Čtvrtek 26. května 2022, svátek má Filip
  • schránka
  • Přihlásit Můj účet
  • Čtvrtek 26. května 2022 Filip

Až se budete hlásit na Facebook nebo e-mail, kdokoliv vám může ukrást identitu

Firesheep rozpoutal diskusi o zabezpečení Facebooku nebo webových e-mailů. Kdokoli totiž může odposlechnout přihlašovací údaje, pokud na tyto stránky přistupujete přes nezabezpečené připojení (např. přes wi-fi bez hesla). Jak se bránit?

Krádež identity je snadnější, než si mnoho lidí myslí. Vaši identitu vám na nezabezpečené síti může ukrást nejen hacker, ale i hrající si dítě. | foto: shutterstock.com

Na veřejných wi-fi hotspotech je nyní opravdu horko. Firesheep je doplněk do Firefoxu odposlouchávající (sniffující) provoz v nešifrovaných sítích. Je praktickou ukázkou toho, jak snadné může být ukradení identity libovolného uživatele, který je připojený k otevřenému hotspotu.

Útok je založený na zachycení cookie. Drtivá většina nejznámějších webových služeb sice používá HTTPS protokol, ale pouze pro autentizaci uživatele. Jakmile se uživatel úspěšně přihlásí, uloží se do jeho browseru cookie s identifikačními údaji. Díky ní se při opětovné návštěvě stránky z téhož počítače nemusí opakovaně přihlašovat. Nejde tedy o aktivní útok na získání hesla, nýbrž o pasivní zachytávání cookies uživatelů, jejichž webový provoz proudí vzduchem bez sebemenší známky šifrování. Data mezi wireless klientem a access pointem jsou v otevřené síti nešifrovaná a stejně tak žádná z vyšších vrstev OSI modelu zpravidla neřeší šifrování uživatelských dat a cookies.

Hesla z Facebooku i Microsoft Live za pár minut

Sám na sobě jsem otestoval možnosti Firesheepu. Výsledek je poměrně zdrcující. Ani jedna ze služeb jako Windows Live, Twitter, Facebook, Flickr, Bit.ly, Yahoo nebo třeba Amazon neodolala. Jedinou zářnou výjimkou byl Google a Gmail.

Používání Firesheepu je naprosto triviální – připojíte se k otevřené wi-fi síti, nastavíte rozhraní pro zachytávání provozu a stiskem jednoho tlačítka nástroj aktivujete.

Firesheep - Možnosti

Firesheep - Možnosti

Pak už je jen otázkou času, kdy některý z nic netušících uživatelů, který je připojený ke stejnému access pointu jako vy, navštíví svůj profil na Facebooku a ulovená cookie (alias kompletní identita uživatele) je na světe. V panelu Firesheepu se objeví jeho fotografie se jménem a pouhým klepnutím myši se ocitnete přihlášeni pod jeho identitou. Je to až děsivě snadné.

Firesheep v akci

Firesheep v akci

Autor Firesheep říká, že svým počinem chce donutit velké firmy, aby konečně zvýšily bezpečnost svých uživatelů, a také upozornit uživatele na nebezpečí, která jim hrozí: "O těchto problémech se mluvilo až do omrzení, ale i velice oblíbené servery nadále selhávají při ochraně soukromí svých uživatelů. Facebook pořád přichází s novými funkcemi na zabezpečení soukromí, ale k čemu to je, když někdo může ukrást celou identitu?"

Na posílení bezpečnosti dotčených služeb už asi vývojáři pracují, ale nebude to úplně zadarmo. Daní je vyšší režie provozu. Protokol HTTPS je totiž o poznání hladovější než prostý HTTP, obzvlášť při tak obrovském počtu uživatelů, jakým se honosí všechny výše zmíněné weby.

Technické požadavky

Technickým požadavkem pro zachytávání provozu cizích uživatelů wi-fi sítě je podpora promiskuitního (promiscuous) nebo monitorovacího režimu na vašem wi-fi adaptéru. Rozdíl mezi nimi je v tom, že první jmenovaný mód je schopen zachytávat provoz až po asociování k access pointu. Naproti tomu monitorovací režim (monitor mode) je schopen "vyčmuchat" provoz bez nutnosti asociace k přístupovému bodu. Nicméně pro otestování Firesheepu sami na sobě si vystačíte i s kartou bez podpory výše zmíněných funkcí.

Jak se ubránit?

Obecně řečeno nám jde o to zajistit šifrování přenášených dat na některé z vyšších vrstev OSI modelu, když nám to neumožňuje přímo access point. Základní doporučení zní – používejte HTTPS, kde to jen jde. Pro Firefox existuje šikovný doplněk HTTPS Everywhere (v době vydání mimo provoz), starající se právě o vynucení HTTPS komunikace. Dalším podobným doplňkem je Force-TLS.

Chcete-li se bránit přímo proti Firesheep, je tu doplněk BlackSheep, který vás upozorní, kdykoli někdo v okolí odposlouchává pomocí Firesheep.

U Google Chrome můžete vyzkoušet zabezpečený režim, který umožní procházet pouze HTTPS stránky, případně nainstalovat tento doplněk a ochránit alespoň Facebook.

Méně elegantním řešením je sestavení šifrovaného VPN spojení domů nebo do vaší firmy.

Nabízí se také vybídnout ke zdržení se používání otevřených hot spotů, ale to je hodně odvážná, naivní a mnohdy nerealizovatelná myšlenka. Příjemně mě překvapilo, že Microsoft Security Essentials (a jistě i další antimalware produkty) identifikují Firesheep jako škodlivý kód a dotáží se vás, zda ho mohou odstranit.

O autorovi: Jiří Brejcha publikuje na serveru o počítačových sítích www.sitarina.cz.

Autor:

80 let od atentátu na Heydricha

27. 5. 1942 provedli českoslovenští parašutisté atentát na zastupujícího říšského protektora na území Čech a Moravy Reinharda Heydricha.

  • Nejčtenější

Češi posílají na pomoc Ukrajině „ďáblův kočár“

Po pondělním zasedání Kontaktní skupiny pro Ukrajinu zazněla na tiskové konferenci několikrát informace, kterou...

V Charkově se skrývá tajemný supertank, příliš drahý pro sériovou výrobu

Válka na Ukrajině vstupuje do nové fáze. Rusové se po Kyjevu stahují i z okolí Charkova a chystají se zřejmě soustředit...

{NADPIS reklamního článku dlouhý přes dva řádky}

{POPISEK reklamního článku, také dlouhý přes dva a možná dokonce až tři řádky, končící na tři tečky...}

Ukrajinci dostali západní superhoufnice M777. Do akce šla i Bohdana

Ať už si dělostřelectvo v dávných dobách vysloužilo titul královny či krále bojiště, ukazuje se i v jednadvacátém...

České tanky pro Ukrajinu bojují u Mykolajivu. Máme fotky z fronty

Exkluzivně Česká republika před několika týdny začala na východ posílat ruční zbraně a munici a později i dělostřelectvo, tanky a...

Dohoda s Německem: na stole jsou Leopardy, Pumy a raketomety MLRS

Válka na Ukrajině významně rozhýbala nejen nákupy nových zbraní, ale paradoxně také jejich výměny v rámci evropského...

V předdůchodu si odpočinu a pak se uvidí. Možnost, o které se moc neví

Premium Má do penze pět let a je v předdůchodu na tři roky. Na víc totiž nemá naspořeno. Že to nejde? Ale ano. Legislativa to...

Mami, ty se uzdravíš! Jana Vránová o synově cestě do NHL i boji s rakovinou

Premium Před sedmi lety si prožila peklo. Bojovala s rakovinou lymfatických uzlin a nevěděla, jak to synovi, hrajícímu tehdy...

Půst, občas večeře, čtyři kávy denně. Jak jíst podle výživového poradce Havlíčka

Premium Strava ovlivňuje nejen naši váhu či kondici, ale i náladu a zdravotní stav. Ostatně až dvě třetiny všech nemocí mají...

  • Další z rubriky

Digitální stopu děláme i nevědomky. Marketingové agentury ji poté využívají

Premium Každá fotka či příspěvek, který nahrajeme na sociální sítě, ale i webová stránka, kterou navštívíme, či e-mail, který...

Google není povinný. Prozkoumejte konkurenční internetové vyhledávače

Nejpopulárnějším internetovým vyhledávačem světa je Google. Ale je vhodný skutečně pro všechny a všechno, co s jeho...

{NADPIS reklamního článku dlouhý přes dva řádky}

{POPISEK reklamního článku, také dlouhý přes dva a možná dokonce až tři řádky, končící na tři tečky...}

Proč používat e-mail na jedno použití

Dočasná, respektive jednorázová e-mailová adresa nabízí možnost, jak využít elektronickou poštu v případě, že nechcete...

Runet: ruský internet ukazuje, jak vypadá státní cenzura nad informacemi

Premium Rusko chce mít internet pod kontrolou. Připravuje se na to již delší dobu, do praxe významně přichází s ruským útokem...

Akční letáky
Akční letáky

Prohlédněte si akční letáky všech obchodů hezky na jednom místě!

Muž s penisem na předloktí. Pěstoval si ho šest let pro transplantaci

Je to vlastně příběh protkaný smutkem, groteskní fyzickou modifikací, ale se šťastným koncem. A též s mnoha otázkami....

Část dětí dostane 5 000 Kč automaticky, zbytek bude žádat elektronicky

Rodiče, kteří na své potomky pobírají příspěvek na dítě, dostanou státní pětitisícovou pomoc automaticky. Ostatní budou...

Češi posílají na pomoc Ukrajině „ďáblův kočár“

Po pondělním zasedání Kontaktní skupiny pro Ukrajinu zazněla na tiskové konferenci několikrát informace, kterou...

V Charkově se skrývá tajemný supertank, příliš drahý pro sériovou výrobu

Válka na Ukrajině vstupuje do nové fáze. Rusové se po Kyjevu stahují i z okolí Charkova a chystají se zřejmě soustředit...

Ukrajinci dostali západní superhoufnice M777. Do akce šla i Bohdana

Ať už si dělostřelectvo v dávných dobách vysloužilo titul královny či krále bojiště, ukazuje se i v jednadvacátém...