1Rooted CON 2014 6-7-8 Marzo // 6-7-8 March

Skype Sin Levita

Un Análisis de Seguridad y Privacidad

2Rooted CON 2014 6-7-8 Marzo // 6-7-8 March

Skype, repaso rápido

Skype es tanto un servicio propietario de voz-sobre-Internet como una aplicación software.

Creada en 2003. Propiedad de Microsoft desde Mayo del 2011.

Llamadas de voz y vídeo Skype-a-Skype, SkypeOut, SkypeIn, Mensajería Instantánea, envío de ficheros, pantalla compartida, SMS, video llamadas en grupo.

Ampliamente usado, tanto a nivel personal como profesional.

3Rooted CON 2014 6-7-8 Marzo // 6-7-8 March

¿Qué hacía a Skype diferente?

Privacidad, como consecuencia de su diseño global.

Comunicaciones híbridas peer-to-peer & cliente-servidor (supernodos)

"Because of Skype's peer-to-peer architecture and proprietary encryption techniques, Skype would not be able to comply with such a request.” [en relación a las peticiones de intercepción legal]

Protocolo Evasivo y con capacidades de auto-recuperación

4Rooted CON 2014 6-7-8 Marzo // 6-7-8 March

Arquitecura de Skype: Supernodes

Los Supernodos de Skype– Los clientes Skype con suficiente ancho de banda,

capacidad de procesamiento y que cumplieran otros requisitos, podían convertirse en “supernodos” de Skype.

– Los supernodos intercambiaban datos empleando protocolos peer-to-peer.

– En cualquier momento unos ~48K clientes hacían de “supernodos”.

– 800 usuarios / supernodo

En este momento sólo servidores de Microsoft pueden convertirse en supernodos– +10K cajas Linux– +4K usuarios / supernodo

5Rooted CON 2014 6-7-8 Marzo // 6-7-8 March

Cifrado de Skype

La documentación relativa a los mecanismos de cifrado y transporte empleados por Skype es inexacta, está anticuada o, simplemente, no existe.

Security by obscurity is not security at all.

Si Microsoft ha modificado la arquitectura de supernodos, habrá dejado el cifrado cómo estaba?

6Rooted CON 2014 6-7-8 Marzo // 6-7-8 March

Skype en la red:¡Vamos a echarle un ojo!

Skype v. 6.14 (351)

Security Analytics (Solera)

port-mirror

7Rooted CON 2014 6-7-8 Marzo // 6-7-8 March

¡Vamos a echarle un ojo!

8Rooted CON 2014 6-7-8 Marzo // 6-7-8 March

¡Vamos a echarle un ojo!

9Rooted CON 2014 6-7-8 Marzo // 6-7-8 March

¡Vamos a echarle un ojo!

10Rooted CON 2014 6-7-8 Marzo // 6-7-8 March

¡Vamos a echarle un ojo!

Social Networking

Web Ads/Analytics

Social Networking

Social Networking

Web Ads/Analytics

Web Ads/Analytics

Web Ads/Analytics

Web Ads/Analytics

Web Ads/AnalyticsWeb Ads/Analytics

Web Ads/Analytics Web Ads/Analytics

11Rooted CON 2014 6-7-8 Marzo // 6-7-8 March

Primera Ronda de Comentarios

Comentario #1: El cifrado propietario de Skype habría sido reemplazado por SSL.

Comentario #2: La mensajería instantánea de Skype está empleando los servidores del Menssenger de Microsoft

Comentario #3: La prolífica actividad asociada a sitios categorizados como Web Ads/Analytics sugiere que los usuarios de Skype se están convirtiendo en productos, lo que incrementa la preocupación por la privacidad.

12Rooted CON 2014 6-7-8 Marzo // 6-7-8 March

Skype Sin Levita

¿Prodía el cliente software de Skype ser objeto de un SSL MITM?

Veamos hasta donde podemos bajar por la madriguera del conejo…

13Rooted CON 2014 6-7-8 Marzo // 6-7-8 March

SSL MITM de Skype

Skype v. 6.11

Security Analytics (Solera)

SSL Visibility

Herramientas:2 cuentas de prueba de Skype con las que jugar.SSL Visibility de Blue CoatUn dispositivo de captura de paquetes conectado a la salida en claro del SSL Visibility – Blue Coat Security Analytics (preferiblemente)Certificado de CA Intermedia generado con una CA privada.– Importarlo en el SSL Visibility (MITM) como CA de firmas– Importarlo en el portátil como una CA de confianza

14Rooted CON 2014 6-7-8 Marzo // 6-7-8 March

SSL MITM de Skype: ¡Funciona!

15Rooted CON 2014 6-7-8 Marzo // 6-7-8 March

SSL MITM de Skype: ¡Funciona!

16Rooted CON 2014 6-7-8 Marzo // 6-7-8 March

Consideraciones de Seguridad y Privaciad

El cliente Skype ni informa de que está usando SSL ni muestras los certificados que en uso.

El Cliente Skype usa el almacén de certificados del sistema operativo.– De otro modo no hubiera sido posible hacer un

MITM SSL con una CA intermedia privada.– El sistema de SSL Visibiliy hace un MITM SSL re-

firmando la cadena de certificados SSL original del servidor con su propio certificado de CA.

17Rooted CON 2014 6-7-8 Marzo // 6-7-8 March

Consideraciones de Seguridad y Privaciad

Esto hace al cliente de Skype más vulnerable que otras aplicaciones que llevan embebido su propio almacén de certificados.

Si el SO del usuario confía en el nuevo CA, no tendría una forma de saber que sus conversaciones han sido interceptadas un dispositivos de inspección SSL.

No habría más que inyectar un certificado de CA privada en el almacén de certificados del PC del usuario.

18Rooted CON 2014 6-7-8 Marzo // 6-7-8 March

Skype Sin LevitaSkype login en claro

Nombre de usuario

“uic”: user identification code? Hash del password del usuario?

Versión del cliente de Skype

19Rooted CON 2014 6-7-8 Marzo // 6-7-8 March

Skype Sin LevitaSkype login en claro

Cogen el hostname del PC

20Rooted CON 2014 6-7-8 Marzo // 6-7-8 March

Skype Sin LevitaChat de Skype en claro

21Rooted CON 2014 6-7-8 Marzo // 6-7-8 March

Skype Sin LevitaChat de Skype en claro

22Rooted CON 2014 6-7-8 Marzo // 6-7-8 March

Skype Sin LevitaChat de Skype en Claro

23Rooted CON 2014 6-7-8 Marzo // 6-7-8 March

Trabajo en curso

Skype Sin Levitatransferencia de ficheros en claro

Cuando se transfiere un fichero, podemos ver en claro lo que parece ser el canal de control

Estamos trabajando en la descodificación/reconstrucción del canal de datos

24Rooted CON 2014 6-7-8 Marzo // 6-7-8 March

Consideraciones de Privacidad & Seguridad…el montón de cosas que Skype se baja…

25Rooted CON 2014 6-7-8 Marzo // 6-7-8 March

Consideraciones de Privacidad & Seguridad…el montón de cosas que Skype se baja…

26Rooted CON 2014 6-7-8 Marzo // 6-7-8 March

Consideraciones de Privacidad & Seguridad…el montón de cosas que Skype se baja…

27Rooted CON 2014 6-7-8 Marzo // 6-7-8 March

ConclusionesDesde los puntos de vista de seguridad y privacidad, Skype ha perdido buena parte de lo que le hacía único.

El cifrado propietario ha sido reemplazado por SSL.

Hace uso (en silencio) del almacen de certificados del sistema operativo.

Para que un tercero pueda llevar a cabo un SSL MITM sólo sería necesario inyectar un certificado de CA como confiable al almacén de certificados del SO.

Todo el tráfico de Skype puede interceptarse y descifrarse, para lo bueno y para lo malo.

Es posible inyectar código malicioso escondido entre el montón de JavaScripts que Skype se descarga de Internet, y que Skype lo ejecute.