FON no es segura. Casos de phishing

FON no es segura, o al menos, los puntos de acceso de FON no lo son. Trasteando un poco con la Fonera pude observar que cuando me conectaba a la red pública me permitía acceder sin autentificarme (ni como alien, linus o bill) a una serie de sitios web como Skype, Google, …, la mayoría empresas inversoras en el proyecto FON. Al principio pensaba que era un fallo o algo iba mal, sin embargo mirando por encima el interior de la Fonera pude investigar el proceso de autentificación el punto de acceso. La Fonera usa ChilliSpot, que es un proyecto libre que nos permite crear un portal cautivo, así como la autentificación y autorización manejada por nuestro propio servidor. Actualmente hay binarios disponibles para las distribuciones RedHat, Fedora, Debian, Mandriva y OpenWRT, y también cabe decir que su código está publicado bajo una licencia GPL y está disponible para otras plataformas.

Si accedemos a la Fonera mediante SSH podemos buscar archivos de relacionados con ChilliSpot

root@OpenWrt:/# find . -name "*chilli*"
./etc/chilli.conf
./etc/init.d/N50chillispot
./usr/lib/ipkg/info/chillispot-fon.list
./usr/sbin/chilli
./usr/sbin/chilli_radconfig
./jffs/etc/chilli.conf
./rom/etc/chilli.conf
./rom/etc/init.d/N50chillispot
./rom/usr/lib/ipkg/info/chillispot-fon.list
./rom/usr/sbin/chilli
./rom/usr/sbin/chilli_radconfig

De esta lista nos interesa principalmente el archivo /etc/chilli.conf que contiene lo siguiente (varía según la versión del firmware que estemos usando).

##########################################################
#
# Fon ChilliSpot configuration file
# Powered by FON (www.fon.com)
#
##########################################################
radiusserver1 radius01.fon.com
radiusserver2 radius02.fon.com
radiussecret garrafon
uamserver https://login.fon.com/cp/index.php
uamsecret garrafon
uamallowed www.fon.com,www.google.com,www.paypal.com,www.skype.com
uamanydns

En la sexta línea podemos observar como se permite acceder a una serie de sitios web con uamallowed. Cuando un usuario se conecta a un punto de acceso FON sin estar autentificado previamente e intenta navegar, ChilliSpot le redirecciona hasta un portal cautivo (éste precisamente) donde puede autentificarse como linus o bill según el tipo de usuario FON, o comprar un pase de un día (alien). El caso es que nosotros podemos configurar ChilliSpot como nos plazca. Esto puede ser bueno si se usa con buenas intenciones, pero también puede ser malo para usuarios que deseen conectarse a FON en un puntos de accesos malignos. Me explico:

• Ventajas que nos puede aportar: Podemos crear nuestro propio portal cautivo y cobrar independientemente de FON por ofrecer nuestra conexión a cualquiera que desee usarla. Aún así se supone que vender o incluso compartir nuestra conexión es ilegal según los contratos que se establece con las ISP. Sin embargo no estoy muy puesto en ese temal
• Puntos de acceso malignos: Al igual que podemos crear nuestros propios portales cautivos, cualquiera puede falsear un portal de FON y aprovecharse de la buena fe de los usuarios para obtener datos de cuentas FON o incluso apoderarse de datos bancarios (puro phishing). En este caso no nos podemos fiar ni de la URL que nos proporcione el punto de acceso, ya que se pueden usar máscaras para engañar al usuario.

¿Pensáis que FON es seguro? ¿Nos invadirá el phishing en estos casos?