Ο τρόπος με τον οποίο λειτουργούν τα περισσότερα sites είναι ανασφαλής με τα σημερινά δεδομένα. Για να το αποδείξει, ο Eric Butler δημιούργησε ένα add-on για τον Firefox που μπορεί να κλέψει όλους τους κωδικούς social networks μέσω απλής σύνδεσης WiFi! Όπως ο ίδιος εξηγεί, το βασικότερο πρόβλημα εντοπίζεται στην απουσία κρυπτογράφησης σε όλη την "έκταση" της "διαδικασίας επικοινωνίας του χρήστη με τα sites".
Τα περισσότερα sites χρησιμοποιούν απλά το πρωτόκολλο HTTP για την επικοινωνία τους με τον browser του χρήστη. Σε αυτό, όμως, (συνήθως) δεν εφαρμόζεται κάποιου είδους κρυπτογράφηση. Αντίθετα, κάποια "ασφαλή" sites, αξιοποιούν τα πρωτόκολλα HTTPS και SLL. Ακόμη και έτσι, όμως, η ίδια η "υποδομή του Internet", εννοώντας όλες τις τεχνολογίες και εφαρμογές που χρησιμοποιούνται τόσο από πλευράς των sites όσο και των χρηστών, δεν προστάζει κρυπτογράφηση σε άλλους τομείς πλην της ίδιας της "γραμμής επικοινωνίας" ανάμεσα στον browser και ένα site. Έτσι, πρόσθετα αρχεία με πιθανότατα ευαίσθητα στοιχεία παραμένουν εκτεθειμένα σε αδιάκριτα βλέμματα. "Πρόσθετα αρχεία" όπως, για παράδειγμα, τα cookies που αποθηκεύει ο browser στο δίσκο, όπου συναντώνται από απλές επιλογές για ένα site (π.χ. "τι χρώμα προτιμά στις σελίδες του ο χρήστης") μέχρι, για δες, τους κωδικούς που έχει σε αυτό!
(Αν)ασφάλεια... στην πράξη!
Αυτό ακριβώς εκμεταλλεύεται το Firesheep, ένα νέο add-on για τον Firefox, το οποίο δεν δημιουργήθηκε για κακόβουλους σκοπούς, αλλά για να τραβήξει την προσοχή σε αυτό το πολύ σημαντικό πρόβλημα. Πώς το κάνει αυτό; Δείχνοντας στην πράξη πόσο... αστείο είναι το να υποκλέψει κανείς κωδικούς που "κυκλοφορούν ελεύθερα" σε μια τυπική σύνδεση προς το Internet.
Κατόπιν της εγκατάστασης του, ο χρήστης μπορεί να συνδεθεί σε ένα δημόσιο δίκτυο WiFi. Το add-on και ο Firefox αναλαμβάνουν την σύλληψη όλων των δεδομένων που "ταξιδεύουν" μέσω του δικτύου WiFi, την "αποκρυπτογράφηση" τους (ουσιαστικά, την "αφαίρεση πρόσθετων πληροφοριών", αφού δεν μιλάμε για πραγματικά κρυπτογραφημένα δεδομένα) και την διατήρηση μόνο των... passwords των άλλων χρηστών προς διάφορα sites και δίκτυα! Στη συνέχεια, ο χρήστης μπορεί με ένα διπλό κλικ σε έναν από τους λογαριασμούς που του έχουν... "αποκαλυφθεί" μέσω του Firesheep να συνδεθεί στο site όπου αυτοί αντιστοιχούν, σαν να ήταν ο χρήστης που τους είχε δημιουργήσει! Φαίνεται απίθανο; Ας το δούμε πιο απλά.
Βρίσκεστε μαζί με ένα φίλο σας σε ένα Internet Cafe, και έχετε και οι δυο από ένα laptop. Ο ένας (ας πούμε... εσείς!) "μπαίνει" στο Facebook για να ελέγξει τα updates του. Ο άλλος (ο... πονηρός φίλος), τρέχει τον Firefox με το Firesheep και, ω, του θαύματος, βλέπει στην οθόνη του τα στοιχεία με τα οποία μπήκατε στο Facebook (τα οποία "βούτηξε από τον... αέρα" ο συνδυασμός Firefox-Firesheep για αυτόν). Απομενει, όταν εσείς "βγείτε" από το Facebook, να επιλέξει αυτός το λογαριασμό σας, να "μπεί" στο διάσημο κοινωνικό δίκτυο με αυτόν και να αποκτήσει πρόσβαση σε όλα τα στοιχεία σας. Τόσο απλά.
Φταίει το... σύστημα
Φυσικά, παρά το ότι η χρήση του μπορεί να έχει άσχημα αποτελέσματα και κακόβουλους σκοπούς, ο δημιουργός του έχει απόλυτο δίκιο όταν εξηγεί πως "Τα websites έχουν ευθύνη απέναντι στους χρήστες που βασίζονται στις υπηρεσίες τους. Αφού αγνοούν αυτή την ευθύνη εδώ και πάρα πολύ καιρό, τώρα ήρθε η ώρα να αρχίσουμε όλοι να απαιτούμε ένα ασφαλέστερο web. Ελπίζω με το Firesheep οι χρήστες να κερδίσουν". Το πρόβλημα δεν εντοπίζεται στον Firefox, το Firesheep ή κάποιο άλλο... "μαγικό εργαλείο hacking", αλλά στο ότι το ίδιο το web έχει προβλήματα ασφαλείας, που καθιστούν δυνατά φαινόμενα όπως αυτά. Η λύση δεν είναι να αγνοούμε τα υπαρκτά προβλήματα, αλλά να βρούμε τρόπους επίλυσης τους.
Στο ενδιάμεσο, βέβαια, αρκετοί μάλλον θα δουν updates σε Twitter και Facebook που οι ίδιοι δεν "ανέβασαν" ποτέ, εικόνες τους να εξαφανίζονται από το Flickr κ.λπ.
Πηγή:
http://www.pcw.gr/Article/Internet-Networking/Firesheep_Firefox_add-on_easilly_steals_passwords/237-5350.html
