Why lockpicking

What is the relationship between opening a lock and infosec? Why are you paying attention to that teenager activity? It is kind of an illegal kid's game!

Original spanish entry [0]

First answer

When you open a lock you can grab a device, open it and tamper with it or get keys stored in a drawer, access an unprotected terminal, sensible printed documention, install an usb keylogger, video splitter, network sniffer, take a backup tape, or, why not, steal a production disk. Not enough, too corporate.

Second answer

A key is an authentication factor [1][2], something I have.

The lock maker is in the same position as someone who implements an authentication algorithm. The one who installs the door, an authentication system.

Copying a key is like stealing passwords by means of shoulder surfing, keylogging or phishing.

You can ask a locksmith to copy them or take a photo or cast. Shoulder surfing is watching over someone else's shoulder while he is typing the password, keylogger is a program that captures every keystroke and send it to the attacker, phishing is asking someone to type his passwords in a fake web site under an attacker control.

To move the latch without moving the lock is like taking advantage of a crytographic system or web appliation design flaw, like CSRF or session fixation.

Can shim[3] of Devian Ollam is an example of the first, you use a can to open a padlock, like a credit card to open a door. To explain CSRF is not so easy, but it's kind of using the victim's session to make a transaction in a web application. Session fixation allows the attacker to get an authenticated session without getting the password.


Impressioning is the process of trying a blank key and filing where a mark appears until the lock opens and it is like a timing attack when you can recover a password from the variation of time in invalid login attemps.

I can not find a good comparisson for lifting. You open the lock pin by pin. It has some resemblance with a timing attack, but you open the door without getting the key.

Racking is brute lifting, like trying combinations, called brute force attack.With a combination padlock it is like trying every number. Racking is like a dictionary attack as it is trying common numbers in a combination padlock.

If a password is hashed and the attacker get it and find another password with the same hash value (it is called colission) it is like having a master key.

If someone has the same passwords in different accounts, if one of the sites get compromised, the attacker can attack all the accounts. It is like having the same key for all the doors.


Bumping is bumping the lock with an special key and it is like changing the execution flow of a program with a buffer overflow.

Vulnerabilities comparisson

	avoids authentication mechanisms	got a copy of the key or the password
keylogger	no	yes
shoulder surfing	no	yes
phishing	no	yes
csrf	yes	no
session fixation	yes	no
dictionary	no	yes
brute force	no	yes
collision	in some way	in some way
buffer overflow	yes	no
timing attack	no	yes
repetition	no	implies that the first one has been captured
key copy	no	yes
can shim	yes	no
lifting	no	no (*)
impressioning	no	yes
racking	no	no
master key	in some way	in some way
social engineering	yes	probably
bumping	no	no

Responsabilities and mitigations

	responsible	mitigation
keylogger	user	do not install malware
shoulder surfing	user	get smart
phishing	user	get smart
csrf	provider	secret toke
session fixation	provider	discard session
dictionary	user	check against dictionary
brute force	destiny	stronger passwords(**)
collision	provider	improve algorithm (***)
buffer overflow	provider	do not trust 0 as a string end
timing attack	provider	fixed time comparissons
repetition	user	use different keys and passwords
key copy	user	do not give key away
can shim	provider	block latch
lifting	provider	improve design (****)
impressioning	provider	rounded pines
racking	provider	improve design (****)
master key	shared	asume risk
social engineering	user	get smart
bumping	provider	springs with different strength

(*) I guess that someone with enough experience could imagine the key and build it.
(**) Stronger passwords mean longer with numbers, symbols, upper and lowercase characters.

(***) The attacker that does not know the algorithm, can not find colissions. The theory says that the algorithm is not secrect, but defense in depth say so.

(****) Includes using special pins, different strengh springs and a more contorted profile



Not enough, too academic.

Third answer

There is another answer related to mental state, attitude. The spirit of lockpicking is the same as the hacking spirit.

The feeling of opening a lock without the key is like hacking a system in a laboratory or ethical hacking, of course.

Disposable lockpicking at http://seguridad-agile.blogspot.com/2013/04/disposable-pick-tools-for-office.html

If you do not like my english, welcome aboard, please be kind.

[0] http://seguridad-agile.blogspot.com.ar/2013/09/por-que-lockpicking.html
[1] http://en.wikipedia.org/wiki/Multi-factor_authentication
[2] http://seguridad-agile.blogspot.com/2013/11/por-que-no-biometria.html
[3] http://deviating.net/lockpicking/media/can_shim.avi

Por qué lockpicking

¿Qué tiene que ver el abrir una cerradura o candado con seguridad informática? ¿Por qué le estás prestando atención a esa actividad de ratero? Una persona que va a colaborar en el Lockpicking Village de la Ekoparty 2013 tuvo que solicitar que o no lo nombren o ponerle a la sección un nombre más "corporativo", tipo "Taller de Seguridad Física" para que en el trabajo no le cuestionen su participación.

English version here

Como que es algo entre trucho y adolescente, no es visto como algo serio. Me encontré una cadena para bici, "¿venía con la bici?" me preguntan.

Primera respuesta

Al abrir esa cerradura podemos sustraer un dispositivo, abrirlo para adulterarlo o acceder a claves escritas guardadas en un cajón, acceder a una terminal no protegida, a documentación sensible impresa, poner un keylogger usb, un splitter al video, un sniffer en la red, tomar una cinta de backup o, por que no, un disco en producción. Insuficiente, muy corporativa.

Segunda respuesta

La llave es un factor de autenticación[1][2], es algo que tengo. La contraseña, algo que sé. No me gusta mucho asi, quien tiene la contraseña escrita en un papel, no la sabe, la tiene, pero la literatura dice así.

El fabricante de la cerradura está en la misma posición que quien implementa un algoritmo de autenticación. El que instala la puerta, un sistema de autenticación.

El sacar una copia de una llave de modo subrepticio es equivalente al proceso de robar contraseñas ya sea por shoulder surfing, keylogger o phishing.

Las llaves se pueden copiar llevándolas al cerrajero o se puede obtener un molde o fotografía. Shoulder surfing es mirar por encima del hombro mientras alguien escribe la contraseña, keylogger es un programa que captura lo que uno escribe y lo envía al atacante, phishing es engañar a alguien para que ingrese sus contraseñas en un lugar falso bajo nuestro control.

Mover el pestillo sin girar el mecanismo de cerradura es equivalente a aprovechar una falla de diseño en un sistema criptográfico o en una aplicación web, como CSRF o session fixation.

Un ejemplo de lo primero es el can shim[3] de Deviant Ollam que es usar una lata para abrir un candado, equivalente a usar una tarjeta en una puerta. La explicación de CSRF no es tan sencilla, pero básicamente es hacer que un sitio bajo nuestro control haga una solicitud a otro usando la sesión de la víctima. La de session fixation tampoco es sencilla, pero permite obtener una sesión autenticada sin conocer ni obtener las claves.


El impressioning, que consiste en usar una llave virgen para detectar las marcas de los pines e ir limando hasta obtener una llave que abre, se parece a un timing attack donde se deduce la clave a partir del tiempo que le lleva al sistema de autenticación responder según los valores que se introduzcan.

No veo paralelo para lifting, que es ir abriendo la cerradura de a poco, poniendo los elementos en su lugar. En cierto modo se parece al timing attack, salvo que no obtenemos la llave, sólo la apertura.

El racking es una versión medio bruta de lifting, como probar muchas combinaciones que es como un ataque de fuerza bruta. En el caso de un candado de combinación es probar todos los números posibles. Pero racking más se parece a un ataque de diccionario, que en el caso del candado sería usar los números más frecuentes.

Si un password está hasheado y el atacante obtiene ese hash y logra una clave que aunque distinta a la original tiene ese mismo hash (colisión se llama), es como si tuviera una llave maestra.

Si una persona tiene las mismas claves en distintas cuentas, si un sitio es comprometido, el atacante puede atacar todas las cuentas. Es como tener una sola llave para todas las puertas.

El bumping es básicamente pegarle a la cerradura con una llave especial y a lo que más se parece es a un buffer overflow para cambiar el flujo de ejecución

Comparación de vulnerabilidades

	saltea mecanismos de autenticación	obtiene copia de la contraseña o llave
keylogger	no	si
shoulder surfing	no	si
phishing	no	si
csrf	si	no
session fixation	si	no
dictionary	no	si
brute force	no	si
collision	en cierto modo	en cierto modo
buffer overflow	si	no
timing attack	no	si
repetition	no	implica que se obtuvo la primera
key copy	no	si
can shim	si	no
lifting	no	no (*)
impressioning	no	si
racking	no	no
master key	en cierto modo	en cierto modo
social engineering	si	probablemente
bumping	no	no

Responsabilidades y prevenciones

	responsable	prevención
keylogger	usuario	no instalar malware
shoulder surfing	usuario	ser mas vivo
phishing	usuario	ser mas vivo
csrf	proveedor	token secreto
session fixation	proveedor	descartar sesión
dictionary	usuario	que no esté en un diccionario
brute force	destino	fortalecer(**)
collision	proveedor	mejorar algoritmo (***)
buffer overflow	proveedor	no confiar en 0 como fin de string
timing attack	proveedor	comparaciones en tiempo fijo
repetition	usuario	usar distintas claves o llaves
key copy	usuario	no dar llave
can shim	proveedor	bloquear pestillo
lifting	proveedor	mejorar diseño (****)
impressioning	proveedor	pines redondeados
racking	proveedor	mejorar diseño (****)
master key	compartida	asumir el riesgo
social engineering	usuario	ser mas vivo
bumping	proveedor	resortes distinta fuerza

(*) Supongo que alguien con la suficiente experiencia podría reconstruir la llave a partir de haber aplicado éxitosamente el método. Hace muchos años, fui a un cerrajero a hacer una copia del departamento de mi abuela. Era una llave común de paletas sin identificación. El cerrajero la miró y me dijo "ah, la de Doña XXXX".
(**) Fortalecer es hacer más larga y compleja, exigiendo letras mayúsculas, minúsculas, números y símbolos.
(***) Si el atacante no conoce el algoritmo, no puede hallar colisiones. La teoría dice que el algoritmo no es secreto, pero la defensa en profundidad dice que si.

(****) Incluye usar pines especiales, resortes de distinta fuerza y una huella más retorcida.


Ahora no tanto, pero hace un tiempo se podía tocar mucho timbres en un edificio y alguien te abría. Esa es una de las tantas maneras de aplicar ingeniería social. Se parece a encontrarse una sesión sin bloquear.

Insuficiente, muy académica.

Tercera respuesta

Hay otra respuesta, que es el estado mental, la actitud. El espíritu del lockpicking es el mismo que el del hacking. Paralelamente, el objetivo del ladrón que vulnera una cerradura es el mismo que el de que distribuye malware.

La sensación de abrir una cerradura sin la llave es parecida a la de hackear un sistema, en situación de laboratorio o en el marco de un ethical hacking, claro.


Hace muchos años había leido un artículo que lamentablemente no puedo recuperar. No sé si era correcto, que valor tenía. Pero decía que en algún período de la antigüedad los cerrojos no eran efectivos por si mismo sino por el respeto que imponía quien los había puesto. Abrir el cerrojo de un cofre real no era simplemente violar la cerradura, que parece que era muy fácil, sino actuar contra la autoridad del rey.

Tras haber asistido a los Lockpicking Villages de las Ekoparty 2011, 2012 y preparándome para 2013 y haber probado lo aprendido en varias ocasiones, he llegado a la conclusión de que el artículo es correcto.

Un poco más de lockpicking en http://seguridad-agile.blogspot.com/2013/04/disposable-pick-tools-for-office.html

Para ver los resultados de La Caja, http://seguridad-agile.blogspot.com/2013/09/ekoparty-2013-y-la-caja-de-lockpicking.html

Si te interesa el lockpicking, https://groups.google.com/forum/#!forum/l0ckpickar

Referencias

[1] http://en.wikipedia.org/wiki/Multi-factor_authentication
[2] http://seguridad-agile.blogspot.com/2013/11/por-que-no-biometria.html
[3] http://deviating.net/lockpicking/media/can_shim.avi

Disposable pick tools for the office

Bored?

You can make your own pick tools at the office, with a few elements, fast and cheap.

You need a hole punch, some binders and an optional scissor.

Peel off the binders:

Make some half holes with the hole punch:

Take care of the edge:

Then, a little cut:

Finally, file the pick with another one in order to avoid damaging the lock.

Now you can show off!

These two did not need a scissor.

They work fine with wafer locks and padlocks.

(Original spanish version)

Ganzuas descartables para la oficina

No es que no tenga nada que hacer en el trabajo, pero hay momentos en que la mente se distrae y ve cosas, asocia y construye.

Con elementos que se hallan en cualquier oficina, se pueden hacer unas simpáticas ganzúas, no muy resistentes, pero rápido y barato.

Primero hay que hallar la perforadora, opcionalmente la tijera y fundamentalmente los ganchos, que no sé como se llaman (nepacos me han colaborado).

Los que encontré están recubiertos, así que tuve que pelarlos. Los más finos con la tijera, yo con las uñas.

 A continuación hay que hacer muescas con la perforadora. Paciencia, echando a perder se aprende.

Hay que fijarse que el pistoncito que corta tiene un filo, debe alinearse como en la imagen.

Luego, un cortecito, para la terminación de la punta.

Por último, hay que limar las asperezas, para que no se trabe en la cerradura, para eso necesitamos otro gancho parcialmente pelado, el mismo que luego usaremos para girar.

Orgullosos, ya podemos mostrar nuestras ganzúas, que funcionan muy bien con las típicas cerraduras que hay en los cajones de las oficinas.

Estos dos modelos posteriores no fueron recortados con la tijera, la práctica hace al maestro.

Tener muchas esta bueno para poder limarlas unas contra las otras, es tranquilizante como mover las cuentas de un rosario.

En la primera etapa, exploratoria, cuando estaba perforando, un compañerito que no sabía de que se trataba me dijo "¿cuantos años es que tenés?", supongo que insinuando una cierta tendencia infantil de mi parte. Con la más recia cara le dije, "los suficientes, ¿sabés que en algunos paises es ilegal tener de estas cosas y podés ir preso?"

Las tres abrieron todas las cuatro cerraduras que probé. Aun no sé como van con los candados...

Por favor, si alguien hace alguna, quiero ver fotos.

English version