En la última visita de
Chema a la
Argentina para la
Ekoparty 2013, después de correr varios días con temas laborales sobre mi nuevo rol en
Eleven Paths y todos los fabulosos proyectos en andanza, nos tomamos un merecido descanso con un buen
Malbec
para conversar de aquellas anécdotas más variadas que a uno le ocurren.
Hubo una en particular que me pidió que se la escriba para el blog
porque no podía creer lo que había vivido, y heme aquí, contando esa
historia…
Hace un tiempo me encontraba buscando un
DVR y un par de
cámaras exteriores para poder instalar en el patio de mi casa y así
poder observar qué sucede mientras no estoy, o cuando estoy durmiendo.
Después de mucho buscar en diferentes tiendas en mi país, y de hablar
con amigos que habían instalado sistemas en sus casas, vi que necesitaba
gastar alrededor de
2000 dólares norteamericanos.
Resignado, decidí diseñarme un sistema reutilizando cosas, sin embargo,
las cámaras nocturnas no las tenía e igualmente debía conseguirlas. El
valor de cada cámara era de aproximadamente
100 dólares.
En plan de ahorro, me puse a buscar en esos famosos sitios chinos donde el amigo
Lorenzo Martínez suele comprar
aunque a veces compra en otros conocidos pero no le va tan bien, y me encontré con una agradable sorpresa, vendían en oferta un
DVR +
4 cámaras, más cables, más precintos, más no se cuántas cosas más, todo por solo
100 dólares. Rápidamente y sin dudarlo presioné el botón
“Agregar al carrito” y ahí se me sumaron otros
120 dólares más por el envió, pero no me importó. Era feliz, me seguía costando menos que los
2000 iniciales.
 |
| Figura 1: El envoltorio del DVR y las cámaras |
Una vez finalizado el proceso de compra me llegó a los
20
días una notificación de la aduana argentina, diciéndome que debía pasar
por la oficina de correo a retirar el paquete. Una vez allí debí pagar
otros
60 dólares, pero tampoco me importó…era feliz.
Con el paquete en casa, el primer fin de semana me la pasé haciendo
diagramas de por dónde colocar los cables, hacer los agujeros, esconder
las evidencias y demás tareas de un instalador paranoico. Con mucha
desconfianza por la anécdota de
Lorenzo, encendí el equipo
y accedí al menú, para mi primera sorpresa (que al fin y al cabo era
obvio si lo pensaba) estaba totalmente en
Chino. A no desesperar pensé,
"¿cuanto puedo tardar con un traductor on-line?". Los traductores on-line siempre pueden ayudar, por eso
1 hora después pude cambiar el idioma a
Ingles y dejarlo fijo. Ya eran las
2 A.M. del lunes, todo el fin de semana se me había ido por completo, pero no me importó… era feliz.
Descubrí que ese
DVR que había comprado pensando que no
serviría para nada, era casi mágico, permitía todo tipo de
administración del sistema operativo y de la gestión de sus funciones de
grabación hasta el punto de ser incluso mucho mejor de los que me
habían ofrecido por más de 8 veces el precio que había pagado.
Todo estaba a la perfección, ya concentrado en las configuraciones
básicas me dediqué a hacer todo lo que debemos realizar en un equipo
nuevo en nuestra red:
El hardering. Cerré todos los puertos salvo el de
HTTPS, deshabilitando las opciones por defecto sobre
FTP y
SSH. Conecté los
Logs de alerta a mi equipo de monitoreo de red para saber si se apagaba enviándome un
SMS a mi teléfono.
Configuré variables para que trabajase con mi alarma, para que si algo
pasaba, sonara la sirena de la casa y se disparasen las llamadas
telefónicas correspondientes, y para todo esto, a las
4 A.M.,
hice lo último que tenía que hacer, configuré una clave robusta en el
equipo y me fui a dormir. Solo unas horas, porque debía levantarme a
las
7 A.M., pero no me importaba… era feliz.
Al otro día mientras tomaba mi café de desayuno, la intriga me carcomía y
quería ver que había sido filmado mientras dormía esas 3 horitas,
quizás algún
OVNI o un ser de otro planeta, a un vecino robándome las plantas, tomé mi teléfono, accedí a la dirección
IP interna, puse mi usuario y mi clave, y… ¡sorpresa!
Clave incorrecta. Volví a intentar, una y otra vez, y siempre la misma respuesta. Ante la pregunta obvia de quienes me rodeaban, dije:
“Tranquilos, ya se cómo cambiar el idioma y configurar las cosas. A
la noche cuando vuelvo de la oficina, lo reseteo y vuelvo a empezar”
…me importo poco…seguía siendo feliz. Al regresar, me encontré con una nueva sorpresa, mi equipo de
DVR, no tenía un botón de
Reset como casi todos los
DVR. Pero no me preocupé, desarmé el equipo y miré el circuito, pensando:
“debe tener un pulsador para resetear en algún lado”
…pero no había ninguno. Tanto tiempo de mi vida dedicado a la informática me trajo respuestas rápidas:
La pila.
Pero claro, siempre funciona. Saqué la pila esperando que el equipo
pierda la configuración, y lo volví a encender. Nada cambió. Lo
encendí luego sin la pila directamente. Nada cambió. Le quité la pila
por
24 horas y luego lo encendí. Nada tampoco.
48 horass. Nada otra vez, y los días seguían pasando.
Esta vez, sí me importo, ya no era feliz.
Decidí ir por lo mas sano, buscar el modelo rebuscando por todo
Internet
y ver cómo se reseteaba, tomé el manual y descubrí algo interesante.
El manual era genérico. No indicaba marca ni modelo, y además estaba en
¡¡¡¡Chino!!!! Volví
al equipo, en el chasis tampoco indicaba marca ni modelo, la bronca se
comenzaba a apoderar de mi. Busque en internet todo tutorial posible y
todos decían lo mismo:
- Presione el botón de Reset
¡¡¡¡¡¡¡¡¡NO TENGO BOTON DE RESET!!!!!!!!!!!
- Quite la pila y el equipo volverá a su configuración inicial
¡¡¡¡NO!!!!, ¡¡¡¡¡¡¡¡¡¡EN MI EQUIPO NO PASA!!!!!!!!!!
Ya habían pasado
2 largas semanas desde que tenía el equipo y solo había podido acceder una sola vez. Me quedaban pocas opciones:
1) Fuerza bruta y incluyendo evasión del captcha (¡¡¡sí, el maldito
tiene hasta un captcha!!!), pero mi clave era compleja, no suelo usar
claves sencillas.
2) Encontrar en el circuito cúal era la
resistencia asociada para hacer un bypass (de más está decir que todos
los chips integrados están borrados, por lo que no podía saber qué
integrado es cada uno en el circuito y conocer su función).
Me dispuse a trabajar en ambos a la vez, mientras estaba en casa,
estudiaría el circuito, mientras no estaba dejaría un equipo castigando
al
DVR hasta sacar la contraseña. Pero algo pasó. Me llegó
un correo, no era de la alarma, ni del sistema de monitoreo, era de la
tarjeta de crédito donde me avisaban que por mi compra al exterior con
tarjeta de crédito, tenía un 20% más de recargo por la legislación de mi
país …
Llegando al final de la tercera semana, con la barba tal cual
Tom Hanks en la película
Náufrago (título original en inglés:
Cast Away),
metido totalmente en el circuito con mis lupas para ayudarme con la ya
cansada vista, siento un golpe al fondo de mi casa y me asomé a ver.
Por suerte no encontré nada porque de haberlo hecho no contaba con un
amigo como
Marcos de la
historia Hacker Épico. Sin embargo cuando volví, algo maravilloso ocurrió:
se me vino a la mente una posible contraseña.
Armé el equipo lo más rápido que pude, lo conecté, tome mi celular, accedí a la dirección
IP y probé.
¡¡¡¡ERA LA CLAVE!!!!!!
Casi
4 semanas de trabajo, en un
DVR Chino que
NO
le recomendaría a una empresa, pero que para una casa sobra, aguantando
las cargadas de todos mis conocidos y familiares con frases del estilo:
“Mucho hacking mucho hacking pero no podes entrar a un simple DVR!”
“Tengo problemas con una formula de Excel, eso tampoco lo podes resolver?”
Moraleja: Realizar una buena tarea de
hardering
a los sistemas de tu casa es fundamental para evitar intrusiones, pero
recuerda poner claves complejas a horas en donde tu mente no este
agotada, o utiliza un almacén de contraseñas seguras!
Saludos
Autor: Claudio Caracciolo
Chief Security Ambassador at Eleven Paths.
