Querido Diario…

Estaba corriendo en una casa enorme, buscaba la puerta para salir, pero no podía encontrarla. Corría y corría, pero no la encontraba… las macetas caían a mi alrededor, y yo corría; huyendo de alguien, pero no estaba seguro de quién. Entonces desperté…

El cielo empezaba a clarear, y la luz entraba por las cortinas. Vi la hora y apenas eran las 7am… tenía mucho frío, y había pasado la noche tosiendo. Pero me resistía a encender la calefacción, sonaba tan fuerte que me despertaba, y me despertaba después de un tiempo el calor; aunque el frío hacía lo mismo. En lo que llevaba la noche había despertado al menos cada hora, con una pesadilla diferente. Tenía las manos heladas, incluso el cristal del celular me parecía doloroso de tocar.

Ya no sé si lo que tenía era simplemente alergia o me estaba enfermando de algo, después de la semana en el hospital creo que todo se ha ido a pique y ahora me enfermo de cualquier cosa. Supongo que estoy a nada de convertirme en una persona sumamente enfermiza.

Le mandé un mensaje a Dania pelo pokemón, para decirle que su casa estaba a salvo, y no había explotado nada aun. Vi el correo de Colette, la muchacha tan insistente en la cena de fin de año, al parecer ya habían aceptado, leí todo el correo, era mucho más de lo que esperaba; pero no lo más importante. El siguiente correo era sobre una vulnerabilidad que había reportado. En un network security assessment había sniffeado unas credenciales de una consola que pedía credenciales para acceder; y estas estaba en NTLM.

Era la primera vez que veía que se pedía NTLM, todas las ocasiones que había visto algo así era Basic Authentication. El correo era para debatirme el reporte, pues decían que debía de explicar el impacto. Las credenciales no iban en Base64, como en Basic Authentication, por lo tanto, me debatían la vulnerabilidad justificando que el hash hacía segura la transmisión. Si, y no, en efecto, en el proxy lo que veía era un hash:

¿Seguro?, ¿tenía que pasar horas, días o semanas rompiéndolo?… hum… no lo sé, pregunté a Google:

Cuando se usan passwords tan sencillos, ni siquiera hay que esforzarse para romperlos; Google ya los tiene en algún sitio por allí. Nota, lo que me causó mucha curiosidad 😛 es que el mismo hash lo encontré en varios repositorios de SourceForge y Github, coff.. coff.. creo que ya me sé las credenciales de varías aplicaciones productivas rondando por el mundo 😛

Envié la evidencia, y me llegó la notificación de aceptación de la vulnerabilidad. No había sido mucho, pero la verdad es que fue un fallo muy sencillo de encontrar.

Querido Diario…

Me fui al sofá, y OMG… en la 13va Doctora vuelve a salir The Master, ya quiero llegar a ese capítulo 😀