3er Comunicado 8-2-2011
Sobre SeguridadWireless.net y el asunto del patrón de claves WPA de las redes WLAN_XXXX y JAZZTEL_XXXX utilizadas por Movistar y Jazztel
El pasado viernes 4 de febrero se desveló el patrón que usan los routers Comtrend por defecto para averiguar la contraseña de manera rápida y sencilla. Con tan sólo saber el nombre de la red y la MAC del punto de acceso se sabe la contraseña por defecto del Wifi del vecino. Teniendo en cuenta que la mayoría de la gente deja la contraseña por defecto, se calcula que más de 1 millón de routers están afectados por esta grave vulnerabilidad.
Seguridadwireless.net (de ahora en adelante sw) descubrió dicho patrón (algoritmo) el 24 de noviembre de 2010 y notificó vía e-mail al vendedor Comtrend de la existencia del bug el 1 de diciembre de 2010 sin respuesta alguna. Se volvió a contactar con Comtrend el 8 de diciembre de 2010 sin respuesta y finalmente el 15 de diciembre de 2010 se publica en SeguridadWireless.net el fallo, pero sin desvelar el algoritmo, pero si facilitando una herramienta en php para generar la contraseña.
El mismo día se retira todo lo publicado tras recibir una llamada de un responsable de la compañía Comtrend, que de buenas maneras (de forma cordial) desea hablar del asunto con los responsables de seguridadwireless.net. Tras analizar la gravedad del asunto y pensando en la seguridad final de los usuarios se hace una reunión presencial en Madrid con Comtrend y representantes de sw donde se firma un DNA (Non-disclosure agreement).
SW recibe múltiples críticas sobre el hecho de haber quitado la información, se habla de censura, de presiones, incluso de dinero. Sw no cede y decide hacer una pequeña nota dónde explica que está trabajando de manera conjunta con Comtrend para solucionar el problema y que dada la gravedad del asunto cree que lo más conveniente es no publicar la vulnerabilidad pese a las críticas. No se dan más explicaciones y varios usuarios disconformes con esta política deciden investigar por su cuenta el fallo con las pistas otorgadas por SW.
Finalmente un anónimo decide publicar el viernes 4 de febrero varias herramientas (en diferentes lenguajes: php, bash, python,etc), con el código fuente dónde se puede ver el patrón con la cadena clave para descubrir la contraseña, todo ello sin estar solucionado el problema. Desde SW pensamos que es una irresponsabilidad actuar de esta manera, y no hace más que perjudicar al usuario final. Se acusa injustamente a SW de no ayudar en el tema cuando pensamos que hemos actuado de la mejor manera ética y correcta, y nuestro único fallo ha sido no explicar con claridad todos los detalles del entramado.
Diversos medios se hacen ecos de las noticia, entre ellos Hispasec, s21sec, etc y sin querer publican información inexacta y no completa sobre lo ocurrido y por ese motivo (entre otros) se decide redactar este nuevo escrito.
En el anterior comunicado oficial Sw (que se puede leer íntegramente en http://foro.seguridadwireless.net/noticias-wireless/comunicado-oficial-seguridad-wireless/) deja muy claro sus intenciones, su postura de no "robar wifi" y su compromiso con el estudio de cifrados de manera seria y responsable (http://www.seguridadwireless.net/avisolegal.php). Tal y como se ha demostrado avisando con antelación al fabricante y respetando un acuerdo firmado.
Lamentamos la confusión generada y que no hayamos sido nosotros los que hemos publicado-desvelado la noticia del patrón pese haberlo descubierto antes, pero insistimos en que consideramos que hemos hecho lo correcto dada la gravedad del asunto. Nos entristece que la persona que ha desvelado finalmente el patrón el viernes nos insulte (insultos ya retirados) por el único motivo de no querer desvelar el patrón por motivos obvios de seguridad. Creemos y estamos convencidos que incluso se cometerán delitos con estas wifis desprotegidas por culpa de personas insensatas que no piensan en la seguridad de los demás.
Queremos dejar muy claro que SW no ha sacado ningún beneficio económico, ni ha intentando sacar dinero, ni ha sido "comprado su silencio", tal y como se ha especulado falsamente. SW no ha sacado ningún beneficio del acuerdo firmando con Comtrend, excepto el de la satisfacción de reportar de manera altruista un grave fallo de seguridad.
En breve daremos detalles técnicos del descubrimiento del fallo y de todo el proceso.
Mientras tanto desde SW seguiremos trabajando en las herramientas de auditoría y seguridad Wifislax/Wifiway, con nuestro compromiso de hacer una internet más segura y siguiendo los principios éticos básicos de la comunidad SW. Esperamos vuestra participación y nos despedimos esperando que hayan quedado resueltos algunos interrogantes que se han planteado en los últimos días.
Gracias por vuestra atención.
SW Staff.