2.800 participantes para 'hackear' una tienda virtual

Un ganador de 26 a?os y 2.800 participantes m¨¢s, todos ansiosos por hacerse con la base de clientes de una tienda virtual ficticia. La semana pasada concluy¨® la segunda edici¨®n del concurso de hacking Boinas Negras, organizado por el Instituto Seguridad Internet. Camisetas, boinas, quesos y un jam¨®n eran los premios. "El objetivo de este nuevo reto consiste en explotar vulnerabilidades en una tienda electr¨®nica que soporta las funciones de compra habituales: b¨²squeda de productos, adici¨®n de productos al carrito, pago de la compra, autentificaci¨®n de clientes, administraci¨®n de los datos personales, etc¨¦tera". Era el Reto de Hacking Web, ideado por el experto en seguridad Gonzalo ?lvarez Mara?¨®n. El ganador, Pere Planiol, s¨®lo necesit¨® una semana para romper los sistemas de seguridad.

El reto constaba de cinco niveles, que deb¨ªan superarse a partir del descubrimiento de una vulnerabilidad aprovechable, para robar tarjetas de cr¨¦dito, hacer compras por valor de un euro, mirar lo que ha mirado alguien antes o, la ¨²ltima y m¨¢s dif¨ªcil, obtener una cuenta con acceso a la base de datos de clientes de la tienda.

?lvarez Mara?¨®n concibi¨® las pruebas bas¨¢ndose "en agujeros detectados durante el curso de auditor¨ªas web a empresas. Algunos de estos errores son muy frecuentes en la inmensa mayor¨ªa de comercios, bancos y peri¨®dicos en red".

Result¨® ganador Pere Planiol, de Santa Coloma de Farners, doctorando en Ingenier¨ªa Inform¨¢tica de la Universidad de Girona. Planiol, que concurs¨® bajo el alias Cthulhugroup, asegura que lo hizo para pasarlo bien. "No buscaba premios ni trabajo de consultor; este tema me gusta bastante como pasatiempo. Creo que no se da suficiente importancia a la seguridad. Particip¨¦ tambi¨¦n el a?o pasado y he estado en otros, como Izhal o HackersLab".

Aunque la organizaci¨®n daba un mes para superar el reto, Cthulhugroup lo hizo en una semana. Dos d¨ªas despu¨¦s entraba spinlock, seguido de Pinocho, vaijira y tayoken. "No era f¨¢cil, pero si est¨¢s puesto en el tema, los ataques contra una web son muy limitados, siguiendo las bases del concurso, que no permit¨ªa la fuerza bruta. Lo complejo era encontrar el fallo, m¨¢s que aplicarlo. Las cuatro primeras pruebas se hac¨ªan en pocos d¨ªas; pero, en la ¨²ltima, el agujero estaba muy escondido".

La clave del ¨²ltimo nivel era un gui?o de la organizaci¨®n: "La web identificaba el idioma de tu navegador, por tanto, hab¨ªa una comunicaci¨®n con el navegador y pod¨ªas meter datos tuyos, manipulando cabeceras e inyectando SQL. El problema era que, de unas 20 p¨¢ginas que ten¨ªa la web, s¨®lo funcionaba en una. Si probabas el fallo en una p¨¢gina y no iba, deduc¨ªas incorrectamente que pasaba igual en todas. Por tanto, ten¨ªas que ir probando una a una".