PoisonTap: la Raspberry Pi Zero de 5 dólares de Samy Kamkar saquea un PC bloqueado en 30 segundos

En noviembre de 2016, el investigador de seguridad Samy Kamkar publicó PoisonTap: software gratuito en una Raspberry Pi Zero de 5 dólares que, conectada a un Mac o PC bloqueado durante unos 30 segundos, intercepta el tráfico web y las cookies de autenticación de la máquina, y luego instala una puerta trasera que mantiene el navegador y la red local controlables de forma remota después de que el dispositivo ya no está. «La motivación principal es demostrar que incluso en un ordenador protegido con contraseña que funciona con una Wi-Fi WPA2, tu sistema y tu red todavía pueden ser atacados de forma rápida y sencilla», declaró a Ars.

La cadena utiliza únicamente comodidades estándar. La Pi se hace pasar por una tarjeta Ethernet y, repartiendo direcciones mediante DHCP, se convierte en la puerta de enlace; al definir la red local como todo el espacio IPv4, también se convierte en la puerta de enlace de todo el tráfico de internet. Encuentra un navegador en segundo plano e inyecta iframes ocultos que apuntan al millón de sitios más visitados de Alexa y, haciéndose pasar por el servidor HTTP de cada sitio, recoge las cookies que regresan. El código plantado en la caché mantiene vivo un WebSocket persistente después de retirar el dispositivo; un ataque de reenganche de DNS (DNS rebinding) otorga acceso administrativo al router conectado.

Las defensas que enumera el artículo son estructurales, no conductuales. HSTS y las cookies debidamente protegidas frustran la cosecha de cookies —por eso no se pudieron activar las páginas de Google y Facebook—, mientras que la autenticación multifactor apenas ayuda, porque no se vuelve a activar con los inicios de sesión basados en cookies. Los usuarios finales pueden cerrar los navegadores antes de bloquear el equipo, activar FileVault2 y suspender un Mac, o vaciar las cachés; el hábito más seguro es simplemente llevarse la máquina consigo.

PoisonTap continuó la línea de hackeos baratos y publicados de Kamkar: un cargador USB de 10 dólares que captura pulsaciones de teclado, un dispositivo de 30 dólares que abre coches y garajes con cierre electrónico, una aplicación de acoso de bricolaje construida sobre Google Street View. Publicó el código fuente y un vídeo de demostración, y Ars Technica enmarcó el patrón como una advertencia permanente sobre las contrapartidas de seguridad de un mundo cada vez más informatizado.

Una pantalla bloqueada protege la solicitud de inicio de sesión, no la pila de red: hazte pasar por la puerta de enlace Ethernet USB, llama «local» a todo el internet IPv4 y las cookies vendrán a ti.

No necesita ningún zero-day: la red por USB, el DHCP, los rangos «locales» permisivos y la persistencia de la caché son comodidades ordinarias, simplemente encadenadas en el orden correcto.

Reubicó el límite de confianza: la solicitud de inicio de sesión nunca fue la superficie de ataque real; lo eran la pila de red y el navegador en segundo plano.

Por 5 dólares democratizó un ataque que se leía como una fantasía de actor estatal, trasladando el argumento de defensa de los hábitos del usuario a las garantías a nivel de protocolo.

Una vez que se toca el hardware, la fortaleza de la contraseña es irrelevante. Pon la garantía en la capa de protocolo —HSTS, cookies Secure— porque reglas conductuales como «bloquea tu pantalla» fallan contra un dispositivo de 5 dólares.

Kamkar publicó el código fuente completo y un vídeo de demostración, haciendo que cualquiera con una placa de 5 dólares pudiera reproducir la cadena. El artículo señaló que el exploit ya fallaba contra sitios que ejecutaban correctamente HSTS y cookies Secure —Google y Facebook entre ellos—, una instantánea de la industria a mitad de su giro hacia configuraciones predeterminadas de HTTPS en todas partes. Su consejo práctico terminaba con la opción verdaderamente paranoica: llevar el portátil contigo o apagar la máquina por completo.