Pokud nepoužíváte HTTPS a přihlašujete se k webovým službám, odhalujete (nejen) svoje hesla

Včera jsme byli s přítelkyní a kamarádem v kavárně. Protože mě nebavilo pracovat, napadlo mě si vyzkoušet, zda moje současné znalosti IT stačí na to, abych se dozvěděl, po jakých webech návštěvníci kavárny surfují, co kam píšou, nebo třeba někomu ukradl heslo do mailu. Výsledek? Ano, stačí. A může to být opravdu tak snadné, jak jsem si myslel...

zdroj: www.flickr.com/photos/cyberhades

Prostředí:

• kavárna s veřejnou WiFi
• zákazníci používající veřejnou WiFi

Vybavení:

• obyčejný notebook s obyčejným Xubuntu (free a open source)
• nainstalovaný balíček aircrack-ng (free a open source)
• program Wireshark (free a open source)
• čas a trpělivost na to čekat, až se někdo bude někam přihlašovat

Proces:

1. připojit se k WiFi v kavárně
2. zapnout na síťové WiFi kartě monitor mode (např. přes airmon-ng)
3. odchytávat (ukládat na disk) pakety proudící v dané WiFině (např. přes airodump-ng)
4. procházet a analyzovat pakety ve vhodném programu (např. Wireshark) s vhodnými filtry (např. jen POST data pro zjištění hesla)
5. najít v paketu uživatelské jméno a heslo

   

   reálné použití programu Wireshark pro analýzu paketů:
   tady se někdo připojoval do administrace webu Wordpressu

6. přihlásit se namísto oběti
7. nechat jí tam vzkaz s informací, jak se přihlašovat zabezpečeně (HTTPS namísto obyčejného HTTP), popř. jak nakonfigurovat webserver tak, aby nezabezpečené připojení neumožňoval (např. přes .htaccess).

   

   Zanechávání vzkazu s poučením v administraci webu
   (jak vidno, oběť používá Wordpress)

Závěr:
Pokud se při vašich toulkách webem někam přihlašujete (formulář s loginem a heslem), vždy se před odesláním formuláře ujistěte, že jste připojeni přes HTTPS, nikoli jen HTTP - poznáte to snadno mrknutím oka do adresního řádku:

použití HTTPS

Při použití HTTPS probíhá komunikace mezi vaším zařízením a webserverem šifrovaně, tudíž je sice i nadále možné pakety odchytávat a sledovat, nicméně, případný hacker z nich kompromitující data nepřečte*. Explicitní použití HTTPS je naštěstí v dnešní době již na většině webech zapnuto. Taky vám pomůže plugin typu HTTPS Everywhere do vašeho prohlížeče. Jak ale vidno z příkladu, ne všude, takže lépe vždy okem mrknout...

V opačném případě riskujete, že někdo právě získá (nejen) vaše heslo, jako jsme si to s kamarádem předvedli včera v kavárně, popř. si prostě jen "poslechne", na co se koukáte, co kam píšete...

Vše dobré v novém roce a více bezpečnosti na Internetu vám přeje
#crysman

* Pokud tedy právě neprobíhá MIM útok s podvrženým SSL certifikátem, popř. pokud není certifikát daného webu jinak kompromitován. Pokud vás téma zaujalo, tak např. tu na Wiki se může dočíst více o certifikátech.