hay algo que yo pueda hacer?

[AlbertoBSD]

Pues elhacker.net tiene su pagina https Somo tienes que Anteponerle la s entre el http y los ":"

Código [Seleccionar] Expandir

https://foro.elhacker.net

Los routers que uso son 2 un linksys WRT54GL y un Cisco E2100L ambos con dd-wrt instalado.

Para ver el cifrado de una pagina cuando es https dale click derecho al candado y ahi aparece informacion sobre el cifrado.

El detalle de la seguridad en la red local depende de muchas cosas.

Como te digo si lo que te preocupa es el wireless de tu red local aumenta la seguridad del mismo a WPA2 AES  y cambia constantemente la clave cada semana o 2 semanas parece excesivo pero con eso no deberias de preocuparte por el wireless.

Si lo que quieres es seguridad en cualquier lado la solucion podria ser la de montar tu propio ssh ya sea en una computadora o en el router y dejarla conectada las 24 horas.

Y siempre y cuando no te pinchen el cable Ethernet que esta entre el router de tu ISP y tu servidor ssh sea cual sea todo estara bien.

Aqui aclaro:

[Router ISP]----------[Servidor SSH]

El router del ISP no lo pueds cambiar y no tienen nunca ssh y siempre que no te realicen un mimt entre los 2 dispostivos todo estara bien.

Para mas seguridad local podrian tener las tablas ARP estaticas entre los 2 dispositivos.

Saludos

[monofeo]

Okey, disculpas por mi demora en responder. Muchas gracias por la atención y la ayuda prestadas, me ha servido par aclarar las dudas que tenía.

Haré lo que me dices y quizás compre un ruter SSH, eso me ha gustado. ¿Por router ISP, te refieres al que le sale el cable que va hacia mi casa? este no sé donde estará pero bueno... ¿realmente crees que se puede pinchar el cable ethernet entre dicho router y la que sería la roseta de mi casa? sea como sea, me parece muy poco probable.

Para finalizar, si deseo crear una tabla ARP estática, debo des-habilitar el DHCP automático de mi router?¿Realmente las tablas ARP estáticas servirían contra un ataque ARP spoof/poisoning o en definitiva contra un MITM?


Muchas gracias, un abrazo!!!