La actualización de Samba soluciona el problema de saqueo de contraseña de texto sin cifrar – Naked Security

Si está utilizando la venerable herramienta Samba de código abierto en cualquier lugar de su red, debe informarse sobre la última actualización, versión 4.15.2.

Samba es la palabra más cercana a SMB que se le ocurrió a Andrew Tridgell, quien inició el proyecto en la década de 1990.

SMB, abreviatura de Bloque de mensajes del servidor es (más precisamente) el nombre común del protocolo de red que alguna vez fue propietario de Microsoft y que fue heredado de IBM.

Tridge, como el Dr. Andrew Tridgell OAM, más conocido como Andrew Tridgell, quería dar a sus computadoras Linux una forma de unirse a las redes de Windows sin la cual el intercambio de datos entre las redes de Windows y Unix requería una serie de soluciones confusas.

(En aquel entonces, ni siquiera había unidades USB para datos espaciados, y un disquete típico solo podía contener 1,44 MB o menos. Además, las redes deberían conectar computadoras, no desconectarlas).

SMB se convirtió en CIFS

Microsoft finalmente permitió que SMB se convirtiera en un estándar abierto que quizás conozca como CIFS, abreviatura de Sistema de archivos de Internet común, pero el nombre Samba se quedó para la implementación de código abierto.

Como puede imaginar, SMB, y con él CIFS, y con él Samba, han evolucionado enormemente a lo largo de los años, y algunos aspectos iniciales de SMB se han retirado principalmente por razones de seguridad.

Más específicamente, todos, incluido Microsoft, los desecharon por defecto por razones de seguridad, es decir, porque fueron diseñados y codificados primero mucho antes de que tomáramos la seguridad cibernética tan en serio como lo somos hoy, o al menos antes de que la ciberseguridad se convirtiera en lo que con razón somos. para que nos tomen en serio, nos guste o no.

La propia Microsoft ya publicó un artículo en 2019 con el título claro de. liberado Dejar de usar SMB1, la primera versión del protocolo de intercambio de archivos.

Las variantes SMB2 y SMB3 del protocolo no solo son mucho más rápidas y escalables, sino que también eliminan una serie de «características» operativas inseguras que permitía el antiguo SMB1.

De hecho, Microsoft dejó de instalar el soporte SMB1 de forma predeterminada en Windows 10 v1709 y Windows Server v1709 en 2017.

Si necesita urgentemente SMB1 por razones heredadas (y si es así, ¿por qué no usa este artículo como un punto de partida para descubrir cómo deshacerse de él finalmente?) Puede agregarlo más tarde como un componente de Windows, pero de forma predeterminada, no está instalado y no puede activarlo accidentalmente o intencionalmente.

Tenga cuidado con los ataques de degradación

Una gran razón para asegurarse de no tener una SMB1 es que es propensa a Manipulador en el medio (MiTM) y Degradar Ataques.

Aquí alguien está monitoreando el tráfico SMB1 en su red y respondiendo a los nuevos usuarios en su red para decir: “Oh, lo siento mucho, estamos muy pasados ​​de moda aquí. No envíe contraseñas cifradas para iniciar sesión, utilice contraseñas de texto sin formato «.

Incluso si sus clientes y servidores normalmente no son compatibles con SMB1, una respuesta tan fraudulenta puede engañar a un cliente que de otro modo sería seguro (uno que no ha recibido instrucciones de nunca cumplir con solicitudes de este tipo) para que se comunique de manera insegura …

… y así permitir a los atacantes olfatear la contraseña de texto sin formato para más adelante.

Por supuesto, una vez que los intrusos conocen su contraseña, no tienen que lidiar con SMB1 en absoluto.

Puedes usar la contraseña ahora robada para iniciar sesión con SMB2 y así conectarte sin controversias, sin que aparezcan anomalías en tus registros de seguridad.

Bueno, uno de los errores corregidos en Samba 4.15.2 se llama CVE-2016-2124 y se describe a continuación:

Antes de culpar a Samba

Sin embargo, antes de acusar a Samba de tener este error, deje de pensar que no debería usar SMB1 en absoluto y que Samba, como Windows, no lo habilita por defecto.

Por lo tanto, necesitaría uno muy retrógrado e inusual. smb.conf file (archivos de configuración de Samba para clientes y servidores) para que este error pueda aprovecharse.

Específicamente, el equipo de Samba advierte que debe configurar todas estas opciones de Samba al mismo tiempo:

client NTLMv2 auth = no client lanman auth = yes client plaintext auth = yes client min protocol = NT1 # or lower

Las preferencias (si no tiene ninguna entrada con estos nombres en su /etc/samba/smb.conf File) son todos diferentes, de la siguiente manera:

client NTLMv2 auth = yes client lanman auth = no client plaintext auth = no client min protocol = SMB2_02

Cabe señalar que la autenticación de texto sin cifrar está suprimida de forma predeterminada, lo que significa que los clientes de Samba no generan ningún paquete de red interceptable con contraseñas de texto sin cifrar desde el principio.

¿Qué tengo que hacer?

• Deje de usar SMB1 en cualquier lugar. En Windows, desinstale completamente el componente SMB1 de las computadoras con Windows. Para Samba, considere usar un explícito. para agregar client plaintext auth = no Ingrese en su archivo de configuración para dejar claras sus intenciones.
• Actualice a Samba 4.15.2. Los parches también corrigen una serie de errores numerados CVE. Si está utilizando versiones anteriores pero aún compatibles de Samba, los números de versión que desea son exactos 4.14.10 o 4.13.14 o después.
• Planifique revisar periódicamente toda la configuración de autenticación, hash de contraseñas y registro. Ya se trate de cifrados obsoletos como RC4, algoritmos de resumen retirados como MD5, funciones peligrosas de hash de contraseñas como LANMAN o protocolos no deseados como SMB1, no asuma que se han eliminado de su ecosistema. Ponga énfasis en el control de rutina.