¿Es confiable Kali? Dado que fue escrito por piratas informáticos, ¿cómo se sabe / prueba que no contiene malware?

Actualización 22/02/2016:

El 21/02/2016, un hacker pudo comprometer los servidores de Linux Mint y cargar un ISO modificado con una puerta trasera. Hubo alrededor de 1,000 descargas del ISO incorrecto y a partir del 22/02/2016, todavía hay alrededor de 100 “llamadas / llamadas” del sistema operativo Linux Mint al servidor CnC controlado por el hacker.

Advertencia: el sitio web Linux Mint hackeado y los ISO reemplazados por el sistema operativo Backdoored

Gran pregunta

La respuesta, como para casi todo lo demás en Seguridad Cibernética, es que depende.

Rara vez hay algo en el mundo que sea seguro o protegido .

¿Cómo puedo potencialmente descargar / usar una distribución comprometida de Kali Linux?

Teóricamente, aquí hay dos formas en que podría terminar usando una versión comprometida de Kali Linux (o cualquier sistema operativo / software para el caso):

1. Podría descargar la imagen oficial de Kali Linux, instalar / crear puertas traseras, subir la imagen comprometida a plataformas de intercambio de igual a igual (utorrent, bittorrent, piratebay, … etc.).
2. Si puedo comprometer el servidor de Kali que aloja las imágenes oficiales de Kali, puedo reemplazar las versiones oficiales con mi versión comprometida de Kali Linux.

Por supuesto, cada vector de ataque tiene su propio conjunto de desafíos y desventajas.

1. Descargar la imagen oficial, alterarla y subirla a un sitio de torrents es relativamente más fácil que intentar hackear los servidores de Kali. Sin embargo, este método puede no tener un gran impacto o ROI (retorno de la inversión). Es posible que los usuarios de países muy censurados descarguen mi versión comprometida de Kali Linux (suponiendo que el sitio web de Kali Linux esté bloqueado en dicho país).
2. Esta podría ser una ruta más difícil / difícil, aunque no tan difícil para los agentes patrocinados por una nación / estado. El impacto será mucho más generalizado ya que los usuarios generalmente asumen / confían en que las imágenes en el sitio web de Kali no están controladas.

¿Cómo puedo asegurarme de que mi distribución Kali Linux es segura?

Esta es una razón por la cual Kali Linux publica la suma SHA1 para cada imagen.

Fuente: Descargas de Kali Linux

Puede mitigar el escenario # 1 generando una Suma SHA1 de su archivo Kali Linux descargado (por ejemplo, torrent, ISO, Imagen) y comparando su hash SHA1 con el SHA1 que la Seguridad Ofensiva publicó en el sitio web de Kali.

En cuanto al escenario # 2, es casi imposible para los consumidores saber si ha descargado una versión segura de la distribución Kali Linux o si ha descargado una versión alterada. Si la seguridad ofensiva / los servidores de Kali se han visto comprometidos (y detectaron la brecha y la repararon), supongo que publicarán un mensaje que indica que las distribuciones de Kali Linux descargadas dentro de un período de tiempo específico pueden haber sido alteradas o comprometidas.

Siempre se recomienda que compare el hash SHA1 de la imagen de Kali Linux que descargó a la suma SHA1 que Kali publicó en su sitio web.

Finalmente, quiero abordar la idea de que el software de código abierto es inherentemente seguro (o más seguro) que el software de código cerrado (propietario).

Hemos visto ejemplos en la historia reciente en los que se descubrió que los proyectos / software de código abierto de larga data eran extremadamente vulnerables, como OpenSSH (POODLE) y Bash Shell (Shellshock).

Y, también hemos visto ejemplos en la historia muy reciente en los que las puertas traseras se introdujeron en el software que fue revisado, probado, QA’ed y distribuido a muchas organizaciones, como el código no autorizado de Juniper que introdujo una puerta trasera.

Entonces, para abordar su preocupación (y otras respuestas que propagan una falsa sensación de seguridad): Sí, siempre existe la posibilidad de que un Equipo Rojo sofisticado (p. Ej., NSA / Rusia / China / Israel / Reino Unido … etc.) pueda comprometer una buena confianza software (de código abierto o propietario) y no lo sabríamos por años.

Es solo un riesgo que tomamos inconscientemente al estar en Internet en estos días.

Si está preocupado por Kali porque fue “escrito por hackers”, tengo algunas noticias desafortunadas para usted.

La mayoría del software que usa está escrito, revisado, influenciado o basado en código por piratas informáticos. Steve Jobs y Steve Wozniak, de la fama de Apple, colaboraron en la venta de dispositivos de piratería de teléfonos llamados cajas azules antes de hacerlo grande: puedes leer sobre estos dispositivos en el famoso artículo “Secretos de la pequeña caja azul”. El famoso pirata informático John “Captain Crunch” Draper fue el mentor de phreaking de Jobs y Wozniak, pero pocas personas están tan preocupadas por los productos de Apple.

Si no hubiera sido por los Blue Boxes, no habría habido Apple. Estoy 100% seguro de eso. Woz y yo aprendimos a trabajar juntos, y ganamos la confianza de poder resolver problemas técnicos y poner algo en producción.
Steve Jobs, citado en Steve Jobs (biografía de Walter Isaacson)

Steve Jobs cuenta la historia de la caja azul

La piratería no se trata de conquistar a personas inocentes y encontrar formas de descargar porno de caballos en la computadora de su abuela. Se trata de tomar algo que 99 personas harían de una manera y ser la única persona que lo hace de una manera mejor y no obvia. O incluso tomar algo que 99 personas dirían que es imposible y ser la única persona que lo hace, o al menos la única persona que cree que es posible.

( Para una de las mejores respuestas que he visto en Quora con respecto a la naturaleza de los piratas informáticos y la piratería, consulte la respuesta de Doug Dingus a ¿Cómo se convierte uno en un pirata informático ? )

Esto se escala a la programación, la búsqueda de errores, la navegación de sistemas complejos, ya sea tecnológicos o sociales o en algún punto intermedio, y sí, explotando la tecnología. Pero los piratas informáticos que construyen herramientas y encuentran formas creativas de seguridad no suelen ser los que lo perjudican. Las personas que toman el trabajo de los demás y lo usan mal para su propio beneficio o disfrute malicioso son las principales preocupaciones y rara vez son hackers de corazón.

Al descargar Kali, asegúrese de seguir las instrucciones en Descarga de Kali Linux para verificar las sumas de comprobación de archivos. Esto ayuda a garantizar que los archivos no se hayan modificado ni alterado. La mayoría de las distribuciones y programas de Linux de buena reputación también admitirán este tipo de verificación.

Relacionado:

• El artículo que inspiró a Steve Jobs: “Secretos de la pequeña caja azul”
• Webcrunchers (página de John “Crunch” Draper)
• Caja azul (a través de Wikipedia)
• La historia del phreaking telefónico

¿Qué significa “confiable” para usted? Una vez que resuelva este problema, recibirá una respuesta. Kali es uno de los mejores sistemas operativos utilizados entre los investigadores de seguridad e incluso los hackers. Pero si la palabra “piratas informáticos” le preocupa, entonces es posible que deba considerar el hecho de que en esta era propensa a la tecnología, cualquiera puede usar cualquier cosa, por ejemplo, si pregunta: “¿Es confiable WhatsApp?” El hecho de que los hackers puedan usarlo no significa que no sea confiable.

He estado usando Kali, anteriormente Backtrack y Fedora, de los últimos 5 años y confía en mí, mi experiencia ha sido abrumadora. Es un conjunto de algunas de las herramientas más potentes más utilizadas por los investigadores para probar varias aplicaciones a través de Internet.

Pensado, Kali es de código abierto, debe tener cuidado al descargar un archivo iso de Kali de Internet y asegurarse de descargarlo desde su sitio web oficial en lugar de cualquier enlace espejo.

PD: ¡Más tranquilo te vuelves, más escuchas!

Una cosa más que no se mencionó aquí: Kali es un distribuidor que debe usarse de tal manera que ni siquiera importa si contiene malware o no.

Kali es una caja de herramientas para pruebas de penetración / auditoría de seguridad en entornos aislados, no un sistema operativo de escritorio ergonómico para uso diario.

Se supone que no debe usarlo diariamente en la PC de su hogar, procesar medios y documentos, desarrollar código, etc. Es posible ya que Linux es muy flexible, pero de todos modos será un dolor. Si revisa los foros, verá los problemas que los usuarios ocasionales de Kali (que no entienden esto) encuentran constantemente.

Algunas herramientas de seguridad están escritas por autores anónimos, algunas también son de código cerrado, algunas de las herramientas incluso son malware por definición (y legalmente son malware en algunos países); todo eso no importa si los usa correctamente.

Y, por supuesto, Kali es tan confiable como un producto de software hecho por una empresa legalmente establecida con expertos en personal reconocidos públicamente (porque esto es lo que es).

Tienes una idea equivocada de lo que significa hacker .

Hay hackers que encuentran agujeros en los sistemas para parchearlos y cerrarlos ( hackers de sombrero blanco / éticos , o pentesters ), ya que hay hackers que encuentran agujeros para explotarlos ( hackers de black hat ).

También hay hackers que se encuentran a mitad de camino entre los dos grupos (hackers de sombrero gris) .

Kali es una caja de herramientas avanzada utilizada para el pentesting (prueba de penetración), creada por hackers de sombrero blanco (o hackers éticos; prefiero usar la primera forma).

Si quieres encontrar agujeros en un sistema, debes pensar como lo haría un chico malo.

Kali está a salvo, aunque puede causar muchos estragos. De hecho, la certificación Ethical Hacker (CEH), emitida por EC-Council, se basa principalmente en Kali.

Aunque la mayoría de los pentesters (incluido yo mismo) piensan que es una certificación sin valor, de todos modos muestra que Kali es seguro de usar.

Kali es una distribución de Linux, por lo que es de código abierto y puede acceder a su código fuente.

Cómo pensar como un hacker

Primero, debe definir cuidadosamente “confiable”. Además, debe definir “piratas informáticos”, ya que es un término amplio. Algunos “hackers” son bastante talentosos y sus motivos pueden alinearse con los suyos.

Como otros han señalado, muchos de los elementos de software de uso generalizado fueron escritos por “hackers”. Apuesto a que usas varios.

¿Cómo puede saber si un software es confiable? Las únicas piezas de software que se sabe que son totalmente confiables para cierta audiencia fueron construidas usando métodos formales, por programadores con autorizaciones TS, y ejecutadas en SCIF en hardware construido alrededor de chips fabricados en fundiciones confiables y clasificadas. Hay muy pocos de esos, y fueron / son caros de hacer. Cualquier cosa menos puede ser buena, pero no debes asumir que es totalmente confiable.

Kali en comparación, ciertamente no es tan confiable. Por lo tanto, piense detenidamente sobre lo que define “confiable”. Kali puede o no estar dentro de esa definición. Pero eso también puede ser cierto para otras cosas.

Kali es básicamente una distribución Linux preconfigurada con utilidades de seguridad específicas preinstaladas. Si está tan preocupado por la vigilancia del gobierno, debe hacer una revisión completa del código de todo el sistema operativo y luego volver a compilarlo usted mismo.

Por supuesto, eso también supone que el compilador en sí mismo no tiene una puerta trasera que inyecte una puerta trasera en el sistema operativo compilado … hmmm, mejor escriba su propio compilador C … solo para estar seguro.

Por otra parte, todo el software se ejecuta sobre el hardware, que podría tener puertas traseras instaladas debajo del sistema operativo. Los chips fueron construidos por empresas y son metafórica y literalmente cajas negras. Podría realizar una revisión completa del nivel de circuito de cada chip en el hardware, pero podría haber tácticas antiespénicas empleadas para evitar que reconozca incluso el malware incrustado. Será mejor que consigas una habitación limpia y construyas tus propias fichas.

Kali ha sido respaldado por investigadores de seguridad de todo el mundo. Por lo tanto, tiene una buena credibilidad y la historia nos dice que nunca han estado involucrados en prácticas sospechosas como Backdooring. Por lo tanto, es mejor confiar en Kali que otros sistemas operativos como Parrot Security, Blackbuntu, etc.

En segundo lugar, el equipo detrás del mantenimiento de Kali es mucho mayor en número que otras distribuciones, por lo tanto, puede obtener soporte oportuno y actualizaciones y parches oportunos.

Por último, pero no menos importante, el número de hackers, profesionales de infosec que usan kali en su compromiso de Pentest es bastante grande, por lo tanto, existe una buena posibilidad de que cualquier problema que encuentre ya haya sido respondido en el foro, también será bastante fácil para ayudar a las personas, ya que estarían bastante familiarizados con este sistema operativo.

¿Qué tal preguntar si un descendiente de GNU / Linux es confiable porque fue escrito por personas que odian a Unix (GNU significa GNU no es Unix)? ¿Qué tal preguntar si es confiable simplemente porque es Unix con TCP / IP incorporado (la forma más fácil de hackear Unix)? Windows Network Redirector en su núcleo es más eficiente y seguro. Por un lado importante, su código no está en el dominio público. Ahora, la ventaja del código abierto es que las puertas traseras no se pueden ocultar. Entonces, Windows es más popular en los EE. UU. Y Unix es más popular fuera de los EE. UU. (Donde cada copia tiene una puerta trasera insertada por la NSA). Alemania y China en realidad tuvieron serias discusiones sobre la prohibición de Windows solo por esta razón, pero decidieron que sus economías sufrirían. Pero, recuerde que cada gobierno hace esto y uno de los principales firewall del mundo, Firewall One, tiene una puerta trasera bien conocida para el gobierno de Israel (y por lo tanto está prohibido en las redes de la NSA). Creo que lo más importante es nunca comprar software de seguridad de una compañía fuera del país en el que lo esté utilizando, ya que ningún país tiene leyes para proteger a los ciudadanos de otra. Los estadounidenses inteligentes de la calle que viajan a Europa conocen desde hace mucho tiempo que las suites de “negocios” tenían cámaras en ellos incluso antes de que existiera Internet (al igual que sabían que la red de espionaje Epsilon de EE. UU. Construida durante la Segunda Guerra Mundial funciona hoy principalmente para robar secretos corporativos para los intereses estadounidenses). Finalmente, sí, los hackers (o crackers o lo que sea) escriben código peligroso de forma rutinaria. Por desgracia, la compañía de software de seguridad más grande del mundo (basada en piratas informáticos rusos) también es uno de los mayores partidarios de las conferencias de seguridad, por lo que ninguno parece dispuesto a abordar el problema. Por lo tanto, tampoco puedes confiar en nadie que te diga que no es gran cosa … sino que te brindan la respuesta que se les ha lavado el cerebro para creer (se llama el efecto de desinformación en psicología).

Pero, ¿es Mati Aharoni (creador de Kali) un hacker con antecedentes criminales (ya sea atrapado o no) … como los fundadores de Apple? Trabajar con agencias militares y gubernamentales (como se indica en su currículum) no es gran cosa, ya que a menudo contratan a personas malas para consultar sin darles permiso para trabajar sin ayuda (lo que parece que nunca tuvo). Pero, las agencias para las que ha trabajado son extranjeras y ese es otro problema. Eso PODRÍA SER la motivación para no reparar los problemas conocidos con su código. Por supuesto, si tuviera que apuntar a sus sistemas particulares, pasaría poco tiempo en una computadora (siempre es más fácil que las personas le den cosas en lugar de tratar de quitárselas). Pasaría la mayor parte de mi tiempo en tu basura y conociendo a tus empleados. La conclusión es que el código abierto (como señalan Cody y William) significa que es difícil ocultar código abiertamente malicioso. Y, si no sabes lo que hay allí … tal vez, estás loco. Lamentablemente, esto describe a la mayoría de las personas de TI. Pocas empresas en este siglo están dispuestas a pagar por los competentes … por eso los terminales POS de Windows XPe sin parchear desde 2001 usando contraseñas como “pos”, “micros”, “edc” y “123456”, accedidas desde una cuenta con contraseña de ” BackupU $ r “permitió que más de cien millones de números de tarjetas de crédito fueran robados de una letanía de los principales minoristas de todo el país a través de servicios FTP no bloqueados e inseguros el año pasado. La mayoría de las personas de TI están sobre sus cabezas y no se debe confiar. Entonces, la pregunta sobre la confiabilidad de Aharoni es secundaria. La mejor pregunta es ¿TÚ eres confiable y cómo alguien puede probar eso? Uno de los fundadores de Six-Sigma afirmó que Motorola fue contratada para el personaje y entrenada para las habilidades, pero nunca he encontrado a nadie que lo haya pensado. Hay muchas maneras … Gates preguntaba habitualmente a los solicitantes si sabían por qué las tapas de registro son redondas para ver si podían decir que no sabían … a menudo no es posible para los piratas informáticos (o crackers o lo que sea).

Adrián habla sobre cuántos expertos en informática tenían antecedentes penales, pero luego dice que “pirata informático” solo significa una persona inteligente y nunca responde a su pregunta (que no era si debería preocuparse por usar el trabajo de personas inteligentes, ya que claramente estaba usando el uso popular de hacker: “usar una computadora para obtener acceso no autorizado a los datos en un sistema”). La suya es en realidad una pregunta bastante simple: ¿contrataría a un cerrajero si supiera que es un importante traficante de drogas (como resultó ser el último cuando fue asesinado a tiros poco después de hacer las llaves de mi casa y mi auto)? Kim sugiere que las personas que conoces en Blackhat son naturalmente confiables (eso es realmente divertido). Stan sugiere con precisión en quién confiar es una pregunta antigua (y vincula una respuesta de 30 años). Aquí está mi respuesta … la más oscura de las redes negras del gobierno de los EE. UU. Donde cada participante tiene una verificación de antecedentes de 15 años, toma polígrafos regulares, pierde todos los derechos constitucionales y es monitoreada constantemente tiene problemas con la pornografía infantil y el código falso (que incluso ha cerrado NORAD ) Por supuesto, los gobiernos nunca brindan acceso a aquellos que al menos no pueden obtener una autorización. El Dr. House dice: “Todo el mundo miente”. El Dr. Paul Ekman (base del programa de televisión Lie to Me), de hecho, mostró que TODOS mentimos tres veces cada diez minutos para el pegamento social y todos trabajamos duro para perder las mentiras. Ekman contó muchas mentiras por omisión; otros dicen que mentimos abiertamente solo diez veces al día. El Dr. Elgin también creía que nunca decimos lo que queremos decir y el 80% de los productos populares en las encuestas nunca se venden. El MMPI (el abuelo de todas las pruebas de personalidad) usa la incapacidad de admitir que el miedo a ser atrapado es lo único que le impide decir que se cuela en una sala de cine sin pagar como evidencia de una personalidad mentirosa, ya que la ciencia ha documentado que todos sabemos profundamente abajo (si es honesto) qué ladrones somos. Parece que solo un sociópata puede afirmar sinceramente que es cuerdo, inteligente, amable, sincero y sin culpa (como siempre parecen hacer los “hackers”) … las últimas personas en las que confiar.

He usado Kali por algún tiempo, años atrás y ahora nuevamente lo he instalado. He leído en su sitio web como: “Como Kali es un proyecto de código abierto, no es un proyecto de código abierto, por razones de seguridad. El equipo de desarrollo es pequeño y confiable, los paquetes en los repositorios están firmados tanto por el confirmador individual como por el equipo y, lo que es más importante, el conjunto de repositorios ascendentes de los que se extraen las actualizaciones y los nuevos paquetes es muy pequeño. Agregar repositorios a sus fuentes de software que no hayan sido probados por el equipo de desarrollo de Kali Linux es una buena manera de causar problemas en su sistema “.

Como es de código abierto, puede hacer una revisión de código para encontrar cualquier cosa sospechosa y compilarla para verificar. Sí, te costará mucho tiempo, pero si te hace sentir más seguro, adelante. Por otro lado, no estoy seguro de por qué la NSA o la CIA intentarán espiar a todos los usuarios hasta que tenga información muy valiosa para ellos o si está haciendo algo que es ilegal, y no es posible que todos los usuarios que tienen Kali será espiado por ellos simplemente sin ningún motivo. Si sabe que tiene algo importante que la NSA o la CIA están buscando, es mejor no usar el Kali si encuentra algo sospechoso en el sistema operativo. En mi experiencia, la NSA o la CIA nunca se acercaron a mí para usar Kali. Solo mi punto de vista.

Saludos 🙂

Primero, es Linux de código abierto, por lo que si está inclinado y conocedor, puede revisar el código fuente de lo que sea que le interese.

También puede descargar todas las herramientas usted mismo en su distribución preferida. Es solo que Kali se ha configurado para que todo funcione muy bien.

En última instancia, no debe hacer nada con lo que deba preocuparse, por ejemplo, no lo use para realizar operaciones bancarias. No está diseñado para ser un sistema operativo diario, sino una herramienta para un trabajo específico. Además, los hackers que lo escribieron son profesionales de seguridad; OSCP y las otras certificaciones que ofrecen son algunas de las más apreciadas en el mundo infosec.

Dato curioso , la mayoría de los sistemas operativos hacen llamadas curiosas . Debe decidir en qué sistemas confía y en qué grado.

Siempre pienso que el sistema de autoridad de certificación para SSL no inspira confianza, pero la información que paso no es lo suficientemente valiosa como para preocuparme por la calidad del cifrado en el otro lado.

Para mí, Kali es confiable porque el usuario de Quora dice que sí.

De lo contrario, lo remitiré a Reflexiones sobre la confianza en la confianza.

Es más seguro que Windows 10, eso es seguro 😛
Si le preocupa que se vuelva a conectar en algún lugar, simplemente coloque un monitor entre Kali y su módem de Internet. ¿Ves algún tráfico no deseado? Ahora haz lo mismo con Windows 10 😉

Es bastante confiable, no solo está escrito por piratas informáticos, esos sombreros blancos son conocidos como expertos en seguridad y se enorgullecen de tapar agujeros y eliminar errores que pueden ser peligrosos para usted.

Contiene varias cosas que le enviarían un escáner de virus promedio y un firewall gritando de pánico. Como todas las cosas, dale un arma a un policía y estarás a salvo, dáselo a un niño y deberías agacharte para protegerte.

Creo que te equivocas con un paquete como Kali. Con Kali, tú eres el que está haciendo los ataques, realmente no deberías tener tanto miedo por los ataques hacia ti. Este sistema operativo es una herramienta, no lo trates como una computadora hogareña

Viene con código . Puede verificarlo usted mismo si no confía en ellos.

puedes confiar en un cuchillo? o un martillo? o una caja de cerillas? o una lata de gasolina? o una pistola?

por favor no confunda herramientas con intenciones.