Čtvrtek 25. února 2021, svátek má Liliana
  • schránka
  • Přihlásit Můj účet
  • Čtvrtek 25. února 2021 Liliana

Až se budete hlásit na Facebook nebo e-mail, kdokoliv vám může ukrást identitu

Firesheep rozpoutal diskusi o zabezpečení Facebooku nebo webových e-mailů. Kdokoli totiž může odposlechnout přihlašovací údaje, pokud na tyto stránky přistupujete přes nezabezpečené připojení (např. přes wi-fi bez hesla). Jak se bránit?

Krádež identity je snadnější, než si mnoho lidí myslí. Vaši identitu vám na nezabezpečené síti může ukrást nejen hacker, ale i hrající si dítě. | foto: shutterstock.com

Na veřejných wi-fi hotspotech je nyní opravdu horko. Firesheep je doplněk do Firefoxu odposlouchávající (sniffující) provoz v nešifrovaných sítích. Je praktickou ukázkou toho, jak snadné může být ukradení identity libovolného uživatele, který je připojený k otevřenému hotspotu.

Útok je založený na zachycení cookie. Drtivá většina nejznámějších webových služeb sice používá HTTPS protokol, ale pouze pro autentizaci uživatele. Jakmile se uživatel úspěšně přihlásí, uloží se do jeho browseru cookie s identifikačními údaji. Díky ní se při opětovné návštěvě stránky z téhož počítače nemusí opakovaně přihlašovat. Nejde tedy o aktivní útok na získání hesla, nýbrž o pasivní zachytávání cookies uživatelů, jejichž webový provoz proudí vzduchem bez sebemenší známky šifrování. Data mezi wireless klientem a access pointem jsou v otevřené síti nešifrovaná a stejně tak žádná z vyšších vrstev OSI modelu zpravidla neřeší šifrování uživatelských dat a cookies.

Hesla z Facebooku i Microsoft Live za pár minut

Sám na sobě jsem otestoval možnosti Firesheepu. Výsledek je poměrně zdrcující. Ani jedna ze služeb jako Windows Live, Twitter, Facebook, Flickr, Bit.ly, Yahoo nebo třeba Amazon neodolala. Jedinou zářnou výjimkou byl Google a Gmail.

Používání Firesheepu je naprosto triviální – připojíte se k otevřené wi-fi síti, nastavíte rozhraní pro zachytávání provozu a stiskem jednoho tlačítka nástroj aktivujete.

Firesheep - Možnosti

Firesheep - Možnosti

Pak už je jen otázkou času, kdy některý z nic netušících uživatelů, který je připojený ke stejnému access pointu jako vy, navštíví svůj profil na Facebooku a ulovená cookie (alias kompletní identita uživatele) je na světe. V panelu Firesheepu se objeví jeho fotografie se jménem a pouhým klepnutím myši se ocitnete přihlášeni pod jeho identitou. Je to až děsivě snadné.

Firesheep v akci

Firesheep v akci

Autor Firesheep říká, že svým počinem chce donutit velké firmy, aby konečně zvýšily bezpečnost svých uživatelů, a také upozornit uživatele na nebezpečí, která jim hrozí: "O těchto problémech se mluvilo až do omrzení, ale i velice oblíbené servery nadále selhávají při ochraně soukromí svých uživatelů. Facebook pořád přichází s novými funkcemi na zabezpečení soukromí, ale k čemu to je, když někdo může ukrást celou identitu?"

Na posílení bezpečnosti dotčených služeb už asi vývojáři pracují, ale nebude to úplně zadarmo. Daní je vyšší režie provozu. Protokol HTTPS je totiž o poznání hladovější než prostý HTTP, obzvlášť při tak obrovském počtu uživatelů, jakým se honosí všechny výše zmíněné weby.

Technické požadavky

Technickým požadavkem pro zachytávání provozu cizích uživatelů wi-fi sítě je podpora promiskuitního (promiscuous) nebo monitorovacího režimu na vašem wi-fi adaptéru. Rozdíl mezi nimi je v tom, že první jmenovaný mód je schopen zachytávat provoz až po asociování k access pointu. Naproti tomu monitorovací režim (monitor mode) je schopen "vyčmuchat" provoz bez nutnosti asociace k přístupovému bodu. Nicméně pro otestování Firesheepu sami na sobě si vystačíte i s kartou bez podpory výše zmíněných funkcí.

Jak se ubránit?

Obecně řečeno nám jde o to zajistit šifrování přenášených dat na některé z vyšších vrstev OSI modelu, když nám to neumožňuje přímo access point. Základní doporučení zní – používejte HTTPS, kde to jen jde. Pro Firefox existuje šikovný doplněk HTTPS Everywhere (v době vydání mimo provoz), starající se právě o vynucení HTTPS komunikace. Dalším podobným doplňkem je Force-TLS.

Chcete-li se bránit přímo proti Firesheep, je tu doplněk BlackSheep, který vás upozorní, kdykoli někdo v okolí odposlouchává pomocí Firesheep.

U Google Chrome můžete vyzkoušet zabezpečený režim, který umožní procházet pouze HTTPS stránky, případně nainstalovat tento doplněk a ochránit alespoň Facebook.

Méně elegantním řešením je sestavení šifrovaného VPN spojení domů nebo do vaší firmy.

Nabízí se také vybídnout ke zdržení se používání otevřených hot spotů, ale to je hodně odvážná, naivní a mnohdy nerealizovatelná myšlenka. Příjemně mě překvapilo, že Microsoft Security Essentials (a jistě i další antimalware produkty) identifikují Firesheep jako škodlivý kód a dotáží se vás, zda ho mohou odstranit.

O autorovi: Jiří Brejcha publikuje na serveru o počítačových sítích www.sitarina.cz.

Autor:
  • Nejčtenější

ANALÝZA: Lidé nejsou méně ukáznění. Proč rostou počty případů a co dál

Ze současné situace neexistuje žádné jednoduché a levné východisko. Ale jedna cesta nabízí naději na relativně rychlé...

Solární elektrárna na Sahaře by změnila svět k horšímu, tvrdí studie

Sahara osazená solárními panely by možná naplnila sen o zelené poušti i nevyčerpatelném zdroji čisté energie. Skrývá v...

Česko bude raketová velmoc. Ale jen v tom špatném smyslu

Česká armáda se chystá na nákup nové generace protiletadlových raketových systémů. Ale je poněkud nepochopitelné, že si...

Úspěch. Americká laboratoř přistála na Marsu i s malým vrtulníkem

NASA přiletěla na Mars znovu vyzkoušet nejtěžší přistávací manévr, jaký lidstvo na jiné planetě doposud provedlo....

{NADPIS reklamního článku dlouhý přes dva řádky}

{POPISEK reklamního článku, také dlouhý přes dva a možná dokonce až tři řádky, končící na tři tečky...}

Otevřel se padák a sonda dosedla. NASA zveřejnila záběry přistání na Marsu

NASA zveřejnila tříminutový videozáznam čtvrtečního přistání robotické sondy Perseverance na povrchu Marsu. Jde o...

Dvaadvacet znaků, že s tímhle mužem vás místo pohádky čeká jen utrpení

Premium Některé ženy jako by se zhlédly v popelce. Věří, že oříšky přinášejí prince. Jenže nakonec jsou z nich spíš veverky –...

Inflace požírá uložené peníze. Kam s nimi, aby jich zmizelo co nejméně?

Premium Naspořili jste 200 000 korun, uložili je na účet, těšili se na úroky a po roce zjistili, že jste zbohatli o celých 340...

Biolog Zrzavý: Covid se postará, abychom umírali i na něco jiného než rakovinu

Premium Podle amerického psychologa a genetika Roberta Plomina mají zděděné geny daleko větší význam při utváření naší...

  • Další z rubriky

Deset nadějných sociálních sítí z ciziny i Česka, na kterých zatím nejste

Budoucnost sociálních sítí je možná v menších, úzce zaměřených platformách. Na nich se na rozdíl od Facebooku nemusíte...

Prsa, covid, muslimové. „Nejvyšší soud“ Facebooku vydal nečekané verdikty

Nezávislá dozorčí komise, která má působit jako „odvolací soud“ pro obsahové otázky na Facebooku, vydala první...

Rusko je připraveno odpojit se od Internetu. Krátce si to již vyzkoušelo

Rusko má připraven legislativní i technologický rámec k tomu, aby se mohlo zcela odstřihnout od celosvětového...

OBRAZEM: Úžasná místa v Česku můžete navštívit koronaviru navzdory

Prozkoumejte Česko, běžně nedostupná místa i nyní zavřené památky, prostřednictvím virtuálních prohlídek a speciálních...

Napište deníček o lásce a vyhrajte láhev prosecca
Napište deníček o lásce a vyhrajte láhev prosecca

Romantika, trapas, legrace, vášeň, sex… to všechno možná máte spojené se vzpomínkou na nějakou svou lásku. Pojďte se o svůj příběh podělit s...

Gabriela Koukalová: Exmanžel mě podváděl a myslím, že utrácel mé peníze

Bývalá světová šampionka v biatlonu, dnes moderátorka televizního pořadu Showtime, Gabriela Koukalová přiznává v...

Bondgirl Rosamund Pike žije v Česku. Překvapili ji opilí rafťáci v Krumlově

Britská herečka Rosamund Pike (42), známá například z bondovky Dnes neumírej, se kvůli natáčení s celou rodinou...

VIDEO: 5 triků, jak v obchodě otevřete mikrotenový sáček. Rychle a bez nervů

Suché ruce a mikrotenové sáčky - často náš největší nepřítel v obchodech. Někdy je to v oddělení pečiva či ovoce a...

Chci kratší pracovní týden a pět týdnů dovolené, říká Maláčová

Válka o kurzarbeit dospěla do fáze podepisování podmínek mírové dohody. Alespoň to tak působí z úst ministryně práce a...

Zemřel český DJ Thomas Coastline. Bylo mu 35 let

Zemřel známý český DJ Thomas Coastline, vlastním jménem Tomáš Malina. V minulosti prodělal rakovinu tlustého střeva. O...