[HACK] [ROOTEDCON] Opciones VPN "seguras" para iPhone

[Angel Alonso Parrizas]

Buenas,

Para Android yo he implementado VPN + iptables para forzar el trafico a ir
cifrado siempre.
Podeis ver el documento original que habla de ello en:

http://www.sans.org/reading_room/whitepapers/sysadmin/securely-deploying-android-devices_33799
(pagina 9 punto 3.3)




Un saludo, Angel

2012/3/23 Agustin Campos <aguscampos at gmail.com>

> Se agradecería que también se encontrase esa respuesta para el Android.
>
> Escrito desde mi Android
> El 23/03/2012 15:21, "Jesus Cea" <jcea at jcea.es> escribió:
>
>> -----BEGIN PGP SIGNED MESSAGE-----
>> Hash: SHA1
>>
>> A ver si no me dais de palos.
>>
>> Tras bastante esfuerzo, he montado una VPN en mi iPhone para poder
>> utilizar redes potencialmente hostiles con confianza. Eso incluye
>> cuando pierdo el 3G y salgo por GPRS };-). (el 3G en la rooted va de
>> coña en el momento en que se está dando la ponencia de intrusión en
>> redes móviles... qué cosas, como si no se pudiese atacar en otro
>> momento };-).
>>
>> Pero es evidente que la opción VPN del iPhone está pensada para entrar
>> en redes corporativas, y no para canalizar todo tu tráfico a través
>> suya, de forma segura:
>>
>> - - Hay que activarla manualmente.
>>
>> - - Si la VPN se pierde, no se restablece automáticamente.
>>
>> - - No hay forma de indicarle al teléfono (que haya encontrado) que no
>> utilice la red si la VPN no está disponible.
>>
>> El escenario de ataque evidente es el siguiente:
>>
>> - - Me conecto a la WIFI del Starbucks.
>>
>> - - Aquí empieza a haber tráfico que no va cifrado... Dado que el iphone
>> no tiene multitarea, básicamente serían cosas como las notificaciones
>> PUSH, etc., de Apple, que de por sí van por HTTPS, o correo
>> electrónico que más te vale que vaya cifrado también, sin necesidad de
>> VPN. Bueno...
>>
>> - - Activo la VPN manualmente y espero a que me aparezca el icono.
>>
>> - - Ahora lanzo una aplicación sensible. El tráfico va por la VPN.
>>
>> - - Si ahora se me cae la VPN, un atacante la bloquea y fuerza su
>> timeout, etc., el tráfico empezará a circular en abierto y aunque esté
>> absolutamente pendiente del icono, puede ser ya demasiado tarde.
>>
>> En un mundo ideal quisiera tener la VPN funcionando siempre y que si
>> no está disponible, que simplemente el teléfono se niegue a enviar
>> paquetes. Tal y como lo tengo en el portátil.
>>
>> Una opción que he pensado es configurar la red para utilizar un proxy
>> por HTTPS. Entiendo que si el proxy no está disponible, no me dejará
>> hacer nada. Pero eso solo funciona para WIFI, no GSM/UMTS, tendría que
>> verificar que el teléfono comprueba el certificado SSL del proxy (lo
>> que abre otro tipo de ataques, pero algo es algo) y, en todo caso,
>> solo protegería tráfico web.
>>
>> ¿Alguna idea?.
>>
>> Todo esto sin jailbreak, claro.
>>
>> - --
>> Jesus Cea Avion                         _/_/      _/_/_/        _/_/_/
>> jcea at jcea.es - http://www.jcea.es/     _/_/    _/_/  _/_/    _/_/  _/_/
>> jabber / xmpp:jcea at jabber.org         _/_/    _/_/          _/_/_/_/_/
>> .                              _/_/  _/_/    _/_/          _/_/  _/_/
>> "Things are not so easy"      _/_/  _/_/    _/_/  _/_/    _/_/  _/_/
>> "My name is Dump, Core Dump"   _/_/_/        _/_/_/      _/_/  _/_/
>> "El amor es poner tu felicidad en la felicidad de otro" - Leibniz
>> -----BEGIN PGP SIGNATURE-----
>> Version: GnuPG v1.4.10 (GNU/Linux)
>> Comment: Using GnuPG with Mozilla - http://enigmail.mozdev.org/
>>
>> iQCVAwUBT2yGjplgi5GaxT1NAQI5xAP+L5f/Bm5neKrJi8RgZzRbxJppQKBpE9pU
>> RyOZ3Rzr6Xx4s1a0af21yVruKyDyI0ATsbLtaTSJQmknUwEQeAwm9SLBre82o+vu
>> 3dL12sti4RMplp10VhveNLiMBFqRoM+czTbp7+RmXXaZUIMJwQYsXK4ogtPkaRV1
>> JEE2YM/IlnY=
>> =ic6r
>> -----END PGP SIGNATURE-----
>>
>> ---------------------------------------------------------------------
>> Para abandonar la lista, correo a: rootedcon-unsubscribe at listas.rooted.es
>> Para otras peticiones, correo a: rootedcon-help at listas.rooted.es
>>
>>
> _______________________________________________
> Lista - https://mailman.jcea.es:28443/listinfo/hacking
> FAQ - http://www.jcea.es/artic/hack-faq.htm
> "una-al-dia" para estar siempre informado - http://www.hispasec.com/
>
>


-- 
Angel Alonso-Párrizas
www.angelalonso.es
+41766468927

 <http://www.angelalonso.es/>
-------------- next part --------------
An HTML attachment was scrubbed...
URL: <https://mailman.jcea.es/pipermail/hacking/attachments/20120323/fe05d7c4/attachment.htm>