Νέο add-on του Firefox βοηθά στην υποκλοπή δεδομένων μέσω ελεύθερων hotspot

[ipo]

Ένα νέο πρόσθετο στοιχείο του Firefox επιτρέπει στους χρήστες του να συλλέγουν δεδομένα από απροστάτευτο ασύρματο δίκτυο Wi-Fi και να υποκλέπτουν τα cookies πρόσβασης άλλων χρηστών στο Facebook, το Twitter και σε άλλες διαδικτυακές υπηρεσίες.

Το add-on λέγεται Firesheep και παρουσιάστηκε την Κυριακή από τον Eric Butler, την Κυριακή σε συνέδριο ασφάλειας στο San Diego. Ο Butler είπε ότι δημιούργησε το Firesheep για να δείξει τον κίνδυνο που ενέχει η πρόσβαση σε μη κρυπτογραφημένες ιστοσελίδες από δημόσια Wi-Fi hotspot.

Αν και είναι σύνηθες οι διάφορες ιστοσελίδες να κρυπτογραφούν τους κωδικούς εισόδου σε υπηρεσίες, μέσω HTTPS ή SSL, λίγες κρυπτογραφούν την υπόλοιπη κίνηση μεταξύ ιστοσελίδας και χρήστη. Σύμφωνα με το Butler, το γεγονός αυτό εκθέτει το cookie και κατ' επέκταση το χρήστη, αφού στα ελεύθερα ασύρματα δίκτυα τα cookies αναμεταδίδονται αυτούσια στον αέρα, κάνοντας τις επιθέσεις εξαιρετικά εύκολες. Έχοντας το cookie του χρήστη στην κατοχή του, ο εγκληματίας μπορεί να κάνει όσα θα μπορούσε ο ίδιος ο χρήστης στη σελίδα που αντιστοιχεί. Το Firesheep είναι σχεδιασμένο για να συλλέγει cookies από τα Facebook, Twitter, Flickr, bit.ly, Google, Amazon.

Σύμφωνα με τον Ricahrd Wang της SophosLabs:

“Τίποτα από αυτά δεν είναι νέο, σίγουρα το ελάττωμα δεν είναι. Αλλά το Firesheep καθιστά πολύ εύκολη την ανίχνευση μη κρυπτογραφημένης πληροφορίας και cookies, ώστε οποιοσδήποτε μπορεί να το χρησιμοποιήσει για να κρυφακούσει τι λένε οι άλλοι μέσω των δημοσίων hotspot.”

Το Firesheep προσθέτει ένα sidebar στον Firefox που δείχνει πότε κάποιος που συνδέεται μέσω του ίδιου ελεύθερου hotspot, επισκέπτεται μη κρυπτογραφημένη ιστοσελίδα. Ο χρήστης του Firesheep μπορεί να κάνει διπλό click πάνω στον εμφανιζόμενο χρήστη, οπότε αμέσως συνδέεται στην ίδια υπηρεσία σαν είναι ο άλλος. Το add-on φαίνεται να είναι ακαταμάχητο, αφού τις πρώτες τρεις μέρες παρουσίας του είχε κατέβει περισσότερες από 220.000 φορές.

Ο Butler δημιούργησε το Firesheep για να καταδείξει το ευρύ ζήτημα των μη κρυπτογραφημένων δικτυακών τόπων και των δημοσίων δικτύων.

“Οι ιστοσελίδες έχουν ευθύνη να προστατεύουν τους ανθρώπους που βασίζονται στις υπηρεσίες τους. Εδώ και καιρό αγνοούν την ευθύνη και είναι καιρός για όλους να απαιτήσουν ένα πιο ασφαλές διαδίκτυο. Ελπίζω να βοηθήσω τους χρήστες να κερδίσουν.”

Ο Wang είπε ότι ελπίζει το πρόσθετο του Firefox να οδηγήσει πολλές σελίδες να κρυπτογραφήσουν την κίνηση δεδομένων μέσω HTTPS. Αλλά θεωρεί επίσης σημαντική τη διασφάλιση των χρηστών κατά τη χρήση δημοσίων δικτύων, γεγονός που έρχεται βέβαια σε αντίθεση με την ευχρηστία. Ένας τρόπος να προστατευθούν οι χρήστες είναι να αποφεύγουν τη σύνδεση σε μη κρυπτογραφημένες ιστοσελίδες, όσο είναι συνδεδεμένοι σε δημόσια δίκτυα. Η πρότασή του για τους έμπειρους χρήστες είναι η χρήση ασφαλούς proxy server στον υπολογιστή τους.

Το Firesheep δουλεύει στις εκδόσεις του Firefox για Widows και Mac OS X, ενώ μπορεί να το βρει κανείς δωρεάν στην ιστοσελίδα. GitHub. Έκδοση για Linux είναι υπό ανάπτυξη.



Πηγή: Computerworld

[ipo]

Αν το sniffing δουλεύει και σε wired LAN, φαντάζομαι ότι θα γίνει χαμός στα εταιρικά δίκτυα.

[Lord Basil]

ουσιαστικα το ιδιο μπορεις να κανεις και με το ethereal , αλλα πρεπει να ξοδεψεις πολυ χρονο για να το παραμετροποιησεις.

παρασκευη θα εχεις αποτελεσματα για εταιρικα δικτυα

[Hackerman]

Αυτό μπορεί να γίνει και σε δίκτυα που ναι μεν είναι ελεύθερα, αλλά για να συνδεθείς στο internet χρειάζεσαι username και password?

[WAntilles]

Εξαιρετικά σπάνιο ένα addon για Firefox να είναι OS-dependent/specific, τα δε τέτοια τέτοια, μετριούνται και σε λιγότερα δάχτυλα από αυτά του ενός χεριού.

Περίεργο.

Αυτό μπορεί να σημαίνει πολλά πιθανά πράγματα:

- απαιτεί OS-specific backends & APIs για να δουλέψει
- αναπτύχθηκε πολύ γρήγορα για κάποιους λόγους, και δεν φρόντισαν να το κάνουν OS-independent

[PsyPaul]

Αυτό μπορεί να γίνει και σε δίκτυα που ναι μεν είναι ελεύθερα, αλλά για να συνδεθείς στο internet χρειάζεσαι username και password?

ναι μιας και συνεχιζουν να μην ειναι encrypted τα δεδομενα

[sdikr]

Αν το sniffing δουλεύει και σε wired LAN, φαντάζομαι ότι θα γίνει χαμός στα εταιρικά δίκτυα.

Αν είχε απλό Hub θα μπορούσε, αν έχει switch δεν μπορεί έτσι απλά να το κάνει, το ασύρματο δουλεύει σαν Hub, ίσως η καλύτερη λύση θα ήταν τα ασύρματα να αρχίσουν να δουλεύουν σαν switch, γιατί ακόμα και με Https αν μπορεί ο άλλος να κάνει το man in the middle, τότε θα έχει τα κλειδιά για να δεί το κρυπτογραφημένο περιεχόμενο

[ipo]

Το switch σε αντίθεση με το hub, στέλνει τα δεδομένα που πρέπει να στείλει σε συγκεκριμένη IP, μόνο στη θύρα του switch που βρίσκεται το καλώδιο που φτάνει στον αποδέκτη. Είναι δηλαδή διαχωρισμός με φυσικό μέσο (το καλώδιο). Στον αέρα δεν μπορεί να γίνει αυτό, αφού το Access Point δεν μπορεί να στείλει μόνο προς συγκεκριμένη κατεύθυνση δεδομένα, αλλά τα εκπέμπει στον αέρα και μπορούν να τα συλλέξουν πολλοί.

[sdikr]

Το switch σε αντίθεση με το hub, στέλνει τα δεδομένα που πρέπει να στείλει σε συγκεκριμένη IP, μόνο στη θύρα του switch που βρίσκεται το καλώδιο που φτάνει στον αποδέκτη. Είναι δηλαδή διαχωρισμός με φυσικό μέσο (το καλώδιο). Στον αέρα δεν μπορεί να γίνει αυτό, αφού το Access Point δεν μπορεί να στείλει μόνο προς συγκεκριμένη κατεύθυνση δεδομένα, αλλά τα εκπέμπει στον αέρα και μπορούν να τα συλλέξουν πολλοί.

Αυτό λέω, θα μπορούσε, πχ θα μπορούσε το encryption να γίνεται αυτόματα αντί για open access.

[mrsaccess]

Το κύριο ερώτημα είναι αν το addon είναι «Google Approved». Με τόση εμπειρία στην υποκλοπή δεδομένων σε όλο το κόσμο μέσω των αυτοκινήτων street view, η πιστοποίησή της μετράει.

[globalnoise]

Naughty code for the masses

[mojiro]

και που να βλέπατε τι κάνει το kismet στο linux χωρίς να είσαι συνδεδεμένος σε κάποιο δίκτυο...
που να δείτε τι γίνεται όταν το αρχείο sniffing που φυλάσσει το ανοίξεις με wireshark/ethereal...

όλα αυτά που αναφέρει ο τυπάκος ήταν γνωστά στους ιδιοκτήτες ιστοσελίδων, το πρόβλημα γίνεται έντονο όταν με 2 κλικ γίνονται όλοι εισβολείς...

[Φανερός Πράκτωρ]

<iznogoud>τέλεια είδηση! Με μια επέκταση, θα μπορώ να γίνω admin στη θέση του admin στο adslgr. Αρκεί να βρω τη διεύθυνση ενός admin και αυτός να μπαίνει από ξεκλείδωτο wifi!</iznogoud>

Εμπρός για ένα adslgr over https!

[tzelen]

Το κύριο ερώτημα είναι αν το addon είναι «Google Approved». Με τόση εμπειρία στην υποκλοπή δεδομένων σε όλο το κόσμο μέσω των αυτοκινήτων street view, η πιστοποίησή της μετράει.

[sv2evs]

Αν δεν έχεις αυτό το add on, έχεις τις ίδιες πιθανότητες να πάθεις κάτι ?