SeguridadWireless.net y la publicación del patrón de claves WPA de las redes WLAN_XXXX y JAZZTEL_XXXX de Movistar y Jazztel

El presente artículo es un comunicado desde SeguridadWireless.Net a petición suya para esclarecer el asunto de la publicación del algoritmo utilizado para generar las contraseñas por defecto en routers Comtrend de redes Movistar y Jazztel.

Comunicado desde SeguridadWireless: El pasado viernes 4 de febrero se desveló el patrón que usan los routers Comtrend, por defecto, para averiguar la contraseña de manera rápida y sencilla. Con tan solo conocer el nombre de la red y la dirección MAC del punto de acceso es posible averiguar la contraseña por defecto de la red WiFi. Teniendo en cuenta que la mayoría de la gente deja la contraseña por defecto, se calcula que más de 1 millón de routers están afectados por esta grave vulnerabilidad.

Seguridadwireless.net, en adelante SW, descubrió dicho patrón (algoritmo) el 24 de noviembre de 2010 y notificó vía e-mail al vendedor Comtrend de la existencia del bug el 1 de diciembre de 2010 sin respuesta alguna. Tras volver a contactar con Comtrend el pasado 8 de diciembre de 2010 y no obtener ninguna respuesta, finalmente, el 15 de diciembre de 2010, se publica en SW el fallo, pero sin desvelar el algoritmo, aunque se facilita en la web una herramienta en PHP para generar la contraseña.

El mismo día que se hizo pública se retiró todo lo publicado tras recibir una llamada de un responsable de la compañía Comtrend que, de buenas maneras, es decir, de forma cordial, deseaba hablar del asunto con los responsables de SW. Tras analizar la gravedad del asunto, y pensando en la seguridad final de los usuarios se organizó una reunión presencial en Madrid, entre Comtrend y representantes de SW, donde se firma un documento DNA (Non-disclosure agreement).

SW recibe múltiples críticas sobre el hecho de haber quitado la información, se habla de censura, de presiones, incluso de dinero. SW decide hacer una comunicado donde se explica que está trabajando de manera conjunta con Comtrend para solucionar el problema y que, dada la gravedad del asunto, cree que lo más conveniente es no publicar la vulnerabilidad pese a las críticas. No se dan más explicaciones y varios usuarios disconformes con esta política deciden investigar por su cuenta el fallo con las pistas otorgadas por SW.

Finalmente, un anónimo, decide publicar el viernes 4 de febrero varias herramientas, en diferentes lenguajes: php, bash, python, etcétera, con el código fuente, donde se puede ver el patrón con la cadena clave para descubrir la contraseña, todo ello sin estar solucionado el problema.

Desde SW pensamos que es una irresponsabilidad actuar de esta manera, y no hace más que perjudicar al usuario final. Se acusa injustamente a SW de no ayudar en el tema cuando pensamos que hemos actuado de la mejor manera ética y correcta, y nuestro único fallo ha sido no explicar con claridad todos los detalles del entramado.

Diversos medios de reconocido prestigio en el mundo de la seguridad se hacen ecos de la noticia, y sin mala intención, publican, bajo el punto de vista de SW, información inexacta o no completa sobre lo ocurrido y, por ese motivo (entre otros), se decide redactar este nuevo escrito.

En el anterior comunicado oficial, SW deja muy claro sus intenciones, su postura de no "robar wifi" y su compromiso con el estudio de cifrados de manera seria y responsable, tal y como se ha demostrado avisando con antelación al fabricante y respetando un acuerdo firmado.

Lamentamos la confusión generada y que las circunstanciás hayan hecho que no se haya publicado y desvelado la noticia del patrón tal y como no hubiera gustado. Consideramos que hemos hecho lo correcto dada la gravedad del asunto y hemos preferido ser prudentes en lugar de ser los primeros en publicar el fallo. Nuestro objetivo fue siempre que hubiera una solución y aviso por parte del fabricante a sus clientesantes de que se hiciera público el problema y evitar, en la medida de lo posible, que estas redes WiFi se utilicen para cometer delitos.

Queremos dejar muy claro que SW no ha sacado ningún beneficio económico, ni ha intentando sacar dinero, ni ha sido "comprado su silencio", tal y como se ha especulado falsamente. SW no ha sacado ningún beneficio del acuerdo firmando con Comtrend, excepto el de la satisfacción de reportar de manera altruista un grave fallo de seguridad.

En breve daremos detalles técnicos del descubrimiento del fallo y de todo el proceso, pero mientras tanto instamos a todos los usuarios de este tipo de redes a realizar un cambio de la contraseña por defecto, algo que es fácil de implementar y que incrementa la seguridad de la red WiFi personal.

Mientras tanto desde SW seguiremos trabajando en las herramientas de auditoría y seguridad Wifislax/Wifiway, con nuestro compromiso de hacer una Internet más segura y siguiendo los principios éticos básicos de la comunidad SW. Esperamos vuestra participación y nos despedimos esperando que hayan quedado resueltos algunos interrogantes que se han planteado en los últimos días.

SW Staff.