¿Qué tan seguro es TeamViewer? ¿Qué papel juega TeamViewer Master Server?
TeamViewer es gratuito para uso privado. Las empresas tienen que pagar por el servicio. Y con ese servicio podemos encontrarnos con un problema: toda la conexión se establece a través del servidor TeamViewer. Hay algo en el medio. ¿Deberíamos preocuparnos por eso? Está todo cifrado. Mi respuesta es: Sí, deberías pensarlo.
Primero, recuerde los procedimientos de Clave Pública/Privada y Firma Digital.
De acuerdo. Ahora echemos un vistazo más de cerca al establecimiento de una conexión entre dos ordenadores a través de TeamViewer.
Paso 1
Enlace: https://dl.tvcdn.de/docs/en/TeamViewer-Security-Statement-en.pdf
A y B generan un par de claves. El maestro recibe las claves públicas de A y B. Hasta ahora, todo bien…
Paso 2
¿No sería ese el servidor maestro que sabe muchísimo sobre A y B y controla todas las negociaciones y transferencias? Considere el siguiente escenario, poco realista, pero no imposible...
Ataque Man-in-the-Middle procedente del TeamViewer Master contra ambas computadoras
- La computadora A solicita la clave pública B al maestro.
- Sin embargo, el Maestro no envía la Clave Pública B, sino una Clave Pública Y falsificada al Equipo A.
- La computadora A genera una clave simétrica W, que es necesaria para la comunicación entre A y B, y la cifra con la clave pública falsificada Y, en lugar de la clave pública B.
- La computadora A intenta enviar el paquete a la computadora B a través del maestro. La computadora A tiene que pasar el master, porque la computadora A y la computadora B tienen una conexión con el master y no entre sí.
- Pero el Maestro detiene el paquete. Dado que el paquete ha sido cifrado con la clave pública Y, el maestro puede descifrarlo con la clave privada de Y y por lo tanto obtener la “clave simétrica secreta” W . Luego, el Maestro lo cifra nuevamente con la clave pública B real y lo firma con otra clave privada X falsificada.
- El Maestro envía los datos a la Computadora B.
- La Computadora B le pide al Maestro la clave pública de la Computadora A para verificar la firma y el Maestro no devuelve la clave pública de la Computadora A, sino una clave pública Z falsa.
- Y así todo sigue y sigue... Todas las comunicaciones pueden ser leídas por el maestro...
Conclusión
Esta vez me niego diciendo: “Diviértete jugando con TeamViewer”. ?