El SETI@Home vulnerable al ataque de piratas

El SETI@Home vulnerable al ataque de piratas
	VSantivirus No. 1004, Año 7, Lunes 7 de abril de 2003 El SETI@Home vulnerable al ataque de piratas http://www.vsantivirus.com/vul-seti.htm Por Angela Ruiz angela@videosoft.net.uy Una grave vulnerabilidad ha sido reportada en SETI@home, el software usado para buscar vida extraterrestre que utilizan en sus computadoras millones de personas conectadas a Internet en el mundo entero. Se trata de un experimento científico auspiciado por la Universidad de California, que permite que millones de computadoras compartan el proceso de descarga y análisis de datos aportados por radio telescopios que escudriñan el espacio buscando vida inteligente (SETI son las siglas de "Search for Extraterrestrial Intelligence"). El programa, de uso gratuito, es una especie de protector de pantallas y funciona como tal en los tiempos muertos de la computadora, o sea cuando usted no la está utilizando. La combinación de millones de computadoras, cada una analizando trozos diferentes de la enorme cantidad de información recogida por los más importantes radiotelescopios del mundo entero, da un poder tremendo de análisis, y la satisfacción personal de participar en una gran aventura. El programa está disponible para su descarga solo desde la página Web del SETI en Berkeley, California, único lugar desde donde son descargados los datos y a donde son enviados los resultados. SETI@Home no descarga ni ejecuta en ningún momento código alguno en la computadora del usuario (salvo el propio programa, cuando es instalado por dicho usuario). Actualmente existen casi cuatro millones y medio de usuarios que apoyan el experimento, de los cuáles más de un millón están activos y han devuelto resultados por lo menos en las cuatro últimas semanas. El cliente SETI@home utiliza el protocolo HTTP para descargar nuevas unidades de trabajo, enviar la información del usuario y para registrar a los nuevos participantes del proyecto. Esta implementación posee dos vulnerabilidades recientemente divulgadas. Primero, toda la información es enviada en texto plano a través de la red. La información incluye el tipo de procesador (para el cálculo de la velocidad y cantidad de procesamiento), y el sistema operativo utilizado. Segundo, existe un desbordamiento de búfer durante el manejo de las respuestas del servidor. Enviando una larga cadena de caracteres terminada con el indicador de nueva línea ('\n'), se puede provocar este desbordamiento. Esto ha sido comprobado con éxito en varias versiones del programa, y se supone que todas las anteriores a la 3.07 inclusive, son vulnerables. Un desbordamiento similar parece afectar al servidor principal del SETI@home, shserver2.ssl.berkeley.edu. El mismo cierra su conexión después de recibir una cadena de datos excesivamente larga, terminada con '\n'. La falla permite que un intruso pueda monitorear el tráfico de la red (técnica conocida como "Sniffing"), para interceptar la información mencionada y utilizarla maliciosamente. Un pirata informático podría reencaminar la conexión que el cliente intente hacer al servidor del SETI, hacia una máquina que éste controle. Esto puede ser posible con una gran variedad de herramientas de SPOOFING existentes ("Spoofing" es la falsificación de la dirección IP de origen en los paquetes enviados). SETI@Home también tiene la habilidad de utilizar un proxy HTTP. El atacante puede utilizar la máquina del Proxy como base para su ataque. Los routers también pueden ser usados para ello. La explotación del error en el servidor no ha sido testeada, pero en teoría, podría ser utilizada como plataforma para afectar a todos los clientes SETI@Home en el mundo. Existe un exploit para Linux, y el conocimiento de la falla puede hacer que aparezca muy pronto para Windows. El equipo del SETI fue avisado del problema en diciembre de 2002, y en abril de 2003 liberó una versión corregida que soluciona estos problemas (la 3.08). La solución por lo tanto, pasa por la descarga e instalación de esta versión, desde el siguiente enlace: http://setiathome.berkeley.edu/download.html (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com