HARD CORE SECURITY LAB

Podczas gdy logujemy się do rozmaitych serwisów internetowych, nasze hasło jest zazwyczaj przesyłane w postaci zaszyfrowanej, co ma je uchronić przed ewentualnym intruzem podsłuchującym nasz ruch sieciowy. Niestety, zazwyczaj dalsza komunikacja (w tym ciastka wykorzystywane przy każdym kolejnym żądaniu do przekazywania identyfikatora sesji) odbywa się już zazwyczaj bez jakiegokolwiek szyfrowania. Oczywiście problem przechwytywania takich sesji (ang. Session hijacking) jest już znany od dawna i powszechnie wiadomo, że w ten sposób intruz może uzyskać nieuprawniony dostęp do danego serwisu z pełnymi uprawnieniami ofiary. Warto jednak wiedzieć, że właśnie powstał nietypowy dodatek do popularnego Firefoksa, który pozwala na w pełni automatyczne i masowe przechwytywanie sesji.

Wygląda na to, że rozmaite narzędzia pozwalające na testowanie lub naruszanie bezpieczeństwa, coraz częściej ukazują się w postaci dodatków do popularnego Firefoksa. Swego czasu prezentowałem moduł pozwalający na wykonywanie ataków słownikowych oraz siłowych online, dziś natomiast chciałbym wspomnieć o dodatku Firesheep.

Intruz, który chce w tradycyjny sposób przechwycić sesję użytkownika jakiegoś serwisu internetowego, musi podsłuchać ciasteczko zawierające identyfikator sesji (ang. Session ID). Następnie takie podsłuchane dane można wykorzystać do skorzystania z danego serwisu w imieniu uprawnionego użytkownika. Dodatek Firesheep pozwala jednak na przeprowadzanie całkowicie automatycznych ataków tego typu. Spójrzmy jak to działa.

Po instalacji dodatku (oraz niezbędnych bibliotek WinPcap), nasz Firefox zostanie wyposażony w nowy panel boczny Firesheep (dostęp do panelu uzyskamy po wybraniu opcji: Widok/Panel boczny/Firesheep). Teraz wystarczy już tylko rozpocząć polowanie na sesje (Start Capturing). Jeśli tylko w tym samym segmencie sieci (np. w ramach tej samej otwartej sieci WiFi) ktoś zaloguje się do obsługiwanego przez Firesheepa serwisu, naszym oczom ukaże się informacja o przechwyconej sesji. Dwukrotne kliknięcie pozwoli nam natomiast na natychmiastowe uzyskanie dostępu do serwisu na prawach naszej ofiary:

Firesheep skutecznie przechwycił moją sesję na Facebooku

Jak widać na powyższym zrzucie, w trakcie mojego testu udało mi się przechwycić własną sesję na Facebooku. Oczywiście możliwości Firesheep nie są tak naprawdę niczym nowym, jednak do tej pory wykonanie tego typu ataków wymagało przynajmniej pewnej wiedzy oraz umiejętności praktycznych. W chwili obecnej skuteczne przechwytywanie sesji jest już w zasięgu praktycznie każdego internauty...

Eric Butler, który stworzył oraz opublikował Firesheepa jako oprogramowanie otwarte, twierdzi, że jego celem było wywarcie presji na twórcach popularnych serwisów internetowych, by Ci lepiej zadbali o bezpieczeństwo swych użytkowników. Miejmy więc nadzieję, że cel ten zostanie osiągnięty, a sam Firesheep nie przyczyni się jedynie do spopularyzowania ataków przechwytujących sesje.

Na koniec warto jeszcze tylko wspomnieć, że skuteczną obronę przed tego typu atakami może nam zapewnić inny dodatek do Firefoksa (HTTPS Everywhere), który jest w stanie wymusić na wielu rożnych serwisach internetowych zastosowanie szyfrowania.

[źródło]