El problema del almacenamiento de contraseñas Wi-Fi lo tienen todas las distribuciones Linux (eng)

Todas las distribuciones Linux que utilicen Network Manager (un desarrollo de RedHat) tienen sus contraseñas expuestas en texto plano y puede accederse fácilmente a ellas arrancando desde un live cd. La solución es encriptar el disco completo o utilizar otro gestor de redes.

[#1 Stash]

El acceso físico a un equipo te permite muchas cosas. Y no solo a ese fichero.
La solución NO es cifrar el disco completo.
Con que montes /etc sobre una partición cifrada (LUKS p.e.) te sobra. Y ya puestos hay un huevo de configuraciones que almacenan datos sin cifrar.

Será que me hago mayor, pero esta noticia me parece una gilipollez tirando a alarmista.
Hay que encontrar un equilibrio entre seguridad y lo razonable.

[#2 Flkn]

#1 Acceso físico == Game over

Al menos en lo que se refiere a la seguridad en cualquier sistema operativo.

[#21 efedoso]

#2 Si trabajas con particiones cifradas no te sirve de mucho el acceso físico: sin clave no hay datos.

[#4 wadop1312]

#1 Esta noticia viene porque hace un par de días se publicó que sólo era un problema de Ubuntu. No es un ataque contra Linux

[#6 Stash]

#4 Lo se. Fui el que comenté que también pasa en Android. De hecho en Android, de ese fichero, el wpasupplicant.conf he recuperado contraseñas que no se sabían o no se tenían.

[#18 estreñido]

, Pués si miran que wicd lo hace aunque solo tengas un usario se mean encima. Yo tengo contraseñas bastante complicadas y cuando tengo que colocarla en otro aparato lo miro en el portátil. Aunque es un "vulnerabilidad" de risa, si alguien tiene acceso físico a mi máquina (o en su defecto mi clave de root) ese es el menor de mis problemas. Yo cifro home y con eso voy que chuto, que alguien obtenga mi clave de red a partir de eso no me preocupa.

[#16 Desactivado]

Pues como esto sea todo lo que han conseguido sacar de Linux...

[#3 Desactivado]

¿Seguro? En mi Debian no las he encontrado donde dice (sí el resto de información de las conexiones), y cuando trato de conectarme se me dispara el kwallet. Había dado por supuesto que se guardaban encriptadas ahí.

Acabo de hacer un grep por todo el /etc con una de las claves y no me ha salido nada. Aunque no es que eso demuestre nada.

[#5 wadop1312]

#3 ¿Tienes varios usuarios en ese equipo que usen Debian?

[#9 Desactivado]

#5 No.

[#10 wadop1312]

#9 Ahí esta, el problema es cuando se comparte la contraseña entre varios usuarios

[#11 Desactivado]

#10 Tendría que probarlo, pero supongo que si están en el kwallet cada usuario tendrá que configurar su conexión de manera independiente.

[#12 wadop1312]

#11 Por lo que dicen en los comentarios del artículo usar kwallet soluciona el problema.

[#13 Desactivado]

#12 Voy a probar de todas formas. Me ha picado la curiosidad.

[#14 Desactivado]

#12 Pues sí, tenía la conexión configurada pero he tenido que volver a meter la clave del Wifi para conectarme con el nuevo usuario.

[#7 wadop1312]

#3 Si lees los comentarios de la noticia recomienda la utilización de Kwallet

[#22 Desactivado]

Relacionada: Ubuntu está almacenando las claves del WiFi en texto plano por defecto

Ubuntu está almacenando las claves del WiFi en tex...

#3 Las redes en Debian se pueden configurar como una red de usuario o como una red de sistema. Si la configuras como red de usuario la contraseña se guarda en el home del usuario, pero cuando el usuario se deslgea, la conexión desaparece. Si tienes demonios corriendo, dejan de funcionar. Para eso tienes que configurar la red como de sistema, y es entonces cuando se guarda en /etc.

En este caso la contraseña no puede estar cifrada, porque la tiene que leer al arrancar el sistema. Esta contraseña en claro se guarda en un fichero que solo root puede leer, así que como ya se dijo en la noticia relacionada que he puesto, si alguien que no quieres que lea esa contraseña la está leyendo, entonces tienes un problema mayoir que el hecho de que la contraseña esté en claro...

Por otra parte, si guardas la clave en el disco duro es para no tener que teclearla cada vez que la tienes que usar. Pero si para evitar teclear la clave wifi, tienes que teclear la clave que descifra la clave wifi, no avanzamos mucho. (Me refiero a las redes de sistema, no a servicios tipo kwallet, que son por usuario).

[#23 Desactivado]

#22 Me lo leí muy rápido, pero si el problema es que la clave de algo que debe ponerse a funcionar sin intervención humana no se guarda de forma segura mal arreglo va a tener la cosa ¿no?

[#25 Desactivado]

#23 llevo intentando explicar eso a casi toda la gente con la que trabajo y soy desarrollador de software...

Es algo que al gente no consigue entender, típica conversación:

Derp: ¿Por que la clave se guarda en claro en el disco?
Yo: Por que el usuario ha pedido que se memorice esa clave
Derp: pues podrías cifrarla para guardarla
Yo: con que clave la cifro?
Derp: con una random
Yo: y donde la guardo?
Derp: pues en un fichero aparte
Yo: entonces, que cambia? ahora tengo un dato cifrado y al lado su clave para descifrarlo.
Derp: pues lo cifras tambien
Yo: y así hasta el infinito...

Cómo bien han dicho numerosos comentarios ya, los programas deben ser agnósticos de la seguridad de los ficheros de disco. Eso es labor de otras capas, entre ellas:

1. La gestión de permisos del sistema operativo (ejemplo: fichero que solo el owner puede leer)
2. Cifrado de volúmenes u otras soluciones de protección de datos de disco

Lo que la gente no entiende, es que si el usuario solicita que no se le pida ninguna password, no se le solicita ninguna password, ergo no hay un 'secreto' en la ecuación si no lo agrega otra capa inferior (p.ej. cifrado de volúmenes)

[#26 Desactivado]

#25 No sé si esto es una nota al margen o una réplica pero yo me refería exactamente a esto que dices.

[#27 Desactivado]

#26 era una nota al margen, evidentemente estoy 100% de acuerdo con tu comentario en #23.

[#28 Desactivado]

#27 Vale, es que pensé que igual no me había expresado bien o algo

[#17 Magankie]

Todo se resume en esta frase:

So anyone who inserts a Live CD Linux distro into your laptop, can view your not-so-secret Wi-Fi password... or steal even more important data!

Gracias Capitan Obvius!

[#15 ingenieril]

En Windows si no está en texto plano poco debe de faltarle, con Wireless Keyviewer las tienes sacadas en un visto y no visto.

[#19 Desactivado]

#15 NO, eso ya hace eones que no funciona.

[#20 ingenieril]

#19
En mi Windows 7 sigue funcionando.

[#8 Desactivado]

El archivo sólo es legible por root.
Además, las contraseñas nunca van cifradas, en todo caso picadas (hasheadas).

[#24 dotromas]

Y Wicd???