Na veřejných wi-fi hotspotech je nyní opravdu horko. Firesheep je doplněk do Firefoxu odposlouchávající (sniffující) provoz v nešifrovaných sítích. Je praktickou ukázkou toho, jak snadné může být ukradení identity libovolného uživatele, který je připojený k otevřenému hotspotu.
Útok je založený na zachycení cookie. Drtivá většina nejznámějších webových služeb sice používá HTTPS protokol, ale pouze pro autentizaci uživatele. Jakmile se uživatel úspěšně přihlásí, uloží se do jeho browseru cookie s identifikačními údaji. Díky ní se při opětovné návštěvě stránky z téhož počítače nemusí opakovaně přihlašovat. Nejde tedy o aktivní útok na získání hesla, nýbrž o pasivní zachytávání cookies uživatelů, jejichž webový provoz proudí vzduchem bez sebemenší známky šifrování. Data mezi wireless klientem a access pointem jsou v otevřené síti nešifrovaná a stejně tak žádná z vyšších vrstev OSI modelu zpravidla neřeší šifrování uživatelských dat a cookies.
Hesla z Facebooku i Microsoft Live za pár minut
Sám na sobě jsem otestoval možnosti Firesheepu. Výsledek je poměrně zdrcující. Ani jedna ze služeb jako Windows Live, Twitter, Facebook, Flickr, Bit.ly, Yahoo nebo třeba Amazon neodolala. Jedinou zářnou výjimkou byl Google a Gmail.
Používání Firesheepu je naprosto triviální – připojíte se k otevřené wi-fi síti, nastavíte rozhraní pro zachytávání provozu a stiskem jednoho tlačítka nástroj aktivujete.
Firesheep - Možnosti
Pak už je jen otázkou času, kdy některý z nic netušících uživatelů, který je připojený ke stejnému access pointu jako vy, navštíví svůj profil na Facebooku a ulovená cookie (alias kompletní identita uživatele) je na světe. V panelu Firesheepu se objeví jeho fotografie se jménem a pouhým klepnutím myši se ocitnete přihlášeni pod jeho identitou. Je to až děsivě snadné.
Firesheep v akci
Autor Firesheep říká, že svým počinem chce donutit velké firmy, aby konečně zvýšily bezpečnost svých uživatelů, a také upozornit uživatele na nebezpečí, která jim hrozí: "O těchto problémech se mluvilo až do omrzení, ale i velice oblíbené servery nadále selhávají při ochraně soukromí svých uživatelů. Facebook pořád přichází s novými funkcemi na zabezpečení soukromí, ale k čemu to je, když někdo může ukrást celou identitu?"
Na posílení bezpečnosti dotčených služeb už asi vývojáři pracují, ale nebude to úplně zadarmo. Daní je vyšší režie provozu. Protokol HTTPS je totiž o poznání hladovější než prostý HTTP, obzvlášť při tak obrovském počtu uživatelů, jakým se honosí všechny výše zmíněné weby.
Technické požadavky
Technickým požadavkem pro zachytávání provozu cizích uživatelů wi-fi sítě je podpora promiskuitního (promiscuous) nebo monitorovacího režimu na vašem wi-fi adaptéru. Rozdíl mezi nimi je v tom, že první jmenovaný mód je schopen zachytávat provoz až po asociování k access pointu. Naproti tomu monitorovací režim (monitor mode) je schopen "vyčmuchat" provoz bez nutnosti asociace k přístupovému bodu. Nicméně pro otestování Firesheepu sami na sobě si vystačíte i s kartou bez podpory výše zmíněných funkcí.
Jak se ubránit?
Obecně řečeno nám jde o to zajistit šifrování přenášených dat na některé z vyšších vrstev OSI modelu, když nám to neumožňuje přímo access point. Základní doporučení zní – používejte HTTPS, kde to jen jde. Pro Firefox existuje šikovný doplněk HTTPS Everywhere (v době vydání mimo provoz), starající se právě o vynucení HTTPS komunikace. Dalším podobným doplňkem je Force-TLS.
Chcete-li se bránit přímo proti Firesheep, je tu doplněk BlackSheep, který vás upozorní, kdykoli někdo v okolí odposlouchává pomocí Firesheep.
U Google Chrome můžete vyzkoušet zabezpečený režim, který umožní procházet pouze HTTPS stránky, případně nainstalovat tento doplněk a ochránit alespoň Facebook.
Méně elegantním řešením je sestavení šifrovaného VPN spojení domů nebo do vaší firmy.
Nabízí se také vybídnout ke zdržení se používání otevřených hot spotů, ale to je hodně odvážná, naivní a mnohdy nerealizovatelná myšlenka. Příjemně mě překvapilo, že Microsoft Security Essentials (a jistě i další antimalware produkty) identifikují Firesheep jako škodlivý kód a dotáží se vás, zda ho mohou odstranit.
O autorovi: Jiří Brejcha publikuje na serveru o počítačových sítích www.sitarina.cz.
