Wireshark es un analizador de protocolos muy popular. Es software libre y es una herramienta fantástica para investigar qué está pasando en una red y, también, para aprender sobre protocolos de comunicaciones.
En la página de descargas de Wireshark puedes descargar la versión adecuada para tu sistema operativo. Y en la ayuda oficial de Wireshark puedes consultar cómo se instala (es muy sencillo) y cómo se utiliza. También puedes ver este vídeo con una introducción al uso de Wireshark.
Primera parte: analizando un protocolo inseguro – Telnet.
Aquí no vamos a realizar capturas en vivo de tráfico, sino que vamos a analizar trazas (capturas) ya realizadas con anterioridad y salvadas en archivos. En este caso, vamos a usar la traza telnet-raw.pcap, del repositorio de capturas disponible en Wireshark.
Descárgate la traza y ábrela con Wireshark. Esta traza ha capturado el tráfico de una sesión de Telnet entre el cliente y el servidor.
En nuestro ordenador (Debian 4.0.4-1+kali2), abrimos wireshark y cargamos la traza que habíamos descargado anteriormente para analizarla.
Un consejo: para observar mejor el tráfico de Telnet, puedes usar un filtro muy sencillo de visualización, como puedes ver en la imagen:
-
¿Qué usuario y contraseña se ha utilizado para acceder al servidor de Telnet?
Habiendo analizado el tráfico hemos encontrado datos de sesión, como usuario y contraseña. Para este ejemplo los datos resultaron ser:
- Usuario: fake
- Contraseña: user
-
¿Qué sistema operativo corre en la máquina?
Corresponde a OpenBSD (unix), se concentra en la portabilidad, cumplimiento de normas y regulaciones, corrección, seguridad proactiva y criptografía integrada.
-
¿Qué comandos se ejecutan en esta sesión?
Algunos comandos que se ejecutaron en esta sesión son: ls -a, /sbin/ping http://www.yahoo.com, exit.
Todos aquiridos a través de analizar varias líneas de tráfico.
Como puedes ver, la elección de una aplicación no segura como Telnet puede llevar a la difusión de información importante, como información de acceso, sistemas operativos, etc., en este caso a través del tráfico intercambiado.
Segunda parte: analizando SSL.
Para la realización de este ejercicio, descarga esta traza con tráfico SSL y abrela con Wireshark. SSL es un protocolo seguro que utilizan otros protocolos de aplicación como HTTP. Usa certificados digitales X.509 para asegurar la conexión.
-
¿Puedes identificar en qué paquete de la trama el servidor envía el certificado?
En la trama 2, el cifrado es enviado al cliente, como respuesta a su petición.
-
¿El certificado va en claro o está cifrado? ¿Puedes ver, por ejemplo, qué autoridad ha emitido el certificado?
Hay paquetes que vienen en claro (autoridad que emite, para qué dominios es válido, etc). Luego vienen datos cifrados que son la firma del certificado y (supongo) el certificado en sí.
La autoridad que emite el certificado es RSA Datasecurity Inc.
-
¿Qué asegura el certificado, la identidad del servidor o del cliente?
En este saco se asegura la identidad del servidor.
Tercera parte: analizando SSH.
En la primera parte de este ejercicio hemos visto un protocolo no seguro, como Telnet. Una alternativa a usar Telnet a la hora de conectarnos a máquinas remotas es SSH, que realiza una negociación previa al intercambio de datos de usuario. A partir de esta negociación, el tráfico viaja cifrado. Descarga esta traza con tráfico SSH y abrela con Wireshark.
En este analisís se ha detectado que desde las tramas 9 hasta la 19 comienza el intercambio de llaves.
-
¿Puedes ver a partir de qué paquete comienza el tráfico cifrado?
A partir de la trama 20.
-
¿Qué protocolos viajan cifrados, todos (IP, TCP…) o alguno en particular?
El protocolo que viaja cifrado es SSHv2.
-
¿Es posible ver alguna información de usuario como contraseñas de acceso?
No es posible debido a aque esos datos viajan cifrados.
Seguridad Hacking ético 