Crackear conexiones VPN PPTP MS-CHAPv2 (III de III)

***********************************************************************************************
- Crackear conexiones VPN PPTP con MS-CHAPv2 (I de III)
- Crackear conexiones VPN PPTP con MS-CHAPv2 (II de III)
- Crackear conexiones VPN PPTP con MS-CHAPv2 (III de III)
Autores: Juan Luis G. Rambla MS MVP Security & Chema Alonso
***********************************************************************************************

Ataque con asleap + ettercap paso a paso (continuación)

Antes del inicio de la comunicación, se comprueba que el único mecanismo de autenticación admitido por el cliente es MS-CHAP v2. Sería factible un ataque adicional en la que tanto el cliente como el servidos admitieran MS-CHAP y MS-CHAP v2generando una degradación de la autenticación a MS-CHAP v1, que es más sencillo. En el mismo, aunque la negociación cliente-servidor determinará que la mejor autenticación sería MS-CHAP v2 un atacante en medio podría re-negociar la comunicación entre ambos extremos para degradarlo a MS-CHAP, más vulnerable.


Figura 6: Selección de autenticación MS-CHAP v2
Al mismo tiempo que se produce el proceso de autenticación el atacante está recibiendo los datos del proceso de autenticación.


Figura 7: Conexión PPTP establecida
La información obtenida por Ettercap con los datos correspondientes a la autenticación del usuario administrator, se recogen en la Figura 8. En ella se ven los datos correspondientes al desafío y la respuesta derivada del hash NT de la contraseña de este usuario. En este caso la passrord es admin. No es utilizado en esta circunstancia el hash Lan Manager que, como se puede ver, aparece relleno con ceros.


Figura 8: Captura Hashes. Challenge y Response del usuario administrator
Crackeo de la password

Los datos recuperados se pueden utilizar para la realización del ataque de diccionario, con los ficheros creados previamente con Genkeys. Para ello además del fichero de hash y el de índice, se proporcionan los datos de desafío y respuesta tal y como pueden ver en la siguiente figura.


Figura 9: Ataque offline a la autenticación con asleap
Evidentemente la contraseña empleada, admin, es lo suficientemente débil para el ataque sea eficaz en poco tiempo. Otros tipos de contraseñas requerirían un esfuerzo desmesurado para obtenerlas.

Conclusiones

Los requistios de seguridad sobre las conexiones VPN son cada día mayores, así que para evitar esta debilidad se pueden utilizar la siguientes soluciones:

- PPTP-MSCHAPv2 con una contraseña robusta: Si no se puede cambiar la tecnología, debe utilizarse una contraseña que sea de gran longitud y complejidad para evitar ataques de diccionario o fuerza bruta. Intentar utilizar passphrases en lugar de passswords cortas.

- PPTP-EAP-TLS o PEAP-MSChapv2 [TLS-EAP-MSCHAPv2]: Otras alternativas para fortificar el proceso de negociación de credenciales es el uso de certificados digitales en el proceso de autenticación de usuarios [EAP-TLS] o cifrar el canal con TLS antes de la negociación de autenticación [Protected-EAP -> PEAP. Cunado se usa MSCHAPv2 después se llama PEAP-MSCHAPv2 o es también llamado TLS-EAP-MSCHAPv2].

- L2TP/IPSec: Para evitar la interceptación del tráfico que se genera en el momento de la negociación de la autenticación se puede utilizar IPSec (no IPSec-PSK) para cifrar y autenticar las máquinas.

- SSTP (Secure Socket Tunneling Prococol): Si hay problemas con la apertura de puertos en las conexiones desde hoteles, se puede utilizar el sistema SSTP, que cifra y autentica todo el tráfico con HTTP-s. En las máquinas clientes Windows está de serie desde Windows Vista Service Pack 1.

- DirectAccess: Establece VPNs utilizando IPv6, viene de serie con Windows Server 2008 R2 y Windows 7.

- EndPoint Security: En el caso de querer una VPN que protega al servidor y la red central contra la conexión de máquinas inseguras, desprotegidas o no válida, se pueden implementar soluciones como MS Forefront Unified Access Gateway UAG 2010 que implementa soluciones de comprobación de la salud del cliente y de redes de cuarentena, permitiendo establecer diferentes niveles de conexión. MS Forefront UAG 2010 también implementa Direct Access.

***********************************************************************************************
- Crackear conexiones VPN PPTP con MS-CHAPv2 (I de III)
- Crackear conexiones VPN PPTP con MS-CHAPv2 (II de III)
- Crackear conexiones VPN PPTP con MS-CHAPv2 (III de III)
Autores: Juan Luis G. Rambla MS MVP Security & Chema Alonso
***********************************************************************************************